Qu’est-ce que le chiffrement de bout en bout ?

Le dernier rapport publié d’Intel Security, intitulé « McAfee Labs Threat Predictions Report » n’est pas très optimiste sur l’évolution des menaces informatiques que l’entreprise aura à subir dans les trois prochaines années. Une des réponses à ces menaces, proposée par l’industrie de la sécurité informatique, consiste dans le chiffrement des données et plus particulièrement dans ce que l’on nomme le chiffrement de bout en bout. Devant la multiplication d’offres ambigües sur ce sujet, il nous a semblé important de définir précisément ce qu’est le chiffrement de bout en bout.

Dans un processus normal de chiffrement de bout en bout*, les données sont chiffrées dès le moment où elles quittent le terminal, puis elles restent chiffrées partout où elles transiteront : elles sont donc « noircies », ce qui est le gage de leur protection. Peu importe alors où elles vont transiter, la confidentialité et l’intégrité des données seront préservées. Selon le contexte, le chiffrement peut se faire par paquet, notamment dans les systèmes de télécommunication, ou bien porter sur des fichiers complets. Dans les deux cas, la confidentialité des éléments chiffrés sera garantie quels que soient les réseaux et systèmes traversés.

Le chiffrement de bout en bout est très solide quand il est réalisé correctement et offre un niveau d’assurance inégalable, du fait qu’il s’abstrait des systèmes intermédiaires. Il convient néanmoins de s’interroger au cas par cas sur la pertinence de l’application du chiffrement de bout en bout. Ainsi, les applications orientées web sont par nature difficiles à concilier avec cette approche **. De même, les opérations de recherche sur le contenu sont rendues plus complexes.

Nous voyons apparaître actuellement une utilisation inappropriée du terme de chiffrement de bout, qui consiste à dire que les données sont chiffrées à tout moment, bien qu’elles ne le soient pas de manière continue. En fait, les offreurs oublient de dire qu’à certains moments, dans la mémoire de la machine, les données ne sont plus chiffrées. Or, ne pas considérer la mémoire de la machine, qui a reçu les données, comme un tronçon est une grossière erreur sur la notion de chiffrement de bout en bout. Certains sites de partage de fichiers vont ajouter des couches de sécurité dans certaines parties du processus (chiffrement de liaison, du stockage sur disque, éventuellement de la mémoire) mais pas de bout en bout, afin de pouvoir utiliser les données sur le serveur pour des analyses de type commercial (indexation, recherche, etc.). La confusion exploitée par des commerciaux peu scrupuleux est de faire croire que « chiffrement en transit » + « chiffrement au repos » = « chiffrement de bout en bout ». C’est faux ! Dans ce type d’offre, où sont donc confondus sécurité et marketing, il faut alors avoir une grande confiance dans l’hébergeur de ses données et dans les intermédiaires…

* La vraie définition : https://en.wikipedia.org/wiki/End-to-end_encryption

** http://www.howtogeek.com/166507/why-most-web-services-dont-use-end-to-end-encryption