C'est quoi la cryptographie ? Objectifs et vocabulaire

La cryptographie est la science des techniques qui protègent une information à l'aide d'un secret, la clé : elle garantit qu'un message reste confidentiel, qu'il n'a pas été modifié, qu'il vient bien de son auteur et que cet auteur ne pourra pas le nier. Ce chapitre pose les quatre objectifs de la cryptographie, le vocabulaire exact attendu dans une copie d'E7, et la distinction qui fait perdre le plus de points : encodage, hachage et chiffrement.

Le mot vient du grec kryptos, « caché », et graphein, « écrire ». La cryptologie regroupe deux disciplines : la cryptographie, qui conçoit les protections, et la cryptanalyse, qui cherche à les casser. Les deux avancent ensemble : un algorithme n'est jugé sûr qu'après des années d'attaques publiques sans succès.

Les quatre services : confidentialité, intégrité, authenticité, non-répudiation

Prends un résultat d'analyse envoyé par le laboratoire Hélianthe à un médecin. Quatre questions de sécurité se posent, et chacune a sa réponse cryptographique.

Tu connais déjà le sigle DICP : disponibilité, intégrité, confidentialité, preuve. La cryptographie sert trois de ces quatre critères : la confidentialité, l'intégrité et la preuve (authenticité, non-répudiation, traçabilité). Elle ne fait rien pour la disponibilité ; elle peut même la menacer. Une clé de chiffrement perdue rend les données aussi inaccessibles que si elles avaient été effacées, et un rançongiciel n'est rien d'autre qu'un chiffrement utilisé contre toi.

Chiffrer, déchiffrer, décrypter : le vocabulaire exact

Le verbe « crypter » et le mot « cryptage » sont entrés dans l'usage courant, mais les spécialistes, l'ANSSI en tête, parlent de chiffrer et de chiffrement. « Crypter » laisserait entendre qu'on chiffre sans clé, ce qui n'a pas de sens : sans clé, on ne pourrait jamais déchiffrer. Dans une copie d'E7, écris chiffrer, chiffrement, déchiffrer.

Encodage, hachage, chiffrement : ne plus confondre

Trois transformations changent l'apparence d'une donnée, et une seule question les sépare : peut-on revenir en arrière, et avec quoi ?

L'encodage ne protège rien. La chaîne bG9naW49YXNvbGVyJm1kcD1MeW9uMjAyNg== a l'air mystérieuse ; une seule commande la décode :

echo 'bG9naW49YXNvbGVyJm1kcD1MeW9uMjAyNg==' | openssl base64 -d
# login=asoler&mdp=Lyon2026

Le réflexe à avoir devant une donnée à protéger tient en deux questions :

1. Ai-je besoin de relire la valeur d'origine ? Non : on la hache. C'est le cas d'un mot de passe : on vérifie que le mot de passe saisi donne la même empreinte, on n'a jamais besoin de le relire.
2. Oui, et elle est sensible : on la chiffre. C'est le cas d'un numéro de sécurité sociale qu'il faut réafficher, ou d'une sauvegarde qu'il faudra restaurer.

Le principe de Kerckhoffs : l'algorithme est public, la clé est secrète

En 1883, Auguste Kerckhoffs, professeur de langues et cryptologue, publie La cryptographie militaire. Il y pose une règle toujours valable : un système de chiffrement doit rester sûr même si l'ennemi connaît tout de son fonctionnement ; seule la clé doit être secrète.

Les conséquences pour toi sont très concrètes :

• Un algorithme secret n'est pas un gage de sécurité. Un algorithme maison, que personne n'a étudié, a toutes les chances d'être cassé dès qu'il fuite (et il fuit toujours : un employé qui part, un binaire désassemblé). AES, RSA ou SHA-256 sont publics et ont résisté à des années d'attaques.
• N'invente jamais ta propre cryptographie. Pas de « XOR avec une phrase », pas de « je décale les lettres puis je passe en Base64 ». Utilise les fonctions éprouvées de ton langage : password_hash() et sodium_* en PHP, le module crypto de Node.js, System.Security.Cryptography en C#.
• Toute la sécurité repose sur la clé. La protéger, la renouveler, la sauvegarder sans la divulguer : c'est là que se jouent la plupart des incidents (gérer les clés).

On appelle sécurité par l'obscurité l'erreur inverse : compter sur le secret de la méthode plutôt que sur celui de la clé. Cacher un service sur un port inhabituel ou nommer un fichier de sauvegarde de façon bizarre peut ralentir un curieux ; ce n'est jamais une protection.

