Hachage et chiffrement : définitions et différences

Résumé

Le chiffrement et le hachage sont deux techniques de protection des données, mais ils remplissent des fonctions distinctes. Le chiffrement brouille les données en transit et peut être inversé à l’aide d’une clé, tandis que le hachage transforme de façon permanente les données stockées pour en vérifier l’intégrité, sans possibilité de décodage. Le choix entre les deux dépend du fait que vos données soient en mouvement ou au repos ; dans de nombreux cas, une approche multiniveau combinant les deux offre la meilleure protection. Aucune de ces méthodes n’est infaillible, il est donc essentiel de comprendre leurs vulnérabilités pour élaborer une stratégie de sécurité solide.

Comment le chiffrement et le hachage protègent les données

Techniques de chiffrement protègent les données en transit. Le hachage protège les données au repos.

La combinaison de ces stratégies pourrait, en théorie, établir une frontière de sécurité solide autour des actifs critiques. Mais les deux présentent des risques et des avantages qu’il est important de connaître.

Qu'est-ce que le chiffrement et le hachage ?

Faites le compte de toutes les informations sensibles actuellement stockées sur votre serveur. Ajoutez toutes les données que vous échangez avec les clients, les usagers et les prestataires. Comment faites-vous pour tout sécuriser ?

Certaines personnes utilisent les termes chiffrement , et hachage en même temps. S'il est vrai qu'ils servent tous deux à protéger les informations, ils le font de manière très différente.

Voici quelques définitions de base :

• Le chiffrement brouille les données, qui peuvent être décodées à l’aide d’une clé. L’objectif est de transmettre l’information à une autre partie, et le destinataire utilisera des clés pour déchiffrer les données.
• Le hachage brouille également les données, mais son objectif est d’en prouver l’authenticité. Les administrateurs peuvent effectuer une vérification sur les données hachées afin de s’assurer que leur contenu n’a pas été modifié ou altéré pendant leur stockage. Aucune clé de déchiffrement n’existe.

Les deux méthodes consistent à protéger un élément sensible des regards indiscrets. Mais il est évident qu'ils poursuivent des objectifs différents et remplissent des fonctions essentielles distinctes.

Comment fonctionne le chiffrement ?

Le chiffrement consiste à brouiller temporairement des informations importantes. La personne destinataire reçoit des données illisibles, mais une clé de transcription permet de lever toute ambiguïté. En les mettant ensemble, le sens du message devient clair.

Pourquoi le chiffrement est-il si largement utilisé ?

Près de 40 % des entreprises disposent d’une stratégie de chiffrement à l’échelle de l’entreprise, et ce chiffre augmente chaque année. Cette pratique est particulièrement essentielle dans les secteurs d’activité qui traitent presque exclusivement des données privées, tels que :

• Hôpitaux
• Banques 
• Coopératives de crédit 
• Compagnies d’assurance

Le chiffrement des mots de passe est particulièrement répandu. La plupart des consommateurs pensent que les informations de connexion qu’ils saisissent sont protégées dès leur saisie.

Le chiffrement est aujourd’hui largement adopté, en partie parce que ces techniques existent depuis des centaines de milliers d’années. Dans l’Égypte ancienne, par exemple, les scribes conservaient des informations essentielles grâce aux hiéroglyphes, et seules les personnes connaissant le code de traduction pouvaient comprendre le sens réel de chaque expression.

Fondamentalement, le chiffrement est d’une grande simplicité. Les informations sont transmises d’une partie à une autre sous une forme illisible, puis elles sont traduites à l’arrivée.

Comment fonctionne le processus d’échange de clés ?

Les utilisateurs finaux n'ont généralement pas besoin de rechercher des clés de chiffrement, mais les données doivent circuler dans les deux sens. En général, le système de l’utilisateur envoie une requête à l’autre partie. En réponse, cette partie renvoie une copie du certificat de sécurité qui contient une clé de déchiffrement.

Techniques de chiffrement courantes

Le chiffrement consiste à transformer des données de manière à ce qu’elles ne puissent pas être lues sans une clé spécifique.

Autrefois, les personnes utilisaient des techniques simples qui brouillaient les messages grâce à :

• Évolution. Les développeurs de code choisissent un nombre, puis décalent toutes les lettres de l’alphabet en conséquence. Pour décoder le message, le destinataire ramène les valeurs à leur position d’origine.
• Substitution. Un alphabet alternatif est créé, et le message est brouillé selon ces règles. Le destinataire utilise le code pour transformer le message en un état lisible.
• Symboles. L’alphabet habituel, lisible, est remplacé par des chiffres ou des symboles. Le destinataire utilise le code pour transformer le texte à la réception.

