Fournisseurs de sécurité - Paramètres Argon2

Dans Remote Desktop Manager, la Phrase secrète partagée (v3) pour le Fournisseur de sécurité utilise la fonction de dérivation de clé (KDF) Argon2id pour transformer la phrase secrète en clé de chiffrement.

Le menu Avancé permet d'ajuster la dérivation afin de la rendre plus facile ou plus difficile à calculer.

Pourquoi rendre la dérivation plus difficile à calculer ?

Supposons qu'un acteur malveillant accède à un ordinateur inscrit dans le fournisseur. Cet attaquant aurait accès à la clé de chiffrement utilisée pour déchiffrer les données de la base de données, mais n'obtiendrait pas directement la phrase secrète elle-même en raison de la dérivation.

Ce qu'un attaquant peut faire, c'est tenter de récupérer le mot de passe par force brute, en essayant plusieurs mots de passe et en comparant le résultat avec la clé jusqu'à trouver une correspondance. Rendre le hachage plus lent à calculer, dans une mesure imperceptible pour les utilisateurs légitimes, complique considérablement la tâche d'un attaquant qui tente de retrouver le mot de passe par force brute.

Cette dérivation n'est effectuée qu'une seule fois lors de l'inscription d'une instance de Remote Desktop Manager auprès du Fournisseur de sécurité. Par conséquent, des valeurs plus élevées ici n'affecteront pas les performances des opérations quotidiennes courantes.

Quels sont les différents paramètres ?

• Itérations : Communément appelé le paramètre « temps », il allonge directement la durée de calcul de la clé. Pour prévenir certaines attaques, il doit être défini à au moins 2, mais une valeur plus élevée est préférable.
• Mémoire : Il s'agit du nombre de kilo-octets de RAM utilisés par l'algorithme. Augmenter ce nombre accroît la consommation de RAM par le calcul et le ralentit également. Ce paramètre existe parce que la force brute est généralement effectuée sur le GPU, qui peut calculer un grand nombre de dérivations en parallèle, mais dispose d'une quantité de VRAM relativement limitée. L'idée d'augmenter l'utilisation de la RAM est de créer un goulot d'étranglement pour la force brute sur GPU via la quantité limitée de VRAM disponible.
• Voies : Il s'agit du nombre de cœurs CPU, si disponibles, qui seront utilisés pour la dérivation. Augmenter cette valeur accélérera le calcul, à condition de disposer d'un nombre suffisant de cœurs CPU.

Quelles valeurs dois-je utiliser ?

Les paramètres par défaut sont suffisants pour prévenir la plupart des attaques par force brute. Toutefois, si vous souhaitez les ajuster vous-même, vous pouvez suivre ces étapes en utilisant le bouton Test pour voir combien de temps il faudrait pour calculer la clé :

1. Définissez le paramètre Voies au nombre de cœurs CPU du PC ayant le moins de cœurs qui se connectera à la base de données. Par exemple, si les ordinateurs utilisés pour accéder à la base de données ont 2, 4 ou 8 cœurs, définissez Voies à 2.
2. Définissez Itérations à 2 pour l'instant.
3. Augmentez le paramètre Mémoire aussi haut que souhaité.

   • Si vous vous arrêtez parce que vous ne souhaitez pas ralentir davantage le calcul, vous pouvez passer l'étape 4.
   • Si vous vous arrêtez parce que vous ne souhaitez pas utiliser plus de RAM, mais que vous acceptez de prolonger la durée du calcul, passez à l'étape 4.
4. Augmentez le paramètre Itérations aussi haut que souhaité avant que le calcul ne devienne trop lent.

Pour plus d'informations, consultez les ressources suivantes :

• Argon2: the memory-hard function for password hashing and other applications
• How to Choose the Right Parameters for Argon2