GPG Suite : les outils pour chiffrer ses emails sur Mac s'améliorent

Stéphane Moussie |

Chiffrer ses emails n'est pas aussi facile que chiffrer ses messages instantanés. Contrairement à iMessage, WhatsApp et d'autres qui chiffrent par défaut et de bout en bout tous les messages, il faut configurer soi-même différentes choses pour chiffrer ses emails.

Les standards dans le domaine sont PGP et S/MIME, deux méthodes de chiffrement qui peuvent être utilisées dans plusieurs clients mails et peu importe le fournisseur de mails. Pour faciliter autant que possible l'utilisation de PGP sur Mac, ce qui n'est pas une mince affaire pour les novices, il existe depuis de nombreuses années GPG Suite.

GPG Suite rassemble différents logiciels permettant de gérer intégralement ses emails chiffrés sur Mac sans taper des lignes de commande : GPG Mail est une extension pour lire et écrire des courriels chiffrés dans l'application Mail d'Apple ; GPG Keychain est un trousseau pour gérer ses clés ; GPG Services intègre les fonctions de PGP aux services de macOS ; et MacGPG est le moteur de chiffrement sous-jacent. Un tutoriel qui explique comment configurer PGP, dont l'étape qui consiste à créer une paire de clés, est disponible ici.

Cette suite open source vient de recevoir une mise à jour importante, ce qui n'arrive pas si souvent. Désormais, GPG Services exploite les notifications natives de macOS pour informer l'utilisateur des opérations achevées (à partir de macOS Mojave).

Le module GPG Mail s'améliore en affichant un renseignement lorsqu'aucune clé de chiffrement n'est disponible. On sait ainsi pourquoi il n'est pas possible de chiffrer un nouveau mail. Quant à GPG Keychain, la mise à jour renforce la sécurité : quand on crée une nouvelle clé, le logiciel vérifie maintenant si une clé existe déjà pour l'adresse email associée, et la création d'une phrase secrète est désormais obligatoire. Par ailleurs, de nombreux bugs ont été corrigés, dont certains qui concernaient spécialement Catalina.

GPG Suite est gratuit, à l'exception de GPG Mail qui est devenu payant il y a près de deux ans. Pour utiliser le module de Mail, il faut dépenser 24 €. Ce module n'est pas indispensable : après avoir créé vos clés avec GPG Keychain, vous pouvez très bien utiliser Thunderbird accompagné de l'extension Enigmail pour lire et écrire vos mails chiffrés.

avatar Florent Morin | 

Je l’utilise tous les jours pour signer les mails pro. C’est super pratique. Et automatique.

Et c’est aussi pratique pour signaler à Apple des problèmes de sécurité : ils utilisent le système GPG pour chiffrer les emails qui peuvent contenir des données sensibles.

avatar raoolito | 

@FloMo

je n'ose pas demander jusqu'à quel point vos emails sont si sensibles que cela oblige à les crypter, je demanderais juste si du coup n'importe quel correspondant doit installer GPG en retour pour lire les emails que vous envoyez ?

avatar Xander | 

@raoolito

Il parle ici de signature et non de chiffrement, le processus est similaire (le destinataire aura besoin de la clé PGP public de l’émetteur et de GPG sur Mac) mais le but ici est non pas de chiffrer le message mais plutôt de vérifier l’authenticité de l’émetteur & que le message n’a pas été altéré.

C’est un moyen efficace d’être sur de l’identité de l’émetteur....mais disons que pour un usage grand public ça me semble compliqué à faire adopter dans l’état.

avatar Sometime | 

@raoolito

Tout dépend.
Pour lire un email chiffré il faut en effet GPG/PGP pour le lire en clair. Mais un email chiffré vers GPG/PGP nécessite initialement la clé publique du destinataire pour pouvoir être justement chiffré par l’envoyeur. Il y a donc de bonnes chances que la personne à laquelle le mail chiffré est destiné, ait GPG/PGP configuré et installé quelque part.
Les emails simplement signés sont normalement lisibles par n’importe qui et ne nécessitent pas une telle installation. Mais en l’absence de celle-ci la vérification de la signature n’aura pas lieu et tout dépend aussi du format/standard utilisé par l’email: certains sont mal ou pas interprétés par le client mail et ont du mal a s’afficher.

Bref dans la pratique et fonction du standard utilisé il faut très souvent que le destinataire ait GPG/PGP installé pour pouvoir tirer partie de l’encryption et ou de la signature...

avatar Florent Morin | 

@raoolito

La signature numérique a valeur juridique.

Après, 2 cas de figure pour le destinataire :
- soit il a GPG et il peut vérifier que c’est moi l’émetteur (ma clé publique est sur un serveur public)
- soit il n’a rien et il voit juste une drôle de pièce jointe.

Pour le chiffrement, il est utilisé pour envoyer des données sensibles. Comme par exemple remonter des soucis de sécurité à Apple.

avatar raoolito | 

@FloMo

Ah merci
Pour apple je ne comprend pas, il faut une clef pgp pour remonter des bugs?

Et la valeur juridique je peux comprendre mais a-t-on deja eu le cas? De souvenir un email est deja de base une preuve en lui-même il me semble

avatar Florent Morin | 

@raoolito

Pour envoyer des informations liée à la sécurité à Apple, Apple fournit sa clé publique.

Avec la clé publique d’Apple, j’envoie un message chiffré qui utilise ma clé privée et la clé publique d’Apple.
Apple déchiffre le message en utilisant sa clé privée et ma clé publique.

