blog2Lau | Archive

Archive | Crypto

Protégé : RSA public key : Behind the scene

Posted on 17 avril 2020.

Posted in Boulot, CryptoSaisissez votre mot de passe pour accéder aux commentaires.

L’arme est d’Euler

Posted on 15 avril 2020.

A ceux qui auraient tendance à voir une référence à autre choses (20 % d’armée + 80 % d’air, par exemple) : Passez votre chemin !

En mathématiques, l’indicatrice d’Euler est une fonction de la théorie des nombres.

Elle intervient en mathématiques pures, à la fois en théorie des groupes, en théorie algébrique des nombres et en théorie analytique des nombres.

En mathématiques appliquées, à travers l’arithmétique modulaire, elle joue un rôle important en théorie de l’information et plus particulièrement en cryptologie.

La fonction indicatrice est aussi appelée fonction phi d’Euler ou simplement la fonction phi, car la lettre φ est communément utilisée pour la désigner.

Elle est nommée en l’honneur du mathématicien suisse Leonhard Euler (1707 – 1783) qui fut le premier à l’étudier.

Sommaire

Définition et calcul explicite

Définition et exemple

L’indicateur d’Euler φ est la fonction de l’ensemble ℕ^* des entiers strictement positifs dans lui-même qui à n associe le nombre d’entiers strictement positifs inférieurs ou égaux à n et premiers avec n.

Plus formellement :

$\begin{array}{ccccl}\varphi&:&\N^*&\longrightarrow&\N^*\\&&n&\longmapsto&\mathrm{card}(\{m\in\N^*~|~m\le n~\text{et}~m\text{ premier avec }n\}).\end{array}$

Par exemple :

φ(8) = 4 car parmi les nombres de 1 à 8, seuls les quatre nombres 1, 3, 5 et 7 sont premiers avec 8,
φ(1) = 1 car 1 est premier avec lui-même (c’est le seul entier naturel qui vérifie cette propriété, si bien que, pour tout entier n > 1, on peut remplacer m ≤ n par m < n dans la définition ci-dessus de φ(n)).
φ(2) = 1.

Premières propriétés

Articles détaillés : Groupe cyclique et Anneau Z/nZ.

Dans ce paragraphe, n désigne un entier strictement positif.

La valeur φ(n) est égale au nombre de générateurs d’un groupe cyclique d’ordre n.

Cette propriété est démontrée dans le paragraphe Structure additive de l’article Anneau Z/nZ.

La valeur φ(n) est égale à l’ordre du groupe des éléments inversibles de l’anneau Z/nZ.

Cette propriété est démontrée dans le paragraphe Groupe des unités de l’article Anneau Z/nZ.

Si u et v sont deux entiers strictement positifs et premiers entre eux, alors φ(u.v)=φ(u).φ(v).

Une telle fonction est dite multiplicative. On peut démontrer cette propriété à partir du théorème des restes chinois pour les groupes, selon lequel le groupe cyclique (Z/(uv)Z,+) est isomorphe au produit (Z/uZ)×(Z/vZ). Un couple (x,y) de ce groupe produit est générateur si et seulement si x est générateur de Z/uZ et y est générateur de Z/vZ. Le nombre d’éléments générateurs du groupe produit est donc égal à φ(u).φ(v). L’isomorphisme montre que cette valeur est égale au nombre d’éléments générateurs du groupe Z/(uv)Z, ce qui démontre la formule recherchée.

Calcul

La valeur de l’indicatrice d’Euler s’obtient par l’expression de n donnée par le théorème fondamental de l’arithmétique :

$\mathrm{Si}\quad n=\prod_{i=1}^q p_i^{k_i}\quad \mathrm{alors} \quad \varphi (n)=\prod_{i=1}^q (p_i-1) p_i^{k_i-1} = n \prod_{i=1}^q {\left( 1- \frac{1}{p_i} \right) }$ Dans la formule, p_i désigne un nombre premier et k_i un entier strictement positif.

En effet, le caractère multiplicatif de l’indicatrice d’Euler et une récurrence montrent que :

$\varphi(n) = \prod_{i=1}^q \varphi(p_i^{k_i})$ Il suffit alors de dénombrer le nombre d’entiers non premiers avec une puissance d’un nombre premier et plus petit que celui-ci pour remarquer que :

$\forall i \in [1, q] \quad \varphi(p_i^{k_i})= p_i^{k_i} - p_i^{k_i - 1}=(p_i-1).p_i^{k_i-1}$ Ce qui permet de conclure la démonstration.

Autres propriétés

Arithmétique modulaire

L’indicatrice d’Euler est une fonction essentielle de l’arithmétique modulaire, elle est à la base de résultats fondamentaux, à la fois en mathématiques pures et appliquées.

Un entier p > 0 est premier si et seulement si φ(p) = p – 1.

Cette propriété est une conséquence directe du calcul explicite de l’indicatrice.

