Chapitre 21. Shamir : le quorum humain et sa cérémonie

Objectifs pédagogiques

Expliquer le partage de Shamir et la nature de sa garantie. Dimensionner n et t. Conduire une cérémonie d'initialisation et un rekey. Appliquer le principe des copies passées. Administrer la vie des porteurs.

Prérequis

Chapitre 8 (initialisation), chapitre 6 (rekey contre rotate), chapitre 5 (séparation des sauvegardes et du matériel de scellement).

Cours

21.1 L'idée de Shamir

Aucune part ne contient un morceau de la clé. Pour un seuil t, on trace un polynôme de degré t moins un dont le terme constant est le secret. Chaque part est un point de cette courbe.

Deux propriétés en découlent. t points déterminent le polynôme : le quorum reconstruit le secret par interpolation. t moins un points laissent le terme constant indéterminé, toutes les valeurs restant équiprobables.

La garantie est donc informationnelle, pas calculatoire. Sous le seuil, un adversaire n'affronte pas un problème difficile : il n'a aucune information, et aucune puissance de calcul n'y change rien. Un mot de passe coupé en tronçons se comporte à l'inverse, chaque tronçon réduisant l'espace de recherche.

Deux conséquences opérationnelles. Les parts sont interchangeables : n'importe quelles t parts valides suffisent, d'où la tolérance aux absences. La reconstruction a lieu dans la mémoire du serveur : le secret assemblé ne s'affiche jamais, et les porteurs ne connaissent que leur point de courbe.

21.2 Dimensionner n et t

Le couple encode deux politiques. t est le seuil de collusion : le nombre de personnes qui doivent s'entendre, ou être compromises ensemble, pour ouvrir le coffre ou exploiter un stockage volé. n moins t est la tolérance aux pertes : le nombre de parts qui peuvent disparaître avant que le descellement ne devienne impossible.

Les deux extrêmes sont à écarter. Un t de 1 ou 2 rend la collusion triviale. Un t égal à n supprime toute tolérance : une enveloppe perdue rend le stockage définitivement illisible, sans recours.

Astrea retient 5/3 : trois personnes pour ouvrir, deux pertes absorbables. C'est l'équilibre courant pour une organisation de cette taille.

Le choix des personnes compte autant que les nombres. Rôles distincts, rattachements distincts, jamais deux porteurs dans la même équipe ni dans le même déplacement. La composition se documente : qui détient quelle part, depuis quand.

21.3 La cérémonie d'initialisation

Trois rôles : un maître de cérémonie qui conduit sans porter de part, les porteurs, un témoin qui atteste.

[Laboratoire]

vault operator init \
  -key-shares=5 -key-threshold=3 \
  -pgp-keys="nadia.asc,karim.asc,lea.asc,marc.asc,sofia.asc" \
  -root-token-pgp-key="mc.asc"

Chaque part sort chiffrée pour la clé publique de son porteur. Elle n'existe en clair ni dans le terminal, ni dans l'historique, ni dans un presse-papiers. Le token root naît chiffré pour le maître de cérémonie, qui exécute l'amorçage du chapitre 8 puis le révoque.

La cérémonie produit trois artefacts. Les parts, remises par canal nominatif et rangées selon une doctrine écrite : enveloppe scellée en coffre, support hors ligne, ou gestionnaire personnel à second facteur matériel. L'attestation : date, participants, paramètres, empreintes des clés PGP, signatures. La ligne de registre qui ouvre l'histoire du quorum.

Durée type : une heure.

21.4 Le rekey

Le rekey change la protection de la clé racine. Il ne se confond pas avec le rotate du chapitre 6, qui change les clés du keyring. Il exige le quorum existant.

[Laboratoire]

vault operator rekey -init -key-shares=5 -key-threshold=3 \
  -pgp-keys="nadia.asc,karim.asc,lea.asc,marc.asc,claire.asc"
vault operator rekey        # chaque porteur ACTUEL saisit sa part (quorum : 3)

Un nonce lie la cérémonie, -cancel l'annule, l'audit trace. Les nouvelles parts naissent chiffrées. L'ancienne génération devient invalide pour le serveur.

Le rekey ne périme pas les copies passées. Toute copie du stockage antérieure reste protégée par la clé racine de son époque, que l'ancien quorum sait reconstruire. Rekeyer aujourd'hui ne reprend rien à qui détient une vieille copie et d'anciennes parts.

Le départ d'un porteur déclenche le rekey et l'examen des sauvegardes contemporaines de ses parts. Le registre tient l'historique des époques : quelles générations de parts ouvrent quelles générations de copies. Et la règle du chapitre 5 trouve ici sa justification : sauvegardes et matériel de scellement se séparent parce que leur réunion rouvre le coffre de leur époque.

Déclencheurs légitimes : départ d'un porteur, soupçon d'exposition d'une part, renouvellement périodique, changement de dimensionnement.

21.5 La vie des porteurs

Arrivée. Clé PGP générée, empreinte vérifiée en personne, part reçue en cérémonie, doctrine de garde signée, ligne de registre.

Départ. Rekey sous quinzaine, en urgence si le départ l'est. Restitution ou destruction attestée de l'ancienne part. Examen des sauvegardes d'époque.

