Fournisseurs de sécurité - Paramètres Argon2

Dans Remote Desktop Manager, la Phrase de passe partagée (v3) du Fournisseur de sécurité utilise la fonction de dérivation de clé (KDF) Argon2id pour transformer la phrase de passe en clé de chiffrement.

Le menu Avancé sert à ajuster la dérivation pour la rendre plus facile ou plus difficile à calculer.

Pourquoi rendre la dérivation plus difficile à calculer?

Supposons qu'un mauvais acteur obtienne l'accès à un ordinateur inscrit au fournisseur. Cet attaquant aurait accès à la clé de chiffrement utilisée pour déchiffrer les données de la base de données, mais n'obtiendrait pas directement l'accès à la phrase de passe elle-même en raison de la dérivation.

Ce qu'un attaquant peut faire, c'est essayer de récupérer le mot de passe par force brute, en essayant plusieurs mots de passe et en comparant le résultat avec la clé jusqu'à ce qu'il trouve une correspondance. Rendre le hachage plus lent à calculer, dans une marge qui n'est pas perceptible pour les utilisateurs légitimes, rend beaucoup plus difficile pour un attaquant de retrouver le mot de passe par force brute.

Cette dérivation n'est effectuée qu'une seule fois, lors de l'inscription d'une instance de Remote Desktop Manager au Fournisseur de sécurité, donc mettre des valeurs plus élevées ici n'affectera pas la performance des opérations quotidiennes normales.

Quels sont les différents paramètres?

• Itérations : Communément appelé le paramètre « temps », il rend directement la clé plus longue à calculer. Pour prévenir certaines attaques, il devrait être réglé à au moins 2, mais plus élevé est préférable.
• Mémoire : Il s'agit du nombre de kilooctets de RAM utilisés par l'algorithme. Augmenter ce nombre fait en sorte que le calcul utilise plus de RAM et le rend aussi plus lent. Ce paramètre existe parce que la force brute est généralement effectuée sur le GPU, qui peut calculer un grand nombre de dérivations en parallèle, mais dispose d'une quantité relativement faible de VRAM. L'idée d'augmenter l'utilisation de la RAM est de créer un goulot d'étranglement pour la force brute sur GPU au moyen de la quantité limitée de VRAM disponible.
• Voies : Il s'agit du nombre de cœurs de processeur, s'ils sont disponibles, qui seront utilisés pour la dérivation. Augmenter cette valeur rendra le calcul plus rapide, tant que vous avez suffisamment de cœurs de processeur disponibles pour le calculer.

Quelles valeurs devrais-je utiliser?

Les paramètres par défaut sont suffisants pour prévenir la plupart des attaques par force brute. Cependant, si vous voulez les ajuster vous-même, vous pouvez suivre ces étapes en utilisant le bouton Test pour voir combien de temps il faudrait pour calculer la clé :

1. Réglez le paramètre Voies au nombre de cœurs de processeur du PC ayant le moins de cœurs qui va se connecter à la base de données. Par exemple, si les ordinateurs que vous utilisez pour accéder à la base de données ont 2, 4 ou 8 cœurs, réglez Voies à 2.
2. Réglez Itérations à 2 pour l'instant.
3. Augmentez le paramètre Mémoire aussi haut que souhaité.

   • Si vous arrêtez parce que vous ne voulez pas le rendre plus lent, vous pouvez sauter l'étape 4.
   • Si vous arrêtez parce que vous ne voulez pas utiliser plus de RAM, mais que vous êtes prêt à rendre le calcul plus long, passez à l'étape 4.
4. Augmentez le paramètre Itérations aussi haut que souhaité avant qu'il ne devienne trop lent.

Pour plus d'information, consultez les ressources suivantes :

• Argon2: the memory-hard function for password hashing and other applications
• How to Choose the Right Parameters for Argon2