La cryptologie utilise largement cette fonction. Le code RSA se fonde sur le théorème d’Euler, indiquant que si n est un entier strictement positif et a un entier premier avec n, alors a^φ(n) ≡ 1 (mod n).

Une autre branche de la théorie de l’information utilise l’indicatrice : la théorie des codes. C’est les cas des codes correcteurs, et particulièrement des codes cycliques. Ce type de code se construit à l’aide de polynôme cyclotomique et le degré du polynôme cyclotomique Φ_n d’indice n à coefficients dans les entiers est égal à φ(n). Plus précisément, on dispose des égalités suivantes :

$X^n-1 \ = \ \prod_{d\mid n} \Phi_d (X) \quad \mathrm{et} \ \mathrm{donc} \quad \sum_{d\mid n}\varphi(d)=n$ La somme et le produit sont étendus à tous les diviseurs positifs d de n.

La formule d’inversion de Möbius permet d’inverser cette somme :

$\varphi(n)=\sum_{d\mid n} d \mu(n/d)$ Ici, μ désigne la fonction de Möbius usuelle définie sur l’ensemble des entiers strictement positifs, la démonstration est proposée dans l’article associé.

Théorie analytique des nombres

Les deux fonctions génératices présentées ici sont des conséquences directes du fait que :

$\sum_{d|n} \varphi(d) = n.$

Une série de Dirichlet utilisant $\varphi(n)$ est

$\sum_{n=1}^{\infty} \frac{\varphi(n)}{n^s}=\frac{\zeta(s-1)}{\zeta(s)}.$

qui est dérivé depuis :

$\zeta(s) \sum_{n=1}^\infty \frac{\varphi(n)}{n^s} = \sum_{n=1}^\infty \left(\sum_{d|n} \varphi(d)\right) \frac{1}{n^s} = \sum_{n=1}^\infty \frac{n}{n^s} = \zeta(s-1),$

ou $\zeta(s)$ est la fonction zêta de Riemann.

Une série de Lambert utilisant $\varphi(n)$ est

$\sum_{n=1}^{\infty} \frac{\varphi(n) q^n}{1-q^n}= \frac{q}{(1-q)^2}$

qui converge pour |q|<1.

dérivé de :

$\sum_{n=1}^{\infty} \frac{\varphi(n) q^n}{1-q^n} = \sum_{n=1}^{\infty} \varphi(n) \sum_{r\ge 1} q^{rn}$

avec

$\sum_{k\ge 1} q^k \sum_{n|k} \varphi(n) = \sum_{k\ge 1} k q^k = \frac{q}{(1-q)^2}.$

Croissance de la fonction

La croissance de $\varphi(n)$ comme une fonction de n est une question intéressante. La première impression que l’on a pour les petits n est que $\varphi(n)$ doit être notablement plus petit que n, ce qui est quelque peu erroné. Asymptotiquement, nous avons

$n^{1 - \epsilon} < \varphi(n) < n\,$

pour n’importe quel $\epsilon > 0\,$ et $n > N(\epsilon)\,$ . En fait, si nous considérons

$\frac {\varphi(n)}{n}\,$

nous pouvons écrire, à partir de la formule précédente, sous forme de produit de facteurs

$1 - p^{-1}\,$

où les p sont des nombres premiers divisant n. Par conséquent les valeurs de n correspondantes aux valeurs particulièrement petites du rapport sont les n qui sont le produit d’un segment initial de la suite de tous les nombres premiers. À partir du théorème des nombres premiers il peut être montré qu’une constante ε dans la formule précédente peut par conséquent être remplacée par

$C \frac{\log\log {n}}{{\log n}}\,$ .

Les 99 premières valeurs de la fonction φ

Les 100 premières valeurs de la fonction φ

$\varphi(n)$	+0	+1	+2	+3	+4	+5	+6	+7	+8	+9
0+		1	1	2	2	4	2	6	4	6
10+	4	10	4	12	6	8	8	16	6	18
20+	8	12	10	22	8	20	12	18	12	28
30+	8	30	16	20	16	24	12	36	18	24
40+	16	40	12	42	20	24	22	46	16	42
50+	20	32	24	52	18	40	24	36	28	58
60+	16	60	30	36	32	48	20	66	32	44
70+	24	70	24	72	36	40	36	60	24	78
80+	32	54	40	82	24	64	42	56	40	88
90+	24	72	44	60	46	72	32	96	42	60

On observe que, excepté pour n = 1 ou 2, $\varphi(n)$ est pair, propriété qui est générale. En effet, en notant $n=2^k \prod_{i=1}^q p_i^{k_i}$ avec les $p_i$ impairs et q éventuellement nul (produit vide), on a :

$\varphi (n)=2^{k - 1} \prod_{i=1}^q (p_i-1) p_i^{k_i-1}$ Or si n > 2, alors k > 1 ou q > 0. Dans un cas comme dans l’autre, on obtient bien que $\varphi(n)$ est pair.

