Principiul securității prin obscuritate (în engleză: „ securitate prin / prin obscuritate ”) se bazează pe nedivulgarea informațiilor referitoare la structura, funcționarea și implementarea obiectului sau procesului luat în considerare, pentru a asigura siguranța. Acest lucru se aplică zonelor sensibile din IT, criptologie , armament etc.
În criptologie, securitatea prin obscuritate contravine principiului lui Kerckhoffs conform căruia securitatea oricărui criptosistem se bazează doar pe secretul cheii.
Un mesaj criptat, de exemplu cu ROT13 , poate rămâne secret doar dacă metoda utilizată pentru a cripta rămâne necunoscută adversarului. Dacă atacatorul „cunoaște sistemul” atunci va putea descifra mesajul. Criptologii pledează pentru transparență în procesul și proiectarea primitivelor criptografice . O astfel de practică face posibilă o mai bună evaluare a securității algoritmilor.
Pentru a împiedica oricine să poată găsi codul sursă al unui program din versiunea compilată (binară), unele companii folosesc programe pentru a face analiza mai dificilă. Există diferite metode. Putem cita:
Ofuscarea codului mașinii :
O companie poate distribui codul sursă al programelor sale, ascunzându-le în prealabil:
Compania IBM și-a dezvoltat mainframe- ul software principal într-un limbaj numit PL / 360, care a generat ansamblorul . Acest cod de asamblare a fost furnizat clienților săi care revendică versiunile sursă ale produselor și nu codul PL / 360. Nici compilatorul PL / 360 și nici specificațiile de limbă nu au fost furnizate publicului, deși instrucțiunile PL / 360 apar ca comentarii pe lista de asamblare furnizată.
În trecut, mai mulți algoritmi sau module software care conțin detalii interne păstrate secrete au fost dezvăluite publicului. În plus, vulnerabilitățile au fost descoperite și exploatate, deși detaliile interne au fost ținute sub acoperire. Următoarele exemple, prezentate de la un capăt la altul, arată dificultatea, dacă nu chiar ineficiența, de a păstra secret detaliile sistemelor și ale altor algoritmi.
Un proces de securitate-prin-obscuritate constă în fiabilitatea reală a securității sale, în cel mai rău caz, sau cel puțin afișează punctele sale forte în cel mai bun caz. Este atunci o simplă relație de încredere stabilită între furnizorii obiectului, structurii sau procesului astfel protejat și utilizatorii acestora, la care se face referire în viziunea securității menționate. Că un defect grav pune sub semnul întrebării sistemul devine o sursă de dificultate pentru furnizor, deoarece pe lângă consecințele directe datorate slăbiciunii exploatate, utilizatorul se poate simți înșelat de falsul sentiment de invulnerabilitate în care este menținut.
Calitatea recunoscută a multor software-uri gratuite din punct de vedere al securității ( Apache , Mozilla Firefox , GnuPG ) este o ilustrare bună a faptului că deschiderea nu dăunează securității.
Citat din deputatul francez Bernard Carayon în raportul său Equal Arms , transmis primului ministru înOctombrie 2006 : "În sfârșit și deoarece codul sursă este public și, prin urmare , poate fi auditat , securitatea software-ului gratuit poate fi mai bine asigurată" .