Le problème de la distribution des clés

Si le masque jetable est incassable, pourquoi votre navigateur, votre messagerie et votre banque ne l'utilisent-ils pas ? À cause d'un obstacle pratique insurmontable : la distribution des clés.

Le problème de l'œuf et de la poule

Pour échanger des messages en secret, Alice et Bob doivent d'abord partager un masque. Mais ce masque doit être aussi long que la somme de tous les messages qu'ils s'échangeront un jour. Pour un an de courriels, cela peut représenter des gigaoctets de clé.

Or comment transmettre cette énorme clé secrètement ? Il faudrait déjà un canal sûr… mais si un tel canal existait, autant y faire passer les messages !

   Pour envoyer 1 Go de messages en secret
   ----------------------------------------
   il faut d'abord partager 1 Go de clé... en secret.
                    │
                    ▼
   Mais partager 1 Go en secret, c'est déjà
   le problème que l'on voulait résoudre.
                    │
                    ▼
              cercle vicieux

En pratique, cela impose de transporter physiquement la clé (valise diplomatique, rencontre en personne) avant toute communication, en quantité colossale. Impossible à l'échelle d'Internet et de ses milliards d'échanges spontanés.

La solution pratique : les chiffrements de flux

L'industrie a trouvé un compromis. Plutôt qu'un vrai masque aléatoire, on part d'une petite clé partagée (128 ou 256 bits) et on l'étire avec un générateur pseudo-aléatoire (PRNG cryptographique) en un long flux de bits, le keystream. On chiffre ensuite par XOR, exactement comme un masque jetable :

   OTP idéal               Chiffrement de flux
   ---------               -------------------
   clé vraiment            petite clé (256 bits)
   aléatoire                        │
   aussi longue que          [ PRNG cryptographique ]
   le message                       │
        │                    keystream pseudo-aléatoire
        │                    (aussi long qu'il faut)
        ▼                            ▼
   C = M XOR K              C = M XOR keystream

   sécurité PROUVÉE         sécurité SUPPOSÉE
   (inconditionnelle)       (calculatoire)

C'est le principe de chiffrements comme ChaCha20 ou l'ancien RC4 : ils imitent le masque jetable à partir d'une petite graine facile à partager.

Le prix à payer

Ce compromis échange la sécurité inconditionnelle contre la commodité. Le keystream n'est plus vraiment aléatoire : il est déterministe, entièrement décidé par la petite clé. La preuve de Shannon ne s'applique donc plus.

• La clé n'est plus aussi longue que le message : elle fait quelques octets.
• La sécurité devient calculatoire : elle tient tant qu'on ne sait pas prédire le PRNG.
• Un chiffrement de flux mal conçu (RC4) a été cassé — le masque jetable, jamais.

On accepte ce risque parce qu'il rend la cryptographie utilisable : une clé de 256 bits suffit à protéger des gigaoctets de trafic.

En résumé

• Le masque jetable exige de partager à l'avance une clé aussi longue que tous les messages futurs : l'œuf et la poule.
• Distribuer cette clé secrètement suppose déjà le canal sûr recherché : impasse à l'échelle d'Internet.
• En pratique, on emploie des chiffrements de flux : une petite clé + un PRNG produisent un keystream qui imite le masque.
• Le prix : on passe d'une sécurité inconditionnelle à une sécurité calculatoire (supposée), en échange de l'usage réel.