Autres formules impliquant la fonction φ d’Euler

$\;\varphi(n^m) = n^{m-1}\varphi(n)$ pour $m\ge 1$

$\sum_{d \mid n} \frac{\mu^2(d)}{\varphi(d)} = \frac{n}{\varphi(n)}$

$\sum_{1\le k\le n \atop (k,n)=1}\!\!k = \frac{1}{2}n\varphi(n)$ pour $\;n>1$

$\sum_{k=1}^n\varphi(k) = \frac{1}{2}\left(1+ \sum_{k=1}^n \mu(k)\left\lfloor\frac{n}{k}\right\rfloor^2\right)$

$\sum_{k=1}^n\frac{\varphi(k)}{k} = \sum_{k=1}^n\frac{\mu(k)}{k}\left\lfloor\frac{n}{k}\right\rfloor$

$\sum_{k=1}^n\frac{k}{\varphi(k)} = \mathcal{O}(n)$

$\sum_{k=1}^n\frac{1}{\varphi(k)} = \mathcal{O}(\log(n))$

Inégalités

Certaines inégalités impliquant la fonction $\varphi(n)$ sont :

$\varphi(n) > \frac {n} {e^\gamma\; \log \log n + \frac {3} {\log \log n}}$ pour n > 2, où $\gamma\,$ est la constante d’Euler,

$\varphi(n) \ge \sqrt{\frac {n} {2} }$ pour n > 0,

$\varphi(n) \ge \sqrt{n}$ pour n > 6.

Pour un nombre premier n, clairement $\varphi(n) = n-1\,$ . Pour un nombre composé n, nous avons

$\varphi(n) \le n-\sqrt{n}$

Pour tous les $n>1$ :

$0<\frac{\varphi(n)}{n}<1$

Pour un grand n aléatoire, ces bornes ne peuvent pas être encore améliorées, en effet :

$\liminf \frac{\varphi(n)}{n}=0 \mbox{ et } \limsup \frac{\varphi(n)}{n}=1.$

Une paire d’inégalités combinant la fonction $\varphi$ et la fonction diviseur $\sigma$ sont :

$\frac {6 n^2}{\pi^2} < \varphi(n) \sigma(n) < n^2 \mbox{ pour } n>1.$

Conjectures

$n$ est premier si et seulement si $n \equiv 1 \mod \varphi(n)$ (énoncée par Derrick Henry Lehmer)
$\forall{n > 0}, \exists{m \neq n}, \varphi(n)=\varphi(m)$ (c’est la « conjecture de Carmichael (en) » que Robert Daniel Carmichael, en 1907, a énoncée et cru démontrer, mais qui reste toujours un problème ouvert).

Voir aussi

(en) Cet article est partiellement ou en totalité issu de l’article de Wikipédia en anglais intitulé « Euler’s totient function » (voir la liste des auteurs)

Catégories :

This entry is from Wikipedia, the leading user-contributed encyclopedia. It may not have been reviewed by professional editors (see full disclaimer)

Donate to Wikimedia

Posted in Crypto0 commentaire

Mais pourquoi ma clé commence toujours par MIGf… ?

Posted on 06 avril 2020.

Read that f… RFC 1421 : Privacy Enhancement for Internet Electronic Mail

and follow those precious links :

https://lapo.it/asn1js
https://docs.microsoft.com/en-us/windows/win32/seccertenroll/about-encoded-length-and-value-bytes
http://javadoc.iaik.tugraz.at/iaik_jce/current/iaik/x509/PublicKeyInfo.html
https://medium.com/@bn121rajesh/understanding-rsa-public-key-70d900b1033c

# Generate 1024 bit Private key
$ openssl genrsa -out myprivate.pem 1024
# Separate the public part from the Private key file.
$ openssl rsa -in myprivate.pem -pubout > mypublic.pem
# Display the contents of private key
$ cat myprivate.pem

-----BEGIN RSA PRIVATE KEY-----
MIICXQIBAAKBgQDRFNU++93aEvz3cV8LSUP9ib3iUxT7SufdVXcgVFK9M3BYzvro
A1uO/parFOJABTkNhTPPP/6mjrU2CPEZJ1zIkpaSNJrrhpp/rNMO9nyLYPGs9Mfd
BiWUPmHW5mY1oD0ye4my0tEsHOlgHC8AhA8OtiHr6IY0agXmH/y5YmSWbwIDAQAB
AoGAAj/IH3pUI6FqqTrF+/gYzCRsL4AXTLC8l8vwkR93GGPyRHJNjqtik8I3WrXJ
zUiBGZ0iNouIsL/+QQuNlGiw/c5i2X3nTntREDS9xs2M0x+MWD/5qI1sn0Qk0HNP
BbDczlvO8wXNFGIHiTiPVEawoeNwhMqJDyGcbsEOZp2pLokCQQDvlMBU6dOeOP9a
jnENFSlrvzNR0nugFeoGmfq6s4Czz2QtUd9baKqBfEBSdJskwFVHgxbFA1Dc7iFu
rJkoQEeFAkEA32j9ibSVryxLvWUZngKNwo2xE+wcYDAYVBMsYC3OBU3FXhVkFD06
ZVnJsY/4bd2VdQI+bI2KV99aHutMJG2WYwJABMn2ZjweTMVa5VZ/kAFiSJMT1Yjd
i7+kY+lkB6Na6T02BWnjixI2hkwThRJrn3pwufM2201Lqn7gEDRHA3T1eQJBAKZG
1RUNo6558HEo8vUIf4vCu33RaJkqkqDYmFmJHeISrQfGMfNiUrkmJ5iRR9w1ZExu
/Bj9C281XDTQ+Z3PNnMCQQCan+pvj0OZH6o0PAMJGBBwRECPpfZ6mUjwA2YD3g61
MHjtIYmKKGmn64Qs8zQ4mNEDboQqyaov3Ij/I6c0ZQlc
-----END RSA PRIVATE KEY-----

