Hidden Ciphers and Where to Find Them: Static Discovery and Assessment of Cryptographic Assets in Software
Cet article présente une approche d'analyse statique pilotée par la classification pour découvrir et évaluer les actifs cryptographiques à travers les systèmes logiciels, démontrant son efficacité pour identifier les vulnérabilités et les candidats à la migration post-quantique afin de renforcer la gouvernance de la sécurité et la transparence.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
La Forteresse Invisible et la Carte pour la Trouver
Imaginez que chaque logiciel que vous utilisez aujourd'hui — votre jeu vidéo préféré, votre application bancaire, même votre réfrigérateur intelligent — soit construit à l'intérieur d'une immense forteresse invisible. Les murs de cette forteresse sont faits de cryptographie, une forme spéciale de magie mathématique qui verrouille vos données pour que seules les bonnes personnes puissent les ouvrir. C'est la raison pour laquelle vos mots de passe restent secrets et que vos messages ne peuvent pas être lus par des inconnus. Pendant longtemps, les entreprises ont simplement espéré que ces murs seraient assez solides, mais elles n'avaient pas vraiment de carte pour voir où se trouvaient les briques, où étaient les portes, ou si certaines d'entre elles étaient faites de carton plutôt que d'acier.
Maintenant, une nouvelle menace frappe à la porte : les ordinateurs quantiques. Ce sont des machines super puissantes qui, dans le futur, pourraient être capables de briser les verrous cryptographiques d'aujourd'hui comme s'ils étaient en papier. Pour survivre à cela, les organisations doivent savoir exactement quel type de verrous elles possèdent actuellement afin de pouvoir les remplacer par des modèles « résistants au quantique » avant l'arrivée des méchants. Mais voici le problème : ces verrous numériques sont éparpillés partout. Ils sont cachés dans des lignes de code, enfouis dans des fichiers de configuration, nichés dans des clés secrètes et mélangés aux bibliothaires logicielles que les programmes utilisent. Sans un moyen de tous les trouver, vous ne pouvez pas les réparer. C'est là qu'intervient un nouvel article, offrant une lampe de poche pour les recoins sombres du logiciel.
L'Article : Une Chasse au Trésor pour les Verrous Numériques
L'article, intitulé « Hidden Ciphers and Where to Find Them » (Chiffres cachés et où les trouver), présente une nouvelle méthode ingénieuse pour traquer ces actifs cryptographiques cachés. Les auteurs, Christian Näther et Eduard Hirsch, ont réalisé que chercher ces verrous revenait à essayer de nettoyer une chambre en désordre sans une liste de ce qui doit s'y trouver. Certains cherchaient des types de clés spécifiques, tandis que d'autres ne faisaient que deviner. Les auteurs ont décidé de construire une chasse au trésor systématique.
D'abord, ils ont créé un système de classification, qui est comme un ensemble de trois loupes différentes pour observer le logiciel. Ils ont réalisé que le « matériel » cryptographique se décline en trois saveurs distinctes :
- Le Matériel Cryptographique (Crypto-Material) : Ce sont les vrais secrets, comme les clés privées et les mots de passe eux-mêmes. Voyez cela comme les véritables pièces d'or dans le coffre au trésor.
- Les Artefacts Cryptographiques (Crypto-Artifacts) : Ce sont les conteneurs structurés, comme les certificats ou les cartes d'identité numériques qui détiennent des informations sur qui est autorisé à entrer. Ce sont les boîtes sophistiquées dans lesquelles se trouvent les pièces.
- Les Invocations Cryptographiques (Crypto-Invocations) : Ce sont les moments où le logiciel utilise réellement la magie. C'est comme voir quelqu'un tourner une clé dans une serrure ou taper un mot de passe. C'est l'action d'utiliser le trésor.
