Retour à la page principale sécurité
Retour à la page générale
GnuPG :

Le système de messagerie par mail s'est beaucoup développé. Toutefois, de façon native, il n'est pas sécurisé. Il ne permet pas par défaut de garantir :
Si parfois nos mails ne transmettent pas de données importantes, ce n'est pas toujours le cas et nous pouvons être amenés à transmettre des données confidentielles qui ne sont destinées qu'à notre correspondant et à personne d'autres (données de santé, bancaires, fiscales, documents professionnels...). Nous devons alors nous assurer que notre mail ne sera pas lisible par un tiers et que son contenu ne sera pas altéré : ceci est garanti par le chiffrement (parfois appelé à tort par l'anglicisme "cryptage"). De plus, il est possible de confirmer l'identité de l'expéditeur du mail, qui peut s'appuyer sur une signature numérique lors de l'envoi du courriel.

La sécurité s'appuie sur le principe du chiffrement assymétrique. Chaque utilisateur dispose d'une clé publique et d'une clé privée.
La clé publique est utilisée pour chiffrer un message. La clé privée est utilisée au contraire pour déchiffrer un message.
Exemple : A désire expédier un courriel à B. A utilisera la clé publique de B pour chiffrer le message. B utilisera sa clé privée pour déchiffrer le message qu'il a reçu de A. S'il répond au message, B chiffrera sa réponse en utilisant la clé publique de A. A utilisera sa propre clé privée pour déchiffrer le message.

Pour faciliter les échanges, les clés publiques peuvent hébergées sur des serveurs de clés. Chaque clé privée doit par contre être conservée précieusement et ne doit jamais être dévoilée. En cas de problème, elle peut être révoquée.
La signature d'un document repose elle aussi sur ces clés.

Protonmail :

Protonmail est un service, créé par le CERN, qui permet d'échanger de façon transparente des mails chiffrés entre utilisateurs du service. La société héberge les mails mais ne peut pas en lire le contenu car elle ne ne peut pas accéder à la clé privée de l'utilisateur.
Pour plus d'informations : https://fr.wikipedia.org/wiki/ProtonMail
La version gratuite permet d'accéder à la plate-forme uniquement par le protocole https (via un navigateur) ou par le protocole .onion, accessible via le navigateur Tor.
Les versions payantes peuvent utiliser des clients de messagerie (Thunderbird par exemple) pour le chiffrement et la signature des mails à partir des protocoles SMTP et IMAP.
Le service peut également être utilisé pour chiffrer/signer des mails avec d'autres services de messagerie : Orange, Gmail, Outlook etc... Cela suppose toutefois qu'un système de chiffrement soit paramétré avec ces services. C'est ce que nous allons faire maintenant. Le tuto va présenter comment il est possible d'échanger des mails chiffrés à partir de n'importe quelle adresse de messagerie avec GnuPG.

Le système de chiffrement GnuPG présente l'avantage d'être compatible avec différents systèmes d'exploitation : Windows, Linux, MacOS. Je l'utilise aussi sous Androïd.

Configurer GnuPG avec Thunderbird :
Vous pouvez consulter ce document concernant le chiffrement de bout-en-bout avec Thunderbird : https://support.mozilla.org/fr/kb/presentation-chiffrement-bout-en-bout-thunderbird
Je vais vous présenter l'utilisation de GnuPG sous windows avec le client de messagerie Thunderbird. L'opération consiste donc à créer et à associer une paire de clés (publique+privée) à une adresse de messagerie. Pour cela, il faut installer :
Gpg4win : Ce programme permet de gérer le chiffrement et les signatures.
Enigmail : Cette extension permet de lier Gpg4win avec le client de messagerie Thunderbird. Elle doit être importée directement avec Thunderbird et pas avec le navigateur. Cette extension ajoute une entrée Enigmail dans la barre de Menu de Thunderbird :


