MÉCANISMES CRYPTOGRAPHIQUES

La sécurité des systèmes d'information repose pour partie sur l'emploi de mécanismes cryptographiques permettant de remplir des objectifs de sécurité tels que la confidentialité, l’intégrité et l’authentification. Une question qui se pose aux développeurs qui intègrent des mécanismes cryptographiques à leurs produits et aux administrateurs qui configurent les mécanismes cryptographiques des produits qu’ils mettent en œuvre est la sélection de mécanismes cryptographiques robustes. Ces deux documents fournissent des moyens de choisir de tels mécanismes.

• Le premier document, intitulé « Guide de sélection d’algorithmes cryptographiques », propose une liste de mécanismes standardisés à l’état de l’art. Ce document formule également des notes d’implémentation à destination des développeurs qui implémentent des mécanismes cryptographiques et des évaluateurs qui analysent la robustesse de ces implémentations. En particulier, ce document émet des mises en garde contre des erreurs d’implémentation relevées dans des produits et dans la littérature qui dégradent fortement la sécurité des mécanismes cryptographiques.

La conception et l’implémentation de mécanismes cryptographiques sont des processus exigeant un niveau d’expertise technique élevé. Par conséquent, ce document prend le parti de recommander des mécanismes standards, dans le respect scrupuleux de leurs spécifications.

Par ailleurs, les notes d’implémentation que ce document contient ne sauraient se substituer au suivi de l’état de l’art. Un développeur non spécialisé est encouragé à se tourner vers des bibliothèques cryptographiques éprouvées, en s’assurant de bien suivre leur guide d’usage.

Public ciblé : développeur, administrateur

• Le second document, intitulé « Règles et recommandations concernant le choix et le dimensionnement des mécanismes cryptographiques », est une évolution des règles et recommandations issues du Référentiel Général de Sécurité, prenant en compte les évolutions récentes de l’état de l’art en cryptographie. Il énonce des règles générales, valables en principe pour tout mécanisme cryptographique, et dont le respect est nécessaire à la sécurité du mécanisme, ainsi que des recommandations correspondant à l’état de l’art d’un point de vue technique.

Les règles et recommandations contenues dans ce document sont généralement accompagnées de justifications techniques garantissant la correspondance la plus précise possible avec l’état de l’art actuel en cryptographie ainsi que les contraintes pratiques liées à sa mise en œuvre.

Ce document est utilisable comme référentiel dans le cadre de l’évaluation des produits de sécurité.Public ciblé : RSSI, évaluateur