Chiffrement AES-256-GCM : guide du développeur

Qu'est-ce que AES-256-GCM ?

AES-256-GCM est un moyen de chiffrer des données pour que seul quelqu'un disposant du mot de passe puisse les lire. Il est utilisé par les gouvernements, les banques et les applications de sécurité du monde entier.

Le « 256 » signifie qu'il utilise une clé de 256 bits. C'est un nombre si grand qu'il faudrait des milliards d'années pour le deviner.

La partie « GCM » ajoute ce qu'on appelle le « chiffrement authentifié ». Cela signifie que vous pouvez détecter si quelqu'un a altéré les données chiffrées.

Comment fonctionne le chiffrement

Pensez au chiffrement comme à un coffre-fort. Vous y placez vos données, le verrouillez avec un mot de passe, et seule une personne disposant de ce mot de passe peut l'ouvrir.

La magie opère par les mathématiques. Votre mot de passe est étiré en une clé de chiffrement robuste grâce à un processus appelé PBKDF2. Cela rend même les mots de passe faibles beaucoup plus forts.

Ensuite, AES brouille vos données avec cette clé. Le résultat ressemble à du bruit aléatoire. Sans le mot de passe, il est mathématiquement impossible de déchiffrer.

Quand utiliser le chiffrement AES

• Fichiers sensibles – Déclarations fiscales, dossiers médicaux, documents juridiques
• Avant le stockage cloud – Chiffrez avant d'envoyer sur Dropbox ou Drive
• Pièces jointes e-mail – Protégez les fichiers envoyés par e-mail
• Clés USB – Chiffrez les fichiers sur un stockage portable

Exemples d'implémentation AES-256-GCM

Voici comment implémenter le chiffrement AES-256-GCM dans différents langages de programmation :

const crypto = require('crypto');
// Generate a random 256-bit key
const key = crypto.randomBytes(32);
const iv = crypto.randomBytes(16);
// Encrypt
const cipher = crypto.createCipheriv('aes-256-gcm', key, iv);
let encrypted = cipher.update('Secret message', 'utf8', 'hex');
encrypted += cipher.final('hex');
const authTag = cipher.getAuthTag();
console.log('Encrypted:', encrypted);
console.log('Auth Tag:', authTag.toString('hex'));

from cryptography.hazmat.primitives.ciphers.aead import AESGCM
import os
# Generate a random 256-bit key
key = AESGCM.generate_key(bit_length=256)
aesgcm = AESGCM(key)
# Generate nonce (IV)
nonce = os.urandom(12)
# Encrypt
plaintext = b'Secret message'
ciphertext = aesgcm.encrypt(nonce, plaintext, None)
print(f'Key: {key.hex()}')
print(f'Nonce: {nonce.hex()}')
print(f'Ciphertext: {ciphertext.hex()}')

async function encryptData(plaintext, password) {
  // Derive key from password using PBKDF2
  const encoder = new TextEncoder();
  const passwordKey = await crypto.subtle.importKey(
    'raw', encoder.encode(password), 'PBKDF2', false, ['deriveKey']
  );
  
  const salt = crypto.getRandomValues(new Uint8Array(16));
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 100000, hash: 'SHA-256' },
    passwordKey, { name: 'AES-GCM', length: 256 }, false, ['encrypt']
  );
  
  // Encrypt
  const iv = crypto.getRandomValues(new Uint8Array(12));
  const encrypted = await crypto.subtle.encrypt(
    { name: 'AES-GCM', iv }, key, encoder.encode(plaintext)
  );
  
  return { encrypted, iv, salt };
}

Conseils sur les mots de passe

Votre chiffrement ne vaut que ce que vaut votre mot de passe. Voici comment le rendre efficace :

Utilisez une phrase de passe – Quatre ou cinq mots aléatoires sont plus faciles à retenir et plus difficiles à casser que des caractères aléatoires.

Faites-la longue – 16 caractères minimum. Plus c'est long, mieux c'est.

Ne la réutilisez pas – Ce mot de passe protège tout ce que vous chiffrez avec. Gardez-le unique.

Stockez-la en sécurité – Utilisez un gestionnaire de mots de passe. Notez-la et rangez-la dans un coffre. Ne la perdez jamais.

Ce qu'il ne peut pas faire

Le chiffrement AES protège vos données au repos. Il ne les protège pas pendant que vous les utilisez.

Si votre ordinateur contient un logiciel malveillant, il peut lire les données déchiffrées pendant votre travail.

Le chiffrement ne cache pas non plus que vous avez des données chiffrées. Quelqu'un peut voir que vous avez un fichier, simplement il ne peut pas le lire.

Questions fréquentes

Références

Cet article s'appuie sur les normes industrielles et les bonnes pratiques de sources autoritatives :

• NIST FIPS 197-upd1 – Advanced Encryption Standard (AES) : https://doi.org/10.6028/NIST.FIPS.197-upd1
• NIST SP 800-38D – Recommandation pour les modes de fonctionnement des chiffrements par blocs : Galois/Counter Mode (GCM) et GMAC : https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-38d.pdf
• RFC 5084 – Utilisation du chiffrement authentifié AES-CCM et AES-GCM : https://www.rfc-editor.org/rfc/rfc5084
• Aide-mémoire OWASP sur le stockage cryptographique : https://cheatsheetseries.owasp.org/cheatsheets/Cryptographic_Storage_Cheat_Sheet.html