Retour à la page principale sécurité
Retour à la page générale
GnuPG :

Le système de messagerie par mail s'est beaucoup développé. Toutefois, de façon native, il n'est pas sécurisé. Il ne permet pas par défaut de garantir :
Si parfois nos mails ne transmettent pas de données importantes, ce n'est pas toujours le cas et nous pouvons être amenés à transmettre des données confidentielles qui ne sont destinées qu'à notre correspondant et à personne d'autres (données de santé, bancaires, fiscales, documents professionnels...). Nous devons alors nous assurer que notre mail ne sera pas lisible par un tiers et que son contenu ne sera pas altéré : ceci est garanti par le chiffrement (parfois appelé à tort par l'anglicisme "cryptage"). De plus, il est possible de confirmer l'identité de l'expéditeur du mail, qui peut s'appuyer sur une signature numérique lors de l'envoi du courriel.

La sécurité s'appuie sur le principe du chiffrement assymétrique. Chaque utilisateur dispose d'une clé publique et d'une clé privée.
La clé publique est utilisée pour chiffrer un message. La clé privée est utilisée au contraire pour déchiffrer un message.
Exemple : A désire expédier un courriel à B. A utilisera la clé publique de B pour chiffrer le message. B utilisera sa clé privée pour déchiffrer le message qu'il a reçu de A. S'il répond au message, B chiffrera sa réponse en utilisant la clé publique de A. A utilisera sa propre clé privée pour déchiffrer le message.

Pour faciliter les échanges, les clés publiques peuvent hébergées sur des serveurs de clés. Chaque clé privée doit par contre être conservée précieusement et ne doit jamais être dévoilée. En cas de problème, elle peut être révoquée.
La signature d'un document repose elle aussi sur ces clés.

Protonmail :

Proton est un service, créé par le CERN, qui permet d'échanger de façon transparente des mails chiffrés entre utilisateurs du service. La société héberge les mails mais ne peut pas en lire le contenu car elle ne ne peut pas accéder à la clé privée de l'utilisateur.
Pour plus d'informations : https://fr.wikipedia.org/wiki/ProtonMail
La version gratuite permet d'accéder à la plate-forme uniquement par le protocole https (via un navigateur) ou par le protocole .onion, accessible via le navigateur Tor.
Les versions payantes peuvent utiliser des clients de messagerie (Thunderbird par exemple) pour le chiffrement et la signature des mails à partir des protocoles SMTP et IMAP.
Le service peut également être utilisé pour chiffrer/signer des mails avec d'autres services de messagerie : Orange, Gmail, Outlook etc... Cela suppose toutefois qu'un système de chiffrement soit paramétré avec ces services. C'est ce que nous allons faire maintenant. Le tuto va présenter comment il est possible d'échanger des mails chiffrés à partir de n'importe quelle adresse de messagerie avec GnuPG.

Le système de chiffrement GnuPG présente l'avantage d'être compatible avec différents systèmes d'exploitation : Windows, Linux, MacOS. Je l'utilise aussi sous Androïd.

Configurer GnuPG avec Thunderbird :
Vous pouvez consulter ce document concernant le chiffrement de bout-en-bout avec Thunderbird : https://support.mozilla.org/fr/kb/presentation-chiffrement-bout-en-bout-thunderbird
Je vais vous présenter l'utilisation de GnuPG sous windows avec le client de messagerie Thunderbird. L'opération consiste donc à créer et à associer une paire de clés (publique+privée) à une adresse de messagerie. Pour cela, il faut installer :
Gpg4win : Ce programme permet de gérer le chiffrement et les signatures.

