Chiffrement et hachage en JavaScript

Dans le paysage numérique actuel, la nécessité de sécuriser les données est plus critique que jamais. Que vous transmettiez des informations sensibles ou stockiez les informations d’identification des utilisateurs, il est essentiel de comprendre les mécanismes qui protègent ces données. Dans le monde de JavaScript, le chiffrement et le hachage sont deux techniques clés que les développeurs peuvent exploiter pour protéger les informations. Mais quels sont exactement ces processus et comment pouvez-vous les implémenter efficacement dans vos projets JavaScript ? Ce blog vous présentera les concepts de cryptage et de hachage, explorera leurs différences et vous montrera comment les appliquer dans des scénarios réels à l’aide de JavaScript.

Le chiffrement et le hachage sont tous deux cruciaux pour sécuriser les données, mais ils répondent à des objectifs différents et fonctionnent différemment. Comprenons-les un par un en commençant par le cryptage.

Qu’est-ce que le cryptage

Le cryptage agit comme un code secret pour les informations. Il utilise un processus spécial (appelé algorithme de chiffrement) ainsi qu’une clé pour transformer les données lisibles (texte brut) en un format illisible (texte chiffré). Lorsque le destinataire prévu reçoit ces données cryptées, il utilise une clé pour les reconvertir dans leur forme originale.

Types de cryptage

• Cryptage symétrique : Il s’agit d’une méthode cryptographique qui utilise la même clé pour le cryptage et le déchiffrement. Fonctionnement du cryptage symétrique :
  1. Génération de clé : Le processus commence par la création d’une clé secrète unique. Cette clé sera utilisée à la fois pour le cryptage et le déchiffrement.
  2. Processus de cryptage : À l’aide d’un algorithme de chiffrement symétrique (comme AES, DES ou 3DES) et de la clé secrète, le texte brut est converti dans un format illisible. Les données cryptées (texte chiffré) sont ensuite envoyées au destinataire.
  3. Processus de décryptage : En utilisant le même algorithme de chiffrement symétrique et la même clé, le récepteur déchiffre le texte chiffré dans sa forme originale.

Le chiffrement symétrique est généralement plus rapide que le chiffrement asymétrique, ce qui le rend idéal pour chiffrer de grandes quantités de données. Cependant, il présente un problème majeur de distribution. Pour surmonter ce problème, le chiffrement asymétrique est souvent préféré dans certains scénarios spécifiques.

• Cryptage asymétrique : Contrairement au chiffrement symétrique, qui utilise la même clé pour les deux processus, le chiffrement asymétrique utilise deux clés distinctes mathématiquement liées : une clé publique pour le cryptage et un clé privée pour le décryptage. Le fonctionnement du cryptage asymétrique est le même que celui du cryptage symétrique, la seule différence est que deux clés différentes sont utilisées.

Cas d’utilisation du chiffrement

• Communication en ligne sécurisée (HTTPS) : Le cryptage est utilisé pour protéger les données telles que les noms d’utilisateur, les mots de passe ou les informations de paiement lors de leur transmission sur un réseau. HTTPS (SSL/TLS) crypte la communication entre les navigateurs Web et les serveurs, garantissant ainsi la sécurité des données.
• Cryptage des e-mails : Crypter le contenu des e-mails pour garantir que seul le destinataire prévu peut lire le message. PGP (Pretty Good Privacy) ou S/MIME (Secure/MultiPurpose Internet Mail Extensions) sont utilisés pour crypter les e-mails.
• Applications de messagerie cryptée : Le cryptage de bout en bout (E2EE) est utilisé dans les applications de messagerie pour garantir que seuls l’expéditeur et le destinataire peuvent lire les messages. Des applications comme WhatsApp, Signal et Telegram utilisent un cryptage de bout en bout.

Jusqu’à présent, vous avez découvert le chiffrement et ses cas d’utilisation. Cependant, vous avez peut-être remarqué que le chiffrement est un basé sur des clés méthode et un réversible processus, ce qui signifie que vous pouvez obtenir les données originales à l’aide de la clé de déchiffrement, et si un attaquant accède à la clé, il peut déchiffrer les données.

Pour résoudre le problème de la réversibilité des données, nous disposons d’une méthode appelée hachagece qui est irréversible. Bien que le chiffrement et le hachage répondent à des objectifs différents et qu’aucun d’eux ne soit intrinsèquement supérieur à l’autre, ils sont utilisés dans des scénarios distincts. Par exemple, si vous envoyez un message texte volumineux via WhatsApp, le hachage ne conviendra pas car le message devra être déchiffré ultérieurement par le destinataire.

Voyons l’implémentation du chiffrement asymétrique dans ReactJS/NextJS et Node.js en utilisant forge de nœuds emballer.

Celui-ci est le fichier app.js dans le dossier racine, dans lequel ligne 11 vous pouvez voir l’importation de fichiers de chiffrement, et dans ligne 36 établissement de la route avec authentification JWT.

Fichier de cryptage dans le dossier du routeur où vous pouvez voir le forge de nœuds le paquet est importé dans ligne 2génération de clés publiques et privées sur ligne 5 et trois paramètres ultérieurs.

L’authentification se produit ici dans le fichier index.js dans le dossier middleware.

Passons maintenant au côté client.

Ici, vous pouvez clairement voir un utiliserEffet où nous récupérons la clé publique pour le processus de cryptage. Après cela nous avons 2 méthodes, une pour le cryptage et une autre pour le décryptage et enfin une console pour enregistrer les données.

Dans l’exemple ci-dessus, vous vous demandez peut-être pourquoi nous n’avons pas de point de terminaison pour la clé privée. La réponse est donc très simple : la clé privée est censée rester secrète. L’exposer peut compromettre la sécurité du processus de cryptage et de décryptage. Dans un environnement de production, les clés privées doivent rester sur le serveur et ne jamais être envoyées ou stockées côté client.

