Découvrez ce qu’est le chiffrement PGP, son fonctionnement et la manière la plus simple de sécuriser vos e-mails avec PGP.
Quand Edward Snowden a communiqué secrètement(nouvelle fenêtre) ses révélations sur la surveillance à des journalistes en 2013, il a utilisé le chiffrement PGP. Depuis plusieurs années, des milliers de personnes dans le monde se tournent vers PGP pour se protéger en ligne, qu’il s’agisse de lanceurs d’alerte ou de citoyens ordinaires qui défendent leur droit à la vie privée.
On vous explique tout ce qu’il faut savoir sur PGP et comment facilement sécuriser vos communications avec cette puissante méthode de chiffrement.
Qu’est-ce que le chiffrement PGP ?
Que signifie PGP ?
Qu’est-ce que le standard OpenPGP ?
Comment fonctionne PGP ?
Chiffrement à clé publique (asymétrique)
Chiffrement à clé publique (asymétrique) et à clé secrète (symétrique)
Pourquoi PGP utilise-t-il deux méthodes de chiffrement ?
Signatures numériques
Vérification d’adresse
OpenPGP CA
Quel est le niveau de sécurité du chiffrement PGP ?
Comment utiliser le chiffrement PGP ?
Proton Mail
Plugins PGP tiers
Autres clients PGP
Chiffrer facilement les e-mails avec PGP
Qu’est-ce que le chiffrement PGP ?
PGP est une méthode de chiffrement qui vous permet de communiquer en ligne en toute confidentialité. Elle est couramment utilisée pour chiffrer les messages électroniques, mais elle peut aussi servir à chiffrer des fichiers et d’autres données.
Quand vous envoyez un message par e-mail en utilisant PGP, le message est converti en texte chiffré illisible (ciphertext)(nouvelle fenêtre) sur votre appareil avant de circuler sur internet. Seul le destinataire a la clé pour convertir le texte en un message lisible sur son appareil.
PGP est aussi utilisé pour l’authentification. En permettant de « signer » de manière numérique les messages chiffrés, PGP vous permet de vérifier que le message provient bien de la personne qui se présente comme l’expéditeur et qu’il n’a pas été manipulé pendant la transmission.
Que signifie PGP ?
PGP est l’abréviation de « Pretty Good Privacy », que l’on peut traduire en français par « assez bon niveau de confidentialité ». À l’époque de la création de PGP, dans les années 90, la cryptographie n’était pas très accessible au public et PGP offrait un « assez bon » (pretty good) niveau de protection de la vie privée. Depuis, avec les progrès de la cryptographie, plusieurs facteurs ont permis à PGP de devenir l’une des principales normes en matière de chiffrement des e-mails.
Tout d’abord, PGP est désormais extrêmement sécurisé quand il est correctement utilisé avec un chiffrement fort. Envoyez un message en utilisant PGP et personne ne pourra l’intercepter et le lire pendant son parcours. C’est la raison pour laquelle les fournisseurs de messagerie qui protègent la vie privée, comme Proton Mail, utilisent PGP pour leur chiffrement de bout en bout.
Ensuite, PGP utilise à la fois le chiffrement symétrique (à clé secrète)(nouvelle fenêtre) et le chiffrement asymétrique (à clé publique) (nouvelle fenêtre), comme nous l’expliquons ci-dessous. Cela renforce la sécurité et la facilité d’utilisation puisque vous pouvez envoyer un message chiffré à quelqu’un sans partager une clé secrète à l’avance.
Enfin, PGP a évolué pour devenir OpenPGP(nouvelle fenêtre), une norme ouverte que la communauté cryptographique ne cesse d’améliorer. Chez Proton, non seulement nous utilisons OpenPGP, mais nous participons aussi à sa maintenance et à son développement.
Qu’est-ce que le standard OpenPGP ?
OpenPGP est un standard ouvert de chiffrement PGP dont l’utilisation est gratuite et accessible à tous.
Inventé par l’ingénieur logiciel Phil Zimmermann en tant que logiciel gratuit en 1991, le chiffrement PGP est devenu un logiciel propriétaire et appartient aujourd’hui à Symantec.
Mais Zimmermann a aussi partagé le format de message utilisé par PGP avec l’ensemble de la communauté. Sur cette base, la norme OpenPGP a été créée en 1997, permettant à tout le monde d’écrire des implémentations compatibles et interopérables avec d’autres logiciels qui utilisent OpenPGP.
