Les réseaux privés virtuels protègent les données sur des canaux non fiables en authentifiant les pairs et en établissant des clés de session partagées. Si les algorithmes symétriques se chargent du chiffrement de la charge utile, la sécurité fondamentale du tunnel repose sur la phase initiale d'échange de clés. Si un adversaire parvient à déduire les clés privées statiques ou éphémères par le biais de canaux auxiliaires matériels, toutes les garanties de confidentialité s'effondrent.

Les protocoles conventionnels ont longtemps privilégié les courbes elliptiques du NIST, comme P-256 (secp256r1) sous forme courte de Weierstrass. Ces courbes traditionnelles présentent de réels risques d'implémentation : les formules d'addition et de doublement de points sont distinctes, l'exécution dépend des bits de la clé secrète via des branchements conditionnels, et les conversions de coordonnées induisent des variations de latence exploitables par des attaques par analyse de cache (cache-timing attacks).

WireGuard écarte les vulnérabilités par canaux auxiliaires lors de la négociation en fondant ses opérations asymétriques exclusivement sur Curve25519, conçue par Daniel J. Bernstein. Grâce à l'échelle de Montgomery (Montgomery ladder) et à des calculs sans branchement, WireGuard réalise une multiplication scalaire à temps strictement constant, insensible aux attaques temporelles.

La vulnérabilité aux canaux auxiliaires des courbes elliptiques classiques

Pour mesurer l'avantage sécuritaire de Curve25519, observons la mécanique de la multiplication scalaire sur les courbes de Weierstrass. Le calcul d'une clé publique $Q = k \cdot P$ exige de multiplier un point de base $P$ par un scalaire secret $k$.

Dans les ouvrages classiques, cette opération est généralement illustrée par l'algorithme d'« addition et doublement » (double-and-add) :

// Exemple d'implémentation naïve double-and-add vulnérable
Point result = INFINITY_POINT;
for (int i = 255; i >= 0; i--) {
    result = point_double(result);
    if ((secret_scalar >> i) & 1) {
        result = point_add(result, base_point); // Branchement variable dépendant du secret
    }
}

Cette méthode engendre de graves failles microarchitecturales :

  1. Prédiction de branchement du processeur : L'instruction if ne s'exécute que lorsque le bit secret vaut 1. Un processus espion partageant le même cœur de processeur peut observer les registres d'historique de branchement pour reconstituer le secret bit par bit.
  2. Empreintes d'accès au cache : Le doublement et l'addition de points accèdent à des emplacements mémoire et tables précalculées distincts. En exploitant des techniques comme FLUSH+RELOAD ou PRIME+PROBE, un assaillant mesure les temps de rechargement des lignes de cache et extrait la clé cryptographique.
  3. Gestion des cas particuliers : Les équations de Weierstrass comportent des singularités mathématiques : additionner un point à lui-même impose une routine de doublement, tandis qu'additionner un point à son opposé produit le point à l'infini. Le traitement conditionnel de ces exceptions laisse fuiter des informations temporelles.

La forme de Montgomery et l'arithmétique à coordonnée unique

Introduite en 2006 par Daniel J. Bernstein et standardisée dans la RFC 7748, Curve25519 opère sur le corps premier $\mathbb{F}_{2^{255}-19}$. Au lieu de la forme de Weierstrass, elle utilise l'équation de Montgomery :

$$y^2 = x^3 + 486662x^2 + x$$

La forme de Montgomery offre une propriété algébrique remarquable : la multiplication scalaire s'effectue intégralement sur la coordonnée $x$, sans jamais calculer ni stocker la coordonnée $y$ lors des opérations Diffie-Hellman (X25519).

Dans X25519, les points sont représentés en coordonnées projectives sous forme de rapports $(X : Z)$, équivalant à la coordonnée affine $x = X / Z$. Connaissant les coordonnées projectives de deux points $P$, $Q$ et de leur différence $P - Q$, les coordonnées de $P + Q$ et de $2P$ se déduisent simultanément via une suite fixe d'additions, de soustractions, d'élévations au carré et de multiplications modulaires.

L'absence totale de la coordonnée $y$ réduit la charge de calcul de moitié tout en éliminant les attaques exploitant le signe de $y$.

L'échelle de Montgomery à temps constant et la permutation cswap

WireGuard exécute la multiplication X25519 au moyen de l'échelle de Montgomery. Cet algorithme maintient deux points projectifs, $R_0$ et $R_1$, en conservant l'écart invariable $R_1 - R_0 = P$ à chaque itération.

Pour chaque bit du scalaire secret, du bit de poids fort au bit de poids faible, l'algorithme effectue exactement un doublement et une addition différentielle :

Itération de l'échelle de Montgomery :
Si bit scalaire == 0 :
    R0 <- 2 * R0
    R1 <- R0 + R1
Si bit scalaire == 1 :
    R0 <- R0 + R1
    R1 <- 2 * R1

Au lieu d'utiliser des branchements conditionnels if, l'algorithme fait appel à un échange conditionnel à temps constant (cswap). Avant l'évaluation mathématique, $R_0$ et $R_1$ sont permutés si le bit courant diffère du bit précédent.

