envoi mail chiffré Comment signer et chiffrer ses emails avec Thunderbird
Sommaire
Comprendre le principe du chiffrement asymétrique
Le couple clé privée – clé publique
Comment obtenir les clés de chiffrement
Préparer Thunderbird pour signer et déchiffrer ses e-mails
Importer les clés publiques de vos correspondants pour chiffrer les mails
Envoyer un mail chiffré à un correspondant
Ne pas chiffrer l’objet des mails
Signer et chiffrer des mails sur un smartphone android
envoi mail chiffré Une tendance actuelle sur internet est à la recrudescence des arnaques par messagerie électroniques (le phishing). Nombre de ces tentatives d’arnaques se font par usurpation d’identité : l’arnaqueur cherche à se faire passer pour une autre personne. Nous recevons tous une telle quantité de ces pourriels que des fois nous doutons même de la légitimité d’un mail qu’un proche nous a envoyé, ou au contraire nous finissons par nous laisser abuser par un mail illégitime. De plus, un autre aspect de la messagerie électronique est son manque de dispositions naturelles à la confidentialité des échanges : les emails que vous envoyez ou recevez sont comme des cartes postales, ils peuvent être lus par les différents systèmes par lesquels ils transitent. Pour adresser ces problématiques, nous allons voir comment signer et chiffrer ses mails avec le logiciel de messagerie électronique open source Mozilla Thunderbird.
Derrière ce terme un peu barbare se cache la clé de voûte de la plupart des procédés permettant de rendre confidentiels les échanges sur internet.
Sans nécessairement entrer dans les détails techniques et encore moins s’aventurer dans les concepts mathématiques (qui me dépassent totalement) à la base de ces méthodes, il est cependant fondamental de comprendre la philosophie du chiffrement asymétrique pour bien s’approprier les mécaniques de signature et de chiffrement des mails.
Ces mécaniques reposent sur la possession par tout un chacun d’une paire de clés numériques, la clé publique et la clé privée. Elles portent bien leur nom :
•.Votre clé privée ne doit être qu’en votre unique possession : c’est le fait de la posséder et d’être le seul à la posséder qui fait que vous prouvez que vous êtes bien vous. Elle est souvent protégée par un mot de passe ou un code PIN que vous seul connaissez. Elle va vous servir à signer vos courriels, mais également à déchiffrer les mails que vos correspondants vous envoient.
•.Votre clé publique, doit quant à elle être distribuée à tous vos contacts. C’est grâce à elle qu’ils pourront vérifier qu’un courrier électronique a bien été signé de votre main (ou plutôt de votre clavier), et qu’ils pourront chiffrer leurs e-mails à votre destination.
On comprend ainsi l’importance de garder sa clé privée en sécurité : elle ne doit être en aucun cas perdue, et encore moins dérobée.
On se rend compte aussi du principe fondamental qui est que les clés publiques de tous les correspondants doivent être échangées entre eux.
Il est très important d’avoir compris ces deux principes pour comprendre la suite. N’hésitez pas à relire les fonctions des clés publiques et privées pour vous convaincre de la pertinence du système avant de passer au chapitre suivant.
LIRE AUSSI Tout savoir sur l’utilisation des logiciels espions
Avant de voir qu’on peut se le générer soit-même, nous allons quand même évoquer le fait que l’on peut s’en procurer en les achetant auprès de ce qu’on appelle des autorités de certifications.
En effet, le droit Français prévoit une place pour les couples clé privée / publique (souvent appelés « certificat » par raccourci, même si le terme « certificat » ne désigne en réalité que la clé publique). C’est ainsi que certaines organisations, comme les chambres de commerce et d’industrie, sont habilitées par l’État à générer et vendre aux particuliers des certificats qui ont une vraie valeur légale pour attester de son identité, au même titre qu’une carte d’identité. Ces certificats ont un coût, ne sont valables qu’une durée limitée (3 ans maximum, mais la tendance est à 1 an), et on ne peut les obtenir qu’en se présentant physiquement à leur lieu de distribution, et sous présentation d’une pièce d’identité. Ils sont la plupart du temps stockés sur une clé USB et utilisables uniquement depuis celle-ci.