Plusieurs « bibliothèques » répondant à la norme OpenPGP ont été créées pour aider les programmeurs à mettre en œuvre le chiffrement PGP dans leurs applications. Chez Proton, nous gérons deux de ces bibliothèques :
- OpenPGP.js(nouvelle fenêtre), qui utilise le langage de programmation JavaScript, est utilisé dans notre application web. OpenPGP.js est l’une des bibliothèques OpenPGP les plus utilisées au monde.
- GopenPGP(nouvelle fenêtre), qui utilise le langage Go (aussi appelé Golang), est utilisé dans nos applications mobiles et de bureau. Nous avons lancé ce projet pour faciliter l’utilisation du chiffrement OpenPGP par les développeurs d’applications mobiles et de bureau.
Comment fonctionne PGP ?
PGP combine le chiffrement à clé publique (nouvelle fenêtre), aussi appelé chiffrement asymétrique, et le chiffrement à clé secrète(nouvelle fenêtre), aussi appelé chiffrement symétrique. En termes simples, voici comment fonctionne le chiffrement asymétrique de PGP.
Chiffrement à clé publique (asymétrique)
Imaginons que Bob veut dire bonjour à son amie Alice de manière confidentielle. PGP génère une clé publique et une clé privée pour Alice, que l’on appelle une paire de clés. Ces clés sont des chaînes d’octets représentant des nombres qui sont mathématiquement liés.
Alice peut partager sa clé publique avec tout le monde. Dès lors, tout le monde peut l’utiliser pour lui envoyer des messages chiffrés. Néanmoins, Alice est la seule à avoir la clé privée qui lui permet de déchiffrer ces messages.
Donc, quand Bob écrit à Alice :
1. Bob utilise la clé publique d’Alice pour chiffrer son message, transformant son message « Salut, Alice ! » en une chaîne de caractères illisible, appelée texte chiffré ou ciphertext(nouvelle fenêtre).
2. Bob envoie le message. Toute personne qui tente de le lire pendant le transfert, comme les fournisseurs de messagerie, les espions ou les hackers, ne verra que le texte chiffré illisible.
3. Alice reçoit le message et utilise sa clé privée pour le déchiffrer et le rendre lisible, « en clair »(nouvelle fenêtre).
4. Pour répondre, Alice utilise la même méthode en se servant de la clé publique de Bob. Seul Bob peut lire la réponse en la déchiffrant avec sa clé privée.
Chiffrement à clé publique (asymétrique) et à clé secrète (symétrique)
PGP allie le chiffrement à clé publique avec une autre méthode de chiffrement : le chiffrement à clé secrète, qui consiste à n’utiliser qu’une seule clé pour chiffrer et déchiffrer les messages.
Voici ce qui se passe quand Bob écrit à Alice :
1. PGP crée une clé de session(nouvelle fenêtre) à usage unique pour chiffrer le message de Bob. La clé de session est symétrique parce que Bob et Alice peuvent tous les deux l’utiliser pour chiffrer ou déchiffrer le message.
2. PGP chiffre ensuite la clé de session de Bob en utilisant la clé publique d’Alice, puis le message chiffré et la clé de session chiffrée sont tous les deux envoyés à Alice.
3. Alice utilise sa clé privée pour déchiffrer la clé de session. Elle utilise ensuite la clé de session qui a été déchiffrée pour déchiffrer et lire le message de Bob.
Pourquoi PGP utilise-t-il deux méthodes de chiffrement ?
PGP associe le chiffrement à clé publique (asymétrique) et le chiffrement à clé secrète (symétrique) pour deux raisons principales.
Tout d’abord, la cryptographie à clé publique est beaucoup plus lente que la cryptographie à clé secrète, en particulier pour les messages volumineux. Chiffrer et déchiffrer des messages électroniques ou des fichiers volumineux en utilisant directement la clé publique prendrait beaucoup de temps et de puissance de calcul. Au lieu de cela, PGP utilise la cryptographie à clé publique uniquement pour chiffrer la clé de session, ce qui ne prend pas beaucoup de temps et n’utilise pas beaucoup de puissance de calcul.