C’est tout bête. Mais ça sécurise bien les choses car les serveurs de mails ne sont pas forcément au top niveau sécurité. Enfin, tout est relatif. Mais le principe de précaution amène à ça.

Ensuite, pour la dimension juridique, un mail signé numériquement ne peut pas être remis en cause facilement. Il faut la clé privée pour le signer. Elle-même généralement protégée par un mot de passe.

D’ailleurs, il y a d’autres usages. Personnellement, je l’utilise également pour signer mes commits de code. Quand je contribue à un code, ça atteste que j’en suis bien l’auteur. Et que je ne me suis pas attribué le travail d’un autre par exemple.

avatar raoolito | 

@FloMo

Les commits ont deja une signature non? Tout un merdier avec une clef en local?
Sinon merci pour le reste c'est super intéressant !

avatar Florent Morin | 

@raoolito

Il y a les clés SSH. Mais elles authentifient une machine.

Et les commits ont chacun un hash. Mais il ne fait qu’identifier le commit en lui-même.
Il y a bien un nom et un e-mail dans git. Mais on peut mettre n’importe quoi.

Par contre, la clé GPG est associée à une adresse e-mail. Et donc à une personne.
Seul le propriétaire de la clé GPG peut signer le commit. Et donc la correspondance entre l’email du commit et l’email GPG peut être faite.

avatar raoolito | 

@FloMo

J'avoue qu'apres deux lectures je ne comprend toujours pas bien la différence :(
Mais je vous crois sur parole hein :) ? Juste qu'il doit etre trop tard là...

avatar Florent Morin | 

@raoolito

Oui. En gros, un commit signé GPG à même valeur qu’un e-mail signé GPG. C’est le même procédé.

avatar Sometime | 

@raoolito

Un commit a un hash, qui est son empreinte numérique disons. Mais rien ne prouve qui a effectivement poussé ce commit sur le serveur. Toute personne qui y a accès, les développeurs, de tierces parties, ou meme des personnes lambda via une PR ou MR a pu “créer” ce commit. Bref ce n’est plus au moins qu’une empreinte qui n’est pas crypto-graphiquement associée a autre chose qu’au commit lui-même. Mais comme tout le monde peut créer un commit et lui associer une empreinte valide, cela ne porte pas beaucoup de garantie en soi.

En le signant, vous ajoutez un autre element: vous dites: je signe le commit, et tout le monde peut vérifier que c’est moi, grace a ma clé publique.

Il reste toujours la question de la clé publique (comment l’avez-vous obtenu, lui faites vous confiance pour identifier machin, ...) mais ca apporte quelque chose en plus: ce n’est plus un commit lambda identifié par son empreinte, c’est un commit signé (garantie) par machin.
Ca permet le plus souvent de garantir l’intégrité d’un commit: si quelqu’un vous jouait un mauvais tour et modifiait le code, vous pourriez verifier qu’il y a un problème: la signature du commit ne serait plus valide.
Sans signature le malandrin peut tout a fait modifier le code et vous verriez quelque chose de tout a fait valable bien que potentiellement néfaste: une série de commit, identifiés par leurs hash.

avatar raoolito | 

@Sometime

Mmhmm je vois
Merci !

avatar raoolito | 

@FloMo

merci aux deux :)

avatar Xap | 

“Vos emails sont si sensibles que ça oblige à les crypter”

🤦🏻‍♂️

Allez un peu de lecture sur le sujet du “rien a cacher”:

https://jenairienacacher.fr

avatar raoolito | 

@Xap

si demain crypter = une coche à faire, alors pas de soucis, on le fait meme par défaut dans plein de choses, rien que le fait d'être en https par exemple, ou alors les messageries.
MAIS ici il s'agit d'un processus à mettre en place et si on veut qu'il fonctionne, qu'il soit installé chez le destinatairE. Donc que la conversation entre les deux ait un interet quelconque à etre protégée/vérifiée.

Il ne s'agit pas de "rien à cacher" il s'agit de "mon temps a un prix qu'il soit personnel ou privé", du coup cela en vaut-il le coup ? et quid des multiples boites regroupées vis à vis des multiples destinataires etc.. ?
does it worth ?

avatar Xap | 

@raoolito

Je suis entièrement d’accord avec ça.

C’est toujours difficile de concilier sécurité et facilité d’utilisation. Le plus souvent on sacrifie l’un pour l’autre.

avatar Brice21 | 

Je saisi l’opportunité pour signaler les service d’email encrypté end-to-end en PGP créé et hébergé en Belgique : https://www.mailfence.com

Compatible avec tous les clients mail du marché (en IMAP/SMTP, calDAV, cardDAV) et ajoutant dans le webmail l’encryption ou la signature d’un clic en PGP ou avec une encryption symétrique plus facile pour les débutants.

MailFence.com crée dès messages lisibles avec tous les autres clients du marché dont Thunderstorm avec Enigmail, etc.

MaimFence est un produit de ContactOffice, société que j’ai fondée en 1998, éditrice de nombreux webmail (ex. mail.be) et groupware (ex. ContactOffice.com) sur abonnement en ligne pour particuliers, PME, entreprises ou en marque blanche pour opérateurs telecom, universités, associations, etc.

avatar iDanny | 

Je m’étais créée une clé PGP y a 20 ans, je l’ai paumée y a longtemps...

🚪

CONNEXION UTILISATEUR