Contexte : protéger les données transitant sur le réseau

Quand un client mobile ou un service tiers dialogue avec un backend via HTTP non sécurisé, les paquets circulent en clair. Un outil d'inspection réseau tel que Wireshark, Fiddler ou Charles Proxy peut alors capturer ces flux et extraire tokens, identifiants ou informations sensibles. Le chiffrement des interfaces applicatives est la contre-mesure fondamentale pour garantir la confidentialité, l'intégrité et l'authenticité des échanges.

Familles d'algorithmes utilisées

Fonctions de hachage

Une fonctoin de hachage cryptographique condense une entrée de taille quelconque en une empreinte de longueur fixe. Ce mécanisme est unidirectionnel : il est calculatoirement impossible de reconstruire le message d'origine à partir de son condensat.

• La taille du résultat est constante, indépendamment de celle de la donnée en entrée.
• Une modification infime du message génère un hachage complètement différent.
• Deux messages distincts ne doivent théoriquement pas produire le même condensat (résistance aux colliisons).
• Aucune clé n'est requise, ce qui simplifie leur déploiement sur des architectures distribuées.

Représentants courants : MD5, SHA-1, SHA-256, SHA-3.

Chiffrement symétrique

Ce modèle utilise une clé unique, partagée entre les deux parties, pour chiffrer et déchiffrer. Il privilégie la rapidité et convient aux traitements de gros volumes.

• Performances élevées grâce à des opérations relativement simples.
• La robustesse repose entièrement sur la confidentialité de la clé commune.
• Le principal défi réside dans la distribution sécurisée de cette clé.

Algorithmes répandus : AES, 3DES, ChaCha20, Blowfish, IDEA.

Applications typiques : chiffrement de fichiers au repos, protection de payloads volumineuses après négociation d'une clé de session.

Chiffrement asymétrique

Cette approche repose sur une paire de clés mathématiquement liées : une clé publique, diffusée librement, et une clé privée, conservée secrète. Toute donnée chiffrée avec la clé publique ne peut être déchiffrée que par la clé privée correspondante ; selon le protocole, l'inverse est également exploité.

• Plus coûteux en ressources que le chiffrement symétrique.
• Supprime le besoin d'un canal préalable sûr pour partager une clé secrète.

Algorithmes usuels : RSA, ECC (courbes elliptiques), ElGamal, Diffie-Hellman.

Cas d'usage caractéristiques : établissement de clés, authentification mutuelle, signature électronique.

Signature numérique

La signature électronique combine une fonction de hachage et le chiffrement asymétrique pour prouver l'origine d'un message et détecter toute altération.

1. L'émetteur calcule l'empreinte du message avec une fonction de hachage, par exemple SHA-256.
2. Il chiffre cette empreinte à l'aide de sa clé privée : cela constitue la signature.
3. Le destinataire recalcule l'empreinte du message reçu.
4. Il déchiffre la signature avec la clé publique de l'émetteur.
5. Si les deux empreintes coïncident, le message est bien authentique et n'a pas été modifié.

Ce mécanisme fournit deux garanties : l'identification de l'expéditeur et l'intégrité du contenu.

Génération d'une paire de clés RSA avec OpenSSL

Formats de stockage

Une clé RSA peut être enregistrée au format PEM (texte encodé Base64) ou DER (binaire). Sous Java, la clé publique est généralement codée au format X.509 et la clé privée au format PKCS#8. La longueur d'une clé RSA doit être un multiple de 64 bits, comprise entre 512 et 65 536 bits ; 2048 bits représente le minimum recommandé aujourd'hui.

Commandes

Créer une clé privée RSA de 2048 bits

openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out ./certs/rsa_private.pem

Extraire la clé publique correspondante

openssl rsa -in ./certs/rsa_private.pem -pubout -out ./certs/rsa_public.pem

Convertir la clé privée au format PKCS#8

openssl pkcs8 -topk8 -inform PEM -in ./certs/rsa_private.pem -outform PEM -nocrypt -out ./certs/rsa_private_pkcs8.pem