Sensations fortes et périls de la crypto javascript

Présentation sur la cryptographie client-side avec javascript: les challenges, la controverse, les applications plausibles et les bonnes techniques. Suivi d'un example!

Transcript

1. Sensations Fortes … et périls de la crypto Javascript
2. Présentateur • Alexandre Rimthong • CODE3 • Patenteux • Montréhack • OWASP
3. Sensations fortes • Crypto, contexte et enjeux • Pourquoi Javascript, client side? • Problème de la sécurité bout-en-bout • Problèmes techniques • Solutions techniques présentes • Nouvelles et futures solutions • Démo! ...et périls de la crypto client javascript
4. Contexte et enjeux Révélations de Snowden / PRISM Espionage domestique et international Les entreprises La démocratie
5. Pourquoi la crypto javascript? Explosion du Javascript client/serveur Le browser est le nouvel OS Excellent outreach Ta mère utilise javascript
6. Pourquoi client side? Change de paradigme de confiance Regagner la confiance du public Sécurité bout-en-bout
7. Chiffrement Bout en Bout? Communication typique: Chiffrement e2e:
8. L’oeuf ou la poule? Si on veut se protéger d’un MITM? Si le serveur est l’adversaire?
9. Donc des exemples d’application SSL pour authentifier serveur, crypto pour protéger les données Crypto provenant d’une autre source Chiffrement de local storage
10. On plonge, mais attention! Crypto maison Randomness et entropie Nature mutable du javascript
11. Les dangers du fureteur Environnement hostile Autres scripts Stockage de clés Performance du fureteur
12. Ouf, un peu d’aide? Librairies crypto disponibles: • crypto-js • SJCL • OpenPGP.js
13. Et le fureteur? • window.crypto. random • stockage html5 • file api • sandboxing de script
14. Nouvelles solutions / à venir • Emscripten LLVM -> JS • ASM.js
15. Web Crypto API • Standard proposé par W3C • Working draft du 23 juin 2013 • Source de random • Gestion des clés • Plusieurs algos • Critiques
16. Démo -> Crypto-chrome Extension Chrome développée en moins de 24h lors de HackMTL Principe est d’offrir de l’API de crypto pour des webservices existants Attention: je ne suis pas un mathémagicien de la crypto!
17. Architecture Chrome Extension
18. Demo! ...
19. Librairies et techniques utilisées • LocalStorage + SCJL • OpenPGPJS • Hash Visuel
20. Lacunes et faiblesses • Génération de clé • Plus de content scripts • Chiffrement et signature de fichiers • Mémoire et local storage • Certains gotcha de sites (drafts)
21. Fin Questions, commentaires, propos haineux? twitter: @rimthong github: bushibytes