Chiffrement PGP : comment protéger le contenu de vos emails ?

PGP est un procédé de chiffrement sécurisé et de signature numérique des emails et des fichiers, basé sur le principe du chiffrement asymétrique. Au sein des entreprises, la communication se fait principalement par email. Afin de s’assurer qu’aucune personne non autorisée ait accès au contenu des emails, certaines mesures de sécurité peuvent être prises. Dans cet article, nous vous montrons comment chiffrer vos emails avec PGP.

Qu’est-ce que le chiffrement par PGP ?

Le chiffrement des emails par PGP offre une excellente occasion de protéger vos informations et les contenus de vos emails. À la base, PGP (acronyme anglais de Pretty Good Privacy, traduit littéralement en français par « plutôt bonne intimité ») a été développé en 1991 par Phil Zimmermann. L’objectif de ce logiciel gratuit était de proposer un chiffrement d’emails. Au cours des années, le nom de ce programme s’est imposé petit à petit en tant que nom pour désigner la méthodologie de chiffrement utilisée.

Le principe de PGP repose sur un chiffrement à clé publique, une variante du chiffrement asymétrique. C’est-à-dire qu’une paire de clés (PPG key), composée d’une clé publique et d’une clé privée est générée. La clé publique est mise à disposition des contacts potentiels, soit en leur étant transmise directement, soit en étant publiée sur un serveur de clés externe. À l’aide de la clé publique, il est possible de chiffrer tous les emails que l’on échange avec vous. Vous disposez d’une clé privée, qui vous permet de déchiffrer les emails reçus préalablement chiffrés par la clé publique. Pour communiquer en toute sécurité, la personne avec laquelle vous interagissez doit aussi utiliser PGP et vous communiquer sa clé publique.

À ses débuts, la mise en place du chiffrement PGP était assez complexe, c’est pourquoi seulement les utilisateurs expérimentés utilisaient cette méthode. Ces dernières années, des plugins ont été développés pour rendre le chiffrement PGP accessible à un public plus large : deux de ces plugins sont FlowCrypt et Mailvelope. Entre-temps, des services de messagerie établis ont également développé leurs propres plugins PGP et assistants d’installation pour les intégrer dans leur propre service de messagerie.

Exemples d’application du chiffrement PGP

Les méthodes de chiffrement asymétrique comme PGP ne sont pas nouvelles dans le monde de l’informatique et sont déjà utilisées dans de nombreux domaines différents. Voici les domaines d’application où PGP est le plus souvent utilisé.

1. Chiffrement de messages confidentiels : le chiffrement des emails, ainsi que d’autres types de messages, est de loin le cas d’utilisation le plus fréquent de PGP.
2. Chiffrement de fichiers et de systèmes de fichiers : en plus du chiffrement des moyens de communication, PGP peut être utilisé pour chiffrer des fichiers, aussi bien sur le disque dur local que sur un serveur.
3. Signatures numériques : un autre domaine où PGP est souvent utilisé est la vérification de l’intégrité d’un message ou d’un fichier. Avec une signature PGP, on peut s’assurer de la réception d’un message et on peut être sûr qu’il n’a pas été intercepté et modifié par des tiers pendant le transfert. Ces signatures peuvent être utilisées de la même façon pour vérifier l’intégrité de fichiers (par exemple, de programmes).

Tutoriel : comment configurer le chiffrement PGP ?

De nombreux services de messagerie proposent aujourd’hui des packs pour installer le chiffrement PGP rapidement et facilement, accompagnés d’instructions claires et détaillées pour vous aider dans cette tâche. Si ce n’est pas le cas, vous devrez prendre vous-même en main la situation : le tutoriel PGP suivant vous aidera à configurer et à utiliser le chiffrement PGP.

