Les bases du chiffrement des données expliquées simplement pour tous

Un jour, un client m'appelle, paniqué : son prestataire informatique venait de lui annoncer que ses sauvegardes étaient « chiffrées ». Il a respiré. Puis il m'a demandé : « Donc on est protégés, non ? » J'ai dû lui répondre que non. Pas forcément. Chiffré ne veut pas dire protégé, et c'est probablement la confusion la plus répandue que je croise dans mon travail.

Le chiffrement des données, dans les grandes lignes, c'est transformer un texte lisible en une bouillie de caractères incompréhensible, que seule une personne détenant la bonne clé peut reconstituer. Ça, tout le monde le sait plus ou moins. Mais dès qu'on gratte un peu, les mêmes questions reviennent : quelle différence entre symétrique et asymétrique, à quoi ça sert vraiment au quotidien, et pourquoi mon mot de passe de messagerie ne suffit pas à me protéger. Voilà ce qu'on va démêler ensemble.

Le chiffrement des données, une définition qui tient en une phrase

Le chiffrement, c'est une opération mathématique qui prend vos données et une clé, et qui produit un résultat illisible. Avec la même clé et le bon algorithme, on refait l'opération à l'envers et on retrouve l'original. Sans la clé, on obtient du bruit.

Le mot « clé » est ici central. Beaucoup de gens imaginent que l'algorithme est secret. Faux, et c'est une bonne nouvelle : les algorithmes sérieux sont publics, audités par des milliers de chercheurs. La sécurité repose entièrement sur le secret de la clé. C'est d'ailleurs pour ça qu'une clé courte est dangereuse : avec assez de puissance de calcul, on peut toutes les essayer une par une.

Bon, et cette histoire d'essayer toutes les clés, ça donne quoi concrètement ? Une clé de 8 bits, c'est 256 possibilités. Un ordinateur lambda les teste en une fraction de seconde. Une clé de 128 bits, on parle d'un nombre à 39 chiffres de combinaisons. Pour vous donner un ordre de grandeur : même en mobilisant une puissance de calcul considérable, on reste sur des durées qui dépassent l'âge de l'univers. C'est pour ça que la taille de clé, ce n'est pas un détail marketing.

Chiffrement, cryptographie, cryptologie : ne mélangez plus

Trois mots qui se ressemblent et qu'on m'oppose souvent en réunion. La cryptologie est la discipline globale : l'étude des messages secrets, dans tous ses aspects. La cryptographie est la partie qui consiste à concevoir des méthodes pour protéger l'information. La cryptanalyse est le camp d'en face : l'art de casser ces méthodes sans avoir la clé.

Retenez le triptyque : on construit, on attaque, on étudie l'ensemble. Quand un algorithme résiste des années à la cryptanalyse publique, on commence à lui faire confiance.

Symétrique ou asymétrique : la distinction qui explique tout le reste

Si vous ne devez retenir qu'une seule chose de cet article, c'est celle-ci. Tout le reste en découle.

Le chiffrement symétrique : une seule clé pour fermer et ouvrir

Imaginez un coffre-fort avec une serrure unique. La même clé sert à le verrouiller et à l'ouvrir. C'est exactement le chiffrement symétrique : une clé partagée entre l'émetteur et le destinataire. AES est l'algorithme de référence aujourd'hui, et il est rapide — très rapide, ce qui le rend parfait pour chiffrer de gros volumes : un disque dur entier, une base de données, un flux vidéo.

Son défaut est évident et cruel : comment transmettre la clé à votre correspondant sans qu'un tiers l'intercepte ? Si vous envoyez le coffre et la clé dans le même colis, n'importe qui ouvre le colis. C'est le problème du partage de clé, et il a occupé les cryptographes pendant des décennies.

Le chiffrement asymétrique : deux clés, dont une publique

La solution est élégante. Au lieu d'une clé, on en génère deux, mathématiquement liées mais impossibles à déduire l'une de l'autre. Une clé publique, que vous distribuez à la terre entière. Une clé privée, que vous ne donnez à personne, jamais.

Ce que l'on chiffre avec la clé publique ne peut être déchiffré qu'avec la clé privée correspondante. L'image que j'utilise avec mes clients : un cadenas ouvert que vous laissez à disposition. N'importe qui peut y enfermer un message et refermer le cadenas. Mais seul le détenteur de la clé du cadenas peut le rouvrir. Distribuer le cadenas ne compromet rien.

RSA est l'exemple le plus connu, du nom de ses trois inventeurs. Il repose sur une asymétrie de difficulté : multiplier deux grands nombres premiers est facile, retrouver ces deux nombres à partir du résultat est extrêmement coûteux. C'est cette dissymétrie qui rend l'attaque impraticable en pratique.

Alors pourquoi ne pas tout faire en asymétrique ? Parce que c'est lent. Vraiment lent, des centaines de fois plus lent que le symétrique. D'où l'astuce utilisée partout : on se sert de l'asymétrique pour échanger une clé symétrique de session, puis on chiffre les données avec cette clé rapide. Le meilleur des deux mondes.