Ces méthodes sont rudimentaires, et il est particulièrement facile de les contourner. Dès que vous avez déterminé les règles qui sous-tendent le casse-tête, vous pouvez lire la note. Les techniques modernes sont différentes.

Les codes utilisés pour chiffrer des documents sont appelés chiffre, et il en existe deux principaux types.

• Le chiffrement symétrique utilise une seule clé variable détenue à la fois par l’expéditeur et le destinataire. Ce chiffre peut être un mot, un nombre ou une combinaison des deux. Les personnes disposant de cette clé unique peuvent chiffrer des données et décoder les données qui leur sont transmises dans cet état caché.
• Les chiffrements asymétriques utilisent deux variables de clé. L’une est une clé publique que toutes les personnes utilisant ce chiffrement connaissent et comprennent. L’autre est une clé privée, généralement échangée sur Internet ou un vaste réseau. En les combinant, il devient beaucoup plus difficile de les compromettre.

Utilisez des chiffrements symétriques, et le processus de déchiffrement s’effectue très rapidement. Les chiffrements asymétriques nécessitent plus de temps de traitement, ce qui peut entraîner des délais pour les utilisateurs.

Les solutions de chiffrement modernes incluent :

• Standard de chiffrement avancé (AES). Un algorithme sophistiqué transforme le texte en clair en une série de lettres et de chiffres, et l’opération est répétée plusieurs fois afin de garantir un chiffrement complet.
• Twofish. Ce chiffrement symétrique utilise une seule clé pour le chiffrement et le déchiffrement. Les développeurs ont conçu le système en 1998 en réponse aux demandes de l’Institut national des normes et de la technologie pour des types de chiffrement plus sécurisés. Twofish est un système rapide, conçu pour les applications réseau qui nécessitent des clés fréquemment renouvelées.
• Pretty Good Privacy.Ce logiciel repose sur un standard ouvert et utilise plusieurs étapes pour chiffrer et déchiffrer les données. Les développeurs continuent de travailler sur le système, en ajoutant de nouvelles fonctionnalités à l’algorithme pour répondre aux attaques.

Voici un échantillon de l’ensemble des produits de chiffrement disponibles. Il y en a beaucoup d’autres. En réalité, certains développeurs entreprenants créent leurs propres outils pour répondre à des vulnérabilités spécifiques dans les systèmes de leur entreprise.

Comment fonctionne le hachage ?

Le hachage consiste à brouiller les données au repos afin d’éviter qu’elles ne soient dérobées ou altérées. La protection est l'objectif, mais la technique n'est pas conçue pour permettre le décodage.

Prenons l’exemple d’une entreprise qui conserve des dizaines de noms d’utilisateur et de mots de passe. Comme les clients utilisent souvent les mêmes mots de passe pour plusieurs connexions, une exposition des données peut entraîner de multiples risques pour la confidentialité. Un système de hachage des mots de passe pourrait protéger l’ensemble de ces mots de passe contre les hackers tout en veillant à ce que ces éléments ne soient pas modifiés avant d’être réutilisés.

Quelles sont les limites du hachage pour la protection des données ?

Le chiffrement par hachage de ce type n’anonymise pas les données, même si de nombreuses personnes pensent le contraire. À la place, elle est utilisée pour protéger ces données contre les personnes susceptibles d’en faire un usage abusif ou de les modifier.

Un protocole de hachage classique n’est pas accompagné d’une clé de traduction automatique. À la place, le processus est utilisé pour déterminer les modifications et les données sont stockées dans un état brouillé.

Le travail de hachage est effectué par un algorithme informatique et, une fois les données transformées, il n’est plus possible de les restituer à leur état d’origine.

Algorithmes de hachage courants

Tous les algorithmes de hachage fonctionnent de manière similaire. Les utilisateurs saisissent des données sensibles, et le système traite ces informations pour les rendre inexploitables. Mais tous les systèmes ne se valent pas.