Chiffrer et déchiffrer PGP avec des logiciels

Étape 1 : choisir et installer le logiciel PGP adapté

Commencez par choisir un logiciel PGP adapté à vos besoins, et vérifiez qu’il soit compatible avec votre système d’exploitation et votre programme de messagerie. Pour les utilisateurs de Linux, la solution open source GnuPG (GNU Privacy Guard) est particulièrement adaptée. Le service est déjà préinstallé par défaut sur de nombreux systèmes. Si ce n’est pas le cas, la dernière version est disponible sur le site officiel de GNU.

Les utilisateurs de Windows ou de systèmes d’exploitation OS X y trouvent également des données binaires avec lesquelles le système spécifique Gpg4win et GPGTools peuvent être installés.

Étape 2 : générer une paire de clés

Une fois le programme PGP installé, générez une paire de clés. Sous Linux, ouvrez la barre de commandes et utilisez la commande présente dans le manuel du programme que vous utilisez. La commande du GnuPG est la suivante :

sudo gpg --gen-key

Sélectionnez alors la méthode de chiffrement. Si vous disposez de connaissances et d’une expérience suffisante, vous pouvez renoncer à l’installation de base (RSA). Ensuite, saisissez la longueur de la clé en bits ; plus la valeur sera élevée, plus les clés seront sécurisées, mais leur performance en sera affectée en ce qui concerne la rapidité. Les experts en sécurité recommandent une longueur de 4096 bits avec les clés RSA. S’ensuivent la saisie de la durée de validité de la clé, et de votre nom et adresse email. Pour finir, confirmez la validité des informations et définissez un mot de passe sécurisé pour votre clé privée. Elle sera requise pour chiffrer et déchiffrer vos emails par la suite.

Sous Windows et Mac OS X, la génération de clés se déroule sur un programme graphique. Indépendamment du logiciel PGP et de la plateforme, vous serez régulièrement amené à soutenir la génération de la clé en saisissant des caractères sur le clavier ou en bougeant le curseur.

Étape 3 : partager la clé publique avec ses contacts

Les clés sont générées soit sous Linux, soit via le terminal, soit à l’aide d’un programme graphique tel que Seahorse (pour Gnome/Unity) ou KGpg (pour KDE). Pour afficher les clés privées, les commandes suivantes sont adaptées à GnuPG tel que présenté dans ce tutoriel PGP :

sudo gpg --list-secret-keys
sudo -K

Ainsi que pour les clés publiques :

sudo gpg --list-keys
sudo -K

Les clés listées peuvent être exportées directement. De cette manière, vous créez un fichier .asc qui sera envoyé aux contacts souhaités par email (dans la pièce jointe). Ce fichier sera ensuite téléchargé sur un serveur de certification ou pourra être transmis par clé USB. Si un de vos contacts a obtenu votre clé publique et possède un programme pour générer des clés, il pourra vous envoyer des emails chiffrés, qu’il faudra par la suite déchiffrer avec le mot de passe et la clé privée. Si vous désirez faire parvenir des emails chiffrés à votre contact, vous aurez besoin de sa clé publique.

Chiffrer et déchiffrer PGP en ligne

À la place d’utiliser des programmes, vous pouvez avoir recours à des outils PGP en ligne pour générer des paires de clés ou chiffrer et déchiffrer des emails. En guise d’exemple pour la suite de ce tutoriel, nous vous présentons le service Web PGP Key Generator, avec lequel il est possible de créer des paires de clés et de chiffrer ou déchiffrer des messages.

L’outil en ligne PGP Key Generator est un programme en JavaScript qui est compatible avec les principaux navigateurs Web et qui permet de générer une paire de clés. Ce service open source est gratuit et s’utilise sans inscription préalable.

Pour la première étape, il suffit de se rendre dans le formulaire et d’y apporter les spécifications nécessaires pour les clés. En cliquant sur « Generate Keys », vous démarrez la création des clés.

Close

Cet outil en ligne étant open source, les experts peuvent à tout moment consulter son code source et vérifier si le générateur est vraiment fiable. Mais comme avec toutes les autres applications Javascript, les criminels peuvent chercher à exploiter des failles de sécurité sur le PGP Key Generator, afin d’attaquer le système des utilisateurs et d’accéder à leurs données personnelles.

