Hachée, stockée, sécurisée : qu'est-ce qu'une fonction de hachage et pourquoi la sécurité moderne en dépend

Chaque fois que vous saisissez un mot de passe, vous connectez à une application bancaire, signez une transaction en cryptomonnaie ou envoyez une pièce jointe, une fonction de hachage tourne presque toujours en coulisses. Un billet technique remonté sur Hacker News explique ce moteur invisible en termes conceptuels mais accessibles — le résumer permet de comprendre pourquoi la sécurité moderne est si subtile.

À la base, une fonction de hachage est une opération mathématique qui prend une entrée de longueur quelconque et produit une "empreinte" de longueur fixe. "Bonjour" et "Guerre et Paix" de Tolstoï produisent toutes deux une sortie de même longueur (par exemple 256 bits) sous un algorithme donné. La même entrée produit toujours la même sortie, mais le plus petit changement — une lettre seulement — change la sortie de manière totalement différente.

Une bonne fonction de hachage doit présenter trois propriétés. D'abord, l'unidirectionnalité : on ne peut pas pratiquement déduire l'entrée à partir de la sortie. Ensuite, la résistance aux collisions : deux entrées différentes ne doivent presque jamais produire la même sortie. Enfin, l'effet avalanche : un changement minimal dans l'entrée modifie plus de la moitié des bits de la sortie.

Pourquoi est-ce important ? Parce que les fonctions de hachage soutiennent quatre piliers de la sécurité. Le premier est le stockage des mots de passe. Un site ne stocke pas votre mot de passe en clair ; il en stocke le hash. Quand vous vous connectez, le mot de passe saisi est haché à nouveau et comparé. Même volée, la base de données ne révèle pas directement votre mot de passe.

Le deuxième pilier est la signature numérique. Lorsque vous signez un contrat ou une mise à jour logicielle, ce qui est transmis n'est pas tout le fichier mais son hash. Ce hash est chiffré avec votre clé privée et le résultat est attaché en tant que "signature". Le destinataire rehache le fichier et déchiffre la signature pour vérifier que les deux valeurs correspondent.

Le troisième pilier est l'intégrité des données. La valeur SHA-256 affichée à côté d'un téléchargement vous permet de vérifier que le fichier est arrivé intact. Comme un seul bit modifié réécrit tout le hash, une altération est détectable.

Le quatrième pilier concerne les blocs de cryptomonnaie. Des chaînes comme Bitcoin lient chaque bloc au précédent par une chaîne de hash. Modifier un bloc antérieur entraîne une discordance de hash dans chaque bloc suivant, ce qui rend l'opération pratiquement impossible.

Les mathématiques ont évolué. Les premiers algorithmes comme MD5 (1991) et SHA-1 (1995) ont été cassés par des attaques de force mesurable ; on peut désormais générer des collisions. Ils ont cédé la place à des algorithmes modernes comme SHA-256 et SHA-3. Pour le stockage des mots de passe, une couche supplémentaire vient de hashs "lents" comme bcrypt, scrypt et Argon2, qui augmentent volontairement le coût de calcul pour freiner les attaques par force brute.

L'agenda quantique touche aussi les fonctions de hachage. Elles sont moins vulnérables aux attaques quantiques que le chiffrement asymétrique, mais l'algorithme de Grover peut réduire de moitié la complexité de la recherche de collisions. Les nouveaux standards privilégient donc des variantes à hashs plus longs (comme SHA-512). Les récents standards post-quantiques du NIST recommandent explicitement les signatures fondées sur le hachage.

Pourquoi cela vaut-il d'être su par un utilisateur ? Parce que des choix petits mais importants de votre hygiène de sécurité reposent sur ce fondement. L'algorithme de votre gestionnaire de mots de passe, le lien de téléchargement auquel vous accordez confiance, les mises à jour logicielles signées — tout cela dépend des fonctions de hachage. Si la mathématique sous-jacente est mal comprise, les systèmes construits dessus ne peuvent être tenus pour sûrs.

Le message clé du billet de Hacker News est simple : si une fonction de hachage casse, ce n'est pas une seule application mais toute l'architecture de la sécurité numérique moderne qui tremble. Hachée, stockée, sécurisée — la mathématique derrière ces trois mots est le squelette invisible de notre quotidien numérique.