RSA recommande de changer le générateur de nombres aléatoires

Le spécialiste de la sécurité RSA vient de recommander à ses clients de renoncer au générateur de nombres aléatoires soupçonné d’avoir été compromis par la NSA. Il rejoint ainsi le Nist.

Les travaux du Nist sur le générateur de nombres aléatoires Dual EC_DRBG ont-ils été compromis par la NSA, l’agence américaine du renseignement extérieur, comme le laisse à penser les documents rendus publics par Edward Snowden ? Le doute est en tout cas suffisamment conséquent pour que le Nist ait récemment rouvert le débat autour de ce générateur, un élément clé des systèmes cryptographiques, tout en recommandant de ne pas l’utiliser, au moins tant que la réflexion n’aura pas abouti. Et RSA vient de faire de même.

L’éditeur spécialiste des solutions de sécurité vient d’émettre un bulletin d’alerte à l’intention des clients de sa librairie Bsafe, assurant les fonctions cryptographiques de certains de ses produits. Celle-ci utilise en effet par défaut le générateur Dual EC_DRBG. RSA indique ainsi s’apprêter à le changer, par défaut, dans Bsafe et dans sa solution Data Protection Manager.

RSA est loin d’être le seul concerné. De nombreux produits de sécurité validés par le Nist sont concernés. Et il y a une très bonne raison à cela : de cette validation dépend la certification FIPS 140-2 requise par les organisations de certains secteurs hautement régulés, notamment celles du secteur public américain et leurs sous-traitants.