Chiffrer et déchiffrer PGP pour les services emails

Pour ceux qui privilégient les services email tels que Gmail, Yahoo ou Outlook.com, l’extension de navigateur Mailvelope est un choix adapté. Ce plugin se base sur OpenPGP.js et est disponible aussi bien sur Google Chrome que sur Firefox et Edge. Sur la page d’accueil du site Web, vous trouverez les liens nécessaires au téléchargement de l’extension. Une fois Mailvelope installé, l’icône de l’extension s’affichera dans la barre du navigateur. C’est dans cet espace que vous pourrez importer, gérer les clés publiques et privées de vos destinataires ainsi que télécharger les clés publiques qui ont été générées.

Close

Une fois que vous avez téléchargé Mailvelope et que vous l’avez ouvert à partir de l’icône de votre navigateur, l’extension peut rechercher les messages en PGP. De cette manière, toutes les données sur le chiffrement et le déchiffrement des messages seront affichées. Dans les options, vous pourrez activer ou désactiver le chiffrement pour Gmail, Outlook et autres facilement.

Chiffrer et déchiffrer PGP sur un appareil mobile

Pour pouvoir utiliser le chiffrement PGP sur les appareils iOS et Android, vous avez besoin d’un service de messagerie qui prend en charge ce type de chiffrement, ainsi que d’un logiciel de gestion des clés. Nous avons sélectionné des outils de gestion des clés vous permettant de sauvegarder et de gérer les clés PGP de vos contacts pour iOS et Android.

iOS : Easy PGP

Easy PGP est une application iOS conviviale et sécurisée qui apporte la puissance du chiffrement PGP à votre appareil mobile. Avec EasyPGP, vous pouvez créer, importer et exporter des paires de clés PGP pour protéger vos communications. L’application effectue toutes les opérations localement sur votre appareil, de sorte que vos données ne quittent jamais votre téléphone et que votre confidentialité est garantie. L’interface utilisateur moderne et intuitive rend le chiffrement PGP accessible à tous. Parmi les principaux atouts de l’application, on peut citer la création simple de paires de clés PGP avec des paramètres de chiffrement personnalisables.

Close

Android : OpenKeychain : Easy PGP

Pour pouvoir utiliser le chiffrement de vos clés PGP sur des appareils Android, l’application open source « OpenKeychain : Easy PGP » basée sur OpenPGP est idéale. Après avoir installé l’application, vous pouvez consulter, importer et gérer vos clés privées et publiques sous « Keys ». Sous « Encrypt/Decrypt », vous pouvez chiffrer ou déchiffrer des emails et des fichiers avec ces clés.

Close

Contenus chiffrés vs connexions chiffrées

Nombreux sont les utilisateurs à penser que leurs échanges de mails via SSL et TLS sont déjà complètement chiffrés, ce qui n’est pas tout à fait exact car l’utilisation de certificats SSL/TLS ne permet que de chiffrer le chemin emprunté par les transmissions des emails. Cette méthode a pour désavantage de ne pas assurer une sécurité maximale, puisque des tiers non autorisés peuvent accéder au contenu en clair.

Néanmoins, les certificats SSL/TLS ont l’avantage de chiffrer la connexion entre les serveurs de messagerie, ce qui protège les emails pendant leur transmission. Contrairement à PGP, ils ne permettent toutefois pas de chiffrer le contenu du message lui-même, ni les informations telles que l’objet, l’expéditeur ou le destinataire.

Ainsi, une combinaison entre le chiffrement d’emails avec PGP et SSL/TLS présente une solution optimale pour garantir la sécurité de vos emails. Pour en apprendre davantage en matière de transmission chiffrée des emails, découvrez notre article dans le Digital Guide de IONOS sur « Comment sécuriser l’envoi de vos mails avec SSL/TLS ? ».