URL: https://linuxfr.org/users/rakoo/journaux/la-crypto-ca-sert-plus-a-rien-de-toute-facon Title: La crypto ça sert plus à rien de toute façon Authors: rakoo Date: 2014年08月08日T21:44:49+02:00 Tags: cryptographie et gnupg Score: 25 Ah, 'nal, nous sommes perdus. Moi qui pensais pouvoir chiffrer mes données en toute tranquillité. Je n'écris pas mon mot de passe sur un post-it. Ce n'est pas un mot de passe réutilisé. Ce n'est pas un mot de passe facilement devinable, et en plus il est long. "Ah", tu te dis, "tu chiffres/déchiffres sur ta machine de travail ? Tu sais très bien qu'il faut une machine séparée, avec un *airgap* pour être sûr. C'est le minimum". Et bien non, ce n'est plus le minimum. Je vais te la faire courte: on est mal. Des chercheurs de l'université de Tel Aviv ont [montré](http://www.cs.tau.ac.il/~tromer/handsoff/) qu'il était possible de voir ce que le CPU faisait avec n'importe lequel des moyens suivants: - Mesurer les variations de potentiel du chassis avec une sonde - Mesurer les variations de potentiel au bout du câble ethernet branché sur la machine - Mesurer les variations de potentiel du chassis *avec la main* - Mesurer les émanations électromagnétiques avec une antenne posée dans le secteur - Mesurer les variations dans le courant électrique à la prise Et quand je dis mesurer, c'est une pauvre pince croco branchée sur un téléphone même pas dernier cri. Résultat ? Je te le donne en mille: les chercheurs ont réussi à récupérer des clés de déchiffrement RSA 4096 bits et ElGamal 3092 bits. C'était censé être solides ces machins là. Ah au fait, c'est eux qui ont montré qu'il était possible de faire la même chose juste en mettant un micro et en écoutant *le bruit que fait la machine*. GnuPG semble avoir été patché depuis pour éviter cette attaque... qu'en est-il des autres ? Qu'en est-il de, par exemple, OpenSSL linké dans à peu près tous les serveurs web qui pensent sécuriser les données et informations des utilisateurs ? Je pensais pas être parano, mais avec des trucs comme ça, je sais plus quand je peux rentrer mon mot de passe en paix. *Note: Ce contenu est placé sous licence CC0*