Bonjour,
Je vous préviens de suite, c'est un sujet à-la-con, technique et qui va semble à une large majorité inutile. Je lisais "Madame, Monsieur Bonsoir.." et ça m'a donné envie de poster ce genre de message par flemme de rédiger un howto pour la confidentialité. Pour l'anecdote, les journalistes de TF1 sont obligé de se cacher dans un bar pour discuter, évitant les couloirs, les ascenseurs, les coup de téléphone, et bien sur les mails pour échanger
Le but c'est de vous expliquer le pourquoi et le comment des méthode de chiffrement (ou cryptage) en dehors de toute considération paranoïaque ou de fascination, c'est à dire quand vous serez dans un lieu professionnel.
Après ce sujet, normalement vous allez savoir Signer numériquement un mail, et protéger un mail des lectures indiscrète. Sachez qu'un courriel comme on l'appelle maintenant est une chose terriblement simple à capter dans un réseau d'entreprise, et sachez également que c'est qu'un simple fichier texte lisible depuis partout. Bien entendu, il passe par des dizaines de proxy avant d'arriver sur le serveur mail de votre correspondant, où son stockage durera autant de temps que l'utilisateur voudra.
Le chiffrement permet deux choses (une ou les deux en même temps) :
- Faire un certificat d'authenticité
- Faire qu'une seule personne physique/morale puisse le lire
Chiffrer, c'est pratique pour envoyer des mails qu'une seule personne peut lire, Certifier (ou Signer) c'est très pratique pour que la personne sache que c'est bien vous. Mais signer peut servir peut être gage d'une authenticité.
Exemple, signer une oeuvre "numérique", comme un texte, permet de sceller le fait que c'est bien vous qui l'a écris à une date précise. Une preuve indirecte de votre paternité.
Signer, permet aussi de gager de l'intrégité du mail/documents. Si quelqu'un modifie le documents après signature, l'authenticité ne sera plus valide.
Principe des clefs asymétriques
Pour cela, un tout petit peu de technique : le logiciel GPG, libre gratuit et sans virus. Il y a une version graphique et par ligne de commande pour linux, windows, et MacOSX :
http://openpgp.vie-privee.org/gnupg-win.htm pour windows par exemple.
Je vous donnerai pas les lignes de commande, c'est assez simple à faire en mode graphique une fois le principe compris, et surtout les didactiels sont nombreux sur internet (dont que j'ai écris ici :
http://fr.wikibooks.org/wiki/GPG pour la version en ligne de commande - tout systeme)
L'idée est que vous vous créez une clef. C'est la base de tout. Il vous demande deux trois renseignements sur vous (nom, prenom, info) qui apparaitrons lors de l'envoi/réception. Et bien évidement, il vous demandera une "phrase de code". J'insiste sur "phrase", parce plus ça sera long, mieux ça sera.
Pour info, ma phrase clef, fait plus de 20 caractères, avec majuscules/minuscules et chiffres.
Il vous demande combien de temps, elle doit être valide. Il faut éviter d'être tenté de dire "illimité". Je fais un roulement des clefs entre 2 et 6 mois. Mais ça peut se compter en années. Plus vous restez longtemps, plus la probabilité qu'elle soit craquée est grande.
L'idée c'est que si c'est pour l'échange, vous faites une clef de courte durée, si c'est pour un usage local pour la certification vous pouvez risquer la durée de vie illimitée.
Vous avez deux clefs en réalité à la fin de la création : une clef privée, une clef publique qui sont dans votre profit.
La première (privée) est votre clef pour signer / chiffre vos documents, elle ne doit jamais être exportée (sauf en cas de formatage/changement de système - et donc il faut jamais la laisser trainer). C'est la source de votre confidentialité.
La seconde est la clef publique, c'est celle que vous allez donner a vos correspondants. Elle ne permet pas, même "craqué" de signer ou chiffrer un document a votre nom. Pour la donner, soit on passe par un serveur spécialisé (
http://pgp.mit.edu par exemple), soit pas une clef usb a donner.
Vous pouvez la mettre sur votre site, mais si on vous pirate votre site et qu'on échange la clef publique, vous êtes marron.
En gros, votre clef privé vous permet de signer/chiffrer, votre clef publique permet aux autres de vous reconnaitre.
Voila. Votre clef crée, vous avez donné votre clef publique à vos collègues/amis/camarade de suicide collectif, et eux même en ont fait de même.
Dans la vie courante
Je vais décrire une technique d'utilisation pour les possesseurs de GMail et Firefox. Mais c'est également possible pour n'importe quel compte mail et le logiciel thunderbird et son plugin enigmail.
D'abord, il faut télécharger le plugin de firefox pour gpg : FireGPG que vous trouverez ici :
http://firegpg.tuxfamily.org/index.php? ... me&lang=fr
Une fois revenu sous gmail - oh suprise ! la page à légèrement changé quand vous composez un mail, il y a des nouveaux boutons : chiffrer, signer, etc..
- Signer : Signer permet donc de certifier à votre interlocuteur que c'est bien vous qui avez écris le mail reçu. Vous cliquez sur "signer", il vous demande votre phrasepasse et hop, magie c'est signé.
Une fois reçu par votre super copain de gpg qui a votre clef publique, il n'y a rien a faire, gmail (ou thunderbird) lui indiquera automatiquement que c'est bien vous.
- Chiffrer, même principe, vous cliquez sur chiffrer, on vous demande votre phrase clef et ça chiffre. A la différence près que vous indiquez la clef publique de la personne a qui le mail est destiné.
Une fois reçu, seul la personne qui à la clef publique (et la phrase clef qui va avec) pourra lire ce courrier.
Oui oui...
Alors pour ceux qui sont arrivé jusqu'a là, vous allez me dire .. oué bon c'est un peu paranoïaque tout ça.. c'est vrai que c'est un procédé qui même si il est léger doit être aménagé avec des personnes consentantes.
Cela dit, ça peut être très pratique. Dans une boite, le mail transitera chiffré et personne pourra le lire. Mieux, les mails signé transiteront visible mais, si quelqu'un le modifie au passage, la signature sera corrompue et vos destinataires le sauront tout de suite... et puis en plus c'est classe.
Et même si ce principe est très sécurisé, n'oubliez pas que tout dépend de votre comportement. Donner la clef publique mano-à-mano est toujours plus sécurisé, avoir une vrai phrase clef est une sécurité, ne pas exporter les clefs privés est une obligation, renouveller sa clef est important tout ça..
voila les amis.
Si vous avez des questions, j'y répondrais dans la mesure du possible.
Liens :
http://gpglinux.free.fr/
http://openpgp.vie-privee.org/mac.html (macosx)
http://openpgp.vie-privee.org/gnupg-win.htm (windows)
Connexion
M’enregistrer
FAQ
Rechercher