Une clé cryptographique contenant un couple clé privée clé publique Attention toutefois à ne pas confondre, il y a plusieurs types de certificats : ici on ne parlera que de certificats qui attestent de l’identité d’une personne, par opposition par exemple aux certificats qui attestent de l’identité d’un serveur informatique (ou d’un nom d’hôte ou de domaine).
Dans le cas des certificats fournis par une autorité de certification, la confiance qu’un tiers aura dans la preuve numérique de votre identité est basée sur le fait que l’entité qui a émis pour vous le certificat est habilitée par l’État à le faire, et qu’elle aura pris les dispositions nécessaires pour vérifier votre identité avant de vous le remettre.
Comme évoqué précédemment, on peut toutefois se générer son couple clé privée / clé publique gratuitement soit-même, avec Thunderbird par exemple. Dans ce cas, la confiance qu’un tiers aura dans la preuve numérique de votre identité sera basée sur la manière dont vous lui aurez transmis votre clé publique : par exemple une remise en main propre par l’intermédiaire d’une clé USB, lors d’un apéritif convivial (ou bien vous lui aurez dictée par téléphone ou visio… je plaisante, même si c’est possible ça serait très fastidieux !). Notez tout de même que dans le cas d’une génération par soit-même, le certificat n’a aucune valeur légale, mais saura tout aussi bien qu’un autre signer et chiffrer les mails.
Pour la suite, nous allons nous mettre en situation d’un certificat généré nous-même.
L’opération est très commode, et se réalise en quelques clics.
C’est la première étape : Thunderbird va générer, par l’intermédiaire du module OpenPGP, la paire de clés. Pour cela, il faut se rendre dans les paramètres des comptes.
menu optionsDans les paramètres du compte de messagerie pour lequel on veut configurer le chiffrement, aller à la rubrique « chiffrement de bout en bout » et cliquer sur « ajouter une clé ».
paramètres openPGPDans l’assistant de création ou d’import de clé, choisir l’option « Créer une nouvelle clé OpenPGP ».
menu import cléChoisir les paramètres de création de la clé : sa durée de validité, l’algorithme de chiffrement ainsi que la taille de la clé. N’importe quel paramètre peut convenir ici, mais pour illustration, sachez que plus la clé est longue, plus elle sera dure à casser par un pirate, mais en contrepartie plus l’effort de calcul sera important pour votre ordinateur pour chiffrer/déchiffrer les mails. Le type de chiffrement « ECC » est plus récent que « RSA », et a un pouvoir chiffrant plus important à longueur de clé identique.
Enfin en ce qui concerne la durée de validité de la clé, elle importe peu dans notre présent propos. Au delà de sa date de validité, vos futures signatures ne seront plus valides, mais vous pourrez bien entendu continuer à déchiffrer les emails que vous avez déjà reçu. Vous pouvez modifier la date de validité de la clé très simplement depuis le gestionnaire idoine. Sachez tout de même qu’un renouvellement de clé périodique (tous les 3 ans par exemple) est plutôt une bonne pratique, même si elle n’est pas obligatoire.
création nouvelle cléOn peut ensuite confirmer la création de la clé.
Le couple clé privée – clé publique est à présent créé, on peut à présent signer des mails ainsi que les déchiffrer, tout ça grâce à notre clé privée. Nos correspondants pourront valider la signature de nos e-mails grâce à notre clé publique que nous leur avons fournie, et qui fonctionne de concert avec notre clé privée, un peu comme une clé et une serrure.
