L'EFRITS a une position particulière en cybersécurité : nous estimons que la sécurité ne devrait pas reposer uniquement sur des développeurs et développeuses appliquant correctement une bibliothèque. Il faut que nos étudiants comprennent ce qu'il y a derrière — que ce soit pour pouvoir un jour améliorer, remplacer ou simplement varier.
On enseigne donc le chiffrement dès la première année. Pas en noyant les étudiants sous AES ou RSA, pas tout de suite, mais en leur faisant d'abord fabriquer eux-mêmes leurs outils. Pendant le deuxième trimestre, ils réalisent deux projets et une épreuve technique strictement tournés autour du chiffrement. Si le code produit ne respecte pas les standards de l'industrie du jour, c'est parce que l'objectif est ailleurs.
Colle. En binôme, pendant quatre heures, les élèves doivent inventer un algorithme de digestion. Sans cours préalable. L'objectif n'est pas de produire immédiatement un bon algorithme, mais de confronter l'intuition à la réalité : collisions, structure interne, réversibilité. Ils bricolent, testent, comparent et découvrent par eux-mêmes ce qui tient et tout ce qui casse.
Premier projet. Ils mettent en œuvre des chiffrements classiques comme César, Vigenère ou XOR, avec une réflexion sur le rôle de la clé, l'importance de son imprévisibilité et le danger de la redondance. Simple et fondamental.
Deuxième projet. Ils génèrent un masque de chiffrement à partir d'une fractale. Ici, on introduit des idées de diffusion, de non-répétition et de transformation de données selon une logique plus organique. L'objectif n'est pas de créer un algorithme inviolable, mais d'introduire concrètement les questions de diffusion, de période et de non-répétition. Penser en termes de flux pseudo-aléatoire, c'est déjà apprendre à modéliser une résistance minimale face à l'analyse.
Si nous commençons avec Mandelbrot, nous encourageons les élèves à expérimenter et à imaginer d'autres approches.
Pourquoi ? Parce qu'énormément de systèmes chiffrent de la même manière. L'uniformité rend les systèmes plus vulnérables aux attaques de grande échelle. Une bibliothèque compromise, une chaîne d'intégration sabotée, et tout tombe d'un coup. Pas besoin que le concept soit imparfait : une défaillance de l'implémentation suffit.
Une réponse possible que nous percevons est une forme précise de robustesse. Pas au sens de « crypto mathématiquement sûre », mais au sens biologique : variée, imprévisible, inutilement coûteuse à attaquer. Ce que l'on cherche, c'est rendre une exploitation automatique à grande échelle plus difficile.
Dans cette optique, nous introduisons une logique de défense additionnelle : celle de la singularité. Si un système est déjà chiffré par un tunnel comme SSH ou TLS, rien n'interdit d'y ajouter une couche inhabituelle, même modeste.
Un schéma simple n'est pas là pour résister à l'analyse humaine. Mais il peut ralentir ou empêcher les attaques automatiques industrialisées. Il introduit de l'imprévisibilité, et c'est parfois tout ce qu'il faut pour ne pas faire partie des premières cibles.
Ce n'est pas un blindage, mais une sorte de brouillage local qui change la forme des données dans un espace déjà protégé. Et cela suffit parfois à créer un seuil de dissuasion.
Nous pourrions appeler cela cryptodiversité : la capacité d'un écosystème à ne pas tout faire reposer sur les mêmes points de vulnérabilité.
Il ne s'agit pas de faire n'importe quoi, mais d'introduire des singularités défensives pensées, contenues et adaptées au contexte, dans un cadre déjà protégé, comme un tunnel SSH. Des singularités qui obligent un attaquant à sortir des outils standards, à perdre l'effet de levier industriel, à faire un travail manuel nécessairement lent et coûteux.
C'est aussi une manière de désacraliser la sécurité : montrer qu'elle n'est pas une question de « utilisez ce module et tout ira bien », mais une question de comprendre ce que l'on veut empêcher et à qui l'on veut résister.
En biologie, un écosystème résiste aux infections aussi parce qu'il est divers. En cybersécurité, c'est souvent l'inverse : on crée des systèmes industriels homogènes, pour des raisons de maintenance, de compatibilité et de scalabilité. Cette homogénéité devient leur faiblesse.
Enseigner et encourager le chiffrement exotique, sans mettre de côté les techniques les plus efficaces du jour, est l'une des manières de faire de notre cursus. C'est une stratégie pédagogique et défensive.
Elle est pédagogique, parce que nos élèves comprennent vraiment ce qu'est un algorithme de chiffrement.
Elle est stratégique, parce que dans un monde de menaces industrialisées, l'imprévisibilité vaudra peut-être mieux à l'avenir qu'un standard appliqué partout.
Cela ne remplace pas les couches de sécurité existantes, mais cela peut empêcher de devenir une cible rentable.
Source initiale : ancien article WordPress