Cryptage et CryptoLocker

Utilisation du cryptage symétrique avec DPAPI

Microsoft propose plusieurs méthodes de cryptage des données. Une des manières les plus utilisées, parce qu’elle est très simple et confortable, est DPAPI (Data Protection Application Programming Interface). Les autres méthodes de cryptage symétrique sont simplement la mise en œuvre d’algorithmes de cryptage via .NET (System.Security.Cryptography).

Dans un cas normal de cryptage symétrique, il est nécessaire d’avoir une clé qui servira à crypter et décrypter. Cela signifie que pour crypter le mot de passe d’une application, il faut avoir une clé de cryptage.

Pour crypter :

Mot de passe > clé de cryptage 1 > mot de passe crypté

Pour décrypter, c’est le même principe :

Mot de passe crypté > clé de cryptage 1 > mot de passe en clair

Ceci induit la difficulté d’enregistrer un mot de passe pour un service, une tâche ou une application qui voudrait pouvoir accéder au mot de passe de manière réversible. Il faudrait cacher cette clé de cryptage/décryptage en clair dans le code, dans un fichier, dans le registre, ou, pourquoi pas, la couper en morceaux et stocker les parties à différents endroits. Mais ce n’est pas une bonne solution, cela revient à laisser la clé sous le paillasson.

Une manière plus sûre serait de faire dériver la clé de cryptage depuis des éléments particuliers de la machine ou de l’utilisateur, comme créer un hash de l’adresse MAC de la carte réseau, du SID de l’utilisateur et du numéro de série de la machine, pour l’utiliser comme clé symétrique. Cela permet de ne pas avoir de clé en clair, mais de la construire dynamiquement. Dans ce cas, l’algorithme de construction de la clé doit être secret, et si un des éléments devait changer, la clé ne serait donc plus valide et ne pourrait pas être restaurée.

Utilisation du cryptage asymétrique avec des certificats

Le cryptage asymétrique permet de donner la clé de cryptage à tout le monde tout en conservant à l’abri la clé permettant le décryptage. C’est le principe d’une infrastructure à clé publique qui est expliqué un peu plus en détail dans la section Contre-mesures traitant de la mise en place d’une autorité de certification.

Pour simplifier, nous avons une clé unique ouvrant les cadenas d’une même série. Si vous voulez recevoir un colis de manière sécurisée, vous envoyez le cadenas à l’expéditeur, qui enfermera vos éléments dans une boîte qu’il verrouillera avec votre cadenas. Vous serez le seul à pouvoir ouvrir le colis, puisque vous êtes le seul à avoir la clé. Vous avez l’immense avantage de pouvoir demander à n’importe qui de sécuriser quelque chose pour vous, sans qu’il puisse ouvrir d’autres colis qui vous sont destinés. Cela n’est pas le cas en utilisant une clé symétrique.

EFS crypte un fichier en utilisant une clé symétrique. La clé symétrique est ensuite protégée en utilisant le certificat de l’utilisateur ainsi que le certificat d’un agent de recouvrement, s’il existe.

cipher.exe C:\temp\test.txt /e
 

cipher.exe C:\temp /e
 

FileInfo f = new FileInfo(@"c:\temp\test.txt"); 
f.Encrypt();
 

Cryptoware

Un cryptoware doit crypter l’ensemble des documents et des fichiers sensibles, y compris les fichiers en réseau et ceux de disques amovibles. L’idéal est de crypter les fichiers tout en permettant à l’utilisateur d’y accéder normalement comme le fait EFS. Cela permet d’infecter également les éventuels backups. Toutefois, cela laisse la clé de décryptage provisoirement accessible à l’utilisateur.

certutil -f -user -p "pass" -importpfx c:\cert.pfx NoRoot
 

Exemple de cryptage avec EFS, certificat et DPAPI

Le code suivant permet de tester le cryptage et le décryptage en utilisant EFS, les certificats et DPAPI. La compilation peut se faire en utilisant Visual Studio ou la ligne de commande.

Les prérequis sont les suivants :

Chaque étape de ce code va crypter puis décrypter un ou les deux fichiers prérequis. Prenez le temps de contrôler le contenu des fichiers à chaque étape. Le code est également téléchargeable depuis la page Informations générales.

Créons maintenant l’application :

csc -r:System.Security.dll -out:c:\test.exe c:\cryptage.cs 
 

Le code :

using System; 
using System.IO; 
using System.Security.Cryptography; 
using System.Security.Cryptography.Pkcs; 
using System.Security.Cryptography.X509Certificates; 
using System.Text; 
 
namespace testCryptage 
{ 
    class Program 
    { 
        static void Main(string[] args) 
        { 
            String Folder = @"c:\temp"; 
            String pfxPass = "password" 
 
            Console.WriteLine("Avant de continuer, veuillez vous assurer  
qu'il existe le dossier "+Folder); 
            Console.WriteLine("et qu'il contient un fichier test1.txt et 
test2.txt"); 
            Console.WriteLine("Un certificat cert.cer et un cert.pfx doivent 
exister dans le dossier " + Folder); 
            Console.WriteLine("Chaque étape crypte puis décrypte...