Par la suite, tout se fera via Thunderbird, par l'intermédiaire de l'extension Enigmail. L'opération la plus longue consiste à créer la paire de clés, appelée biclé (clé publique + clé privée). Par la suite, il suffira de cliquer sur le cadenas pour chiffrer le mail et/ou de cliquer sur le crayon pour signer ce même mail :


Créer la biclé avec Thunderbird :
1/ Il faut cliquer dans thunderbird sur le compte de messagerie qu'on veut associer à une biclé.
2/ Dans le menu "Enigmail", on clique sur "Gestion des clés" :


La fenêtre qui s'ouvre contient toutes les clés enregistrées. En gras, ce sont les clés privées associées à chaque compte de messagerie. Elles sont secrètes et elles ne doivent jamais être compromises. En caractère normal, ce sont les clés publiques liées aux adresses de nos destinataires.
3/ On clique sur "Générer > Nouvelle biclé" :


4/ La fenêtre suivante s'ouvre :

Dans le menu "Compte/ID utilisateur", on choisit dans le menu déroulant le compte de messagerie qu'on va associer à la clé qui va être générée. A cette étape, on peut associer une durée de fonctionnement de la clé, qui est par défaut de 5 ans. Personnellement, je préfère décocher cette option. On peut aussi associer une phrase de passe (mot de passe) qui sera demandée à l'ouverture du mail. Elle permet de déverrouiller l'ouverture du mail sur le poste local et de rendre lisible son contenu. Ce mot de passe doit être robuste et utilisé uniquement à cet usage. Il doit être distinct du mot de passe de messagerie. La clé générée sera au format RSA 4096.

5/ Après avoir créé le mot de passe (ou avoir coché la case "Aucune phrase de passe"), on clique sur le bouton "Générer", ce qui entraine la génération de la biclé :

Cette phase peut durer quelques minutes. A la fin, une boîte de dialogue s'ouvre afin de déterminer si on veut générer un certificat de révocation. Cela peut être utile si on souhaite rendre impossible l'utilisation de cette clé en cas de compromission :

Ce certificat doit être enregistré dans un lieu sûr. Si ce certificat n'est pas créé, il pourra être créé ultérieurement.

6/ Dans la fenêtre "Gestion des clés" d'Enigmail, la nouvelle biclé apparait en gras. Un clic droit sur cette biclé ouvre un menu contextuel permettant beaucoup d'options :

En exportant les clés vers un fichier, on peut sauvegarder la clé publique ou/et la clé privée.
La clé privée doit être mise à l'abri en lieu sûr car c'est elle qui permet de déchiffrer les mails reçus. Si elle est perdue, les mails reçus deviendront illisibles. Si une personne tierce y a accès, elle peut l'utiliser pour lire les mails chiffrés.

Il est possible de téléverser les clés publiques sur un serveur de clé. Ce service permet de rechercher simplement la clé publique d'un destinataire puis de l'importer.

On peut associer ainsi chaque adresse de messagerie utilisée à une biclé.

Utiliser la biclé avec Thunderbird :
Lorsque la biclé est créée et associée à une adresse de messagerie, elle peut alors être utilisée pour chiffrer et signer les mails.
Dans la rédaction du mail, on peut choisir de signer le mail. Cela certifie que l'expéditeur est bien l'auteur du mail :


Si quelqu'un consulte le mail sur le webmail de mon fournisseur d'accès, seules certaines métadonnées sont visibles :

On peut y lire l'expéditeur, la date et la taille du message. L'objet du message n'apparait pas car il est également chiffré.

En cliquant sur le message, rien n'apparait :

Il est impossible de savoir ce que contient le mail, même si quelqu'un parvenait à accéder à ma messagerie.

Si je réceptionne le mail sur Thunderbird :


Le bandeau vert indique que le message a été déchiffré. Le sujet apparait également. La pièce jointe associée est visible.


En conclusion, le chiffrement permet de renforcer significativement la confidentialité et la sécurité des échanges, même si un usage systématique n'est pas nécessairement possible ni utile.

Retour à la page principale sécurité
Retour à la page générale