Par ailleurs, si vous utilisez la cryptographie symétrique à clé publique, vous devrez trouver un moyen de partager la clé de session avec le destinataire. Si vous partagez la clé non chiffrée, toute personne qui l’intercepte peut la lire et déchiffrer tout le message. De plus, le partage de la clé de session par un autre canal, chiffré ou en personne, n’est pas pratique pour les communications en ligne.
C’est pourquoi PGP allie l’efficacité du chiffrement à clé secrète (symétrique) à la facilité d’utilisation des clés publiques (chiffrement asymétrique) que tout le monde peut utiliser.
Signatures numériques
PGP dispose aussi d’un système de signatures numériques qui permet de vérifier l’identité de l’expéditeur. Une signature numérique prouve au destinataire qu’un hacker n’a pas falsifié le message ou l’expéditeur. Si la signature PGP est valide, vous pouvez vous fier à l’authenticité du message.
PGP signe un e-mail en créant un numéro unique (la signature numérique) qui combine la clé de l’expéditeur avec les données qu’il envoie. Cette signature peut ensuite être vérifiée à l’aide de la clé publique de l’expéditeur. Si la clé publique ou le message est modifié, la signature n’est pas valide.
En savoir plus sur les signatures numériques
Vérification d’adresse
Les signatures numériques permettent de limiter les attaques sophistiquées, mais comment un expéditeur peut-il savoir si la clé publique qu’il utilise appartient bien à la personne à laquelle il s’adresse ? Après tout, n’importe qui peut créer une clé et prétendre qu’elle appartient à une adresse e-mail en particulier. Un attaquant pourrait remplacer votre clé publique par l’une des siennes, ce qui lui donnerait accès à tous les messages chiffrés en utilisant cette clé.
Les systèmes de chiffrement à clé publique comme S/MIME (disponible pour les comptes Gmail et Outlook payants) reposent uniquement sur un système centralisé d’Autorité de Certification(nouvelle fenêtre) (AC ou CA pour Certificate Authority en anglais) pour vérifier la propriété des clés publiques. L’inconvénient des autorités de certification est qu’elles sont des éléments externes qui peuvent être compromis.
PGP dispose pour sa part d’un modèle de confiance décentralisé dans lequel les utilisateurs peuvent vérifier l’identité des autres utilisateurs.
Dans Proton Mail, vous pouvez marquer une clé publique comme étant de confiance pour chacun de vos contacts (on appelle ce procédé l’épinglage de clé ou de certificat). Quand cette clé publique change, vous recevez un avertissement indiquant que la vérification de l’expéditeur n’a pas abouti, ce qui vous permet de demander à votre contact s’il a effectivement changé sa clé publique.
Si l’identité de l’expéditeur est vérifiée, vous verrez ce cadenas dans le champ d’adresse « De » (« From » ci-dessous ):
Chez Proton, nous développons par ailleurs un système plus automatisé de vérification des clés publiques, appelé « Key Transparency ». Avec ce système, vous pourrez vérifier automatiquement que vous utilisez les bonnes clés publiques sans avoir à les approuver toutes manuellement.
OpenPGP CA
En plus de la vérification des clés individuelles, la communauté OpenPGP a récemment développé OpenPGP CA(nouvelle fenêtre), un système qui permet de vérifier les clés des adresses e-mail sous un domaine en particulier. Ce système est particulièrement utile aux organisations pour vérifier plus facilement toutes les clés de leurs membres.
Chez Proton, nous avons créé une autorité de certification appelée ProtonCA pour que d’autres fournisseurs et utilisateurs extérieurs à Proton puissent vérifier plus facilement les clés de nos utilisateurs.
Quel est le niveau de sécurité du chiffrement PGP ?
PGP est une norme qui a fait ses preuves et qui est extrêmement sécurisée si elle est utilisée correctement avec de puissantes clés de chiffrement. C’est pour cette raison qu’Edward Snowden a utilisé GPG (GNU Privacy Guard)(nouvelle fenêtre), qui respecte la norme OpenPGP, pour transmettre ses secrets en 2013.
À notre connaissance, même les agences de renseignement comme l’Agence nationale de la sécurité américaine (la National Security Agency ou NSA), ne peuvent pas déchiffrer le chiffrement de PGP(nouvelle fenêtre). La cryptographie fonctionne, comme le fait remarquer Snowden(nouvelle fenêtre).