Maintenant, la question est de savoir quand utiliser le chiffrement ou le hachage. Cela deviendra plus clair dans les sections à venir. Pour l’instant, il est important de comprendre d’abord ce qu’est le hachage et comment il fonctionne.

Qu’est-ce que le hachage

Le hachage est un processus qui convertit les données d’entrée de n’importe quelle taille en une chaîne de caractères de taille fixe. Algorithme de hachage sécurisé (SHA) est une fonction de hachage renommée qui prend une entrée et renvoie une chaîne de taille fixe, généralement un résumé de hachage représenté en hexadécimal.

Vous vous demandez peut-être si le hachage peut être craqué ou déchiffré ? Le hachage est similaire au chiffrement, la seule différence entre le hachage et le chiffrement est que le hachage est unidirectionnel, ce qui signifie qu’une fois les données hachées, le résumé de hachage résultant ne peut pas être craqué à moins qu’une attaque par force brute ou une attaque par table Rainbow ne soit utilisée.

Prenons un exemple pour mieux comprendre. Supposons que nous ayons deux entrées légèrement différentes « Bonjour » et « bonjour », hachées avec la fonction SHA-256. Le résumé de hachage du premier message ressemblera à

"185f8db32271fe25f561a6fc938b2e264306ec304eda518007d1764826381969"

tandis que pour le deuxième message, ce sera-

"2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824"

C’est ce qu’on appelle l’effet d’avalanche. Cet effet est important en cryptographie, car cela signifie que même le moindre changement dans le message d’entrée modifie complètement la sortie. Cela empêchera les attaquants de comprendre ce que dit initialement le résumé de hachage et d’indiquer au destinataire du message si le message a été modifié ou non pendant son transit.

Types de SHA

SHA-1 a été publié en 1995 avec une longueur de hachage de 160 bits et a été largement utilisé dans le passé pour les signatures numériques et les certificats SSL. Cependant, en raison de la courte longueur du résumé de hachage, SHA-1 est plus facilement forcé par force brute et il peut également donner le même résumé de hachage à deux valeurs différentes (appelé collision). Il n’est plus considéré comme sécurisé et obsolète pour la cryptographie. fins.

SHA-2 est sorti en 2001 avec une variété de longueurs de bits allant de 256 à 512.

• SHA-224 : résumé de hachage de 224 bits
• SHA-256 : résumé de hachage de 256 bits (64 caractères hexadécimaux)
• SHA-384 : résumé de hachage de 384 bits
• SHA-512 : résumé de hachage de 512 bits

SHA-2 est largement utilisé et est considéré comme sécurisé pour la plupart des objectifs cryptographiques. Il est utilisé dans tous les certificats SSL, signatures numériques et technologies blockchain depuis 2016.

SHA-3 a été publié en 2015 et développé comme sauvegarde au cas où des vulnérabilités seraient découvertes dans SHA-2. Il utilise une structure interne différente (algorithme Keccak) et offre une sécurité supplémentaire. Bien que SHA-2 reste sécurisé et largement utilisé, SHA-3 offre une alternative pour des niveaux de sécurité plus élevés.

Dans la cryptographie moderne, SHA-2 et SHA-3 sont les préférés.

Actuellement, SHA-2 est la norme industrielle pour les algorithmes de hachage. Cependant, SHA-3 pourrait éventuellement prendre sa place. À mesure que SHA-2 devient obsolète ou vulnérable, un passage à SHA-3 est probable dans le futur.

Vous comprenez désormais parfaitement ce que sont le cryptage et le hachage et en quoi ils diffèrent les uns des autres. Avant de conclure le blog, voyons quelques cas d’utilisation du Hashing.

Cas d’utilisation du hachage

Le cas d’utilisation le plus important du hachage est le hachage d’un mot de passe. En outre, les SHA sont essentiels non seulement pour les signatures numériques et les certificats dans les connexions SSL/TLS, comme mentionné précédemment, mais ils jouent également un rôle crucial dans d’autres applications. Les SHA sont utilisés dans des protocoles tels que SSH, S/MIME (Secure/MultiPurpose Internet Mail Extensions) et IPSec.

• Le hachage est utilisé dans les sommes de contrôle pour détecter les erreurs dans la transmission des données. Des protocoles tels que TCP/IP utilisent des sommes de contrôle pour vérifier l’intégrité des paquets de données transmis sur Internet.
• Le hachage est utilisé dans les systèmes de contrôle de version (par exemple, Git) pour créer des identifiants uniques (hachages) pour chaque commit. Git utilise SHA-1 (et évolue vers SHA-256) pour générer des hachages de validation, qui suivent les modifications dans l’historique du projet.
• Le hachage est utilisé dans les blockchains pour relier les blocs et garantir l’immuabilité de la chaîne. Bitcoin et autres crypto-monnaies utilisent le hachage SHA-256 pour maintenir l’intégrité de la blockchain et assurer la sécurité des transactions.

Conclusion

Le cryptage garantit que les données sensibles restent confidentielles, permettant une transmission et un stockage sécurisés des informations. D’un autre côté, le hachage assure l’intégrité et l’authenticité, garantissant que les données ne sont ni falsifiées ni facilement inversées.

En tirant parti de ces techniques, vous pouvez garantir que vos applications restent sécurisées, protégeant à la fois les utilisateurs et les données sensibles contre les menaces évolutives. À mesure que le besoin de sécurité augmente, rester informé et adopter les meilleures pratiques en matière de chiffrement et de hachage restera essentiel pour les développeurs JavaScript.