Dans la suite du post précédent, je voudrais revenir sur la notion de sécurité appliquée aux mails.
Beaucoup de boîtes mail en ligne, c'est-à-dire consultable via un navigateur internet, ne sont pas sécurisées. Hormis le moment où vous entrez votre mot de passe, le reste du temps, les données qui transitent entre le serveur et votre ordinateur peuvent être vues par n'importe qui. Si vous voulez vérifier que cela vous concerne, regardez tout simplement si l'adresse de la boite commence par https et si un petit cadenas apparait dans un coin du navigateur. Dans ce cas, tout va bien. Le cas échéant, changez d'adresse…
Pour ceux qui utilisent une application pour visualisé les mails, comme il a été détaillé sur ce post, le protocole pop, dans sa version de base, ne garantie aucunement la confidentialité contrairement à l'IMAP, bien que celui-ci ne soit que rarement configurable dans ce sens. Les fournisseurs d'adresse ne proposent que très peu cette option.
Donc au final, il y a de grandes chances pour que quelqu'un de malveillant puisse intercepter votre courrier électronique. Maintenant, vous allez me dire qu'il vous importe peu qu'une personne puisse lire votre courrier qui ne parle jamais de choses très confidentielles. On touche là au grand débat sur la vie privée. Ce n'est pas parce qu'on a rien à cacher qu'on ne verrouille pas la porte d'entrée en partant...
Alors évidemment, je ne suis pas pour crypter tous les échanges de courriel. La plupart n'en valent pas la peine, mais je suis plutôt militant pour que chacun ait des outils simples pour pouvoir à tout moment protéger et/ou signer son courrier. Malheureusement, ce n'est pas encore le cas, parce ça n'intéresse que peu de personnes.
Revenons d'abord sur les possibilités techniques qui s'offrent à nous et l'intérêt pour nous de mettre en place une telle technologie. Depuis que Mr Philip Zimmermann a découvert et légué, non sans bataille, au domaine publique un moyen simple d'utiliser la cryptographie asymétrique, nous pouvons tous crypter et/ou signer des documents et en particulier nos mails. De quoi s'agit-il ?
La cryptographie asymétrique fonctionne à l'aide de deux clés, une publique, une privé. La clé publique est à la disposition de tout le monde, publiée dans des annuaires tandis que la clé privée est personnelle et confidentielle. Quelqu'un peut m'envoyer un message crypté, même si je ne le connais pas, en utilisant ma clé publique. Ensuite, il n'y aura que moi qui pourrais le décoder et le lire grâce à l'autre clé. C'est un peu comme mettre un document dans un coffre fort, le fermer avec la clé qui y est accrochée mais être incapable de le réouvrir avec cette même clé. Il faut alors impérativement la clé du propriétaire du coffre pour l'ouvrir.
Mais il y a un autre usage que je trouve aussi, voire plus intéressant que le cryptage, c'est la signature de documents. Tout comme on décrypte un document, il est possible de le signer grâce à sa clé privé. Le destinataire pourra alors vérifier grâce à la clé publique que le message provient bien de la bonne personne et surtout qu'il n'a pas été modifié entre temps.
Pourquoi fais-je la promotion de ce genre d'outil ? Et bien, je pense que si ces outils étaient démocratisés, ils nous simplifieraient la vie. La dématérialisation généralisée des documents administratifs ou professionnels passera à l'avenir par là. Comment prouver que tel document est un original quand on parle de numérique ? Et bien en vérifiant sa signature. Cette méthode est d'ailleurs utilisée dans le monde du logiciel libre, pour prouver l'origine et la fiabilité d'un programme à télécharger.
J'en parlais il y a pas longtemps avec un ami. On a l'obligation de garder tous nos bulletins de salaire et ce, pour toute la vie. Mais sur une vie entière, le risque de perte, d'incendie ou d'inondation n'est pas négligeable. Une bonne solution consiste à tout numériser. Mais, ces documents ne seront pas considérés comme des originaux. Il serait pourtant tellement plus simple que notre employeur nous les envoie par courrier signé. Les bulletins seraient dès lors validés comme originaux, infalsifiables, et la signature garantirait leur origine. En plus de ça, on économiserait une bonne quantité de papier.
Il en est de même pour tous les documents à valeur juridique qui transitent par mail comme les devis et factures. Mais on peut étendre ce principe à tout document envoyé par courrier papier et alors rendre beaucoup plus rapides et efficaces nos correspondances.
Enfin, ce système pourrait permettre d'annihiler tous les risques de nuisances liés aux mails. Si on signait systématiquement tous nos mails, les messages reçus non signés ou d'origine inconnue seraient traités avec la plus grande méfiance, en particulier sur les sources de malware ( liens et les pièces jointes ).
Sachez qu'une signature numérique a valeur juridique. On peut alors relier un document à la clé qui a aidé à le signer donc à son propriétaire.
Pour revenir sur le cryptage, même si l'on ne l'utilise quasiment pas, il est important de pouvoir, quand le message est confidentiel ou quand il contient des données sensibles (mots de passe, numéro de compte, tout ce qui peut servir à usurper une identité), le codé. Malheureusement, il implique que le destinataire possède de son coté sa paire de clé. On en est encore loin.
C'est pourquoi je milite pour la démocratisation de ces outils. Il permettrait de rendre l'accès à cette technologie systématiquement gratuite et facile à mettre en place.
Pour l'instant, il existe deux normes de cryptage asymétrique, incompatibles entre elles. La première, qui est intégrée dans le mac, passe par l'utilisation de certificats. On obtient un certificat (et une paire de clé) d'un organisme qui garantie au reste du monde notre identité. Ce service est bien évidemment payant mais très simple à mettre en place.
De l'autre côté, nous avons une technologie libre : l'openPGP incarné par GPG d'un côté et PGP de l'autre. Pour le coup, l'identité d'un individu est garantie de proche en proche par les autres utilisateurs. Elle implique une installation pas forcement simple si l'on ne pas payer un centime. Par contre, l'installation faite, quelque soit la solution choisie, l'utilisation est extrêmement facile d'accès et transparente.
Tous les outils cités, ne permettent pas uniquement de gérer des mails mais également toute sorte de documents.
Si ce sujet vous intéresse, vous trouverez plus d'informations sur la "perle" liée à ce post.