Privacy Enhanced Mail (PEM)

Privacy Enhanced Mail (PEM) is a Base64 encoded Distinguished Encoding Rules(DER)
PEM file is human readable as it uses 64 printable characters for encoding.
It is easy to share PEM file.

Display the contents of public key PEM file

# Display the contents of public key PEM file
$ cat mypublic.pem

-----BEGIN PUBLIC KEY-----
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDRFNU++93aEvz3cV8LSUP9ib3i
UxT7SufdVXcgVFK9M3BYzvroA1uO/parFOJABTkNhTPPP/6mjrU2CPEZJ1zIkpaS
NJrrhpp/rNMO9nyLYPGs9MfdBiWUPmHW5mY1oD0ye4my0tEsHOlgHC8AhA8OtiHr
6IY0agXmH/y5YmSWbwIDAQAB
-----END PUBLIC KEY-----

Distinguished Encoding Rules (DER) format of public key

DER is encoded in Type-Length-Value (TLV) format.
DER is in binary format for PEM file and follows certain structure for public key.

# Convert PEM file to DER format using openssl rsa
$ openssl rsa -pubin -inform PEM -in mypublic.pem -outform DER -out mypublic.der
# Dump the DER file in hex format.
$ xxd -g 1 -u mypublic.der | cut -c -57
00000000: 30 81 9F 30 0D 06 09 2A 86 48 86 F7 0D 01 01 01
00000010: 05 00 03 81 8D 00 30 81 89 02 81 81 00 D1 14 D5
00000020: 3E FB DD DA 12 FC F7 71 5F 0B 49 43 FD 89 BD E2
00000030: 53 14 FB 4A E7 DD 55 77 20 54 52 BD 33 70 58 CE
00000040: FA E8 03 5B 8E FE 96 AB 14 E2 40 05 39 0D 85 33
00000050: CF 3F FE A6 8E B5 36 08 F1 19 27 5C C8 92 96 92
00000060: 34 9A EB 86 9A 7F AC D3 0E F6 7C 8B 60 F1 AC F4
00000070: C7 DD 06 25 94 3E 61 D6 E6 66 35 A0 3D 32 7B 89
00000080: B2 D2 D1 2C 1C E9 60 1C 2F 00 84 0F 0E B6 21 EB
00000090: E8 86 34 6A 05 E6 1F FC B9 62 64 96 6F 02 03 01
000000a0: 00 01

Structured DER file content

1:30 81 9F // Type: 30 (SEQUENCE) Length: 0x9F
2:| 30 0D // Type: 30 (SEQUENCE) Length: 0x0D
3:| | 06 09 // Type: 06 (OBJECT_IDENTIFIER) Length: 0x09
4:| | - 2A 86 48 // 9 bytes OID value. HEX encoding of
5:| | - 86 F7 0D // 1.2.840.113549.1.1.1
6:| | - 01 01 01
7:| | 05 00 // Type: 05 (NULL) Length: 0x00
8:| 03 81 8D // Type: 03 (BIT STRING) Length: 0x8D
9:| | - 00 // Number of unused bits in last content byte
10:| | 30 81 89 // Type: 30 (SEQUENCE) Length: 0x89
11:| | | 02 81 81 // Type: 02 (INTEGER) Length: 0x81
12:| | | - 00 // Leading ZERO of integer
13:| | | - D1 14 D5 3E FB DD DA 12 FC F7 71 5F 0B 49 43 FD
14:| | | - 89 BD E2 53 14 FB 4A E7 DD 55 77 20 54 52 BD 33
15:| | | - 70 58 CE FA E8 03 5B 8E FE 96 AB 14 E2 40 05 39
16:| | | - 0D 85 33 CF 3F FE A6 8E B5 36 08 F1 19 27 5C C8
17:| | | - 92 96 92 34 9A EB 86 9A 7F AC D3 0E F6 7C 8B 60
18:| | | - F1 AC F4 C7 DD 06 25 94 3E 61 D6 E6 66 35 A0 3D
19:| | | - 32 7B 89 B2 D2 D1 2C 1C E9 60 1C 2F 00 84 0F 0E
20:| | | - B6 21 EB E8 86 34 6A 05 E6 1F FC B9 62 64 96 6F
21:| | | 02 03 // Type: 02 (INTEGER) Length: 0x3
22:| | | - 01 00 01 // Public Exponent. Hex for 65537

DER file contains Object Identifier, Modulus and Public exponent in HEX format.