// Échange conditionnel à temps constant sans branchement ni table mémoire
static void cswap(uint32_t swap, fe x1, fe x2) {
    uint32_t mask = 0 - swap; // 0x00000000 si swap == 0, 0xFFFFFFFF si swap == 1
    for (int i = 0; i < 10; i++) {
        uint32_t diff = mask & (x1[i] ^ x2[i]);
        x1[i] ^= diff;
        x2[i] ^= diff;
    }
}

Ce mode de calcul garantit une parfaite invariance :

  • Flux d'instructions identique : Que le bit vaille 0 ou 1, le processeur exécute scrupuleusement la même suite d'instructions machines : 4 carrés modulaires, 5 multiplications et 8 additions/soustractions.
  • Aucune table précalculée en mémoire : Aucun accès mémoire conditionnel n'a lieu, privant les attaques par sondage de cache de tout signal exploitable.
  • Masquage binaire : L'opération cswap repose exclusivement sur des opérations binaires XOR et AND. Le temps d'exécution en cycles d'horloge demeure immuable.

Le serrage du scalaire et l'immunité aux petits sous-groupes

En cryptographie sur courbes elliptiques, un attaquant peut transmettre un point public appartenant à un sous-groupe de faible ordre. Si le serveur calcule un secret partagé avec un tel point, le résultat est confiné à un ensemble restreint de valeurs, facilitant la déduction de la clé privée modulo l'ordre du sous-groupe.

Curve25519 possède un ordre égal à $8 \times p_{25519}$ (où $p_{25519}$ est un grand nombre premier de 252 bits), soit un cofacteur $h = 8$. De surcroît, sa torsion quadratique (twist) a pour ordre $4 \times p'_{25519}$ (cofacteur 4).

WireGuard neutralise définitivement cette menace par le serrage du scalaire (scalar clamping). Avant toute multiplication, la clé secrète de 32 octets subit un masquage binaire déterministe :

// Serrage du scalaire selon la norme RFC 7748
k[0]  &= 248; // Effacement des 3 bits de poids faible (bits 0, 1, 2)
k[31] &= 127; // Effacement du bit 255
k[31] |= 64;  // Activation du bit 254

Ce serrage apporte trois garanties essentielles :

  1. Annihilation du cofacteur : Effacer les 3 bits inférieurs force $k$ à être un multiple de 8. Toute composante appartenant au sous-groupe d'ordre 8 est projetée vers le point à l'infini, neutralisant les attaques par confinement.
  2. Sécurité de torsion (Twist Security) : Même si un adversaire injecte un point situé sur la torsion quadratique de la courbe, le cofacteur 4 est également neutralisé par la divisibilité par 8, protégeant le système contre les attaques par courbe invalide sans contrôle lourd de validité.
  3. Longueur d'exécution invariable : Fixer le bit 254 et effacer le bit 255 garantit que le scalaire mesure toujours 255 bits, éliminant les fuites temporelles causées par des longueurs de boucles variables.

Intégration dans le noyau Linux et accélération SIMD

Au sein du noyau Linux, le moteur Curve25519 de WireGuard est intégré au sous-système cryptographique (lib/crypto/curve25519-fiat32.c et routines assembleur dédiées).

Les opérations dans le corps $\mathbb{F}_{2^{255}-19}$ requièrent la multiplication d'entiers de 256 bits. Sur les architectures 64 bits, ces entiers sont décomposés en tableaux de 5 membres en base $2^{51}$ (radix-$2^{51}$), permettant aux multiplieurs matériels d'opérer sans débordement de retenue intermédiaire.

Représentation d'un élément du corps en 5 membres (base 2^51) :
[ Membre 0: 51 bits ] [ Membre 1: 51 bits ] [ Membre 2: 51 bits ] [ Membre 3: 51 bits ] [ Membre 4: 51 bits ]

Sur les processeurs x86_64 récents, des routines assembleur écrites à la main (curve25519-x86_64.S) exploitent les extensions AVX2 et AVX-512. Ces instructions SIMD calculent en parallèle les multiplications de membres, exécutant une multiplication scalaire complète en moins de 45 000 cycles processeur (soit moins de 15 microsecondes par poignée de main). Comme ces instructions vectorielles possèdent une latence déterministe sur les microarchitectures modernes, le débit s'accroît sans aucune faille par canal auxiliaire.

Durcissement cryptographique et effacement mémoire dans RiceGuard

Sur les passerelles réseau à fort trafic, la protection cryptographique doit s'étendre de l'exécution des instructions à la gestion rigoureuse de la mémoire vive.

RiceGuard implémente une architecture de défense approfondie :

  1. Effacement systématique de la mémoire : Dès le calcul du secret partagé Diffie-Hellman achevé, les tampons de mémoire vive sont nettoyés via les fonctions memzero_explicit et memset_sensitive. Cela empêche le compilateur d'éluder l'effacement lors des optimisations et prévient l'extraction de clés résiduelles.
  2. Comparaison en temps constant : La validation des clés publiques et des jetons d'authentification s'effectue au moyen de comparateurs de mémoire à temps constant (crypto_memneq), bloquant toute analyse de latence par octet.
  3. Renouvellement automatisé des sessions : RiceGuard applique la rotation des clés Noise toutes les 120 secondes ou après $2^{20}$ paquets, garantissant la confidentialité persistante et réduisant la fenêtre temporelle d'exposition.

L'union de la géométrie de Curve25519, de la régularité de l'échelle de Montgomery et d'une hygiène stricte de la mémoire offre une base cryptographique solide pour les réseaux modernes.

Télécharger VPNRice