ISO refuse de normaliser deux algorithmes de chiffrement de la NSA
SIMON and SPECK, les “nouveaux” algorithmes de chiffrement symétrique de la NSA ne seront pas normalisés par l’ISO.
Remontons à 2013, la NSA dévoile une publication proposant deux nouveaux algorithmes de chiffrement symétrique par bloc, nommés SIMON et SPECK. Ces algorithmes, supportant différentes tailles de blocs et de clés, sont selon la NSA, voués à être plus sécurisés, flexibles et analysables.
Chacun d’eux semble offrir d’excellentes performances sur diverses plateformes (software / hardware). SIMON serait plutôt dédié aux performances hardware alors que SPECK se focaliserait sur les performances software.
Malgré ces multi-avantages exposés dans la publication, l’Organisation Internationale de Normalisation (ISO) a refusé il y a quelques jours de normaliser ces algorithmes. En effet, l’ISO juge que la NSA n’est pas de confiance pour privilégier la sécurité par rapport à la surveillance.
A number of them voiced their distrust in emails to one another, seen by Reuters, and in written comments that are part of the process. The suspicions stem largely from internal NSA documents disclosed by Snowden that showed the agency had previously plotted to manipulate standards and promote technology it could penetrate. Budget documents, for example, sought funding to “insert vulnerabilities into commercial encryption systems.”
Après les révélations passées de Snowden et les faits à propos des capacités de la NSA à déchiffrer certains algorithmes ou à implanter des backdoors volontairement dans des solutions diverses et variées, le point de vue de l’ISO peut se comprendre.
“I don’t trust the designers,” Israeli delegate Orr Dunkelman, a computer science professor at the University of Haifa, told Reuters, citing Snowden’s papers. “There are quite a lot of people in NSA who think their job is to subvert standards. My job is to secure standards.”
En attendant de nouveaux standards, l’actuel AES (pour le chiffrement symétrique) et RSA (chiffrement asymétrique) sont ceux à privilégier. En ce qui concerne le hachage (des mots de passe notamment), des algorithmes tels que BCrypt (intégrant un “sel / salt” pour se protéger de l’analyse fréquentielle / table rainbow et un bouclage) s’avèrent particulièrement robustes.
SYNETIS vous encourage à adopter les standards reconnus et les algorithmes normalisés.
