Certes, la sécurité de la passphrase reste à peu près inchangée (mais on pourrait imaginer des schémas où le fait d'ajouter une opération de chiffrement par-dessus la précédente fait tomber la sécurité de l'ensemble, ce n'est pas une loi générale).
Le truc c'est plutôt de se dire "Qu'est-ce que 3 (ou x) caractères de modifiés apportent comme sécurité en plus de la phrase de passe ?"
La réponse est "pas grand-chose en fait".
En fait ça multiplie le temps de calcul nécessaire à casser la phrase de passe par le temps passé à tester tous les caractères.
Mais d'une manière générale en crypto, on considèrera que si on peut casser la phrase de passe en un temps raisonnable, alors le fait de modifier n caractères ne va pas augmenter suffisamment le temps nécessaire à casser la combinaison des deux pour pouvoir être considéré comme sûr.
Bon, c'est sûr que s'il faut 2^50 opérations pour casser la passphrase et 2^50 pour trouver les caractères s'il n'y avait pas de passphrase, alors il faudrait 2^100 opérations pour le tout et ce serait acceptable.
Mais s'il faut seulement 2^6 opérations pour trouver les caractères, le temps total par rapport à trouver la passphrase directement est multiplié par 2^6 = 32, et la sécurité apportée n'est pas suffisamment importante pour valoir le coup. En effet, si quelqu'un attache beaucoup d'importance à ta clef secrète parce que tu as tout un tas de documents secrets qui l'intéressent/émet des signatures auxquelles beaucoup de monde attache de l'importance, il se permettra d'attendre le temps qu'il faudra (au lieu d'un jour, un mois, au lieu d'un mois, trois ans) pour trouver ta clef.
[^] # Re: Merci
Posté par khivapia . En réponse au message Un backdoor pour son accès SSH. Évalué à 3.
Le truc c'est plutôt de se dire "Qu'est-ce que 3 (ou x) caractères de modifiés apportent comme sécurité en plus de la phrase de passe ?"
La réponse est "pas grand-chose en fait".
En fait ça multiplie le temps de calcul nécessaire à casser la phrase de passe par le temps passé à tester tous les caractères.
Mais d'une manière générale en crypto, on considèrera que si on peut casser la phrase de passe en un temps raisonnable, alors le fait de modifier n caractères ne va pas augmenter suffisamment le temps nécessaire à casser la combinaison des deux pour pouvoir être considéré comme sûr.
Bon, c'est sûr que s'il faut 2^50 opérations pour casser la passphrase et 2^50 pour trouver les caractères s'il n'y avait pas de passphrase, alors il faudrait 2^100 opérations pour le tout et ce serait acceptable.
Mais s'il faut seulement 2^6 opérations pour trouver les caractères, le temps total par rapport à trouver la passphrase directement est multiplié par 2^6 = 32, et la sécurité apportée n'est pas suffisamment importante pour valoir le coup. En effet, si quelqu'un attache beaucoup d'importance à ta clef secrète parce que tu as tout un tas de documents secrets qui l'intéressent/émet des signatures auxquelles beaucoup de monde attache de l'importance, il se permettra d'attendre le temps qu'il faudra (au lieu d'un jour, un mois, au lieu d'un mois, trois ans) pour trouver ta clef.