Perseus, cacher sans crypter ...
Comment construire un "bot" de poker | wingineer, nouvelle skin » [557] lectures
Le labo de cryptographie opérationnelle de l'ESIEA à réalisé un nouveau système de protection de données...L'objectif est de pouvoir se donner la possibilités de protéger ses données, sans forcément les crypter. Pourquoi éviter l'encryption ? Tout simplement parce que l'encryption est légalement contrôlée. Pour des raisons de sécurité, l'état veux pouvoir se garder la possibilités de déchiffrer n'importe quelle communication, pour cela les communications complètement cryptées (en particulier vers l'étranger) sont « interdites ». Ces communications sont justement aussi, paradoxalement, assez repérable puisque leur contenu est très proche d'un point de vue statistique à du hasard pur...
Les méthodes d'encryption classique ne permettent pas de placer finement la barre de faisabilité de déchiffrement par « force brute » (c'est à dire en utilisant une forte puissance de calcul). Ainsi il est très difficile de faire une « encryption légère », c'est à dire suffisante pour garder le secret « assez longtemps » face à une personne mal intensionnée, mais pas trop pour que l'état puisse (avec beaucoup de ressources informatique) déchiffrer le message en cas de besoin.
Soit ce sera trop dur à déchiffrer soit trop facile, dans les deux cas la solution n'est pas utilisable.
Voilà pourquoi Eddy Deligne et Eric Filiol du labo de recherche de l'ESIEA ont créé une nouvelle manière de protéger des donnés où la limite de faisabilité de déchiffrement est plus finement contrôlable. L'idée est d'utiliser système de codage (pas d'encryption) qui change à chaque fois auquel on ajoute un "bruit" (un peu de hasard). Une personne étrangère à la communication (n'ayant pas les information sur le bruit) ne pourra pas retrouver facilement le codage à cause du bruit... Ce principe à été implémenté dans un module pour le navigateur Firefox (ainsi que sa contrepartie coté serveur), déjà + de 27.000 téléchargements !! Il s'agit d'un logiciel libre, donc librement téléchargeable et modifiable. Le logiciel sera disponible sous forme de librairie utilisable dans n'importe quel type de programme.
Perse-oops ...?
Ce louable objectif de sécurité mesuré à rencontré un intérêt tout particulier, non prévu, auprès des détracteurs de la loi HADOPI. En effet un des « effets secondaire » de cette technique de protection de données , est qu'elle est légale mais aussi et surtout, difficilement détectable. Contrairement à une encryption classique où le résultat ressemble au hasard, là il reste une bonne part de « structure » dans le fichier. Ainsi même si l'état est virtuellement en capacité de déchiffrer ces données, il ne peut pas les identifier facilement...
Voici quelques sites de news qui en parlent :
http://securiteoff.blogspot.com/2009/10/exclusif-un-module-firefox-contre.html
http://www.futura-sciences.com/fr/news/t/internet/d/perseus-un-logiciel-anti-hadopi_21296/
http://www.clubic.com/actualite-308400-perseus-chiffrement-donnees-responsable.html
http://www.zdnet.fr/actualites/internet/0,39020774,39710410,00.htm
Commentaires
Le vendredi 15 janvier 2010 à 13:16, par Toto
Donc cela signifie que la détection de cellules terroristes peut devenir plus complexe...
Le vendredi 15 janvier 2010 à 15:42, par Hubert WASSNER
à supposer qu'ils (les terroristes) se mettent à utiliser cet outil, leur communications seront moins identifiable (que si ils utilisent de la crypto' classique), mais s'ils sont identifiés (par quelque moyen que ce soit, pas forcément informatique) , alors leur communication seront déchiffrables par l'état...
Donc je ne pense pas que cela soit réellement intéressant pour eux...
Le samedi 16 janvier 2010 à 14:43, par toto
Et s'ils cryptent leurs données et les envoient avec ce système ?
Le lundi 18 janvier 2010 à 09:56, par Hubert WASSNER
ah ça c'est de la vision de "petit main", j'aime beaucoup votre manière de penser...
Cependant le "reste d'ordre" qui subsiste dans un fichié protégé par perséus viens du fichier de départ et non du processus de codage des données. Ainsi si on crypte un fichier on perd cet "ordre", utiliser ensuite Perseus ne fera réapparaitre aucune "ordre", structure ni même information supplémentaire... Dit autrement le fichier ainsi produit ressemblera à un fichier crypté, et sera donc détectable...
Le mercredi 20 janvier 2010 à 16:46, par David
Et si le cryptage prend justement en compte cette forme en bourrant le fichier de données qui semblent ordonnées ?
Le mercredi 20 janvier 2010 à 19:57, par Hubert WASSNER
C'est une idée, mais je pense que c'est complexe à bien réaliser sans que ce soit identifiable...
ça pourrait être une idée de projet...
à proposer à Eric Filiol, je vais lui en parler...
Le mercredi 20 janvier 2010 à 21:10, par David LEBLANC
Je ne me suis pas encore trop intéressé au cryptage jusqu'ici donc je m'avance peut-être un peu trop : Si les analyseurs utilisent des "statistiques" pour déterminer si un fichier de données contient des "données courantes" ou des données cryptées, ne suffit-il pas de jouer sur le pourcentage de contenu crypté et le pourcentage de "contenu courant" ou "ordonné" ? Dans ce cas ce contenu pourrait être considéré par l'analyseur comme des informations normales échangées. Il arrive souvent qu'on utilise les bits directement pour stocker, envoyer ou recevoir des données après tout. Et tout ceci à la suite a sa part de désordre...
Ça pourrait faire un bon sujet je projet effectivement
Le jeudi 21 janvier 2010 à 16:54, par Hubert WASSNER
En effet, la question devient où mettre les données cryptées (idéalement plus que du "bruit") et où mettre les donnés "ordonnées", pour ne pas les mélanger (faut bien pouvoir décrypter à un moment)... et donc ce mélange particulier peut lui aussi être statistiquement identifiable. Donc ça "tourne en rond", si je peux decrypter c'est que c'est "rangé", si c'est rangé c'est identifiable. Si c'est par "rangé" on peut pas séparer le message crypté de la structure qu'on a ajouté ...
Voila pourquoi, même si ça semble être une bonne idée, je pense que c'est au moment de la mettre en pratique, qu'on se rend compte que c'est pas génial...
Le vendredi 22 janvier 2010 à 00:34, par Nicolas Chevallier
En tout cas et même si au final l'idée ne trouve pas d'application je la trouve excellente. Elle sera à mon avis utilisée ou est déjà utilisée différemment par les "hackers" pour tromper les IDS. En effet il forge des paquets aléatoires pour tromper les système de détection d'intrusion. La c'est le message qui est partiellement codé pour tromper les systèmes d'écoute des communications.
Ajouter un commentaire