Si vous souhaitez réaliser une signature numérique d’un email, vous devez d’abord savoir qu’il existe deux normes standards : S/MIME et OpenPGP. Les deux fonctionnent sur le même principe de base, mais elles utilisent des formats de données différents. Seuls quelques logiciels prennent simultanément en charge les deux formats.
Le principe de base pour la création d’une signature électronique est le concept de chiffrement asymétrique. En effet, l’expéditeur reçoit deux clés de l’algorithme de génération de clés : une privée et une publique. Le programme de messagerie de l’expéditeur crée alors automatiquement une somme de contrôle du contenu du courrier, il crypte la somme de contrôle avec la clé privée et l’attache à l’email.
La clé publique est soit envoyée avec l’email en pièce jointe ou alors le destinataire peut l’obtenir via un répertoire public. Le programme de messagerie du destinataire, déchiffre ensuite la somme de contrôle, la recalcule et vérifie les résultats. Si les résultats correspondent, vous pouvez alors être certains que le message a bien été signé avec une clé privée qui correspond à la clé publique. L’authentification est donc validée et l’email n’a pas été manipulé.
Une condition préalable à l’utilisation de signatures numériques est de configurer en conséquence votre client de messagerie. Si c’est déjà le cas, alors les opérations décrites ci-dessus s’exécutent automatiquement en arrière-plan. Pour trouver des informations détaillées sur l’installation et la configuration de votre client de messagerie, vous pouvez consulter par exemple les pages de support de Microsoft Outlook ou de Mozilla Thunderbird.
Comment associer clairement la clé publique à l’expéditeur ?
Cette procédure que nous venons de voir n’est bien évidemment utile que si le destinataire peut clairement identifier l’expéditeur. Une autorité de certification officielle (CA, Certification Authority) ne fournit la clé qu’après identification de l’expéditeur : il est donc nécessaire de recevoir un certificat avant de pouvoir valider la clé. Comme le système du destinataire doit reconnaître la clé pour assurer l’authenticité du certificat, ces informations doivent être téléchargées et installées avec l’autorité de certification. Le programme de messagerie prend ensuite en charge automatiquement l’authentification.