Chiffrer ses emails avec une clé PGP

Bien qu’une importante partie des communications modernes s’effectue sur Internet via des messageries instantanées ou des messages sur les réseaux sociaux, un monde sans email reste impensable. Il convient d’utiliser l’email plutôt qu’une messagerie instantanée, d’autant plus lorsque les contenus comportent des données confidentielles, telles que des coordonnées bancaires ou bien des détails de contrats. Dans ce cas de figure, l’usage d’un service email sera privilégié à des messageries instantanées ou des tchats, car ce moyen de communication est plus sécurisé. Dans de nombreuses entreprises, l’échange d’emails fait partie du quotidien. Il est donc important de protéger vos informations confidentielles et d’empêcher qu’elles soient lues par des tiers. Ce sont notamment les cybercriminels, à la recherche de vos courriels confidentiels, qui représentent une menace, notamment si ils sont transmis en clair. Il est par conséquent devenu un impératif de chiffrer ses emails si l’on veut garantir la sécurité de leurs données.

Chiffrer ses emails avec PGP et protéger ses données

Le chiffrement des emails par PGP offre une excellente occasion de protéger vos informations et les contenus de vos emails en les cryptant. A la base, PGP (acronyme anglais de « Pretty Good Privacy » ou « plutôt bonne intimité », traduit littéralement en français) a été développé en 1991 par Phil Zimmermann. L’objectif de ce logiciel de cryptographie gratuit était de proposer un cryptage de courriels.  Au cours des années, le nom de ce programme s’est imposé petit à petit en tant que nom pour désigner la méthodologie de cryptage utilisée.

Le principe de PGP repose sur une cryptographie à clé publique. C’est-à-dire qu’une paire de clés publiques et une paire de clés secrètes sont générées. La clé secrète (key) est protégée par un mot de passe et sert à déchiffrer. Elle reste sur l’ordinateur de son propriétaire, tandis que la clé publique sert à chiffrer ses emails et est distribuée au plus grand nombre. Ainsi, la clé publique est mise à disposition des contacts email potentiels, en leur étant distribuée directement ou encore en la téléchargeant via un serveur de clés externe. A l’aide de la clé publique, il est possible de crypter tous les emails que l’on échange avec vous. La clé privée est uniquement en votre possession, et protégée de surcroît par un mot de passe. Vous pouvez crypter à l’aide de cette clé privée les emails que vous recevez, qui étaient auparavant chiffrés par la clé publique. Mais pour que vous puissiez communiquer en toute sécurité, il est nécessaire que votre contact utilise également PGP et partage la clé publique avec vous. Le procédé de la clé publique est également désigné comme étant un processus asymétrique, car les deux parties utilisent des clés différentes. A l’aide de signatures, vous pourrez d’autant plus garantir l’authenticité de vos communications.

Le chiffrement d’emails avec PGP : une sécurité réservée aux professionnels ?

Le chiffrement des emails avec PGP peut sembler ardu au premier abord. Il s’agit dans un premier temps de se procurer un logiciel PGP gratuit ou peu coûteux à installer. Tandis que l’installation génère automatiquement une paire de clés, le reste dépend de la responsabilité de l’utilisateur. La clé privée est sauvegardée sur votre propre système, tandis que la clé publique est sauvegardée sur un serveur externe. Il faut également garder à l’esprit que vos contacts doivent également avoir recours au cryptage PGP et vous faire parvenir leur propre clé publique. La vérification de la fiabilité des clés que vous recevez vous est incombée,ainsi que celles que vous émettez. Il vous faudra donc être prudent en matière de chiffrement d’emails avec PGP.

Bien souvent, seuls les utilisateurs les plus expérimentés osent franchir le pas en cryptant leurs échanges de courriels avec de PGP. Pour que cette méthode soit accessible au plus grand nombre, des plugins ont été développés ces dernières années, tel que le OutlookPrivacyPlugin, pour que le chiffrement des emails avec PGP soit mis en place de manière facilitée pour les utilisateurs de clients email et les navigateurs les plus courants. Entre temps, les fournisseurs d’email les plus populaires accordent une importance grandissante au thème de la sécurité ainsi que de la confidentialité. Ces fournisseurs combinent fréquemment leur service email à des plugins PGP tout en proposant une assistance pour l’installation. Ces nouvelles mesures permettent de faciliter grandement le cryptage d’emails avec PGP pour vos comptes email. L’enregistrement de votre clé publique dans une base de données du fournisseur est également un service de plus en plus répandu.