Longueur de clé, force brute et aléa

L'attaque la plus simple contre un chiffrement est la force brute (ou recherche exhaustive) : essayer toutes les clés possibles. Une clé de n bits peut prendre 2ⁿ valeurs ; chaque bit ajouté double le travail de l'attaquant.

Le guide de l'ANSSI de 2026 fixe la règle : une clé symétrique fait au moins 128 bits. Pour les algorithmes asymétriques, les tailles sont différentes (une clé RSA de 2 048 bits offre une sécurité d'environ 112 bits) : le chapitre 4 donne les équivalences.

Une clé longue ne sert à rien si elle est prévisible. Les clés, les sels, les vecteurs d'initialisation et les jetons doivent venir d'un générateur d'aléa cryptographique :

Où un technicien croise la cryptographie

Ce que disent le référentiel et la réglementation

Le bloc 3 du BTS SIO, « Cybersécurité des services informatiques », compte quatre compétences communes aux deux options : protéger les données à caractère personnel, préserver l'identité numérique de l'organisation, sécuriser les équipements et les usages des utilisateurs, garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données face à des cyberattaques. Il ajoute une compétence d'option : assurer la cybersécurité d'une solution applicative et de son développement (SLAM), ou d'une infrastructure réseau, d'un système, d'un service (SISR). La cryptographie traverse les cinq. Le bloc est évalué par l'écrit E7 (unité U7), une étude de cas de 4 heures, de coefficient 4, propre à chaque option. Jusqu'à la session 2024, cette épreuve s'appelait E6 (U6) : les sujets 2022 à 2024 restent d'excellents entraînements.

Trois textes encadrent l'usage de la cryptographie dans une organisation :

• Le RGPD. Son article 32 impose au responsable de traitement des mesures de sécurité « appropriées » et cite parmi elles « la pseudonymisation et le chiffrement des données à caractère personnel ». Son article 34 dispense d'informer les personnes concernées d'une violation de données si celles-ci étaient rendues incompréhensibles, par exemple par un chiffrement. Le chiffrement est donc une mesure recommandée, pas une obligation absolue : le chapitre 10 détaille ce point, qui est tombé à l'E7 2026.
• La directive NIS 2 (UE 2022/2555). Son article 21 impose aux entités essentielles et importantes des « politiques et procédures relatives à l'utilisation de la cryptographie et, le cas échéant, du chiffrement ». Elle devait être transposée avant le 17 octobre 2024. En France, le projet de loi « Résilience », qui la transpose, a été adopté par le Sénat le 12 mars 2025 ; son examen en séance à l'Assemblée nationale, prévu en octobre 2026, a de nouveau été reporté. À la date de ce cours, la transposition n'est donc pas achevée : vérifie où elle en est avant ton épreuve.
• Les guides de l'ANSSI. Ils n'ont pas valeur de loi pour une entreprise privée, mais ils font référence : le guide sur le choix et le dimensionnement des mécanismes cryptographiques (2026), le guide de sélection d'algorithmes (2021), les recommandations sur TLS, sur les mots de passe et l'authentification multifacteur.

À l'E7 : comment la notion est demandée

Les sujets ne demandent presque jamais une définition pour elle-même. Ils posent une situation et te demandent de choisir et de justifier :

• « Choisir la solution qui semble la plus sécurisée » entre des mots de passe chiffrés par AES et des mots de passe hachés (sujet SLAM 2022, cas Denas) ;
• « Indiquer quelle solution (enregistrement de l'empreinte du mot de passe ou enregistrement du mot de passe chiffré) est la plus adaptée, en justifiant » (sujet SLAM 2025, cas Casterman) ;
• « Préciser, en le justifiant, si la confidentialité et l'intégrité des fichiers de journalisation sont garanties » quand les archives sont compressées et chiffrées, « mais sans vérification des sommes de contrôles » (sujet SLAM 2024, cas Gsic).

Dans les trois cas, la bonne réponse commence par la distinction de ce chapitre : le chiffrement est réversible et protège la confidentialité ; le hachage est irréversible et sert à vérifier ou à contrôler l'intégrité. Le chapitre 12 recense les questions de cryptographie des sujets 2022 à 2026, vérifiés sur les sujets officiels.

En SLAM, la notion apparaît dans le code : une colonne mot_de_passe remplie avec sha1(), une clé de chiffrement écrite en dur. En SISR, elle apparaît dans la configuration : un protocole non chiffré (Telnet, SMBv2, SNMPv2c), un certificat d'autorité interne à déployer, un VPN à justifier.

Pour aller plus loin. Les quatre services de la cryptographie répondent aux critères DICP, présentés dans le chapitre La cybersécurité et les critères DICP du cours Cybersécurité : les fondamentaux.

Exercices