C’est une bonne pratique à avoir, car la perte de la clé privée empêchera de déchiffrer tous les mails qu’on aura déjà reçu : ils seront bons à jeter à la poubelle. La sauvegarde se réalise depuis le gestionnaire de clés.
clé généréeOn sélectionne la clé que l’on veut sauvegarder (dans notre cas il n’y en a qu’une seule), et on choisit l’option « sauvegarder une clé secrète dans un fichier ». On choisit ensuite un répertoire où sauvegarder la clé, puis on définit un mot de passe (obligatoire) pour protéger le fichier.
sauvegarde clé privéeC’est un jeu d’enfant, dans la fenêtre d’édition habituelle d’un mail, il suffit de dérouler le menu « sécurité » et de choisir l’option « Signer numériquement ce message ».
Le message sera alors signé avec votre clé privée qui attestera que vous êtes bien l’expéditeur de ce message. De plus, la signature électronique attestera que votre message n’a pas été modifié entre son expédition depuis votre Thunderbird et son arrivée dans la boite email de votre correspondant, ce qui est très important.
Votre correspondant pourra alors vérifier la signature de votre courriel en cliquant sur la rubrique openPGP de votre message.
vérification signatureVous l’avez compris, pour pouvoir chiffrer des mails à destination d’un correspondant, il faut être en possession de sa clé publique. Vous l’avez obtenue sur clé USB au dernier apéro, il faut maintenant l’importer dans Thunderbird. Ça se passe dans le gestionnaire de clés.
On choisit la fonction « Importer une clé publique depuis un fichier » et on pointe le fichier contenant la clé publique que notre correspondant nous a fournie.
import clé publiqueIl ne reste ensuite qu’à valider l’import de la clé.
Nous sommes à présent prêt à envoyer des mails chiffrés à ce correspondant.
C’est hyper simple : on déroule de nouveau le menu « Sécurité » de la fenêtre d’édition du message, et cette fois-ci on choisit « Exiger le chiffrement » (notez que le mail sera automatiquement signé également). Le mail sera alors chiffré avec la clé publique de votre correspondant, et lui seul pourra le déchiffrer avec sa clé privée.
envoi mail chiffréVotre correspondant pourra alors vérifier les informations de sécurité du mail :
vérification mail chiffréPar défaut Thunderbird chiffre également l’objet du mail, pour plus de sécurité. C’est bien, mais ça rend très pénible la recherche d’un mail particulier dans la liste des mails.
Personnellement, je préfère demander à Thunderbird de ne pas chiffrer l’objet du mail ; c’est un tout petit peu moins sécurisé, mais on peut retrouver un mail facilement dans la liste avec son objet, sans avoir à les déchiffrer un à un.
L’option n’est pas mise en avant, et il faut passer par l’éditeur de configuration pour aller la chercher ; pas de panique, ça se fait bien. Il faut se rendre dans les préférences de Thunderbird, à la rubrique « Général ». Aller tout en bas, et cliquer sur le bouton « Éditeur de configuration ».
menu préférences
éditeur de configurationDans le champ de recherche de l’éditeur de configuration, tapez le mot suivant :
La recherche va remonter une ou plusieurs lignes commençant par « mail.identity » et finissant par « protectsubject ». Double cliquez sur chacune de ces lignes pour faire passer leur valeur de true à false.
recherche protect subjectA présent Thunderbird ne chiffrera plus les objets des mails.
On s’éloigne un peu du sujet initial qui est de chiffrer ses mails avec Thunderbird, mais sachez qu’il est tout à fait possible de le faire aussi sur un smartphone Android.
Personnellement c’est ce que je fais en utilisant l’excellent client de messagerie K-9 Mail, couplé à l’application OpenKeychain : Easy PGP. Ainsi, je suis en mesure d’envoyer et de recevoir des mails chiffrés avec mon téléphone, et de les lire indifféremment sur mon ordinateur avec Thunderbird ou sur mon téléphone avec K-9 Mail.
Le chiffrement des mails sur Android sera l’objet d’un prochain tuto !
création nouvelle clé
sauvegarde clé privée
signer mail
import clé publique