Lines 4, 5, 6 is the HEX encoding of OID.
Lines 13 to 20 is the modulus (n).
Line 22 is the public exponent.

You can also have a look at Lapo ASN.1 javascript decoder :

Javascript ASN.1 decoder

Modulus and Public exponent from public key using openssl

# Get Modulus and Public exponent from public PEM file
$ openssl rsa -pubin -inform PEM -text -noout < mypublic.pem

Public-Key: (1024 bit)
Modulus:
00:d1:14:d5:3e:fb:dd:da:12:fc:f7:71:5f:0b:49:
43:fd:89:bd:e2:53:14:fb:4a:e7:dd:55:77:20:54:
52:bd:33:70:58:ce:fa:e8:03:5b:8e:fe:96:ab:14:
e2:40:05:39:0d:85:33:cf:3f:fe:a6:8e:b5:36:08:
f1:19:27:5c:c8:92:96:92:34:9a:eb:86:9a:7f:ac:
d3:0e:f6:7c:8b:60:f1:ac:f4:c7:dd:06:25:94:3e:
61:d6:e6:66:35:a0:3d:32:7b:89:b2:d2:d1:2c:1c:
e9:60:1c:2f:00:84:0f:0e:b6:21:eb:e8:86:34:6a:
05:e6:1f:fc:b9:62:64:96:6f
Exponent: 65537 (0x10001)

Exponent and modulus printed by openssl rsa matches with the Public exponent and modulus from DER file content.

More information on recommended syntax for interchanging RSA public keys between implementations is given in Appendix A.1.1 of rfc3447 ( PKCS#1);

RSA key representation

Object Identifier

OID describes the object. It is a series of nodes separated by period.

OID Value: 1.2.840.113549.1.1.1

OID description: Identifier for RSA encryption for use with Public Key Cryptosystem One defined by RSA Inc.

OID Encoding rules:

1 – The first two nodes of the OID are encoded onto a single byte. The first node is multiplied by the decimal 40 and the result is added to the value of the second node.
2 – Node values less than or equal to 127 are encoded on one byte.
3 – Node values greater than or equal to 128 are encoded on multiple bytes. Bit 7 of all bytes except the rightmost byte is set to one. Bits 0 through 6 of each byte contains the encoded value.

OID Encoding Example © Rajesh Bondugula

Representing length in ASN.1 encoding

If number of value bytes is < 128 (0x80) then length is represented in 1 byte. In this case most significant bit is 0. (Ex: Line 2: 0x81=10000001 => 1 octet, Line 3 in structured DER content above)

If number of value bytes is >= 128 (0x80) then length is represented in multiple bytes. Most significant bit (bit 7) of first byte is 1 indicating multiple byte length. Bits 0–6 represent number of subsequent bytes for length. (Ex: Line 1: 0x82=10000010 => 2 octets, Line 4 in structured DER content above)

References

DER encoding of ASN.1 types (MSDN)
Public Key Info structure (Java doc)

[ajout de août 2021 suite plaintes]

– Mais du coup … tu n’as pas répondu la question ?
[lm] C’est pas faux, mais si tu révises le fonctionnement de l’encodage base 64, à partir d’un contenu DER qui commence toujours par la même syntaxe:

xxd -r -p <<<30819F | base64
MIGf

Posted in Crypto, PKI, ICP, IGC1 Commentaire

Débug ton HTTPS avec Wireshark

Posted on 02 février 2016.

Vous aussi vous avez eu besoin d’aller déchiffrer un flux HTTPs pour un coup de débug ?
Ca n’a jamais été aussi facile.
Même plus besoin d’aller « emprunter » une clef privée sur un serveur ou de se mettre dans la peau de « l’homme du milieu » (souvenirs de galères avec sslstrip or mitmproxy).

1 – Tu définis ta variable d’environnement SSLKEYLOGFILE pointant sur un fichier local que Firefox/Chrome détectera au redémarrage et qui va servir à stocker les pre-master keys

2 – Tu renseignes le chemin vers ce fichier de stockage des pre-master keys dans les préférences SSL de Wireshark

3 – Tu ajoutes ton filtre Wireshark de capture entre ton poste et le serveur cible

ip host 87.98.170.232 and ip host 192.168.1.102

4 – Feu patate !

Toi aussi rigole avec Wireshark

Merci qui ? Merci Jim !

