Chif­fre­ment PGP : comment protéger le contenu de vos emails ?

PGP est un procédé de chif­fre­ment sécurisé et de signature numérique des emails et des fichiers, basé sur le principe du chif­fre­ment asy­mé­trique. Au sein des en­tre­prises, la com­mu­ni­ca­tion se fait prin­ci­pa­le­ment par email. Afin de s’assurer qu’aucune personne non autorisée ait accès au contenu des emails, certaines mesures de sécurité peuvent être prises. Dans cet article, nous vous montrons comment chiffrer vos emails avec PGP.

Qu’est-ce que le chif­fre­ment par PGP ?

Le chif­fre­ment des emails par PGP offre une ex­cel­lente occasion de protéger vos in­for­ma­tions et les contenus de vos emails. À la base, PGP (acronyme anglais de Pretty Good Privacy, traduit lit­té­ra­le­ment en français par « plutôt bonne intimité ») a été développé en 1991 par Phil Zim­mer­mann. L’objectif de ce logiciel gratuit était de proposer un chif­fre­ment d’emails. Au cours des années, le nom de ce programme s’est imposé petit à petit en tant que nom pour désigner la mé­tho­do­lo­gie de chif­fre­ment utilisée.

Le principe de PGP repose sur un chif­fre­ment à clé publique, une variante du chif­fre­ment asy­mé­trique. C’est-à-dire qu’une paire de clés (PPG key), composée d’une clé publique et d’une clé privée est générée. La clé publique est mise à dis­po­si­tion des contacts po­ten­tiels, soit en leur étant transmise di­rec­te­ment, soit en étant publiée sur un serveur de clés externe. À l’aide de la clé publique, il est possible de chiffrer tous les emails que l’on échange avec vous. Vous disposez d’une clé privée, qui vous permet de dé­chif­frer les emails reçus préa­la­ble­ment chiffrés par la clé publique. Pour com­mu­ni­quer en toute sécurité, la personne avec laquelle vous in­te­ra­gis­sez doit aussi utiliser PGP et vous com­mu­ni­quer sa clé publique.

À ses débuts, la mise en place du chif­fre­ment PGP était assez complexe, c’est pourquoi seulement les uti­li­sa­teurs ex­pé­ri­men­tés uti­li­saient cette méthode. Ces dernières années, des plugins ont été dé­ve­lop­pés pour rendre le chif­fre­ment PGP ac­ces­sible à un public plus large : deux de ces plugins sont FlowCrypt et Mail­ve­lope. Entre-temps, des services de mes­sa­ge­rie établis ont également développé leurs propres plugins PGP et as­sis­tants d’ins­tal­la­tion pour les intégrer dans leur propre service de mes­sa­ge­rie.

Exemples d’ap­pli­ca­tion du chif­fre­ment PGP

Les méthodes de chif­fre­ment asy­mé­trique comme PGP ne sont pas nouvelles dans le monde de l’in­for­ma­tique et sont déjà utilisées dans de nombreux domaines dif­fé­rents. Voici les domaines d’ap­pli­ca­tion où PGP est le plus souvent utilisé.

1. Chif­fre­ment de messages con­fi­den­tiels : le chif­fre­ment des emails, ainsi que d’autres types de messages, est de loin le cas d’uti­li­sa­tion le plus fréquent de PGP.
2. Chif­fre­ment de fichiers et de systèmes de fichiers : en plus du chif­fre­ment des moyens de com­mu­ni­ca­tion, PGP peut être utilisé pour chiffrer des fichiers, aussi bien sur le disque dur local que sur un serveur.
3. Sig­na­tures nu­mé­riques : un autre domaine où PGP est souvent utilisé est la vé­ri­fi­ca­tion de l’intégrité d’un message ou d’un fichier. Avec une signature PGP, on peut s’assurer de la réception d’un message et on peut être sûr qu’il n’a pas été in­ter­cepté et modifié par des tiers pendant le transfert. Ces sig­na­tures peuvent être utilisées de la même façon pour vérifier l’intégrité de fichiers (par exemple, de pro­grammes).

Tutoriel : comment con­fi­gu­rer le chif­fre­ment PGP ?

De nombreux services de mes­sa­ge­rie proposent aujourd’hui des packs pour installer le chif­fre­ment PGP ra­pi­de­ment et fa­ci­le­ment, ac­com­pag­nés d’ins­truc­tions claires et dé­tail­lées pour vous aider dans cette tâche. Si ce n’est pas le cas, vous devrez prendre vous-même en main la situation : le tutoriel PGP suivant vous aidera à con­fi­gu­rer et à utiliser le chif­fre­ment PGP.