Comment chiffrer ses emails avec une clé PGP

De nombreux prestataires de services email proposent des packs multifonctionnels pour la mise en place du chiffrage avec PGP. Généralement, les instructions sont compréhensibles et faciles à appliquer. Vous pouvez également avoir recours aux instructions ci-dessus et les appliquer. Le tutoriel PGP suivant vise à approfondir le sujet et dévoile comment chiffrer ses emails avec PGP.

Étape 1 : choisir et installer le logiciel PGP adapté

En premier lieu, il convient de trouver quel sera le logiciel PGP adapté à vos besoins et vous assurer qu’il soit compatible aussi bien avec le système d’exploitation qu’avec le programme email que vous utilisez. Pour les utilisateurs de Linux, la solution en open source GnuPG (GNU Privacy Guard) est un choix adapté. Ce logiciel fonctionne avec presque toutes les distributions GNU/Linux et permet le cryptage d’après les standards OpenPGP avec tous les programmes email principaux, comme Evolution, Kmail ou encore Thunderbird. La version 1.4, qui est un peu moins récente, est souvent préinstallée sur de nombreux systèmes de manière standard. La dernière version est disponible sur le site officiel de GNU. Les utilisateurs de Windows ou de systèmes d’exploitation OS X y trouvent également des données binaires avec lesquelles le système spécifique Gpg4win et Mac GPG peuvent être installés.

Étape 2 : générer une paire de clés

Une fois le programme PGP installé, une paire de clés peut être générée. Sous Linux, ouvrez la barre de commandes et utilisez la commande présente dans le manuel du programme que vous utilisez. La commande du GnuPG est la suivante :

sudo gpg --gen-key

Par la suite, sélectionnez la méthode de chiffrage. Si vous disposez de connaissances et d’une expérience suffisante, vous pouvez renoncer à l’installation de base (RSA et RSA). Par la suite, saisissez la longueur de la clé en Bits. Plus la valeur sera élevée, plus les clés seront sécurisées, mais leur performance en sera affectée en ce qui concerne la rapidité. Les experts en sécurité recommandent une longueur de 4096 Bits avec les clés RSA. S’ensuivent la saisie de la durée de validité de la clé et de votre nom et adresse email. Pour finir, confirmez la validité des informations et définissez un mot de passe pour votre clé privée. Elle sera requise pour crypter et décrypter vos emails par la suite. 

Sous Windows et Mac OS X, la génération de clés se déroule sur un programme graphique. Indépendamment du logiciel PGP et de la plateforme, vous serez régulièrement amenés à soutenir la génération de la clé en saisissant des caractères sur le clavier ou en bougeant le curseur. 

Étape 3 : partager la clé publique avec ses contacts

Les clés sont générées soit sous Linux, soit via le terminal, soit à l’aide d’un programme graphique tel que Seahorse (pour Gnome/Unity) ou KGpg (pour KDE). Dans ce tutoriel PGP avec GnuPG, découvrez les commandes suivantes :

sudo gpg --list-secret-keys
sudo -K

Pour les clés privées, et :

sudo gpg --list-keys
sudo -K

Pour un listing de toutes les clés publiques. Les clés listées peuvent être exportées directement. De cette manière, vous créez un fichier de données .asc qui sera envoyé aux contacts souhaités par email (dans la pièce jointe). Par la suite, ce fichier sera téléchargé sur un serveur de certification ou pourra être transmis par clé USB. Si un de vos contacts a obtenu votre clé publique et possède également un programme pour générer des clés, il peut vous envoyer des emails directement cryptés, qu’il faut par la suite décrypter avec le mot de passe et la clé privée. Si vous désirez également faire parvenir des emails cryptés à votre contact, vous aurez besoin de la clé publique.

Cryptage et décryptage PGP en ligne

À la place d’utiliser des programmes, vous pouvez également avoir recours à des outils PGP en ligne pour générer des paires de clés ou chiffrer et déchiffrer ses emails. En guise d’exemple pour la suite du tutoriel, nous allons présenter le PGP Key Generator et l’outil en ligne de chiffrage sela.

PGP Key Generator

L’outil en ligne PGP Key Generator est un programme en JavaScript qui est compatible avec les principaux navigateurs Web et qui permet de générer une paire de clés. Ce service en open-source est gratuit et s’utilise sans inscription préalable. Pour la première étape, il suffit de se rendre dans le formulaire « options » et d’y apporter les spécifications nécessaires pour les clés :

  • nom
  • adresse email
  • les algorithmes de cryptage de votre choix (RSA/ECC)
  • la longueur de la clé  (jusqu’à 4096 Bits)
  • la durée de validité de la clé (8 ans maximum)
  • mot de passe

En cliquant sur « Generate Keys », vous démarrez la création des clés. Ce processus est relativement long. Une fois que les clés ont été générées, la clé publique et la clé privée s’affichent dans une fenêtre à ce nom. Via le bouton de téléchargement, vous pouvez télécharger les deux en format .asc.