Les algorithmes de hachage incluent :

• Message Digest 5 (MD5). MD5 est simple, rapide et gratuit à utiliser. C’est l’un des algorithmes de hachage les plus utilisés actuellement, mais il est également particulièrement vulnérable aux attaques. Certaines expertes et certains experts recommandent à toutes les entreprises d’adopter une autre méthode pour protéger les données, mais ils estiment qu’environ un quart des principaux systèmes de gestion de contenu continuent d’utiliser MD5.
• Algorithmes de hachage sécurisés (SHA). L’National Institute of Standards and Technology a publié le premier algorithme SHA en 1993. Chaque nouvelle version est suivie d’un numéro, comme SHA-0 et SHA-1. En règle générale, plus le nombre est élevé, plus l’algorithme est sécurisé.
• Tigre. Cet algorithme a été publié en 1995 et il est conçu pour être utilisé sur des plateformes 64 bits. Il randomise les données en 24 cycles, et il est considéré comme remarquablement sécurisé.

Certaines entreprises proposent un renforcement supplémentaire du hachage grâce à une technique appelée salage.Les entreprises qui le font :

• Ajouter un élément. Cela consiste à ajouter une chaîne de caractères unique et aléatoire aux données qu’elles doivent protéger.
• Hacher l’ensemble de la chaîne. Les données d’origine, enrichies par l’ajout du sel, circulent dans l’algorithme.
• Stockez en toute sécurité. Les entreprises placent la valeur du sel sur le site, ainsi que les données hachées.
• Répéter. Les entreprises peuvent ajouter du sel aux données à plusieurs reprises afin d’offrir une protection renforcée.

Le salage des données est le plus efficace, selon les spécialistes, lorsque les entreprises utilisent une chaîne de sel différente pour chaque donnée. Un sel de mot de passe, par exemple, sera moins utile si chaque mot de passe comporte la même série de caractères aléatoires. Dès qu’un hacker découvre ce code, tous les mots de passe deviennent vulnérables.

Comment comparer le chiffrement et le hachage ?

Le hachage et le chiffrement brouillent tous deux les données afin de les protéger des hackers. Cependant, la manière dont les données sont brouillées, ainsi que ce qui leur arrive après le codage, diffère.

Quelles sont les vulnérabilités connues de chaque méthode ?

Si la sécurité est l’objectif, quel système fonctionne le mieux ? Malheureusement, elles présentent toutes deux des failles importantes.

Les problèmes liés au hachage des mots de passe sont apparus pour Poshmark en 2019, lorsque des hackers ont réussi à contourner les codes et à exposer une quantité importante de données utilisateur. Les cadres dirigeants de Poshmark ont conseillé aux personnes concernées de modifier leurs mots de passe sur l’ensemble de leurs comptes en ligne, en particulier si elles avaient réutilisé les mêmes mots de passe d’un site à l’autre.

Casser un hachage consiste à exécuter un algorithme informatique sur les codes et à élaborer des hypothèses concernant la clé. Cela devrait être impossible, mais selon les spécialistes, certains programmes peuvent traiter 450 milliards de hachages par seconde, ce qui signifie que le piratage ne prend que quelques minutes.

Le chiffrement présente également des vulnérabilités. Seules environ 4 % des brèches de chiffrement sont sécurisées, rendant ainsi les données inexploitables. Dans tous les autres cas, les fichiers volés sont rapidement décodés et immédiatement exploitables par les personnes malveillantes.

Il est possible que certaines entreprises appliquent le chiffrement uniquement pour des raisons de conformité, sans tester ni modifier leurs systèmes pour démontrer leur bon fonctionnement. Mais il est également possible que le chiffrement ne soit pas aussi sophistiqué que certains pourraient l’espérer.

Lequel devriez-vous choisir ?

Répondre à la question du chiffrement par rapport au hachage n’est pas simple. La protection est l’objectif, mais savoir par où commencer peut représenter un défi.

Réfléchissez aux données que vous devez protéger. Le fera-t-elle :

• Voyages ? Vous avez probablement besoin du chiffrement pour protéger ces données lorsqu’elles transitent de votre serveur vers un autre.
• Rester en stockage ? Vous devez utiliser le hachage pour garantir qu’une personne malintentionnée qui accéderait à votre serveur ne puisse ni y toucher ni le modifier.

Sachez que vous pouvez également combiner des techniques de hachage et de chiffrement. Vous pouvez utiliser le hachage pour protéger les données de mots de passe sur votre serveur, puis utiliser le chiffrement pour protéger les fichiers que les utilisateurs téléchargent une fois qu'ils ont obtenu l'accès.