Chiffrer et dé­chif­frer PGP avec des logiciels

Étape 1 : choisir et installer le logiciel PGP adapté

Commencez par choisir un logiciel PGP adapté à vos besoins, et vérifiez qu’il soit com­pa­tible avec votre système d’ex­ploi­ta­tion et votre programme de mes­sa­ge­rie. Pour les uti­li­sa­teurs de Linux, la solution open source GnuPG (GNU Privacy Guard) est par­ti­cu­liè­re­ment adaptée. Le service est déjà préins­tallé par défaut sur de nombreux systèmes. Si ce n’est pas le cas, la dernière version est dis­po­nible sur le site officiel de GNU.

Les uti­li­sa­teurs de Windows ou de systèmes d’ex­ploi­ta­tion OS X y trouvent également des données binaires avec les­quelles le système spé­ci­fique Gpg4win et GPGTools peuvent être installés.

Étape 2 : générer une paire de clés

Une fois le programme PGP installé, générez une paire de clés. Sous Linux, ouvrez la barre de commandes et utilisez la commande présente dans le manuel du programme que vous utilisez. La commande du GnuPG est la suivante :

sudo gpg --gen-key

Sé­lec­tion­nez alors la méthode de chif­fre­ment. Si vous disposez de con­nais­sances et d’une ex­pé­rience suf­fi­sante, vous pouvez renoncer à l’ins­tal­la­tion de base (RSA). Ensuite, saisissez la longueur de la clé en bits ; plus la valeur sera élevée, plus les clés seront sé­cu­ri­sées, mais leur per­for­mance en sera affectée en ce qui concerne la rapidité. Les experts en sécurité re­com­man­dent une longueur de 4096 bits avec les clés RSA. S’ensuivent la saisie de la durée de validité de la clé, et de votre nom et adresse email. Pour finir, confirmez la validité des in­for­ma­tions et dé­fi­nis­sez un mot de passe sécurisé pour votre clé privée. Elle sera requise pour chiffrer et dé­chif­frer vos emails par la suite.

Sous Windows et Mac OS X, la gé­né­ra­tion de clés se déroule sur un programme graphique. In­dé­pen­dam­ment du logiciel PGP et de la pla­te­forme, vous serez ré­gu­liè­re­ment amené à soutenir la gé­né­ra­tion de la clé en sai­sis­sant des ca­rac­tères sur le clavier ou en bougeant le curseur.

Étape 3 : partager la clé publique avec ses contacts

Les clés sont générées soit sous Linux, soit via le terminal, soit à l’aide d’un programme graphique tel que Seahorse (pour Gnome/Unity) ou KGpg (pour KDE). Pour afficher les clés privées, les commandes suivantes sont adaptées à GnuPG tel que présenté dans ce tutoriel PGP :

sudo gpg --list-secret-keys
sudo -K

Ainsi que pour les clés publiques :

sudo gpg --list-keys
sudo -K

Les clés listées peuvent être exportées di­rec­te­ment. De cette manière, vous créez un fichier .asc qui sera envoyé aux contacts souhaités par email (dans la pièce jointe). Ce fichier sera ensuite té­lé­chargé sur un serveur de cer­ti­fi­ca­tion ou pourra être transmis par clé USB. Si un de vos contacts a obtenu votre clé publique et possède un programme pour générer des clés, il pourra vous envoyer des emails chiffrés, qu’il faudra par la suite dé­chif­frer avec le mot de passe et la clé privée. Si vous désirez faire parvenir des emails chiffrés à votre contact, vous aurez besoin de sa clé publique.

Chiffrer et dé­chif­frer PGP en ligne

À la place d’utiliser des pro­grammes, vous pouvez avoir recours à des outils PGP en ligne pour générer des paires de clés ou chiffrer et dé­chif­frer des emails. En guise d’exemple pour la suite de ce tutoriel, nous vous pré­sen­tons le service Web PGP Key Generator, avec lequel il est possible de créer des paires de clés et de chiffrer ou dé­chif­frer des messages.

L’outil en ligne PGP Key Generator est un programme en Ja­vaS­cript qui est com­pa­tible avec les prin­ci­paux na­vi­ga­teurs Web et qui permet de générer une paire de clés. Ce service open source est gratuit et s’utilise sans ins­crip­tion préalable.

Pour la première étape, il suffit de se rendre dans le for­mu­laire et d’y apporter les spé­ci­fi­ca­tions né­ces­saires pour les clés. En cliquant sur « Generate Keys », vous démarrez la création des clés.

Close

Cet outil en ligne étant open source, les experts peuvent à tout moment consulter son code source et vérifier si le gé­né­ra­teur est vraiment fiable. Mais comme avec toutes les autres ap­pli­ca­tions Ja­vas­cript, les criminels peuvent chercher à exploiter des failles de sécurité sur le PGP Key Generator, afin d’attaquer le système des uti­li­sa­teurs et d’accéder à leurs données per­son­nelles.

