Qu’est-ce que le chif­fre­ment par PGP et comment fonc­tionne-t-il ?

Au sein des en­tre­prises, la com­mu­ni­ca­tion se fait prin­ci­pa­le­ment par email. Afin de s’assurer qu’aucune personne non autorisée ait accès au contenu des emails, certaines mesures de sécurité peuvent être prises. Dans cet article, nous vous montrons comment chiffrer vos emails avec PGP.

Qu’est-ce que le chif­fre­ment par PGP ?

Le chif­fre­ment des emails par PGP offre une ex­cel­lente occasion de protéger vos in­for­ma­tions et les contenus de vos emails. À la base, PGP (acronyme anglais de « Pretty Good Privacy » ou « plutôt bonne intimité », traduit lit­té­ra­le­ment en français) a été développé en 1991 par Phil Zim­mer­mann. L’objectif de ce logiciel gratuit était de proposer un chif­fre­ment d’emails. Au cours des années, le nom de ce programme s’est imposé petit à petit en tant que nom pour désigner la mé­tho­do­lo­gie de chif­fre­ment utilisée. Le principe de PGP repose sur une cryp­to­gra­phie à clé publique. C’est-à-dire qu’une paire de clés publiques et une paire de clés secrètes (PPG key) sont générées. La clé publique est mise à dis­po­si­tion des contacts po­ten­tiels, en leur étant dis­tri­buée di­rec­te­ment ou encore en la té­lé­char­geant via un serveur de clés externe. À l’aide de la clé publique, il est possible de chiffrer tous les emails que l’on échange avec vous. Vous pouvez chiffrer à l’aide de cette clé privée les emails que vous recevez, qui étaient au­pa­ra­vant chiffrés par la clé publique. Pour que vous puissiez com­mu­ni­quer en toute sécurité, la personne avec laquelle vous in­te­ra­gis­sez doit également utiliser PGP et vous com­mu­ni­quer sa clé publique.

À ses débuts, la mise en place du chif­fre­ment PGP était assez complexe, c’est pourquoi seulement les uti­li­sa­teurs ex­pé­ri­men­tés uti­li­saient cette méthode. Ces dernières années, des plugins ont toutefois été dé­ve­lop­pés pour rendre le chif­fre­ment PGP ac­ces­sible à un public plus large : deux de ces plugins sont FlowCrypt et Mail­ve­lope. Entre-temps, des services de mes­sa­ge­rie établis ont également développé leurs propres plugins PGP et as­sis­tants d’ins­tal­la­tion pour les intégrer dans leur propre service de mes­sa­ge­rie.

Exemples de cas d’ap­pli­ca­tion du chif­fre­ment PGP

Les méthodes de chif­fre­ment asy­mé­trique comme PGP ne sont pas nouvelles dans le monde de l’in­for­ma­tique et sont déjà utilisées dans de nombreux domaines dif­fé­rents. Voici les domaines d’ap­pli­ca­tion où PGP est le plus souvent utilisé.

1. Chif­fre­ment de messages con­fi­den­tiels : le chif­fre­ment des emails, ainsi que d’autres types de messages, est de loin le cas d’uti­li­sa­tion le plus fréquent de PGP.
2. Chif­fre­ment de fichiers et de systèmes de fichiers : en plus du chif­fre­ment des moyens de com­mu­ni­ca­tion, PGP peut être utilisé pour chiffrer des fichiers, aussi bien sur le disque dur local que sur un serveur.
3. Sig­na­tures nu­mé­riques : un autre domaine où PGP est souvent utilisé est la vé­ri­fi­ca­tion de l’intégrité d’un message ou d’un fichier. Avec une signature PGP, on peut s’assurer de la réception d’un message et on peut être sûr qu’il n’a pas été in­ter­cepté et modifié par des tiers pendant le transfert. Ces sig­na­tures peuvent être utilisées de la même façon pour vérifier l’intégrité de fichiers (par ex. de pro­grammes).

Tutoriel : comment con­fi­gu­rer le chif­fre­ment PGP ?

De nombreux services de mes­sa­ge­rie proposent aujourd’hui des packs pour installer le chif­fre­ment PGP ra­pi­de­ment et fa­ci­le­ment, ac­com­pag­nés d’ins­truc­tions claires et dé­tail­lées pour vous aider dans cette tâche. Si ce n’est pas le cas, vous devrez prendre vous-même en main la situation : le tutoriel PGP suivant vous aidera à con­fi­gu­rer et à utiliser le chif­fre­ment PGP.