Expérimentez les systèmes et méthodes qui protègent vos données et en préservent la sécurité. Sachez qu’Okta est là pour vous accompagner.

Nous sommes spécialisés dans les solutions de sécurité pour les entreprises, qu’elles soient de grande ou de petite taille. Déployez nos solutions prêtes à l’emploi, ou laissez-nous concevoir une offre adaptée à vos besoins et à votre secteur d’activité. Contactez-nous pour en savoir plus.

Foire aux questions (FAQ)

Quelle est la principale différence entre le chiffrement et le hachage ?

Le chiffrement est conçu pour protéger les données lorsqu’elles circulent entre différentes parties : il brouille les informations, qui peuvent ensuite être déchiffrées à l’aide d’une clé. Le hachage, en revanche, transforme de façon permanente les données stockées sans possibilité de décodage, et sert à vérifier que les données n'ont pas été modifiées plutôt qu'à les dissimuler en vue d'une extraction ultérieure.

Les données hachées peuvent-elles être inversées ou décodées ?

Non. Une fois que les données ont été traitées par un algorithme de hachage, il n’est plus possible de les restituer à leur état d’origine. Il n’existe aucune clé de décodage. C’est ce qui distingue le hachage du chiffrement, dans lequel une clé permet d’inverser la transformation.

Le hachage rend-il les données anonymes ?

Non, il s’agit d’une idée reçue fréquente. Le hachage protège les données contre toute altération et tout accès non autorisé, mais il ne les anonymise pas. La Federal Trade Commission a souligné cette distinction, et des brèches réelles comme l’incident Poshmark de 2019 confirment que des données hachées peuvent tout de même être exposées.

Qu’est-ce que le salage et pourquoi renforce-t-il le hachage ?

Le salage consiste à ajouter une chaîne unique de caractères aléatoires aux données avant leur hachage. Cela complique considérablement la tâche des attaquants qui cherchent à casser le hash, en particulier par des méthodes de force brute. Les experts recommandent d’utiliser une chaîne de sel différente pour chaque donnée individuelle ; réutiliser le même sel pour l’ensemble des enregistrements affaiblit considérablement la protection.

Quand faut-il utiliser le chiffrement plutôt que le hachage ?

La décision dépend de ce qu’il advient des données. Si elle doit être transmise d’une partie à une autre, le chiffrement est la solution appropriée. S'il doit rester en stockage et que vous devez vérifier son intégrité, le hachage est plus adapté. De nombreuses entreprises utilisent les deux méthodes conjointement, par exemple en appliquant le hachage aux mots de passe stockés tout en chiffrant les fichiers lors du téléchargement.

Les algorithmes de chiffrement symétrique ou asymétrique sont-ils plus adaptés au chiffrement ?

Les deux présentent des avantages et des inconvénients. Les chiffrements symétriques utilisent une seule clé partagée et traitent les données rapidement, mais cette clé partagée constitue une vulnérabilité. Les chiffrements asymétriques utilisent une paire de clés publique-privée, ce qui les rend plus difficiles à compromettre, mais ils sont plus lents à traiter et peuvent entraîner des délais pour les utilisateurs.

Références

Chiffrement : de plus en plus d’entreprises y ont recours, malgré des difficultés techniques persistantes. (avril 2015). ZD Net.

Histoire du chiffrement. (Janvier 2002). Certification mondiale d’assurance de l’information.

L’algorithme de chiffrement Twofish. (Décembre 1998). Schneider sur la sécurité.

Le hachage rend-il les données anonymes? (Avril 2012). Commission fédérale du commerce.

Un quart des principaux CMS utilisent encore MD5 comme schéma de hachage des mots de passe par défaut. (juin 2019). ZD Net.

Mots de passe et piratage : le jargon du hachage, du salage et de SHA-2 expliqué. (décembre 2016). The Guardian.

Le hachage des mots de passe ne garantit pas que vos données sont sécurisées. (Octobre 2019). Kansas City Business Journal.

Quatre centimes pour lever l’anonymat : des entreprises réidentifient des adresses e-mail hachées. (avril 2018), Liberté d’expérimenter.

Les entreprises n’appliquent pas efficacement la technologie de chiffrement. (janvier 2019). Computer Weekly.

Chiffrement et hachage. (décembre 2019), Medium.

De nombreuses entreprises appliquent le chiffrement pour de mauvaises raisons. (avril 2020), Techzine.