Chiffrer et dé­chif­frer PGP pour les services emails

Pour ceux qui pri­vi­lé­gient les services email tels que Gmail, Yahoo ou Outlook.com, l’extension de na­vi­ga­teur Mail­ve­lope est un choix adapté. Ce plugin se base sur OpenPGP.js et est dis­po­nible aussi bien sur Google Chrome que sur Firefox et Edge. Sur la page d’accueil du site Web, vous trouverez les liens né­ces­saires au té­lé­char­ge­ment de l’extension. Une fois Mail­ve­lope installé, l’icône de l’extension s’affichera dans la barre du na­vi­ga­teur. C’est dans cet espace que vous pourrez importer, gérer les clés publiques et privées de vos des­ti­na­taires ainsi que té­lé­char­ger les clés publiques qui ont été générées.

Close

Une fois que vous avez té­lé­chargé Mail­ve­lope et que vous l’avez ouvert à partir de l’icône de votre na­vi­ga­teur, l’extension peut re­cher­cher les messages en PGP. De cette manière, toutes les données sur le chif­fre­ment et le dé­chif­fre­ment des messages seront affichées. Dans les options, vous pourrez activer ou dé­sac­ti­ver le chif­fre­ment pour Gmail, Outlook et autres fa­ci­le­ment.

Chiffrer et dé­chif­frer PGP sur un appareil mobile

Pour pouvoir utiliser le chif­fre­ment PGP sur les appareils iOS et Android, vous avez besoin d’un service de mes­sa­ge­rie qui prend en charge ce type de chif­fre­ment, ainsi que d’un logiciel de gestion des clés. Nous avons sé­lec­tionné des outils de gestion des clés vous per­met­tant de sau­ve­gar­der et de gérer les clés PGP de vos contacts pour iOS et Android.

iOS : Easy PGP

Easy PGP est une ap­pli­ca­tion iOS con­vi­viale et sécurisée qui apporte la puissance du chif­fre­ment PGP à votre appareil mobile. Avec EasyPGP, vous pouvez créer, importer et exporter des paires de clés PGP pour protéger vos com­mu­ni­ca­tions. L’ap­pli­ca­tion effectue toutes les opé­ra­tions lo­ca­le­ment sur votre appareil, de sorte que vos données ne quittent jamais votre téléphone et que votre con­fi­den­tia­lité est garantie. L’interface uti­li­sa­teur moderne et intuitive rend le chif­fre­ment PGP ac­ces­sible à tous. Parmi les prin­ci­paux atouts de l’ap­pli­ca­tion, on peut citer la création simple de paires de clés PGP avec des pa­ra­mètres de chif­fre­ment per­son­na­li­sables.

Close

Android : Open­Key­chain : Easy PGP

Pour pouvoir utiliser le chif­fre­ment de vos clés PGP sur des appareils Android, l’ap­pli­ca­tion open source « Open­Key­chain : Easy PGP » basée sur OpenPGP est idéale. Après avoir installé l’ap­pli­ca­tion, vous pouvez consulter, importer et gérer vos clés privées et publiques sous « Keys ». Sous « Encrypt/Decrypt », vous pouvez chiffrer ou dé­chif­frer des emails et des fichiers avec ces clés.

Close

Contenus chiffrés vs con­nexions chiffrées

Nombreux sont les uti­li­sa­teurs à penser que leurs échanges de mails via SSL et TLS sont déjà com­plè­te­ment chiffrés, ce qui n’est pas tout à fait exact car l’uti­li­sa­tion de cer­ti­fi­cats SSL/TLS ne permet que de chiffrer le chemin emprunté par les trans­mis­sions des emails. Cette méthode a pour dé­sa­van­tage de ne pas assurer une sécurité maximale, puisque des tiers non autorisés peuvent accéder au contenu en clair.

Néanmoins, les cer­ti­fi­cats SSL/TLS ont l’avantage de chiffrer la connexion entre les serveurs de mes­sa­ge­rie, ce qui protège les emails pendant leur trans­mis­sion. Con­trai­re­ment à PGP, ils ne per­met­tent toutefois pas de chiffrer le contenu du message lui-même, ni les in­for­ma­tions telles que l’objet, l’ex­pé­di­teur ou le des­ti­na­taire.

Ainsi, une com­bi­nai­son entre le chif­fre­ment d’emails avec PGP et SSL/TLS présente une solution optimale pour garantir la sécurité de vos emails. Pour en apprendre davantage en matière de trans­mis­sion chiffrée des emails, découvrez notre article dans le Digital Guide de IONOS sur « Comment sécuriser l’envoi de vos mails avec SSL/TLS ? ».