Qu’est-ce que le chiffrement par PGP et comment fonctionne-t-il ?

Au sein des entreprises, la communication se fait principalement par email. Afin de s’assurer qu’aucune personne non autorisée ait accès au contenu des emails, certaines mesures de sécurité peuvent être prises. Dans cet article, nous vous montrons comment chiffrer vos emails avec PGP.

Qu’est-ce que le chiffrement par PGP ?¶

Le chiffrement des emails par PGP offre une excellente occasion de protéger vos informations et les contenus de vos emails. À la base, PGP (acronyme anglais de « Pretty Good Privacy » ou « plutôt bonne intimité », traduit littéralement en français) a été développé en 1991 par Phil Zimmermann. L’objectif de ce logiciel gratuit était de proposer un chiffrement d’emails. Au cours des années, le nom de ce programme s’est imposé petit à petit en tant que nom pour désigner la méthodologie de chiffrement utilisée. Le principe de PGP repose sur une cryptographie à clé publique. C’est-à-dire qu’une paire de clés publiques et une paire de clés secrètes (PPG key) sont générées. La clé publique est mise à disposition des contacts potentiels, en leur étant distribuée directement ou encore en la téléchargeant via un serveur de clés externe. À l’aide de la clé publique, il est possible de chiffrer tous les emails que l’on échange avec vous. Vous pouvez chiffrer à l’aide de cette clé privée les emails que vous recevez, qui étaient auparavant chiffrés par la clé publique. Pour que vous puissiez communiquer en toute sécurité, la personne avec laquelle vous interagissez doit également utiliser PGP et vous communiquer sa clé publique.

À ses débuts, la mise en place du chiffrement PGP était assez complexe, c’est pourquoi seulement les utilisateurs expérimentés utilisaient cette méthode. Ces dernières années, des plugins ont toutefois été développés pour rendre le chiffrement PGP accessible à un public plus large : deux de ces plugins sont FlowCrypt et Mailvelope. Entre-temps, des services de messagerie établis ont également développé leurs propres plugins PGP et assistants d’installation pour les intégrer dans leur propre service de messagerie.

Exemples de cas d’application du chiffrement PGP¶

Les méthodes de chiffrement asymétrique comme PGP ne sont pas nouvelles dans le monde de l’informatique et sont déjà utilisées dans de nombreux domaines différents. Voici les domaines d’application où PGP est le plus souvent utilisé.

1. Chiffrement de messages confidentiels : le chiffrement des emails, ainsi que d’autres types de messages, est de loin le cas d’utilisation le plus fréquent de PGP.
2. Chiffrement de fichiers et de systèmes de fichiers : en plus du chiffrement des moyens de communication, PGP peut être utilisé pour chiffrer des fichiers, aussi bien sur le disque dur local que sur un serveur.
3. Signatures numériques : un autre domaine où PGP est souvent utilisé est la vérification de l’intégrité d’un message ou d’un fichier. Avec une signature PGP, on peut s’assurer de la réception d’un message et on peut être sûr qu’il n’a pas été intercepté et modifié par des tiers pendant le transfert. Ces signatures peuvent être utilisées de la même façon pour vérifier l’intégrité de fichiers (par ex. de programmes).

Tutoriel : comment configurer le chiffrement PGP ?¶

De nombreux services de messagerie proposent aujourd’hui des packs pour installer le chiffrement PGP rapidement et facilement, accompagnés d’instructions claires et détaillées pour vous aider dans cette tâche. Si ce n’est pas le cas, vous devrez prendre vous-même en main la situation : le tutoriel PGP suivant vous aidera à configurer et à utiliser le chiffrement PGP.

Chiffrer et déchiffrer PGP avec des logiciels¶

Étape 1 : choisir et installer le logiciel PGP adapté¶

En premier lieu, il convient de trouver quel sera le logiciel PGP adapté à vos besoins et vous assurer qu’il soit compatible aussi bien avec le système d’exploitation qu’avec le programme email que vous utilisez. Pour les utilisateurs de Linux, la solution open source GnuPG (GNU Privacy Guard) est particulièrement adaptée. La version 1.4, qui est un peu moins récente, est souvent préinstallée par défaut sur de nombreux systèmes. La dernière version est disponible sur le site officiel de GNU.

Les utilisateurs de Windows ou de systèmes d’exploitation OS X y trouvent également des données binaires avec lesquelles le système spécifique Gpg4win et Mac GPG peuvent être installés.

Étape 2 : générer une paire de clés¶

Une fois le programme PGP installé, une paire de clés peut être générée. Sous Linux, ouvrez la barre de commandes et utilisez la commande présente dans le manuel du programme que vous utilisez. La commande du GnuPG est la suivante :

sudo gpg --gen-key

Par la suite, sélectionnez la méthode de chiffrement. Si vous disposez de connaissances et d’une expérience suffisante, vous pouvez renoncer à l’installation de base (RSA et RSA). Par la suite, saisissez la longueur de la clé en bits. Plus la valeur sera élevée, plus les clés seront sécurisées, mais leur performance en sera affectée en ce qui concerne la rapidité. Les experts en sécurité recommandent une longueur de 4096 bits avec les clés RSA. S’ensuivent la saisie de la durée de validité de la clé et de votre nom et adresse email. Pour finir, confirmez la validité des informations et définissez un mot de passe pour votre clé privée. Elle sera requise pour chiffrer et déchiffrer vos emails par la suite.

Sous Windows et Mac OS X, la génération de clés se déroule sur un programme graphique. Indépendamment du logiciel PGP et de la plateforme, vous serez régulièrement amené à soutenir la génération de la clé en saisissant des caractères sur le clavier ou en bougeant le curseur.