Ah oui, il faudra quand même que je regarde les cas où cela ne fonctionne pas … et que je détaille dans ce cas les vieilles alternatives.

Posted in Boulot, Clic, Crypto, Hack0 commentaire

En mode hacker…

Posted on 20 juin 2015.

Carburer au Club-Mate à Numa

Fin de semaine et WE très chargés entre Hack In Paris, Pas Sage En Seine et Nuit du Hack …

De bien belles rencontres et quelques moment de répit à Numa.

Je vous raconte sous peu !

Le badge #NDH2k15

Posted in Crypto, CyberDefense, Fête0 commentaire

Ton coeur saigne en 2014 !

Posted on 23 avril 2014.

Ce billet m’est largement inspiré par l’article Wikipedia version anglaise ainsi que par ma traversée attentive de l’évènement qui m’aura permis de revisiter TLS, les sockets Python et TCPDump.

Je sais, comme dirait ma mère à @turblog : « pffff, c’est compliqué !« . Mais, je peux vous éclairer.

J’avais par ailleurs publié dès le 11 avril sur le site d’Alliacom mon analyse à chaud de la situation.

Ce post servira de trame à notre Afterwork Alliacom du jeudi 24 avril 2014 à 18h00.

En l’écrivant, je me remémore curieusement / furieusement une vidéo de Julien Codorniou à CONF@42 – Facebook – Why hackers will rule the world et la nécessité d’être un peu DEV pour comprendre le monde d’aujourd’hui. Nécessité de l’être même davantage si on ne veut pas que le gimmick se transforme en Why hackers will ruin the world !

Heartbleed déjà oublié, what else ?

Chronologie :

Janvier 1999 : RFC 2246 on passe de SSLv3.0 à TLS1.0
Février 2012 : RFC 6520. L’extension Heartbeat ! Un des gros soucis de TLS, la phase de négociation aussi appelée handshake est très consommatrice en ressources, on crée donc une extension pour garantir qu’une connexion est toujours vivante (keep-alive). Simple échange de messages entre les 2 pairs détaillé sur son blog par Stéphane Bortzmeyer dès 2012. Il aurait pu nous prévenir de la faille 🙂

« Heartbeat fournit un moyen de tester et de maintenir vivante un lien de connexion sécurisé sans être obligé de renégocier une connexion« .

31 janvier 2011 : Robin Seggelmann réalise le comit fatal, en implémentant Heartbeat au sein d’openSSL. Beaucoup d’annedotes invérifiables pas forcément glorieuses pour l’auteur circulent sur internet sur les conditions de cette réalisation.
14 mars 2012 : openSSL v1.0.1 est publiée. Cette version est la première à intégrer le bug.
3 décembre 2013 : réservation du CVE – 2014 – 0160 sur le site du MITRE, par qui ? pour quoi ?
21 mars 2014 : Bodo Moeller et Adam Langley de Google publient un patch corrigeant le bug découvert auparavant par Neel Mehta membre de l’équipe sécu de Google.
31 mars 2014 ; CloudFlare patche ses serveurs après avoir été mystérieusement averti et avoir signé un accord de non-divulgation.
1er avril 2014 : Google notifie openSSL de la faille.
3 avril 2014 : Codenomicon, une société de cybersécu finlandaise rapporte à son tour le bug qu’elle signale au CERT finlandais.
7 avril 2014 ; la version 1.0.1g d’openSSL intégrant le patch est publiée.
Dans la nuit du 7 au 8 avril, Cloudflare sur son blog et Codenomicon (qui a imaginé le nom de la faille et dans la foulée déposé le nom de domaine heartbleed.com) lancent le buzz volant la vedette à Microsoft qui devait être ce même jour sur le grill du fait de l’arrêt de maintenance pour Windows XP.

Le bug :

Une bonne démonstration technique de la cause sur le blog de Lexsi ou sur le site de The Register. Il s’agit en termes techniques d’un très banal buffer overflow.
Une présentation très pertinente de DenyAll sur le sujet.
Les versions impactées : 1.0.1 à 1.0.1f, la version 1.0.1.g étant la version patchée.
En raccourci : le bug vous permet de voler le contenu de la mémoire du serveur vulnérable auquel vous vous connectez par paquets de 64 Ko.
Une explication simplifiée en images:

Heartbleed simplifié en images humoristiques

Ne pas oublier que le bug est une faille d’implémentation et ne remet absolument pas en cause TLS.
Cette faille apparaît très tôt après le gotoFail d’Apple et les déboires de GnuTLS.
Microsoft et Oracle (Java) traditionnels gros pourvoyeurs de failles en tout genre rigolent doucement de la situation car non touchés par leur implémentation.
Vous voulez la liste des produits impactés ?
Conduite à tenir pour les utilisateurs des systèmes vulnérables : changement de mot de passe après patch du site impacté, révocation des certificat après regénération de clefs.

Les risques :

Vol de mots de passe, clefs privée, numéro de CB, …
Ecoute d’échanges numériques.

