Chiffrement vs. cryptographie : quelle est la différence (et pourquoi est-ce important ?)

Le chiffrement protège les données des regards indiscrets. Mais qu'en est-il de la cryptographie ? Est-ce juste un synonyme pour un même concept ?

Pas tout à fait. Bien que ces termes soient souvent utilisés de manière interchangeable, ils ne sont pas identiques. Voici un aperçu de ce que chaque terme signifie dans la pratique, comment ils sont utilisés en cybersécurité et pourquoi cette différence importe. 

Qu'est-ce que le chiffrement ?

Le chiffrement consiste à convertir des informations lisibles en informations illisibles à l'aide d'une clé. Les informations lisibles sont également appelées texte clair, tandis que les informations illisibles sont appelées texte chiffré. Une fois que les données sont chiffrées, elles sont effectivement protégées, seule une personne possédant la bonne clé peut ouvrir la serrure et déchiffrer les données. 

Voici un exemple.

Bob veut envoyer à Susan un email de mise à jour sur le projet sensible sur lequel ils travaillent. Son message est simple : « L’étape 1 est terminée.   S’il envoie ce message sans chiffrement, il est possible pour les pirates d’écouter numériquement la conversation et de lire son message. 

Le chiffrement transforme le message de Bob en ce qui semble être du charabia. En utilisant une clé de chiffrement, le message indique désormais : « 2gnew Ln aog noaglss ». Il convient de noter que le texte chiffré n’a pas besoin d’avoir la même longueur que l’original. Susan reçoit le message et, à l'aide de sa clé de déchiffrement, le reconvertit en texte clair. 

Il existe deux approches courantes en matière de chiffrement : symétrique et asymétrique.

Dans le chiffrement symétrique, la clé pour chiffrer et déchiffrer les messages est la même. Cela signifie qu'elle doit toujours rester privée. Le chiffrement symétrique est simple et rapide, mais il comporte des risques si les clés sont accidentellement divulguées ou volées.

Dans le chiffrement asymétrique, deux clés différentes sont utilisées. Une clé publique est utilisée pour chiffrer les données. Cette clé peut être partagée librement puisque son seul but est de convertir du texte en clair en texte chiffré. Les clés privées sont utilisées pour déchiffrer les données et doivent rester secrètes.

L'un des cadres symétriques les plus courants est l'Advanced Encryption Standard (AES), qui utilise trois longueurs de clé différentes : 128, 192 et 256 bits. Plus il y a de bits, plus la clé est difficile à déchiffrer. En théorie, il faudrait des millions d'années pour qu'un ordinateur craque une clé de 256 bits. 

Qu'est-ce que la cryptographie ?

La cryptographie est le domaine qui traite de la communication sécurisée. Elle couvre trois grands domaines : la confidentialité, l'intégrité et l'authentification.

Confidentialité : cet aspect de la cryptographie vise à dissimuler le contenu d'un message. Le chiffrement entre dans cette catégorie. 

Intégrité : l'intégrité des données garantit que les messages originaux restent inchangés. Pour ce faire, le message lui-même est protégé contre toute falsification ou modification. Dans la pratique, cela peut prendre la forme de réseaux professionnels protégés ou de réseaux privés virtuels (VPN) qui empêchent l'écoute numérique. 

Authentification : l'authentification concerne l'identité. L'expéditeur du message est-il celui qu'il prétend être ? La personne qui tente d’accéder au message est-elle le destinataire prévu ? Du côté de l’expéditeur, les outils avancés de protection des e-mails utilisent des algorithmes d’IA pour détecter et éliminer les menaces potentielles. Du côté du destinataire, des solutions telles que l'authentification multifacteur (MFA) peuvent aider à vérifier l'identité des utilisateurs. 

Quel est leur impact sur la cybersécurité ?

Sans un chiffrement efficace, les entreprises peuvent perdre des données financières, intellectuelles et personnelles. 

Considérez la récente fuite de plus de 184 millions d’identifiants de connexion d’utilisateurs. Stockées dans une base de données accessible au public, ces informations d'identification couvrent tous les domaines, des identifiants Google et Apple à ceux des services gouvernementaux et des plateformes de jeux vidéo. 

Le dénominateur commun ? Pas de chiffrement. Une fois dans la base de données, qui elle-même n'était pas protégée par mot de passe, rien n'empêchait les cybercriminels de prendre ce qu'ils voulaient et de l'utiliser pour compromettre des comptes. Heureusement, la fuite de données a été détectée par des chercheurs en sécurité avant que des pirates ne puissent y accéder, et la base de données est désormais hors ligne.

Même si la base de données était chiffrée, cela ne garantit pas la sécurité. À mesure que les technologies évoluent, les pirates deviennent de plus en plus habiles à détecter et à exploiter les failles des processus de chiffrement. Par exemple, les anciennes méthodes telles que la norme de chiffrement des données utilisent des clés plus petites, ce qui les rend vulnérables aux pirates.

La recherche en cryptographie permet de découvrir et de tester de nouvelles méthodes de chiffrement. Par exemple, le NIST a récemment publié son premier ensemble d’algorithmes de chiffrement résistants aux attaques quantiques. Cette mesure fait suite à l'évolution rapide des ordinateurs quantiques, qui pourraient permettre de réduire le temps nécessaire pour contourner les normes actuelles telles que l'AES 256. 

Pourquoi cette différence est-elle importante ?

Étant donné le chevauchement entre chiffrement et cryptographie, il n'est pas surprenant que les termes soient souvent confondus. En général, cela n'a qu'un impact minime sur les performances en matière de cybersécurité. Tant que les données sont protégées, la terminologie est moins importante.

La différence réside dans le développement de nouvelles solutions et techniques de sécurité. Bien que le chiffrement soit un élément clé d'une défense efficace, il ne constitue qu'une partie d'un ensemble plus vaste. À lui seul, il empêche les pirates d'accéder aux données sensibles, mais il ne résout pas les problèmes d'intégrité ou d'authenticité. 

Pour les entreprises, le chiffrement constitue la première ligne de défense : même si les données sont volées, elles restent inutilisables. L'intégrité et l'authentification contribuent quant à elles à créer une approche holistique de la cybersécurité qui réduit le risque global.