Chiffrer et dé­chif­frer PGP avec des logiciels

Étape 1 : choisir et installer le logiciel PGP adapté

En premier lieu, il convient de trouver quel sera le logiciel PGP adapté à vos besoins et vous assurer qu’il soit com­pa­tible aussi bien avec le système d’ex­ploi­ta­tion qu’avec le programme email que vous utilisez. Pour les uti­li­sa­teurs de Linux, la solution open source GnuPG (GNU Privacy Guard) est par­ti­cu­liè­re­ment adaptée. La version 1.4, qui est un peu moins récente, est souvent préins­tal­lée par défaut sur de nombreux systèmes. La dernière version est dis­po­nible sur le site officiel de GNU.

Les uti­li­sa­teurs de Windows ou de systèmes d’ex­ploi­ta­tion OS X y trouvent également des données binaires avec les­quelles le système spé­ci­fique Gpg4win et Mac GPG peuvent être installés.

Étape 2 : générer une paire de clés

Une fois le programme PGP installé, une paire de clés peut être générée. Sous Linux, ouvrez la barre de commandes et utilisez la commande présente dans le manuel du programme que vous utilisez. La commande du GnuPG est la suivante :

sudo gpg --gen-key

Par la suite, sé­lec­tion­nez la méthode de chif­fre­ment. Si vous disposez de con­nais­sances et d’une ex­pé­rience suf­fi­sante, vous pouvez renoncer à l’ins­tal­la­tion de base (RSA et RSA). Par la suite, saisissez la longueur de la clé en bits. Plus la valeur sera élevée, plus les clés seront sé­cu­ri­sées, mais leur per­for­mance en sera affectée en ce qui concerne la rapidité. Les experts en sécurité re­com­man­dent une longueur de 4096 bits avec les clés RSA. S’ensuivent la saisie de la durée de validité de la clé et de votre nom et adresse email. Pour finir, confirmez la validité des in­for­ma­tions et dé­fi­nis­sez un mot de passe pour votre clé privée. Elle sera requise pour chiffrer et dé­chif­frer vos emails par la suite.

Sous Windows et Mac OS X, la gé­né­ra­tion de clés se déroule sur un programme graphique. In­dé­pen­dam­ment du logiciel PGP et de la pla­te­forme, vous serez ré­gu­liè­re­ment amené à soutenir la gé­né­ra­tion de la clé en sai­sis­sant des ca­rac­tères sur le clavier ou en bougeant le curseur.

Étape 3 : partager la clé publique avec ses contacts

Les clés sont générées soit sous Linux, soit via le terminal, soit à l’aide d’un programme graphique tel que Seahorse (pour Gnome/Unity) ou KGpg (pour KDE). Dans ce tutoriel PGP avec GnuPG, découvrez les commandes suivantes :

sudo gpg --list-secret-keys
sudo -K

Ainsi que pour les clés publiques :

sudo gpg --list-keys
sudo -K

Les clés listées peuvent être exportées di­rec­te­ment. De cette manière, vous créez un fichier .asc qui sera envoyé aux contacts souhaités par email (dans la pièce jointe). Par la suite, ce fichier sera té­lé­chargé sur un serveur de cer­ti­fi­ca­tion ou pourra être transmis par clé USB. Si un de vos contacts a obtenu votre clé publique et possède également un programme pour générer des clés, il peut vous envoyer des emails di­rec­te­ment chiffrés, qu’il faut par la suite dé­chif­frer avec le mot de passe et la clé privée. Si vous désirez également faire parvenir des emails chiffrés à votre contact, vous aurez besoin de sa clé publique.

Chiffrer et dé­chif­frer PGP en ligne

À la place d’utiliser des pro­grammes, vous pouvez également avoir recours à des outils PGP en ligne pour générer des paires de clés ou chiffrer et dé­chif­frer ses emails. En guise d’exemple pour la suite de ce tutoriel, nous vous pré­sen­tons le service Web PGP Key Generator, avec lequel il est possible de créer des paires de clés et de chiffrer ou dé­chif­frer des messages.

L’outil en ligne PGP Key Generator est un programme en Ja­vaS­cript qui est com­pa­tible avec les prin­ci­paux na­vi­ga­teurs Web et qui permet de générer une paire de clés. Ce service open-source est gratuit et s’utilise sans ins­crip­tion préalable.

Pour la première étape, il suffit de se rendre dans le for­mu­laire et d’y apporter les spé­ci­fi­ca­tions né­ces­saires pour les clés. En cliquant sur « Generate Keys », vous démarrez la création des clés.