Vérification annuelle. Chaque porteur prouve qu'il accède à sa part sans la révéler : enveloppe intacte au coffre, déchiffrement PGP fonctionnel hors ligne. C'est là que se découvrent les cartes à puce expirées et les phrases de passe oubliées, à froid.

Registre. Cérémonies, porteurs, époques, attestations. Le document qui répond en dix secondes à l'auditeur comme à l'astreinte.

Exemple : le rekey du départ d'une porteuse

Départ annoncé d'une porteuse, fin de mois. Procédure standard, quatre étapes.

J moins 10. Porteuse entrante désignée. Clé PGP générée sur support matériel, empreinte vérifiée en face à face, doctrine signée.

J moins 7. Cérémonie de rekey. Quorum saisi par trois porteurs actuels, dont la partante. Cinq nouvelles parts émises chiffrées, distribution nominative, attestation signée des cinq porteurs et du témoin. Dans la même séance, l'ancienne part est restituée et détruite devant témoin ; les quatre autres porteurs détruisent leurs anciennes enveloppes. L'ancienne génération n'a plus de quorum vivant.

J moins 5. Examen des copies d'époque. Deux sauvegardes à froid antérieures au rekey existent en coffre. Décision consignée : rétention maintenue, protection inchangée, et mention que leur lecture exigerait l'ancien quorum, désormais matériellement impossible.

Clôture. Onze lignes de registre, quarante minutes de cérémonie, aucun secret affiché.

Sécurité : le quorum dans le modèle de menace

La menace dimensionnante est la réunion parts plus stockage. Ni l'une ni l'autre seule n'ouvre rien. Leur réunion, à n'importe quelle époque, ouvre tout.

Les parts sont du matériel hors ligne. Une part se saisit quelques secondes par an. Entre-temps, elle n'a rien à faire sur un poste connecté, dans une messagerie ou dans un gestionnaire synchronisé sans second facteur matériel.

Le quorum se protège socialement. Trois porteurs dans le même service ou le même avion ramènent la collusion et l'accident à un événement simple. La composition relève de la gouvernance.

La vérification annuelle est une défense. Une part illisible découverte en urgence vaut une part perdue, et n moins t se consomme vite.

Erreurs fréquentes

Des parts en clair, « temporairement ». Le fichier de l'initialisation pressée, encore là huit mois après. Le chiffrement PGP à la naissance rend l'erreur impossible (section 21.3).

Toutes les enveloppes dans le même coffre. Un sinistre ou un badge, et le seuil de collusion tombe à un (sections 21.2, 21.3).

Le n sur n « pour être sûr ». Sécurité maximale contre la collusion, mort assurée à la première enveloppe perdue. La tolérance se choisit supérieure ou égale à deux (section 21.2).

Pas de rekey au départ d'un porteur. L'ancien collègue conserve un point de la courbe vivante (sections 21.4, 21.5).

Rekeyer et se croire quitte des vieilles copies. Les copies passées restent ouvrables par l'ancien quorum. Le rekey s'accompagne de l'examen des sauvegardes d'époque (section 21.4).

Confondre rekey et rotate. L'un change la garde du verrou, l'autre les clés des données. Annoncer l'un en exécutant l'autre fausse un dossier de conformité (section 21.4).

Mise en pratique : dimensionner, attester, urgence

Sur papier ; réponses commentées en fin de partie.

1. Proposez et justifiez un couple (n, t) et une composition de porteurs pour trois organisations : une startup de huit personnes ; une banque répartie sur trois sites avec exigence réglementaire de double contrôle ; Astrea.
2. Rédigez le modèle d'attestation de cérémonie : les champs, les signatures, et la raison d'être de chacun.
3. Un porteur signale le vol de la mallette contenant son enveloppe, un vendredi 18 h. Écrivez le plan des quarante-huit heures : évaluation, décisions, cérémonie, communication, traitement des sauvegardes d'époque.

Questions de compréhension

1. Expliquez la construction polynomiale et la nature exacte de la garantie sous le seuil.
2. Pourquoi une part n'est-elle pas un morceau de la clé, et où la reconstruction a-t-elle lieu ?
3. Que codent t et n moins t, et pourquoi n sur n est-il un anti-modèle ?
4. Que change -pgp-keys à la naissance des parts, et quels sont les trois artefacts d'une cérémonie ?
5. Distinguez rekey et rotate, et donnez quatre déclencheurs de rekey.
6. Énoncez le principe des copies passées et ses trois conséquences.
7. Que prouve la vérification annuelle, et à quelle condition ?
8. Pourquoi la composition humaine du quorum est-elle une décision de sécurité ?

Synthèse

Sous le seuil, Shamir ne donne rien : la garantie est informationnelle, ce qui autorise à confier les parts à des humains. Le couple (n, t) encode le seuil de collusion et la tolérance aux pertes ; 5/3 pour Astrea, jamais n sur n. La cérémonie chiffre les parts à la naissance, produit une attestation et ouvre un registre. Le rekey renouvelle le quorum sous quorum, sans jamais périmer les copies passées, qui restent ouvrables par leur époque. La vie des porteurs, arrivées, départs et vérification annuelle, fait du quorum une institution durable. Reste que cette institution se mobilise à chaque redémarrage : le chapitre 22 examine la délégation de cette charge à un service de clés.