Étape 3 : partager la clé publique avec ses contacts¶

Les clés sont générées soit sous Linux, soit via le terminal, soit à l’aide d’un programme graphique tel que Seahorse (pour Gnome/Unity) ou KGpg (pour KDE). Dans ce tutoriel PGP avec GnuPG, découvrez les commandes suivantes :

sudo gpg --list-secret-keys
sudo -K

Ainsi que pour les clés publiques :

sudo gpg --list-keys
sudo -K

Les clés listées peuvent être exportées directement. De cette manière, vous créez un fichier .asc qui sera envoyé aux contacts souhaités par email (dans la pièce jointe). Par la suite, ce fichier sera téléchargé sur un serveur de certification ou pourra être transmis par clé USB. Si un de vos contacts a obtenu votre clé publique et possède également un programme pour générer des clés, il peut vous envoyer des emails directement chiffrés, qu’il faut par la suite déchiffrer avec le mot de passe et la clé privée. Si vous désirez également faire parvenir des emails chiffrés à votre contact, vous aurez besoin de sa clé publique.

Chiffrer et déchiffrer PGP en ligne¶

À la place d’utiliser des programmes, vous pouvez également avoir recours à des outils PGP en ligne pour générer des paires de clés ou chiffrer et déchiffrer ses emails. En guise d’exemple pour la suite de ce tutoriel, nous vous présentons le service Web PGP Key Generator, avec lequel il est possible de créer des paires de clés et de chiffrer ou déchiffrer des messages.

L’outil en ligne PGP Key Generator est un programme en JavaScript qui est compatible avec les principaux navigateurs Web et qui permet de générer une paire de clés. Ce service open-source est gratuit et s’utilise sans inscription préalable.

Pour la première étape, il suffit de se rendre dans le formulaire et d’y apporter les spécifications nécessaires pour les clés. En cliquant sur « Generate Keys », vous démarrez la création des clés.

Cet outil en ligne étant open source, les experts peuvent à tout moment consulter son code source et vérifier si le générateur est vraiment fiable. Mais comme avec toutes les autres applications Javascript, les criminels peuvent chercher à exploiter des failles de sécurité sur le PGP Key Generator, afin d’attaquer le système des utilisateurs et accéder à leurs données sensibles.

Chiffrer et déchiffrer PGP pour les services emails¶

Pour ceux qui privilégient les services email tels que Gmail, Yahoo ou Outlook.com, l’extension de navigateur Mailvelope est un choix adapté. Ce plugin se base sur OpenPGP.js et est disponible aussi bien sur Google Chrome que sur Mozilla Firefox. Sur la page d’accueil du site Web, vous trouverez les liens nécessaires au téléchargement de l’extension. Une fois Mailvelope installé, l’icône de l’extension s’affichera dans la barre du navigateur. C’est dans cet espace que vous pourrez importer, gérer les clés publiques et privées de vos destinataires ainsi que de télécharger les clés publiques qui ont été générées.

Une fois que vous avez téléchargé Mailvelope et que vous l’avez ouvert à partir de l’icône de votre navigateur, les éléments spécifiques au chiffrement des emails en PGB sont scannés. De cette manière, toutes les données du chiffrement et du déchiffrement des messages seront affichées. Dans les options, vous pourrez activer ou désactiver le chiffrement pour Gmail, Outlook et autres facilement.

Chiffrer et déchiffrer PGP sur un appareil mobile¶

Pour pouvoir utiliser le chiffrement PGP sur les appareils iOS et Android, vous avez besoin d’un service de messagerie qui prend en charge ce type de chiffrement, ainsi que d’un logiciel de gestion des clés. Nous avons sélectionné des outils de gestion des clés vous permettant de sauvegarder et de gérer les clés PGP de vos contacts pour iOS et Android.

iOS¶

PGPro est une application iOS qui permet de créer, de gérer et d’exporter des clés PGP. L’application est open source et se base sur le format OpenPGP. De plus, toutes les données et clés générés sont exclusivement enregistrés sur votre appareil local.

Après avoir installé l’application à partir de l’App Store, vous pouvez générer ou importer de nouvelles paires de clés PGP sous « Encryption » et « Decryption » dans l’onglet « Keychain ». Vous pouvez alors chiffrer des emails avec une clé publique ou les déchiffrer avec une clé privée.

Android¶

Pour pouvoir utiliser le chiffrement de vos clés PGP sur des appareils Android, l’application open source « OpenKeychain : Easy PGP » basée sur OpenPGP est idéale. Après avoir installé l’application, vous pouvez consulter, importer et gérer vos clés privées et publiques sous « Keys ». Sous « Encrypt/Decrypt », vous pouvez chiffrer ou déchiffrer des emails et des fichiers avec ces clés.

Contenus chiffrés et connexions chiffrées

Nombreux sont les utilisateurs à penser que leurs échanges de mails via SSL et TLS sont déjà complètement chiffrés, ce qui n’est pas tout à fait exact car l’utilisation de certificats SSL/TSL ne permet que de chiffrer le chemin emprunté par les transmissions des emails. Cette méthode a pour désavantage de ne pas assurer une sécurité maximale, car des tiers non autorisés peuvent accéder au contenu en clair et en non chiffré.

Néanmoins, les certificats SSL/TSL présentent l’avantage de permettre de chiffrer ses emails (les informations sur l’émetteur, le destinataire ou encore le sujet), au contraire du chiffrement d’emails avec PGP.

Ainsi, une combinaison entre le chiffrement d’emails avec PGP et de chiffrement SSL/TSL présente une solution optimale pour garantir la sécurité de vos emails. Pour en apprendre davantage en matière de transmission chiffrée des emails, découvrez notre article dans le Digital Guide de IONOS sur « Comment sécuriser l’envoi de vos mails avec SSL/TLS ? ».