Algorithme Serpent / Twofish sur Keypass et quelques plugins

Attention, cet article a plus d'une année d'ancienneté. Il est possible que les informations présentées ne soient plus à jour, spécialement dans le cadre d'un article technique.

Bonjour à tous,

Article un peu plus léger que d’habitude, on va voir comment intégrer l’Algorithme Serpent sur Keypass par le biais d’un plug-in. J’en profiterais également pour vous montrer deux-trois plug-ins sympas que j’utilise sur Keypass.

Un petit peu d’histoire:

Tous les gens intéressés par l’informatique connaissent l’Advanced Encryption Standard (AES).

Rijndael, c’est l’algorithme qui propulse le web depuis les années 2000 et qui a été sélectionné pour revêtir ce doux nom d’AES.

Rijndael (= AES) marche très bien, dispose d’accélérateurs matériels dans la plupart des processeurs (hormis sur le marché du mobile) ce qui le rend super efficace, MAIS l’Rijndael a été choisi par le National Institute of Standards and Technology (NIST) lors d’un concours dans ces fameuses années 2000.

Le problème du NIST, c’est que c’est rattaché au gouvernement américain, plus précisément au Département du Commerce des États-Unis. Rien de bien grave en apparence.

Le problème de ce manque d’indépendance, c’est que le NIST doit travailler en collaboration avec d’autres départements et agences américaines (entre autres) pour l’élaboration des standards et dans cette liste de collaboration se trouve la National Security Agency (NSA).

La NSA c’est des bons, soyons clairs, ils disposent de certains des meilleurs (place un job iT ici) au monde et le chiffrement et la sécurité c’est leur dada. Problème, la NSA n’est pas une oeuvre de charité, mais une agence de renseignement, les parfaits petits espions. Et si même Monsieur tout le monde arrive à passer sous leurs radars, ça complique franchement leur job.

C’est pour ça notamment que la NSA a déjà affaibli VOLONTAIREMENT certains standards de chiffrements émis par le NIST comme pour la publication NIST SP 800-90A et évidemment, puisque j’en parle c’est que ça a fini par se savoir.

Le problème de confiance envers le NIST se pose là. Une fois que tu as compris que le feu brûle, tu te méfies des flammes et la remise en question des recommandations du NIST est toujours d’actualité avec le chiffrement sur courbes elliptiques notamment.

L’Algorithme Serpent :

Retournons en octobre 2000, lorsque Rijndael a été choisi à l’issue d’un concours pour devenir l’AES. Parmi les autres algorithmes finalistes se trouvaient notamment Serpent et Twofish qui sont encore pas mal utilisés de nos jours tout comme Rijndael (= AES).

Twofish, qui a fini en troisième place, est quasiment aussi rapide qu’AES et se place comme son meilleur remplaçant si AES est classé comme vulnérable un jour.

Serpent lui, qui a fini en deuxième place du concours juste derrière Rijndael est malheureusement plus lent que AES, suffisamment pour que cela devienne handicapant pour le web en tout cas. Il est en revanche reconnu comme plus sécurisé que Rijndael et certains s’accordent à dire que c’est pour cela que Serpent n’aurait pas été choisi par le NIST pour devenir AES (hormis la vitesse).

Dans tous les cas, si vous êtes comme moi, vous allez chercher un algorithme qui n’a pas été retouché ou approuvé par un quelconque gouvernement pour garder vos données les plus confidentielles, vos mots de passe dans cet article et on va voir maintenant comme intégrer Serpent dans keypass pour chiffrer votre base de données.

Installation dans Keypass :

Téléchargez l’archive du plug-in Serpent pour keypass et extrayez-la.

Vous aurez un dossier qui contient le fichier SerpentCipher.plgx :

Placez ce fichier dans le dossier plug-ins de votre installation Keypass, par exemple :

C:\Program Files (x86)\KeePass Password Safe 2\Plugins

Ensuite, démarrez Keypass et choisissez une base de données existante ou créez-en une nouvelle.

Allez dans l’onglet Security et sélectionnez Serpent (256-Bit Key) :

Augmentez aussi drastiquement le Number of key transformation rounds, cela augmentera le temps de chargement et de sauvegarde de la base, mais cela rendra aussi les attaques par bruteforce beaucoup plus longues.

Sinon, vous pouvez aussi utiliser l’algorithme Twofish en utilisant cette extension et en suivant la même procédure :