L'un des principaux défis de l'Internet a été de sécuriser les communications à travers un enchevêtrement massif de réseaux publics et privés. Les experts en sécurité s'accordent à dire que le chiffrement des communications de bout en bout est le meilleur moyen de protéger les utilisateurs contre l'interception des données par des tiers ou contre des intrusions pouvant exposer des contenus potentiellement sensibles. Cependant, le cryptage de bout en bout a été plus un rêve qu'une réalité, en raison notamment de la montée en puissance de ces « espaces protégés » mis en place par les géants du Net comme Google, Facebook et Amazon.

Chacun d'entre eux maintient toujours une forme d'accès aux communications de ses utilisateurs. Une autre approche du chiffrement de bout en bout appelée « Mathematical Mesh » a été discrètement présentée lors de la dernière conférence HOPE (Hackers of Planet Earth) par le cryptographe Phillip Hallam-Baker, actuellement chercheur principal chez Comodo, et ancien membre du CERN.

Qu'est-ce que la cryptographie à seuil ?

« L'infrastructure à clé publique (ICP) ne suffit pas », a déclaré lors de cette conférence organisée en ligne du 25 juillet au 2 août, M. Hallam-Baker, en référence à l'infrastructure utilisée pour créer, distribuer et stocker des certificats numériques du système cryptographique, qui sert de base au mode de chiffrement de bout en bout actuel. « Nous devons aller un peu plus loin et commencer à appliquer une cryptographie à seuil pour laquelle il faudra aussi mettre en place une infrastructure de clés à seuil ». La cryptographie à seuil consiste à découper des secrets, ou des clés, en bits plus petits obligeant le destinataire des communications cryptées à posséder un niveau minimum de bits pour décrypter les communications.

Depuis le début des années 1990, les infrastructures à seuil sont utilisées par l'armée et les gouvernements, mais la technologie est lentement mise à la disposition du public. Par exemple, le National Institute of Standards and Technology (NIST), une agence du département américain du Commerce, a récemment proposé une feuille de route pour la création de schémas cryptographiques à seuil standard qui pourraient contribuer à rendre leur utilisation plus régulière.

Un postulat : Tout le monde espionne tout le monde…

« Aborder la question de la sécurité sur Internet suppose de bien comprendre certains faits fondamentaux », estime aussi M. Hallam-Baker dans sa conférence. « En premier lieu, la sécurité ne dépend pas de la géographie. La Chine n'est pas la seule menace pour notre sécurité. Ce n'est pas le seul pays à espionner, ce n'est pas le seul pays qui achète et utilise des ordinateurs », a-t-il ajouté. Une autre réalité, c’est que « l'argent est le mobile », a encore déclaré Phillip Hallam-Baker. « La plupart du temps, pour la plupart des gens, les acteurs de la menace sont ceux qui cherchent à voler de l'argent, et c'est même le cas pour la plupart des activités d'espionnage chinois. L’espionnage est majoritairement à caractère commercial. ».

« Le fait que « tout le monde espionne tout le monde » pour gagner un avantage financier révèle un élément important, à savoir que l'information est la cible », a déclaré M. Hallam-Baker. Il poursuit en indiquant que « Tout système IT aujourd'hui contient des failles de sécurité. Combien de courriels envoyez-vous et recevez-vous chaque jour ? Combien d'entre eux contiennent des informations confidentielles ? Chiffrez-vous vos documents sensibles ? Peut-être, mais si vous le faites, il y a de fortes chances que vous les cryptiez avec un mot de passe et que vous envoyiez ce mot de passe avec le fichier crypté. Si nous nous contentons d'agir au coup par coup, nous en serons toujours au même point dans dix ans... Et cet état de fait n’est pas particulièrement sécurisant », a-t-il prévenu.

Mathematical Mesh pour démultiplier les clés

Selon M. Hallam-Baker, l'une des solutions efficaces consiste à réduire le nombre de tiers de confiance. Selon lui, il suffirait de limiter la confiance au point de destination final et non à chaque réseau par lequel les communications doivent transiter. « C’est plus sûr de confiance à 5 personnes plutôt qu’à 500 ». Mais réduire le nombre de tiers de confiance n’est pas suffisant. « Il faut séparer les rôles, séparer les tâches de manière à ce que personne ne puisse s'emparer des clés de base et les utiliser de manière malveillante. Mais pour appliquer une séparation des tâches au niveau cryptographique, il faut introduire plus de clés ». La cryptographie à clé publique actuelle repose sur la génération de deux clés seulement, une clé publique et une clé privée. « Pour avoir plus de contrôle, il faut diviser les clés », a expliqué M. Hallam-Baker. « Et si nous voulons utiliser efficacement la cryptographie à seuil, nous devons disposer d'une infrastructure de clés à seuil ».

C'est là que le système Mathematical Mesh de Phillip Hallam-Baker, désormais disponible en version « pré-alpha » sur Github, entre en jeu. M. Hallam-Baker se dit quasiment prêt à livrer une version de fonctionnalité, mais il reconnaît qu’il est un peu nerveux à ce sujet. « Je sais comme vous qu’il y a des hackers », a-t-il déclaré. M. Hallam-Baker voudrait proposer des applications du système Mathematical Mesh qui offrent une réelle valeur ajoutée aux utilisateurs précoces, même si personne d'autre ne l'utilise après eux.

Par exemple, un coffre-fort de mots de passe sécurisé de bout en bout pourrait s’appuyer sur la cryptographie à seuil pour sécuriser les données dans le cloud, sans qu’il soit possible de les déchiffrer dans le cloud. D’après Phillip Hallam-Baker, cette application comblera une lacune sur le marché des entreprises. Il aimerait que celles-ci prennent les devants et testent son nouveau système. « C’est clairement un appel à l'aide, un appel à la participation des entreprises. Je pense que nous pourrions accomplir quelque chose de vraiment spécial. Alors, faisons-le ! »