L'opération la plus longue consiste à créer la paire de clés, appelée biclé (clé publique + clé privée). Par la suite, il suffira de cliquer sur le cadenas pour chiffrer le mail et/ou pour signer numériquement ce même mail :


Créer la biclé avec Thunderbird :
1/ Il faut cliquer dans thunderbird sur le compte de messagerie qu'on veut associer à une biclé.
2/ Dans le menu "Outils", on clique sur "Gestionnaire de clés OpenPGP" :


La fenêtre qui s'ouvre contient toutes les clés enregistrées. En gras, ce sont les clés privées associées à chaque compte de messagerie. Elles sont secrètes et elles ne doivent jamais être compromises. En caractère normal, ce sont les clés publiques liées aux adresses de nos destinataires. On clique alors sur "Génération" :

3/ On choisit "Nouvelle paire de clés" :


4/ La fenêtre suivante s'ouvre :

Dans le menu "Identité", on choisit dans le menu déroulant le compte de messagerie qu'on va associer à la clé qui va être générée. A cette étape, on peut associer une durée de fonctionnement de la clé, qui est par défaut de 3 ans. Personnellement, je préfère décocher cette option. La clé générée sera au format RSA. On peut choisir la valeur 4096 pour la taille de clé, qui n'est pas la valeur par défaut.

5/ On clique sur le bouton "Générer la clé" :

Cette phase peut durer quelques minutes. A l'issue de la phase de création, la biclé apparait en caractère gras. Elle est constituée de la clé privée, qui vous est personnelle et qui vous permet de déchiffrer les messages que vous recevez. Elle ne doit être communiquée à personne. Elle contient aussi la clé publique, que vous pouvez diffuser aux personnes qui doivent communiquer avec vous en chiffrant leurs mails.

6/ La clé doit par précaution être sauvegardée en lieu sûr. Cela permet de ré-enregistrer le certificat en cas de réinstallation sur un autre pc par exemple. Idalement, on peut la conserver dans un container chiffré par Veracrypt par exemple.

Un mot de passe est requis pour pouvoir utiliser la clé lors de la sauvegarde :


La clé privée doit être mise à l'abri en lieu sûr car c'est elle qui permet de déchiffrer les mails reçus. Si elle est perdue, les mails reçus deviendront illisibles. Si une personne tierce y a accès, elle peut l'utiliser pour lire les mails chiffrés.

Il est possible de téléverser les clés publiques sur un serveur de clé. Ce service permet de rechercher simplement la clé publique d'un destinataire puis de l'importer.

On peut associer ainsi chaque adresse de messagerie utilisée à une biclé.
Dans les paramètres du compte, il faut associer la clé générée à l'adresse mail qu'il convient de protéger. Pour cela, on clique dans la fenêtre principale de gauche dans Thunderbird sur "Chiffrement de bout en bout".  On sélectionne la clé associée à l'identité.

Dans la technologie de chiffrement, on choisit OpenPGP :

Dans le menu, il est possible de chiffrer le sujet du mail et de chiffrer par défaut les mails postés.


Utiliser la clé de chiffrement avec Thunderbird :
Lorsque la clé est créée et associée à une adresse de messagerie, elle peut alors être utilisée pour chiffrer et signer les mails.
Dans la rédaction du mail, on peut choisir de signer le mail. Cela certifie que l'expéditeur est bien l'auteur du mail car il est associé à la clé cryptographique.
Pour chiffrer le mail, il faut cliquer sur "Sécurité" et exiger le chiffrement.



Si quelqu'un consulte le mail sur le webmail de mon fournisseur d'accès, seules certaines métadonnées sont visibles :

On peut y lire l'expéditeur, la date et la taille du message. L'objet du message n'apparait pas car il est également chiffré.

En cliquant sur le message, rien n'apparait :

Il est impossible de savoir ce que contient le mail, même si quelqu'un parvenait à accéder à ma messagerie.

Si je réceptionne le mail sur Thunderbird, le tampon OpenPGP indique le statut du message reçu. Il nous indique s'il a été chiffré et/ou signé. Il donne également des renseignements sur la clé ayant été utilisée par l'expéditeur et le destinataire du message, c'est-à-dire vous !



En conclusion, le chiffrement permet de renforcer significativement la confidentialité et la sécurité des échanges, même si un usage systématique n'est pas nécessairement possible ni utile.

Retour à la page principale sécurité
Retour à la page générale