La saisie des données tout comme la génération des paires de clés a lieu côté client (donc sur le navigateur) via une connexion TLS qui est vérifiée par Amazon. Les responsables de ce service en ligne ne stockent pas les informations (adresse email et les clés générées) sur leur serveur (Amazon S3 et CloudFront) : seul Google Analytics collecte des informations dans le but de les analyser.

Comme avec toutes les autres applications Javascript, les criminels peuvent chercher à exploiter des failles de sécurité sur le PGP Key Generator, afin d’attaquer le système des utilisateurs et accéder à leurs données sensibles, comme la clé privée et le mot de passe.

Sela : pour un chiffrage de clé PGP en ligne facile

Le service Web Sela vous offre la possibilité de chiffrer et déchiffrer ses emails en ligne. Le service requiert la clé en question et le mot de passe pour le déchiffrage. Si vous désirez décrypter un email, insérez la clé publique de votre contact ainsi que le contenu de l’email dans les champs en question et cliquez sur « encrypt your message ». Par la suite, vous obtiendrez l’empreinte de la clé publique ainsi que l’email décrypté que vous pourrez copier-coller simplement.

Le cryptage PGP pour les services emails : l’extension de navigateur Mailvelope

Pour ceux qui privilégient les services email tels que Gmail, Yahoo ou Outlook.com, l’extension de navigateur est un choix adapté. Ce plugin se base sur OpenPGP.js, une implémation JavaScript du standard OpenPGP. Mailvelope est disponible aussi bien sur Google Chrome que sur Mozilla Firefox. Sur la page d’accueil du site Web de Mailvelope, vous trouverez les liens nécessaires au téléchargement de l’extension. Une fois Mailvelope installé, l’icône de l’extension s’affichera dans la barre du navigateur. C’est dans cet espace que vous pourrez importer, gérer les clés publiques et privées de vos destinataires ainsi que de télécharger les clés publiques qui ont été générées.

Une fois que vous avez téléchargé Mailvelope et que vous l’avez ouvert à partir de l’icône de votre navigateur, les éléments spécifiques au cryptage des messages en PGB sont scannés. De cette manière, des éléments spécifiques au cryptage ou décryptage des messages seront affichés tant qu’un email sera traité. Dans les options, vous pourrez activer ou désactiver le chiffrage pour Gmail, Outlook, etc. facilement, en sélectionnant un des services email dans la liste des prestataires et gérer le statut avec un interrupteur on/off. Mailvelope est automatiquement présent dans la liste des serveurs email.

Voici comment gérer vos clés PGP avec Android

Pour pouvoir utiliser le cryptage de vos clés PGP sur des appareils Android, un client email est requis qui supporte ce type de chiffrage, et un logiciel de gestion de clés. Deux applications se démarquent particulièrement des autres : le programme email gratuit Squeaky Mail et l’application payante PGP KeyRing qui est également disponible en version test.

Squeaky Mail est installé à l’aide d’un assistant qui vous permet de créer un compte email. Après avoir importé votre paire de clés, vous pouvez partager votre clé publique à vos destinataires grâce à  PGP Keyring. Dès à présent, Squeaky Mail requiert votre mot de passe lorsque vous envoyez un email crypté et ne le dévoile en clair que lorsque le destinataire saisit la bonne clé, et importe également les clés publiques de vos contacts. En envoyant vos emails, cochez la case « crypter »et sélectionnez la clé en question.

Contenus cryptés et connexions cryptées

Nombreux sont les utilisateurs à penser que leurs échanges de mails via SSL/TSL sont déjà complètement cryptés, ce qui n’est pas tout à fait exact car l’utilisation de certificats SSL/TSL ne permet que de crypter le chemin emprunté par les transmissions des emails. Cette méthode a pour désavantage de ne pas assurer une sécurité maximale, car des tiers non autorisés peuvent accéder au contenu en clair et en non chiffré. Néanmoins, les certificats SSL/TSL présentent l’avantage de permettre de chiffrer ses éléments d’emails tels que les informations sur l’émetteur, le destinataire ou encore le sujet, au contraire du cryptage d’emails avec PGP. Ainsi, une combinaison entre le chiffrement d’emails avec PGP et de cryptage SSL/TSL présente une solution idéale pour garantir la sécurité du contenu de vos emails. Apprenez en plus en matière de transmission chiffrée des emails dans le Digital Guide 1&1 IONOS sur le cryptage SSL/TSL.