Le chiffrement de données

Projet Algorithme n°1 : Le chiffrement de données

Sommaire

Introduction ............................................................................................................................. 3

Sécurité des données utilisateurs ............................................................................................ 4

Les risques .....................................................................................................................4

Algorithmes existants ....................................................................................................5

Cryptage des données .............................................................................................................. 8

Principe du cryptage ......................................................................................................8

Utilisation en PHP ..........................................................................................................8

Solutions retenues ..................................................................................................................10 

Introduction

En tant que responsable du site internet de l'entreprise GSB, nous avons pour objectif de sécuriser celui-ci afin d'éviter toute infraction. En effet, un site internet est un élément sensible dans une entreprise puisque toute personne a la possibilité d'y accéder. Pour cela, nous auront recours au cryptage de données. Vos données et celles de vos utilisateurs seront ainsi protégées de toute attaque.

Cette analyse sera axée selon 3 parties. Cette étude traitera d'abord de la sécurité des données utilisateur avant de se pencher sur le cryptage des données. Nous verrons pour conclure quelles solutions peuvent être retenues.

1- Sécurité des données utilisateur

Les risques

On distingue 2 types majeurs de violations :

La technique dite de "Brute forcing"

Cette méthode beaucoup plus simple consiste a essayer toute les combinaisons possibles de mots de passe jusqu'à tomber sur la bonne combinaison. Cependant ce procédé demande beaucoup de temps et une machine dotée de force de calcul assez puissante pour trouver le mot de passe. Elle se contre très facilement en instaurant un nombre d'essai limité (codes PIN en téléphonie par exemple) ou par utilisation de captcha afin d'empêcher les machines de se connecter automatiquement.

L'accès à la base de donnée du site

Que ce soit en ayant pris connaissance de mots de passe ou bien par utilisation d'une faille de sécurité, il arrive qu'un indésirable puisse s'introduire dans votre banque de donnée. Le pirate peut alors accéder a beaucoup de données sensibles telles que codes de carte bancaire, numéros de compte ou de téléphone, données utilisateurs, etc. C'est pour cela qu'il est fortement déconseillé de stocker ces données en clair et qu'un cryptage est nécessaire.

Algorithmes existants

Le hachage peut se définir comme étant une fonction à sens unique permettant de convertir des données de taille variable en un "haché" de taille fixe. Une telle méthode s'utilise dans des cas de stockage de mots de passe, de signature numérique ou de vérification d'intégrité fichiers. Concrètement, une fonction de hachage permet de transformer un message de taille X variable en un haché codé sur n bits.

Bien que dans la plupart des cas une simple transformation, le hachage peut également s'effectuer via une clé afin d'assurer la sécurité des données hachées.

MD5

On dénombre plusieurs fonctions de ce type, la plus connue étant le MD5. Cette méthode de hachage transforme une suite de n caractères en un haché de longueur fixe de 32 caractères. Néanmoins, le MD5 étant répandu, son fonctionnement a très vite été percé et est aujourd'hui obsolète.

Exemple :

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15 <?php

$login_post=$_POST['login'];

$pass_post= md5sum($_POST['pass']);

$pass_db=getPassword($login_post);// fonction qui vous renvoit le hash associé au login dans la base de donnée

if($pass_db==$pass_post)

{

// correct, connexion

}

else

{

// incorrect, retourne une erreur

}

?>

SHA et autres fonctions

Le MD5 devenu inefficace, on peut utiliser d'autres fonctions de hachage.

Le SHA : procédé de hachage

...