Démonstration :

Sur des sandboxes internes à Alliacom
~~Sur des sites non patchés~~ ahhh non ça c’est interdit 🙂
En utilisant les démonstrateurs plus ou moins faibles/fiables en ligne.
Cloudflare challenge : 4 personnes ont réussi à récupérer une clef privée sur un serveur de tests. Cela leur a demandé de générer entre 200 000 et 2 500 000 requêtes.
Limites : exploits basiques largement diffusés mais outils d’attaque pertinents rares et complexes. Il est amusant de constater que dans un tweet du 7 avaril, Adam Langley pensait qu’il n’était pas possible de voler une clef privée.

doztlsbleed

Conséquences :

Depuis mars 2012, vos mots de passe de 47 caractères dont 13 caractères spéciaux ne vous protègent pas de grand chose.
NSA au courant (~~on me dit dans l’oreillette que Vupen revend l’exploit depuis 18 mois~~ Bad joke !) ? Théorie du complot ?
Sale temps pour les bibliothèques SSL (Apple et GnuTLS).
Coup de mou et stress test pour les autorités de certification et les CRL qui explosent.
Tests non fiables et sécurité en carton (attention, rien ne remplace un audit de vos équipements et recherche d’utilisation d’openSSL par des professionnels)
500 000 serveurs webs touchés (plus autant d’équipements réseau ?)
Je veux un IDS/IPS. Tu l’as vu passer mon \x16\x03\x02\x00 ?
openSSL => fork LibreSSL lancé par quelques membre de la communauté openBSD. La concurrence, ça dope la qualité ? En tout cas, ça fait maigrir : on parle de 90 000 lignes de code C supprimées.
Communauté opensource : des voix s’élèvent déjà pour critiquer la faible qualité d’openSSL qui a bénéficié de 800 $ de dons la semaine de la divulgation de la faille. Que se passerait-il avec du code propriétaire ? Personne ne serait au courant sauf ceux ayant découvert la faille après reverse engineering (ah non c’est vrai, c’est interdit …)
Autres victimes collatérales : découverte dans les produits de notre ami éditeur xxxxx de bibliothèques openSSL 0 .9.8a (antédiluviennes ? = avant le bug de l’an 2000 ) datant de 2000 et farcies de failles … mais non vulnérables à Heartbleed !
Non, SSH n’est pas concerné !
Nous, Alliacom ? Par exemple, comment utiliser SPLUNK pour détecter ce genre d’activité suspecte.

Questions en suspens :

Pourquoi cette date de création de l’entrée CVE – 2014 – 0160 sur le site du MITRE (2013-12-03) ?
Je fais comment pour lire précisément telle ou telle zone mémoire ?
A qui le tour ?
Rappel d’une question du FIC 2014 : La cybersécurité est-elle un échec ?
CVE MITRE 2014-0160

Vous reprendrez bien un peu de Python ?

TLS Handshake

Posted in Boulot, Crypto0 commentaire

PGP et moi (au cas où …)

Posted on 30 janvier 2014.

empreinte : B9F96D84B8B5F579113FA2A553F29E523398629C

keyID : 3398629C

clé publique :

—–BEGIN PGP PUBLIC KEY BLOCK—–
Version: GnuPG v2.0.21 (MingW32)
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=iVje
—–END PGP PUBLIC KEY BLOCK—–

Télécharger B9F96D84B8B5F579113FA2A553F29E523398629C ou bien là

Posted in Crypto0 commentaire

Comment peut-on débiter autant d’approximations sur certificats et PKI ?

Posted on 16 décembre 2013.

Le visionnage de la vidéo suivante m’a fait hérisser le poil. Outre le titre pompeux, on y retrouve un joli florilège d’assertions incorrectes.

Heureusement, les détails donnés sur les possibilités de sauvegarder de manière sécurisée une clef privée sous Android sont très pertinents.

conf Pki sous Android

http://www.infoq.com/fr/presentations/pki-android#

Décryptage (si je peux dire) à venir …

1 – NON, un certificat ne contient pas deux parties et surtout pas de clef privée : un certificat numérique (que l’on devrait plutôt appeler certificat de clef publique ou certificat X509) est PUBLIC et ne contient que la partie publique du bi-clef plus les informations relatives à l’entité qu’il représente [3’02]

2 – NON, il n’y a pas que RSA pour la crypto à clefs publiques (ECC, vous connaissez ?) [2’50]

3 – NON, une PKI ce n’est pas juste une histoire de clefs et de certificats [2’32]

Avec autant de raccourcis et d’approximations on maintient le non-technicien dans un état d’incompréhensions parfois bien utile …

Posted in Crypto0 commentaire

My very first LOLCAT

Posted on 12 décembre 2013.

merci à Louloute, au Chevalier Paul et à Alliacom de m’offrir cette opportunité 🙂

Louloute, Chevalier Paul et alliacom.com

Flyer réalisé à l’occasion de ma présentation sur les certificats numériques le 12 décembre 2013 chez Alliacom.