Le tableau que je donne à chaque débutant

Critère	Chiffrement symétrique	Chiffrement asymétrique
Nombre de clés	Une seule, partagée	Deux : publique et privée
Vitesse	Très rapide	Nettement plus lent
Usage typique	Fichiers, disques, flux, sauvegardes	Échange de clés, signatures, certificats
Point faible	Le partage de la clé	La bonne conservation de la clé privée
Algorithmes courants	AES, ChaCha20	RSA, courbes elliptiques
Analogie	Un coffre à serrure unique	Un cadenas ouvert que l'on distribue

Un mot sur les courbes elliptiques, puisque je vois souvent la question passer. Elles offrent le même niveau de sécurité que RSA avec des clés bien plus courtes. Une clé de 256 bits sur courbe elliptique équivaut, en résistance, à une clé RSA de plusieurs milliers de bits. Sur un téléphone ou un objet connecté, cette différence change tout.

Où le chiffrement vous protège déjà, sans que vous le sachiez

Le cadenas dans la barre d'adresse de votre navigateur ? C'est du chiffrement. Le petit s signifie que la connexion est chiffrée de bout en bout : entre votre appareil et le serveur, personne ne peut lire ce qui circule. Sans lui, votre mot de passe et votre numéro de carte bancaire voyageraient en clair sur le réseau.

Au-delà du web, la liste est longue :

• Les messageries annoncées comme chiffrées de bout en bout, où seuls l'émetteur et le destinataire détiennent les clés.
• Le chiffrement intégral d'un disque dur, qui rend les fichiers illisibles si l'appareil est volé.
• Les VPN, qui chiffrent votre trafic entre votre machine et le serveur de sortie.
• Les sauvegardes externalisées, souvent chiffrées côté client avant l'envoi.
• Les signatures numériques, qui reposent sur la même mécanique de clés publique et privée, mais dans l'autre sens : on chiffre avec la clé privée pour prouver son identité.

Franchement, la plupart des gens utilisent ces outils sans jamais se poser la question. Tant mieux, d'une certaine façon. Mais le jour où ça compte, il vaut mieux comprendre ce qui se passe.

Quelle technique de cryptage a marqué la guerre ?

La plus célèbre reste la machine Enigma, utilisée par l'armée allemande pendant la Seconde Guerre mondiale. Elle reposait sur des rotors qui modifiaient le chiffrement à chaque frappe, ce qui rendait la tâche redoutable. Le camp allié a fini par la casser, notamment grâce au travail d'Alan Turing et de son équipe à Bletchley Park, en exploitant des faiblesses de procédure autant que la puissance de calcul. Bien avant cela, le code de César, qui consistait à décaler chaque lettre de l'alphabet d'un nombre fixe de rangs, est resté l'exemple d'école de la cryptographie par substitution.

Un exemple d'algorithme de chiffrement, en clair

Prenons le plus simple, celui qu'on donne en cours. Vous voulez chiffrer le mot BONJOUR avec un décalage de 3. Le B devient E, le O devient R, et ainsi de suite. Résultat : ERQMRXU. Pour déchiffrer, on décale dans l'autre sens.

Pourquoi c'est pédagogique ? Parce qu'il montre tout : un algorithme connu de tous, une clé (le décalage de 3), et une faiblesse criante. Il n'y a que 25 décalages possibles. Un enfant les teste à la main. C'est exactement l'inverse d'AES, où la clé est si longue que l'énumération exhaustive devient hors de portée. Même principe, échelle radicalement différente.

Les erreurs que je vois le plus souvent

Un dirigeant m'a montré un jour sa « stratégie de sécurité » : un disque externe, des sauvegardes quotidiennes, tout chiffré. Sauf que le mot de passe du disque était dans un fichier texte, sur le même disque. Chiffrer sans protéger la clé, c'est poser une serrure blindée sur une porte en carton.

Trois confusions reviennent sans arrêt :

1. Croire que chiffrer rend une donnée définitivement inaccessible. Non : une clé qui fuite, et tout redevient lisible.
2. Confondre hachage et chiffrement. Un mot de passe n'est pas « déchiffré » par un attaquant, il est comparé à une empreinte calculée. Le hachage va dans un seul sens.
3. Penser qu'un algorithme ancien mais « pas encore cassé » est un choix prudent. En sécurité, on ne parie pas sur la chance.

Et il y a la question qui fâche, celle que j'ai fini par poser systématiquement : qui détient la clé ? Si la réponse est « le fournisseur, et nous ne la voyons jamais », alors votre prestataire peut techniquement lire vos données. Ce n'est pas forcément un problème selon le contexte, mais il faut le savoir et le décider en conscience.

Ce que le chiffrement ne fera jamais pour vous

Il ne protège pas une donnée déjà ouverte. Une fois déchiffrée à l'écran, elle est en clair dans la mémoire de la machine, et là, aucune clé ne vous sauve. C'est pour cette raison que le chiffrement « en cours de traitement » est un chantier bien plus délicat que le chiffrement au repos ou en transit.

Il ne remplace pas de bonnes pratiques. Un système parfaitement chiffré avec un mot de passe réutilisé partout reste une passoire. Et il ne vous protège pas d'un utilisateur qui copie lui-même les données ailleurs, sur une clé USB non chiffrée par exemple. La meilleure serrure du monde ne sert à rien si quelqu'un laisse la fenêtre ouverte.

Enfin, gardez en tête que le chiffrement protège contre l'interception et le vol. Il ne protège pas contre la suppression. Une donnée chiffrée que l'on efface reste effacée, clé ou pas.

Si vous retenez une seule question de tout ça, que ce soit celle-ci : non pas « mes données sont-elles chiffrées ? », mais « qui détient la clé, et qu'est-ce que ça implique ? ». La réponse à cette deuxième question vous en apprendra bien plus sur votre sécurité réelle que n'importe quelle promesse de chiffrement sur une plaquette commerciale.