Pour rendre cette chasse efficace, les auteurs ont construit deux outils principaux. Le premier est un Répertoire de Règles appelé « Crypistry ». Imaginez cela comme un immense livre de cuisine, mis à jour en permanence. Au lieu de programmer des instructions figées dans un robot, le livre de cuisine liste exactement ce qu'il faut chercher (comme « trouver tout fichier se terminant par .pem » ou « chercher la commande OpenSSL::Cipher »). Cela signifie que si un nouveau type de verrou apparaît, il suffit d'ajouter une nouvelle recette au livre ; vous n'avez pas besoin de reconstruire tout le robot.
Le second outil est le Scanner, nommé « Crypsy ». C'est le robot qui lit le livre de cuisine et scanne le logiciel. Il ne se contente pas de deviner ; il suit les règles pour trouver le matériel, les artefacts et les invocations. Une fois qu'il les trouve, il ne se contente pas de les lister ; il les évalue. Il vérifie si un verrou est faible (comme une charnière rouillée) ou s'il s'agit d'une vulnérabilité connue (comme une porte qui a déjà été forcée par des voleurs). Il génère ensuite un CBOM (Cryptographic Bill of Materials), qui est essentiellement un inventaire détaillé de chaque verrou et clé trouvés, prêt à être utilisé par les équipes de sécurité.
Ce Qu'Ils Ont Trouvé et Leur Degré de Certitude
Les auteurs ont testé leur robot de deux manières pour voir s'il fonctionnait réellement.
D'abord, ils ont construit un benchmark synthétique appelé « Cryben ». C'était un faux système logiciel qu'ils ont créé où ils savaient exactement où chaque verrou et chaque clé étaient cachés. C'était comme une chasse au trésor d'entraînement avec le corrigé sous la main. Lorsqu'ils ont fait passer Crypsy contre ce test, il a trouvé 75 % des éléments cachés correctement (un score F1 de 0,75). Il était très bon pour trouver les vrais secrets (les pièces d'or), mais manquait parfois les façons plus complexes dont le logiciel utilisait les verrous. Cependant, lorsqu'il s'agissait d'étiqueter les problèmes trouvés, il était incroyablement précis, identifiant correctement 91 % des faiblesses et vulnérabilités attendues.
Ensuite, ils ont emmené le scanner dans le monde réel. Ils ont scanné une véritable infrastructure informatique composée de dix services déployés (incluant des éléments tels que GitLab, un runner CI/CD et une base de données). Ils ont scanné 57 610 fichiers en moins de six minutes. Dans ce désordre du monde réel, le scanner a découvert 370 actifs cryptographiques. Il a trouvé six vulnérabilités spécifiques liées à des failles de sécurité connues (CVE) et a identifié 52 éléments qui devraient être remplacés pour survivre à la future menace de l'ordinateur quantique.
Les auteurs sont assez confiants dans ces résultats, mais ils notent prudemment les limites. Ils admettent que leur scanner est actuellement plus performant pour trouver des éléments dans les langages de programmation Ruby et Go, et qu'il dépend de la mise à jour du « livre de cuisine » (Crypistry). Si un verrou est caché d'une manière que le livre de cuisine ne connaît pas encore, le scanner pourrait passer à côté. Ils ont également constaté que, bien que le scanner soit excellent pour trouver des problèmes potentiels, certains de ces résultats nécessitent l'intervention d'un humain pour vérifier s'ils sont réellement dangereux, car le scanner ne peut pas toujours déterminer comment un morceau de code est utilisé dans un contexte plus large.
La Vue d'Ensemble
Cet article ne prétend pas avoir résolu l'intégralité du problème de la sécurité logicielle. Au lieu de cela, il propose une méthode pratique et structurée pour enfin voir ce qui se cache dans l'obscurité. En classifiant les différents types d'actifs cryptographiques et en séparant les « règles » du « scanner », les auteurs ont créé un système capable de croître et de s'adapter. Leurs résultats suggèrent qu'avec cette approche, les organisations peuvent enfin obtenir une vue claire de leur paysage cryptographique, ce qui est l'étape essentielle avant de pouvoir commencer à remplacer les vieux verrous par de nouveaux, résistants au quantique. C'est une carte pour la chasse au trésor, et pour la première fois, la carte semble réellement mener quelque part.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.