Assez drôle, la perception de cette image par mon entourage personnel (cobayes) et professionnel.

LOLCAT n’évoque absolument rien pour personne… je ne vais pas fanfaronner car Wikipedia me sauva quelque mois plus tôt de pareille ignorance. Et l’on mesure alors l’espace sidéral (sidérant ?) séparant le commun des mortels (y compris génération Y ou autres pseudo digital natives) des purs et durs de l’Internet.

Posted in Crypto, Trop sérieux0 commentaire

Lectures du jour : Diffie devant la Cour et Cicada 3301

Posted on 26 novembre 2013.

La crypto est partout… Je ne vais pas vour parler de Pergame ou de l’influence de la LPM sur la vie privée mais j’ai adoré ces deux articles sur le procès Newegg vs TQP auquel témoignait Whit Diffie (le D de ECDHE cher à Twitter et sa formward secrecy de ces derniers jours)

http://arstechnica.com/tech-policy/2013/11/newegg-trial-crypto-legend-diffie-takes-the-stand-to-knock-out-patent/

Malgré le concours de Diffie, Newegg rique fort de passer à la caisse …

La perle du procés : la déposition de Diffie :

« We’ve heard a good bit in this courtroom about public key encryption, » said Albright. « Are you familiar with that? »

« Yes, I am, » said Diffie, in what surely qualified as the biggest understatement of the trial.

« And how is it that you’re familiar with public key encryption? »

« I invented it. »

http://arstechnica.com/tech-policy/2013/11/jury-newegg-infringes-spangenberg-patent-must-pay-2-3-million/

http://www.telegraph.co.uk/technology/internet/10468112/The-internet-mystery-that-has-the-world-baffled.html?utm_content=bufferbb5ee&utm_source=buffer&utm_medium=twitter&utm_campaign=Buffer

Posted in Crypto0 commentaire

Articles plus anciens »

Populaire
Derniers
Commentaires
Tags
S'abonner

Archive | Crypto

Protégé : RSA public key : Behind the scene

L’arme est d’Euler

Sommaire

Définition et calcul explicite

Définition et exemple

Premières propriétés

Calcul

Autres propriétés

Arithmétique modulaire

Théorie analytique des nombres

Croissance de la fonction

Les 99 premières valeurs de la fonction φ

Autres formules impliquant la fonction φ d’Euler

Inégalités

Conjectures

Voir aussi

Mais pourquoi ma clé commence toujours par MIGf… ?

Débug ton HTTPS avec Wireshark

En mode hacker…

Ton coeur saigne en 2014 !

PGP et moi (au cas où …)

Comment peut-on débiter autant d’approximations sur certificats et PKI ?

My very first LOLCAT

Lectures du jour : Diffie devant la Cour et Cicada 3301

Stay up to date

Agenda

Pages

$\varphi(n)$	+0	+1	+2	+3	+4	+5	+6	+7	+8	+9
0+		1	1	2	2	4	2	6	4	6
10+	4	10	4	12	6	8	8	16	6	18
20+	8	12	10	22	8	20	12	18	12	28
30+	8	30	16	20	16	24	12	36	18	24
40+	16	40	12	42	20	24	22	46	16	42
50+	20	32	24	52	18	40	24	36	28	58
60+	16	60	30	36	32	48	20	66	32	44
70+	24	70	24	72	36	40	36	60	24	78
80+	32	54	40	82	24	64	42	56	40	88
90+	24	72	44	60	46	72	32	96	42	60

$\varphi(n)$	+0	+1	+2	+3	+4	+5	+6	+7	+8	+9
0+		1	1	2	2	4	2	6	4	6
10+	4	10	4	12	6	8	8	16	6	18
20+	8	12	10	22	8	20	12	18	12	28
30+	8	30	16	20	16	24	12	36	18	24
40+	16	40	12	42	20	24	22	46	16	42
50+	20	32	24	52	18	40	24	36	28	58
60+	16	60	30	36	32	48	20	66	32	44
70+	24	70	24	72	36	40	36	60	24	78
80+	32	54	40	82	24	64	42	56	40	88
90+	24	72	44	60	46	72	32	96	42	60

$\varphi(n)$	+0	+1	+2	+3	+4	+5	+6	+7	+8	+9
0+		1	1	2	2	4	2	6	4	6
10+	4	10	4	12	6	8	8	16	6	18
20+	8	12	10	22	8	20	12	18	12	28
30+	8	30	16	20	16	24	12	36	18	24
40+	16	40	12	42	20	24	22	46	16	42
50+	20	32	24	52	18	40	24	36	28	58
60+	16	60	30	36	32	48	20	66	32	44
70+	24	70	24	72	36	40	36	60	24	78
80+	32	54	40	82	24	64	42	56	40	88
90+	24	72	44	60	46	72	32	96	42	60