Accueil / Empreinte numérique (hash)

Qu'est-ce qu'une empreinte numérique (hash) ?

Une empreinte numérique est un résumé court d'un fichier. Elle ne permet pas de retrouver le fichier, mais elle permet de savoir, en un coup d'œil, s'il a changé. Toute la signature électronique repose sur cette idée simple.

Le principe

Une fonction de hachage prend n'importe quelle donnée : un mot, un contrat de quarante pages, une vidéo de deux gigaoctets. Elle produit une suite de caractères de taille fixe. Cette sortie s'appelle l'empreinte, le hash ou le condensat. Les trois mots désignent la même chose.

Avec SHA-256, l'algorithme le plus répandu aujourd'hui, l'empreinte fait toujours 256 bits, soit 64 caractères hexadécimaux. Que l'on traite une lettre ou le Code civil entier, on obtient 64 caractères.

La comparaison avec l'empreinte digitale aide : elle ne permet pas de reconstituer la personne, mais elle permet de vérifier que c'est bien elle. L'empreinte d'un fichier fonctionne de la même façon.

Quatre propriétés à connaître

Déterministe. Le même fichier donne toujours la même empreinte, sur n'importe quel ordinateur, aujourd'hui comme dans dix ans.
À sens unique. À partir de l'empreinte, on ne retrouve pas le contenu. La seule méthode consiste à essayer des textes un par un.
Résistante aux collisions. Personne ne doit pouvoir fabriquer deux fichiers différents qui donnent la même empreinte.
Sensible à la moindre modification. Changer une virgule change l'empreinte du tout au tout. On parle d'effet avalanche.

Cette dernière propriété est celle qui compte pour la preuve. Si un fraudeur change un montant, même d'un centime, l'empreinte ne correspond plus.

Quels algorithmes utiliser

Tous ne se valent pas. MD5, publié en 1992, est cassé : des chercheurs ont montré dès 2004 comment fabriquer des collisions, et un ordinateur portable en trouve aujourd'hui en quelques secondes. SHA-1 a subi le même sort en 2017, avec l'attaque « SHAttered » menée par Google et le CWI d'Amsterdam. Pour toute utilisation touchant à la sécurité, on emploie aujourd'hui SHA-256 ou un algorithme de la même famille.

À quoi sert une empreinte, concrètement

Vérifier un téléchargement. L'éditeur publie l'empreinte de son logiciel, et vous comparez avec celle de votre fichier.
Signer un document. On ne signe pas le document entier, on signe son empreinte. C'est plus rapide, et toute modification ultérieure se détecte.
Dater un document. On envoie l'empreinte, pas le document, à une autorité d'horodatage. Le contenu reste confidentiel.
Protéger des mots de passe. Un site sérieux ne stocke pas votre mot de passe, mais son empreinte.

Empreinte et mots de passe : pourquoi on la ralentit

Pour un long texte, l'univers s'éteindrait avant qu'on retrouve l'original à force d'essais. Un mot de passe, lui, est court : un ordinateur moderne teste plusieurs milliards d'empreintes SHA-256 par seconde. Pour les mots de passe, on utilise donc des fonctions volontairement lentes (PBKDF2, bcrypt, Argon2id), de façon à ce que chaque essai coûte cher. L'organisation OWASP recommande par exemple 600 000 itérations pour PBKDF2 avec SHA-256.

Empreinte, chiffrement, signature : trois choses différentes

Une empreinte n'est pas un chiffrement : on ne peut pas la « déchiffrer ». Elle n'est pas non plus une signature : n'importe qui peut calculer l'empreinte d'un fichier, elle ne dit donc rien de l'auteur. La signature électronique ajoute une clé à l'empreinte. Le Cours 0 le détaille.

Aller plus loin. Le Cours 0 est gratuit. Il explique l'empreinte, la clé et la signature sans prérequis en mathématiques, avec des travaux pratiques montrés en vidéo.

Être prévenu de l'ouverture