Des amateurs et des pros vont créer une nouvelle norme crypto

Peter Schmidt-Nielsen, âgé de quinze ans, n'a passé qu'un mois à travailler sur sa soumission, mais il pense qu'il a trouvé quelque chose d'inhabituel et de nouveau. Peu importe qu'il soit confronté à certains des cryptographes les plus célèbres au monde.

Schmidt-Nielsen est l'un des 60 participants dans ce qui devrait être un concours de quatre ans pour choisir un nouvel algorithme de hachage qui aidera à verrouiller la cryptographie utilisée par tout, des systèmes de paiement basés sur le Web pour sécuriser le courrier électronique aux outils de gestion du code source

Le concours, parrainé par l'Institut national des normes et technologies (NIST), espère trouver un nouvel algorithme de hachage cryptographique pour remplacer l'algorithme SHA-2 (Secure Hash Algorithm - 2) publié par le NIST il y a huit ans. La date limite pour les soumissions à SHA-3 était le 31 octobre, et le NIST espère réduire le nombre de compétiteurs à 15 ou 20 candidats d'ici août prochain. C'est alors que le dur labeur de marteler les soumissions et de repousser toutes les imperfections commencera vraiment.

[Lectures supplémentaires: Comment supprimer les logiciels malveillants de votre PC Windows]

Schmidt-Nielsen et d'autres font leur travail sans rémunération, en compétition principalement pour le prestige et le plaisir de voir leur travail analysé par leurs pairs. "Je pense que c'est très amusant", a déclaré Schmidt-Nielsen, qui a commencé la cryptographie à l'âge de 13 ans. "Ce sera vraiment fascinant de voir mon algorithme se déchirer complètement."

Aussi en lice sont des cryptographes célèbres tels que Bruce Schneier, chef de la sécurité de BT, et Ron Rivest, qui a inventé l'algorithme de hachage MD5 largement utilisé.

Mais qu'est-ce qu'un algorithme de hachage?

Hashing est un moyen de prendre un message - un e-mail, par exemple - et le représentant avec un numéro unique qui semble être aléatoire. Le hachage a été développé comme un moyen de réduire la charge de calcul lorsque les programmes font des choses comme l'analyse des fichiers pour voir s'ils ont été modifiés. Il est beaucoup plus rapide de comparer deux valeurs de hachage que de parcourir des fichiers entiers pour les changements.

Dans un hachage cryptographique, le nombre est crypté, créant une signature numérique vérifiable à l'aide de la cryptographie à clé publique. En pratique, ces signatures numériques sont utilisées pour confirmer, par exemple, qu'un site Web est vraiment le site qu'il prétend être, ou qu'un message électronique provient de la personne qui prétend l'avoir envoyé, et qu'il n'a pas À partir de 2004, des chercheurs menés par Wang Xiaoyun de l'Université de Shandong ont découvert des faiblesses dans les algorithmes de hachage MD5 et SHA-1. Ils ont découvert qu'il était plus facile qu'on ne le pensait de créer deux nombres qui partagent la même valeur de hachage. Dans le langage cryptographique, cela s'appelle une collision, et c'est considéré comme une très mauvaise chose parce qu'elle mine l'intégrité du système cryptographique.

«Cela a rendu tout le monde nerveux», explique Rivest, professeur d'ingénierie et d'informatique au Massachusetts Institute of La technologie. Il a dirigé l'équipe qui a soumis l'algorithme MD6 dans le concours du NIST

Le hack Nostradamus a montré juste pourquoi les gens étaient nerveux: En utilisant MD5, les chercheurs ont pu créer différents fichiers.pdf partageant la même valeur de hachage. Pour illustrer pourquoi cela est un problème, ils ont publié la valeur de hachage du fichier pdf contenant le nom de leur choix d'élection présidentielle américaine de 2008, puis ont créé les fichiers PDF avec le nom de chaque candidat, tous partageant le même hachage. > Cela est supposé être pratiquement impossible à faire sous un algorithme de hachage sécurisé.

Si les personnes de Nostradamus pouvaient utiliser des collisions pour effectuer leur attaque, les criminels pourraient-ils éventuellement créer de fausses signatures numériques et faire ressembler des sites de phishing? exemple, www.bankofamerica.com?

Peut-être un jour, a déclaré Bill Burr, un gestionnaire du groupe de technologie de sécurité du NIST. "SHA-1 n'est pas si cassé en ce moment que nous pensons que les gens peuvent faire les collisions, mais nous attendons la collision tous les jours", at-il dit. "L'idée ici est que nous avons une digue et que la digue fuit, et nous avons un peu peur que nous puissions vraiment avoir une inondation."

Même si le dernier algorithme SHA-2 "est susceptible de rester sécurisé dans un avenir prévisible", il a ses limites et repose sur de vieilles techniques cryptographiques, a déclaré Schneier, qui a soumis un algorithme de hachage appelé Skein. "Je pense qu'il y a de bonnes raisons de le faire."

Choisir le nouvel algorithme de hachage ne se fera pas du jour au lendemain. Le Burr du NIST dit qu'il ne s'attend pas à avoir un gagnant SHA-3 jusqu'en 2012, et il pourrait prendre une décennie de plus pour que l'algorithme soit largement adopté, dit-il.

Mais les concours comme les NIST n'arrivent pas tous les jours, et Burr dit qu'il est impressionné par les soumissions. Beaucoup d'entre eux, y compris la soumission MD6 de Rivest, tirent profit des nouveaux ordinateurs multiprocesseurs qui sont maintenant disponibles et pourraient être plus rapides que les algorithmes actuels.

"C'est incroyable la quantité de travail qui est allée dans certaines de ces propositions" Burr a dit

"Certains d'entre eux ont l'air fantastique, certains d'entre eux ont l'air d'avoir été faits par un gamin de 13 ans, et il y a tout entre les deux."