PGP utilise AES(nouvelle fenêtre) pour le chiffrement à clé secrète (symétrique) et ECC ou RSA pour le chiffrement à clé publique (asymétrique), tous considérés comme extrêmement sécurisés. En associant ces chiffrements, PGP offre un niveau de sécurité supplémentaire, également renforcé par les signatures numériques (expliquées ci-dessus).
Bien que PGP soit une méthode cryptographique très puissante, elle présente plusieurs inconvénients dans la pratique.
Tout d’abord, la fiabilité de PGP dépend des clés utilisées pour chiffrer les données. Si les clés sont faibles ou compromises, le chiffrement peut être déjoué. C’est pourquoi Proton Mail utilise un chiffrement fort : AES-256 pour le chiffrement à clé secrète (symétrique) et ECC (Curve25519), RSA-2048 ou RSA-4096 pour le chiffrement à clé publique (asymétrique).
Ensuite, la sécurité de PGP dépend de sa mise en œuvre. Comme l’a montré le rapport de vulnérabilité Efail, PGP ne vous protégera pas si vous utilisez un client défaillant.
Enfin, comme pour la plupart des systèmes de sécurité, le maillon le plus faible de la chaîne de sécurité de PGP est l’utilisateur. Si vous égarez votre clé privée ou bien si votre appareil ou vos comptes sont compromis par une attaque de phishing (hameçonnage), PGP ne peut pas vous sauver.
Comment utiliser le chiffrement PGP ?
L’utilisation de PGP est réputée pour être compliquée. La majorité des personnes qui n’ont pas de connaissances techniques ne se donneraient jamais la peine d’apprendre à utiliser PGP, et celles qui savent l’utiliser ne le font souvent pas parce que c’est trop fastidieux.
C’est pourquoi nous avons créé Proton Mail : rendre le chiffrement si simple que tout le monde peut l’utiliser. Nous allons aborder ici les trois façons d’utiliser PGP pour envoyer des messages électroniques chiffrés, en commençant par la plus simple.
Proton Mail
Le moyen le plus simple d’envoyer un message chiffré de bout en bout avec PGP est d’utiliser Proton Mail. Avec Proton Mail, le chiffrement PGP se fait de manière automatique et ne nécessite aucune manipulation compliquée ou connaissance technique.
Si vous écrivez à quelqu’un qui utilise Proton Mail, il vous suffit de rédiger votre message comme d’habitude et de cliquer sur Envoyer (« Send » ci-dessous). Votre message est chiffré de bout en bout, comme l’indique le cadenas dans le champ « À » (« To » ci-dessous).
Si vous voulez envoyer un message chiffré de bout en bout à une personne qui n’utilise pas Proton Mail, le moyen le plus simple est d’utiliser la fonctionnalité de message protégé par un mot de passe.
Rédigez votre message comme d’habitude et cliquez sur l’icône de Chiffrement externe (« External encryption » ci-dessous, en forme de cadenas) pour saisir un mot de passe.
Vous pouvez vous abonner gratuitement à Proton Mail en quelques minutes et commencer aussitôt à envoyer des messages chiffrés par PGP.
Si vous voulez générer et contrôler manuellement vos clés PGP, vous pouvez aussi utiliser Proton Mail comme client PGP. Avec la prise en charge complète de PGP, la gestion des clés, la vérification d’adresse et les contacts chiffrés Proton Contacts, vous disposez d’un moyen simple de communiquer avec d’autres personnes qui utilisent PGP tout en profitant de la facilité d’utilisation de Proton Mail.
Plugins PGP tiers
Une autre façon d’utiliser PGP est d’utiliser un plugin tiers comme Mailvelope(nouvelle fenêtre), une extension de navigateur qui vous permet d’utiliser PGP avec votre webmail.
Le chiffrement se fait localement sur votre ordinateur et votre fournisseur de messagerie n’a pas accès à votre clé privée. Même si les plugins tiers facilitent considérablement l’utilisation de PGP, ils nécessitent quelques réglages et ont plusieurs inconvénients :
- Ils ne fonctionnent pas dans les navigateurs des appareils mobiles.
- Ils ne chiffrent pas automatiquement les pièces jointes aux messages, vous devez les chiffrer séparément.
- La plupart ne prennent pas en charge les clients de messagerie : si vous utilisez une application de bureau comme Outlook, Apple Mail ou Thunderbird, vous ne pourrez pas chiffrer vos e-mails.
