JM-Crypt, la cryptographie professionnelle

La protection de données sensibles est de plus en plus mise à mal et complexe à mettre en œuvre. Les entreprises doivent défendre leurs projets innovants et leurs informations vitales à l’égard d’une concurrence très vive et surtout se prémunir de l'espionnage industriel. Des particuliers souhaitent protéger leurs données privées à l’égard des regards indiscrets et autres « hackers ». Certaines professions libérales, comme des médecins ou avocats doivent légalement disposer de supports cryptés et sécurisés pour échanger avec leurs confrères des données confidentielles afférentes à leurs patients ou clients. Des scandales récents ont mis au grand jour l'extrême vulnérabilité des environnements virtuels de type "cloud" dont la sécurité ne peut en aucun cas être garantie, encore moins maîtrisée par l'utilisateur.
JM-Crypt apporte des solutions innovantes, solides et conviviales. Le logiciel n’est pas destiné à une large audience ni au grand public. JM-Crypt a été conçu pour couvrir des besoins spécifiques et sur mesure des entreprises, des institutions, des réseaux intranet, des hôpitaux, des professions libérales, voire des VIP dont la vie privée serait particulièrement ciblée par des hackers en raison de leur notoriété.


Rester maître chez soi !

 

La cryptographie est encore marginale en entreprise parce que dans les algorithmes de chiffrements conventionnels, c'est l'utilisateur final qui choisit un mot de passe pour crypter un fichier ou message, l'entreprise n'en est plus maître. C'est gênant lorsque qu'un collaborateur quitte l'entreprise en laissant derrière lui des données cryptées inutilisables par ses collègues, on imagine aisément le type de chantage qui peut en résulter en cas de licenciement. sans parler du risque de fuite de données sensibles non couvert par ces solutions. L'autre option est de s'assurer les services très onéreux de sociétés spécialisées dites "tiers de confiance" qui peuvent crypter des bases de données gigantesques mais au détriment de la qualité cryptographique, la vitesse de traitement imposant un appauvrissement des matrices algorithmiques. Par ailleurs un chiffrement à outrance non contrôlé a pour résultat l'accumulation de mots de passe de façon exponentielle. Il y en a tellement qu'ils ne sont plus mémorisables, ils sont répétés pour des questions de facilité, de mauvaise qualité pour les mêmes raisons ou pire encore, stockés par l'OS ou en clair dans des fichiers mémo texte. C'est le cumul de toutes ces vulnérabilités et négligences involontaires qui constituent le terrain de chasse des hackers. JM-Crypt apporte des solutions. L'accès au logiciel se fait par le biais d'un groupware utilisateur (ou LDAP). Pour éviter les attaques par force brute, le mot de passe choisi par l'utilisateur doit obligatoirement être complété par 3 caractères aléatoires.

 

 

Le groupware permet par ailleurs à l'administrateur de déterminer des rôles, gérer des privilèges pour des groupes ciblés et restreints. En usage courant, c'est le logiciel qui gère tout automatiquement, tant le cryptage que le décryptage, tant les fichiers que les messages cryptés en interne ou en réseau intranet. Pour chaque cryptage un masque jetable composite est créé à partir d'une section aléatoire d'une clé mère et d'un mot de passe aléatoire de 256 bits auto-généré, la clé composite aussi longue que la source n'est  donc utilisée qu'une seule fois, le cryptage se fait bit à bit intégralement. En mode projet un mot de passe supplémentaire peut être utilisé dans le cadre d'un SharePoint par exemple, mais l'administrateur peut toujours récupérer celui-ci si nécessaire. De plus ce mot de passe n'est qu'un encryptage de second niveau, seule l'entreprise dispose des clés mères et aucun employé n'a a accès à ces clés. Les données cryptées sont dès lors inutilisables hors entreprise. A l'inverse des cryptages par chiffrements, les fichiers cryptés par JM-Crypt sont insensibles aux attaques par force brute, il peuvent dès lors être déposés en toute sécurité sur un cloud. Bien évidemment la sécurité est un ensemble dont tous les paramètres doivent être traités avec soin, mais JM-Crypt n'utilise que quelques fichiers systèmes dont la maintenance est centralisée et aisée.

Providers et tiers de confiance

 

Les offres de services cryptographiques par le biais de tiers de confiance sont légions sur le net. Le sujet évoqué ici ne concerne pas les certificats numériques agréés mais bien des services de cryptage de données ou de messages en mode SaaS par lesquels c'est en fait le fournisseur de services qui crypte et décrypte les données sensibles de ses clients et en assure la transmission à des tiers également clients. Bien que bénéficiant d’une certaine notoriété, ces services sont souvent recalés par des audits ou régulateurs pour la raison simple que le provider dispose lui-même des clés privées de tous ses clients et peut dès lors voir tous les messages en clair, c’est le tiers dit « de confiance ». Ce problème est encore plus criant dans le domaine médical où seuls des médecins sont autorisés à voir en clair des données médicales afférentes à des patients et bien évidemment le tiers de confiance ne répond pas à cette exigence. Pour cette même raison, bon nombre de médecins ont encore recours à la poste pour échanger des protocoles et rapports médicaux avec des confrères ou des laboratoires d’analyses. En cas d’urgence, le temps de traitement des échanges peut être vital.

JM-Crypt offre une gestion entièrement autonome des toutes les clés. C’est le détenteur du logiciel qui seul crée et détient ses clés publique et privée, en assure la maintenance et pour les échanges choisit lui-même les tiers avec lesquels il souhaite partager sa clé publique.

 

 

Un mode SaaS est envisageable pour le stockage et téléchargement des clés publiques d’une communauté d’utilisateurs du logiciel, mais en aucun cas pour du traitement des données ni leur transmission, encore moins leur décryptage.

JM-Crypt a repensé totalement le système d’échanges par cryptographie asymétrique dont le plus connu est PGP en y apportant d’importantes innovations. L’identification de l'émetteur se fait au moyen d’un seflie instantané dont l’exif crypté contient l’identifiant client/machine, les date et heure du selfie et du message. Le message et pièce jointe éventuelle sont cryptés par un masque jetable composite d'un extrait du fichier selfie aléatoire par nature et d'un mot de passe aléatoire de 256 bits lui-même crypté au moyen de la clé publique du destinataire. Pour l’authentification, JM-Crypt utilise une empreinte HMAC SHA 256 complétée par l'identification non répudiable de l'émetteur, son selfie étant signé par le certificat numérique de sa carte d'identité électronique. Pour résumer il s’agit d’un système d’encryptage hybride renforcé.