Close

Cet outil en ligne étant open source, les experts peuvent à tout moment consulter son code source et vérifier si le gé­né­ra­teur est vraiment fiable. Mais comme avec toutes les autres ap­pli­ca­tions Ja­vas­cript, les criminels peuvent chercher à exploiter des failles de sécurité sur le PGP Key Generator, afin d’attaquer le système des uti­li­sa­teurs et accéder à leurs données sensibles.

Chiffrer et dé­chif­frer PGP pour les services emails

Pour ceux qui pri­vi­lé­gient les services email tels que Gmail, Yahoo ou Outlook.com, l’extension de na­vi­ga­teur Mail­ve­lope est un choix adapté. Ce plugin se base sur OpenPGP.js et est dis­po­nible aussi bien sur Google Chrome que sur Mozilla Firefox. Sur la page d’accueil du site Web, vous trouverez les liens né­ces­saires au té­lé­char­ge­ment de l’extension. Une fois Mail­ve­lope installé, l’icône de l’extension s’affichera dans la barre du na­vi­ga­teur. C’est dans cet espace que vous pourrez importer, gérer les clés publiques et privées de vos des­ti­na­taires ainsi que de té­lé­char­ger les clés publiques qui ont été générées.

Close

Une fois que vous avez té­lé­chargé Mail­ve­lope et que vous l’avez ouvert à partir de l’icône de votre na­vi­ga­teur, les éléments spé­ci­fiques au chif­fre­ment des emails en PGB sont scannés. De cette manière, toutes les données du chif­fre­ment et du dé­chif­fre­ment des messages seront affichées. Dans les options, vous pourrez activer ou dé­sac­ti­ver le chif­fre­ment pour Gmail, Outlook et autres fa­ci­le­ment.

Chiffrer et dé­chif­frer PGP sur un appareil mobile

Pour pouvoir utiliser le chif­fre­ment PGP sur les appareils iOS et Android, vous avez besoin d’un service de mes­sa­ge­rie qui prend en charge ce type de chif­fre­ment, ainsi que d’un logiciel de gestion des clés. Nous avons sé­lec­tionné des outils de gestion des clés vous per­met­tant de sau­ve­gar­der et de gérer les clés PGP de vos contacts pour iOS et Android.

iOS

PGPro est une ap­pli­ca­tion iOS qui permet de créer, de gérer et d’exporter des clés PGP. L’ap­pli­ca­tion est open source et se base sur le format OpenPGP. De plus, toutes les données et clés générés sont ex­clu­si­ve­ment en­re­gis­trés sur votre appareil local.

Après avoir installé l’ap­pli­ca­tion à partir de l’App Store, vous pouvez générer ou importer de nouvelles paires de clés PGP sous « En­cryp­tion » et « De­cryp­tion » dans l’onglet « Keychain ». Vous pouvez alors chiffrer des emails avec une clé publique ou les dé­chif­frer avec une clé privée.

Close

Android

Pour pouvoir utiliser le chif­fre­ment de vos clés PGP sur des appareils Android, l’ap­pli­ca­tion open source « Open­Key­chain : Easy PGP » basée sur OpenPGP est idéale. Après avoir installé l’ap­pli­ca­tion, vous pouvez consulter, importer et gérer vos clés privées et publiques sous « Keys ». Sous « Encrypt/Decrypt », vous pouvez chiffrer ou dé­chif­frer des emails et des fichiers avec ces clés.

Close

Contenus chiffrés et con­nexions chiffrées

Nombreux sont les uti­li­sa­teurs à penser que leurs échanges de mails via SSL et TLS sont déjà com­plè­te­ment chiffrés, ce qui n’est pas tout à fait exact car l’uti­li­sa­tion de cer­ti­fi­cats SSL/TSL ne permet que de chiffrer le chemin emprunté par les trans­mis­sions des emails. Cette méthode a pour dé­sa­van­tage de ne pas assurer une sécurité maximale, car des tiers non autorisés peuvent accéder au contenu en clair et en non chiffré.

Néanmoins, les cer­ti­fi­cats SSL/TSL pré­sen­tent l’avantage de permettre de chiffrer ses emails (les in­for­ma­tions sur l’émetteur, le des­ti­na­taire ou encore le sujet), au contraire du chif­fre­ment d’emails avec PGP.

Ainsi, une com­bi­nai­son entre le chif­fre­ment d’emails avec PGP et de chif­fre­ment SSL/TSL présente une solution optimale pour garantir la sécurité de vos emails. Pour en apprendre davantage en matière de trans­mis­sion chiffrée des emails, découvrez notre article dans le Digital Guide de IONOS sur « Comment sécuriser l’envoi de vos mails avec SSL/TLS ? ».