Autres clients PGP
La dernière façon d’utiliser PGP est d’avoir une application ou un logiciel qui prend en charge OpenPGP(nouvelle fenêtre). Il y a un grand choix de clients gratuits et payants compatibles avec OpenPGP, mais leur installation et leur maintenance nécessitent de solides connaissances techniques.
À cette complexité s’ajoute le risque de compromettre votre sécurité si vous ne partagez pas ou ne conservez pas correctement vos clés de chiffrement.
Chiffrer facilement les e-mails avec PGP
Depuis sa création en 1991, PGP a évolué vers OpenPGP et est devenu la norme la plus utilisée pour le chiffrement des messages électroniques. Correctement utilisé, PGP peut assurer un véritable chiffrement de bout en bout. Personne d’autre que vous et la personne à qui vous écrivez ne peut lire votre message.
La norme OpenPGP est encore aujourd’hui en cours d’amélioration, avec une actualisation cryptographique qui intègre des algorithmes plus modernes et plus sécurisés. Toutefois, PGP reste difficile et fastidieux à utiliser, même pour les professionnels de la sécurité qui maîtrisent la technologie.
C’est pourquoi nous avons créé Proton Mail, une messagerie électronique très facile à utiliser, mais avec PGP intégré. Tout le monde peut donc envoyer des messages chiffrés automatiquement avec PGP, aucune connaissance technique n’est nécessaire
Créez gratuitement un compte Proton Mail et commencez dès maintenant à envoyer des e-mails chiffrés par PGP.
Si vous connaissez PGP et préférez gérer vous-même les clés de chiffrement, choisissez Proton Mail comme client PGP.
Chez Proton, notre objectif est de permettre à tous de bénéficier de la protection de la vie privée et de la sécurité en ligne. Rejoignez-nous et protégez votre vie privée avec PGP.
Questions fréquentes sur PGP
Que signifie PGP ?
PGP est l’abréviation de « Pretty Good Privacy », que l’on peut traduire en français par « assez bon niveau de confidentialité ». Bien que son nom donne l’impression que vous vous contentez d’une confidentialité limitée, il s’agit en fait d’une solution extrêmement sécurisée quand elle est correctement utilisée pour le chiffrement de bout en bout. Phil Zimmermann, le développeur de PGP, a choisi son nom en s’inspirant de l’épicerie « Ralph’s Pretty Good Grocery » dans les récits de Garrison Keillor sur la ville fictive de Lake Wobegon.
Que sont PGP, OpenPGP et GPG (GnuPG) ?
PGP est une méthode de chiffrement qui permet de chiffrer et d’authentifier les e-mails. Elle peut aussi être utilisée pour chiffrer et déchiffrer d’autres types de fichiers. Inventé par l’ingénieur logiciel Phil Zimmermann en 1991, l’algorithme PGP est aujourd’hui un logiciel propriétaire appartenant à Symantec.
OpenPGP, l’abréviation de « Open Specification for Pretty Good Privacy », est la version libre et ouverte de PGP. Il s’agit de la norme qui permet à des entreprises comme Proton Mail de concevoir et de proposer des produits compatibles avec PGP. Standardisé en 1997, le format OpenPGP a depuis créé un environnement libre permettant aux outils de chiffrement PGP de se développer et de se concurrencer.
GPG (ou GnuPG), l’abréviation de « GNU Privacy Guard », est un logiciel de chiffrement libre basé sur la norme OpenPGP. Publié pour la première fois en 1999, il a été développé à l’origine comme une solution alternative à la suite d’outils de chiffrement PGP de Symantec.
Qu’est-ce qu’une clé PGP ?
Le chiffrement des e-mails par PGP utilise deux types de clés, connues sous le nom de paires de clés :
- Votre clé publique personnelle, aussi appelée certificat, que vous partagez avec d’autres personnes pour qu’elles puissent chiffrer les messages qu’elles vous envoient.
- Votre clé privée personnelle, que vous ne devez jamais partager puisque vous l’utilisez pour déchiffrer les messages chiffrés que vous recevez.
PGP utilise cette paire de clés pour chiffrer et déchiffrer vos messages et pour éviter que quelqu’un puisse les intercepter et les lire. Pour plus de précisions, consultez la section Comment fonctionne PGP ?
—
Traduit et adapté par Elodie Mévil-Blanche.
