La société suisse DuoKey SA adopte un double algorithme pour protéger la distribution des clés de fichiers d'entreprise

fr.wedoany.com Rapport : Le 12 novembre, la solution de protection de fichiers SecureFolder de l'entreprise suisse de cybersécurité DUOKEY SA a dévoilé les avancées de la mise en œuvre d'une technologie hybride d'encapsulation de clés post-quantiques. Cette solution combine l'algorithme classique d'échange de clés sur courbe elliptique P-256 avec l'algorithme post-quantique d'encapsulation de clés ML-KEM-768, protégeant la transmission des clés de dossier entre les équipements terminaux et la passerelle de gestion au moyen d'un double mécanisme de négociation et de dérivation de clés, la conception technique s'appuyant sur la version 2026 du guide technique « TR-02102-1 » de l'Office fédéral allemand de la sécurité de l'information (BSI).

La solution adopte une architecture de gestion des clés à trois niveaux. Le premier niveau est la clé de chiffrement de clé (KEK), stockée dans le module de sécurité matériel (HSM) ou le coffre-fort de clés propre à l'entreprise, et ne quitte pas l'environnement protégé ; le deuxième niveau est la clé de dossier de 256 bits, protégée par chiffrement au moyen de la KEK et soumise à une gestion de versions dans la plateforme de gestion des clés ; le troisième niveau est la clé de fichier, dérivée dynamiquement au moyen de l'algorithme HKDF-SHA256 en combinant la clé de dossier et un identifiant de fichier aléatoire, et non stockée séparément. Le contenu des fichiers est chiffré au moyen de l'algorithme AES-256-GCM et traité par blocs de données de 64 Kio.

Lors du processus de distribution des clés, l'équipement terminal et la passerelle enregistrent respectivement la clé publique P-256 et la clé publique d'encapsulation ML-KEM-768. Lorsque Cockpit autorise la libération de la clé de dossier, il exécute respectivement l'échange de clés sur courbe elliptique et l'encapsulation de clés post-quantiques, puis combine les deux ensembles de matériel de clés au moyen de HKDF-SHA-384 pour générer une clé dérivée destinée à l'encapsulation de clés. Le bloc de données d'une encapsulation de clé hybride unique est de 1218 octets. Cette conception fait que la sécurité de la distribution des clés ne dépend plus uniquement des algorithmes classiques sur courbe elliptique : même si l'un des algorithmes présentait à l'avenir une faille de sécurité, l'autre algorithme pourrait encore fournir une protection indépendante.

SecureFolder a également mis en place un mécanisme anti-rétrogradation. L'équipement et la passerelle doivent disposer simultanément des deux types de clés publiques ; la passerelle refuse les demandes d'encapsulation de clés non hybrides et n'autorise pas le système à revenir, en cas d'anomalie, à un mode de distribution de clés traditionnel utilisant uniquement P-256. Le dossier, la version de clé et les informations contextuelles associées sont également intégrés aux données d'authentification afin de réduire le risque de substitution de clés et d'altération du processus de transmission.

SecureFolder se connecte à Nextcloud, openDesk et Collabora Online via une passerelle dédiée. Lorsqu'un utilisateur accède à un fichier, le système vérifie séparément les droits de partage du fichier et les droits d'utilisation de la clé dans Cockpit ; après autorisation, la passerelle déchiffre le fichier en mémoire, puis le remet au système d'édition en ligne pour traitement ; à chaque enregistrement, le fichier est rechiffré et réécrit sous forme chiffrée dans la plateforme de stockage. Cockpit enregistre simultanément les opérations d'ouverture de fichier, d'enregistrement, de libération de clé et de refus d'accès, et prend en charge le transfert des journaux vers un système de gestion des informations et des événements de sécurité (SIEM).

Selon l'état du produit publié par DUOKEY SA, SecureFolder a déjà mis en œuvre les fonctions d'encapsulation de clés hybrides, de chiffrement de fichiers, de passerelle et de journalisation des accès, et a été validé dans les environnements Nextcloud 33, Collabora Online 26.04 et openDesk édition communautaire 1.20.0. Parmi ceux-ci, openDesk est intégré via l'interface d'extension officielle, sans modification de la plateforme d'origine. La solution de déploiement local en entreprise a achevé la validation en laboratoire, la solution de déploiement hybride s'adresse aux clients du secteur public et autres ; le mode autonome de logiciel en tant que service (SaaS) est encore au stade de la planification.