Caveat lector

Sécurité des données : de la parano vers l'action.

En fouillant mes mails en souffrance, je suis tombé sur le site d'auto-défense contre la surveillance (essentiellement gouvernementale mais pas que) de l'EFF. Si le contenu est à la mesure du plan affiché, ça promet d'être un site de qualité allant de la mesure des risques au déploiement des solutions techniques de défense passive. Je risque même d'y apprendre des trucs, malgré ma parano déjà bien avancée !

Viendez à Grenoble !

Vous aimez la cryptographie ? Travailler pendant un an à 30mn en voiture des pistes de ski vous intéresse ? Alors candidatez à notre offre de postdoc dans le groupe Palo-Alto avant le 13 juillet 2008.

Où sont mes données ?

Sur le disque dur de mon ordinateur portable, j'ai une partition chiffrée de 20Go environ contenant mes données. En cas de vol de portable, et si l'algo de chiffrement utilisé tient ses promesses, mes données sont inaccessibles.

Dans sa configuration actuelle, le système me demande le mot de passe au démarrage, et sans cela je n'aurai pas accès à mes données. J'aurais pu mettre en place un répertoire /home bidon pour donner le change dans le cas où des personnes trop curieuses se douteraient de la présence de données chiffrées à cause de la demande de ce mot de passe.

Oui mais, est-ce que c'est crédible de jouer l'idiot sur la présence de 20Go de données chiffrées sur le disque ? Pour le savoir j'ai écrit un programme de statistique simplissime qui compte la fréquence d'apparation de chaque valeur d'octet possible (et idem pour les bi-octets) sur une plage de 1Mo, et ce tous les 10Mo. Puis on calcule la distance des fréquences mesurées à une distribution idéale parfaitement aléatoire.

Voici le graphe que j'obtiens pour les monogrammes:

et de même pour les bigrammes:

Si vous avez du mal à distinguer sur les courbes ce qu'il se passe après 3400 environ (ce qui correspond à sauter les 34 premiers gigaoctets du disque), c'est que bingo, vous avez trouvé mes données chiffrées qui ressemblent vachement à du bruit uniforme.

Conférence cryptographie personnelle à Grenoble

Une conférence sur la cryptographie est organisée par la Guilde mercredi prochain à Grenoble. Je ferai en sorte d'y assister.

Attaque passive contre WEP.

Aujourd'hui chez un copain dont je tairai le nom pour éviter les représailles, j'ai eu de la chance, un de ses voisins utilisait son réseau wifi sur lequel passait donc un peu de traffic. Ça donne ça :

                Aircrack-ng 0.9


[00:00:23] Tested 232 keys (got 1774557 IVs)

   KB    depth   byte(vote)
    0    0/  1   F7( 437) F0(  31) ...
    1    0/  1   37( 251) 7B(  65) ...
    2    0/  1   32( 326) F4( 120) ...
    3    0/  1   FE( 250) 8D(  30) ...
    4    0/  5   8E(  53) 8F(  53) ...
    5    0/  1   D1( 331) 03(  23) ...
    6    0/  1   CA(1825) 22(  41) ...
    7    0/  1   58( 507) 3D(  45) ...
    8    0/  1   B6(3135) 0F( 266) ...
    9    0/  1   30( 286) C9(  61) ...
   10    0/  1   26( 519) 63( 130) ...
   11    0/  2   C1( 208) 57( 106) ...

     KEY FOUND! [ F7:37:32:FE:8E:D1:CA:58:B6:30:26:C1:E6 ] 
Decrypted correctly: 96%

Forteresse digitale de Dan Brown

J'avais commencé à lire Forteresse digitale de Dan Brown mais au bout de quarante pages je préfère en rester là. L'auteur prétend baser l'intrigue sur de la crypto mais le début est déjà si spectaculairement truffé de conneries que c'en est pénible à lire (je voulais déjà arrêter autour de la page 30, et dix pages de sursis n'ont rien amélioré). Via wikipedia j'ai découvert une critique qui liste quelques absurdités. Les prémisses même de l'intrigue ne tiennent pas la route en ce qui me concerne.

C'est rare que je jette l'éponge sur un bouquin, et aussi tôt ça n'était jamais arrivé. Je n'avais pas l'intention de lire The Da Vinci Code, maintenant j'ai fermement l'intention de ne pas le lire.

Heureusement il y a des auteurs qui parlent de crypto dans leurs romans et qui s'informent correctement au lieu de raconter des âneries, c'est le cas de Neal Stephenson.

Cryptonomicon

J'ai (enfin) fini de lire Cryptonomicon de Neal Stephenson. Si les scénaristes de films et séries télé pouvaient avoir la même approche vis-à-vis de la crypto, voire de la sécurité, de l'informatique et des maths en général que dans ce bouquin on ferait un grand pas dans la démystification. On sent l'auteur qui s'est informé au lieu d'écrire des âneries.

L'intrigue est suffisamment captivante pour les 900 pages de l'édition que j'ai lue, avec les histoires d'une petite dizaine de personnes qui s'entre-mêlent entre l'époque contemporaine et la seconde guerre mondiale. Mon personnage préféré est sans doute Lawrence Waterhouse, un cryptanalyste légèrement autiste qui élabore une modélisation mathématique de la frustration sexuelle, entre deux cryptosystèmes à casser (son petit-fils, hacker cypherpunk n'est pas mal non plus).

En bonus dans le bouquin se trouve la description d'un véritable stream-cipher appelé solitaire qui s'utilise sans ordinateur, avec un simple jeu de 54 cartes. Dommage qu'il soit biaisé, le mode opératoire est amusant et on atteint tout de même une taille de clef potentielle de 237 bits.

Du bon choix du mode opératoire d'un chiffrement par blocs.

Une jolie démonstration en images.