Les appareils légers exigent une cryptographie de la bonne taille

Fourni par Hewlett Packard Entreprise

Le monde est de plus en plus rempli d'appareils informatiques connectés. Ce sont les ordinateurs qui font fonctionner nos automobiles, nos éclairages et nos systèmes d'alarme ; étiquettes d'inventaire sur les produits dans les canaux de distribution ; et capteurs environnementaux dans les installations industrielles, pour n'en nommer que quelques-uns.

Nous appelons ces appareils l'Internet des objets. Les appareils IoT sont de toutes tailles et de tous niveaux de complexité. Certains peuvent avoir un serveur Linux complet et d'autres un système d'exploitation simple et propriétaire sans système de fichiers, interface d'affichage ou autres composants standard dans les ordinateurs conventionnels. Par souci d'efficacité, ils ont exactement ce dont ils ont besoin.

Les appareils légers exigent une cryptographie de la bonne taille

• Lire l'histoire complète

Alors que la sécurité est absolument un problème pour ces appareils, les efforts de sécurité majeurs dans l'industrie se penchent vers des algorithmes qui nécessitent une puissance de calcul au-delà de ce que possèdent ces appareils. Pour alimenter ces appareils, un marché dynamique de microcontrôleurs 16 bits, 8 bits et même 4 bits est disponible, mais ils sont conçus aussi simplement et à moindre coût que possible car ils sont susceptibles d'être déployés en grand volume.

Les problèmes de sécurité sont préoccupants car ces appareils ne disposent pas de la capacité de processeur disponible et de la mémoire à accès aléatoire à portée de main pour exécuter des routines de cryptographie modernes. Même une puissance adéquate peut être un problème.

Il y a plusieurs années, le Institut national des normes et de la technologie (NIST) a créé une initiative pour résoudre le problème, qu'il a appelé Cryptographie légère . L'objectif du projet est 'de solliciter, d'évaluer et de normaliser des algorithmes cryptographiques légers adaptés à une utilisation dans des environnements contraints où les performances des normes cryptographiques actuelles du NIST ne sont pas acceptables'.

Le NIST, qui fait partie du département américain du commerce, mène des recherches et fait progresser les normes dans divers domaines, de poids et mesures à applications des neutrons à sécurité informatique . Il a un mandat spécifiquement mentionné dans la Constitution américaine : le Congrès aura le pouvoir de… fixer la norme des poids et mesures. Il y a plusieurs mois, j'ai écrit sur les efforts du NIST pour développer des standards de cryptographie résistants à l'informatique quantique , un nouveau paradigme informatique qui affaiblit bon nombre de nos principaux algorithmes de cryptographie.

Qu'est-ce qu'un appareil contraint ?

En termes simples, un appareil contraint est un appareil qui n'a pas la capacité de processeur et de mémoire pour exécuter des routines cryptographiques conventionnelles. Pour être clair, Le NIST dit les appareils capables d'exécuter des algorithmes cryptographiques standard conventionnels devraient le faire. Il existe deux algorithmes de chiffrement par bloc approuvés par le NIST : Norme de chiffrement avancé (AES) et Algorithme de chiffrement triple des données (TDEA, ou familièrement connu sous le nom de Triple DES ou 3DES). AES prend en charge des clés aussi petites que 128 bits, ce qui peut être à la portée de certaines applications basées sur des microcontrôleurs.

Tous les appareils légers n'ont pas besoin d'une protection cryptographique, seulement ceux qui communiquent. Prenons un thermomètre électronique typique pour la température corporelle. Il prend la température et l'affiche. Il n'a pas besoin de beaucoup de puissance de traitement, mais la fonction est entièrement contenue dans l'appareil. Il n'y a pas vraiment besoin de cryptage.

Mais imaginez un thermomètre plus sophistiqué qui signale la température sans fil à un appareil qui collecte les données des patients. Ou un glucomètre. Ou l'un de ceux caméras de pilule qui transmet des images de votre système digestif à un récepteur extérieur grâce à des capteurs que vous portez. Le besoin de cryptage dans les communications pour ces appareils est discutable, mais il y a plus d'un cas à faire.

À quel point la lumière est-elle « légère ? »

Le terme cryptographie légère n'implique pas une implémentation faible mais plutôt des algorithmes cryptographiques avec des exigences à faible surcharge. Ces algorithmes conviennent aux appareils relativement simples, à faible consommation d'énergie et aux ressources limitées, tels que les étiquettes d'identification par radiofréquence, les nœuds de capteurs et les cartes à puce.

Le terme poids léger ne doit pas être confondu avec une faiblesse. L'objectif du projet Lightweight Cryptography est de créer et de normaliser des méthodes et des pratiques solides pour les environnements sur lesquels elles s'exécutent.

Et il y a plus dans la définition de la légèreté que des contraintes. Ce projet cible les appareils qui ne sont pas connectés à Internet, du moins pas directement.

Il est possible de fabriquer de petits appareils à faible consommation d'énergie qui exécutent de puissantes routines de cryptographie. Prendre en compte Yubikey Nano . C'est la taille de l'extrémité commerciale d'une prise USB-A mâle, mais il y a une puce qui exécute de fortes fonctions de cryptage asymétrique. Mais il s'agit d'un dispositif d'authentification, une application avec des exigences très différentes de celles d'un dispositif léger typique, et c'est un produit à 50 $.

Pas de fonctions de 'poids croisés'

Les algorithmes légers sont différents et incompatibles avec les fonctions lourdes conventionnelles. Par conséquent, si un appareil léger exécutant un logiciel de chiffrement léger doit communiquer avec un appareil lourd, les algorithmes légers doivent être implémentés sur l'appareil lourd ou un proxy ou un appareil intermédiaire doit être utilisé pour déchiffrer l'entrée d'un côté et sortir les données chiffrées vers le autre.

Le périphérique proxy semblerait être une dépense inutile et ajouter de la complexité et de la vulnérabilité. Dans de tels cas, il est plus probable que les algorithmes légers s'exécutent également sur l'appareil lourd, mais, comme tant d'autres choses dans ce domaine, cela dépend de l'application.

Si vous êtes un technologue informatique conventionnel, il est peu probable que vous vous occupiez directement de la cryptographie légère pour la mise en œuvre de si tôt. Mais la sécurité de tout est en cause ces jours-ci, et vous devez vous attendre à voir des appareils de plus en plus compliqués et vous demander s'ils sont correctement sécurisés. Si c'est le cas, la cryptographie légère peut jouer un rôle.

Restez à jour sur les tendances technologiques qui ont un impact sur l'avenir des entreprises. S'abonner à la newsletter Enterprise.nxt.

cacher