Actions

Communications sécurisées

De RAME

La communication passe aujourd'hui par de nombreux médiums, pas tous très nets vis-à-vis du respect des données privées et de la confidentialité. Il n'est pas nécessaire d'avoir des choses à cacher pour vouloir garder sa vie privée, sans que n'importe qui puisse voir nos messages, nos photos, nos informations privées.


Pour se protéger des regards indiscrets, il existe des solutions.

Ce qui n'est pas sécurisé


Par principe, tout ce qui n'est pas spécifié comme chiffré de bout en bout n'est pas sécurisé. Facebook, instagram, twitter, diaspora, mastodon, youtube, skype, zoom, ... Mais aussi les sms, mails, appels vocaux, ... Contrairement à ce qui est annoncé, Whatsapp, télégram, ne sont pas fiables, de par leurs construction opaque (une architecture qu'on ne peut pas vérifiée parce qu'elle n'est pas open source est suspecte), ou par les législations de leur pays qui les contraint à donner des informations aux services de renseignement !

Télégram, de plus, nécessite une attention particulière : si on l'utilise normalement, rien n'est crypté !! Pour que cela le devienne, il faut un cadenas à côté du nom du destinataire, et le cadenas et le nom deviennent verts. Si ce n'est pas le cas, la conversation n'est pas chiffrée ! Voir la manip à faire.

Mails


Rappels

De base, les mails sont très vulnérables. Aucun des protocoles utilisés pour le transfert des mail ne les sécurise. Par contre, la plupart des boite mails utilisent aujourd'hui la sécurité de la connexion SSL/STL, ce qui permet de crypter les transferts, et surtout d'envoyer des mails sur d'autres FAI que le vôtre (si vous êtes chez laposte, vous pourrez envoyer un mail à quelqu'un chez protonmail par exemple). Attention ce n'est pas le mail lui même qui est chiffré, c'est les échanges réseaux entre votre PC et Internet qui sont chiffrés.

  • Serveur sortant SMTP (Simple mail transfert protocol):

"Le courrier SMTP est intrinsèquement non sécurisé dans la mesure où il est possible, même pour des utilisateurs assez occasionnels, de négocier directement avec les serveurs SMTP de réception et de relais et de créer des messages qui inciteront un destinataire naïf à croire qu'ils viennent d'ailleurs.[...]La véritable sécurité du courrier réside uniquement dans des méthodes de chiffrement de bout en bout impliquant les corps du message, telles que celles qui utilisent des signatures numériques"[1]

Il est intéressant de constater que dans les protocoles, on ne peut être plus clair sur les méthodes nécessaires pour obtenir la sécurité. SMTP n'est donc pas du tout sûr pour les données du mail.

  • Serveur entrant POP3 (Post Office Protocol) :

"Les serveurs qui répondent par -ERR à la commande USER peuvent permettre à d’éventuels pirates informatiques de trouver quels sont les noms d’utilisateur valides.

L’utilisation de la commande PASS envoie les mots de passe en clair à travers le réseau.

L’utilisation des commandes RETR et TOP envoie le courrier en clair à travers le réseau."[2]

  • Serveur entrant IMAP4 (Internet Message Access Protocol) :

C'est comme POP3 en amélioré (notamment pour le stockage des mails : POP3 stocke en local, quand IMAP stocke en ligne sur un serveur). Quant à la sécurité, elle est identique à POP3...[3]

CONCLUSION :
Si vous ne chiffrez pas , et bien ça veux dire que sur les wifi gratuits et même votre wifi ou wifi d'hotel tout passe en "clair" dont votre nom utilisateur et mot de passe aussi. Le minimum est de mettre les certificats SSL/TLS pour les entrants sortants.
Pour plus d'informations, consulter cette page.
Pour ajouter une couche de sécurité lors du transfert, on peut chiffrer le mail à envoyer. Le transfert sera chiffré par le SSL/TLS, et le mail quant à lui sera chiffré par un autre procédé. L'avantage de ce cryptage, c'est que seul ceux qui ont la clé de déchiffrage peuvent lire le mail à réception. Il faut donc au préalable donner sa clé au récepteur.
Cependant, même avec autant de chiffrage que l'on veut, le mail reste une technologie fragile. Les métadonnées seront toujours envoyées en clair (qui envoie ? qui reçoit ? à quelle date ? ...), et cela est déjà une fuite de donnée.

Donc, si vous êtes Edward Snowden, ou le futur Edward Snowden, et que vous avec une situation de vie ou de mort qui nécessite une extrême prudence dans vos échanges privés, on ne vous recommande pas Protonmail. Pour les situations extrêmement critiques, ce n'est tout simplement pas une bonne idée d'utiliser des mails comme moyen de communication.[4]

Si l'on veut toutefois se protéger, en sachant tout cela, voici quelques pistes :

Protonmail


Protonmail est un service mail suisse, qui propose un chiffrage des emails, mais seulement avec d'autres adresses Protonmail ou des personnes qui peuvent crypter leurs courriels, comme en installant le module enigmail sur thunderbird. Cela veut dire que tous les mails envoyés à des personnes qui n'ont pas protonmail ou qui ne peuvent pas crypter leurs courriels sont envoyés en texte clair.
Il est toutefois possible d'envoyer un mail crypté avec un mot de passe, qui est stocké sur les serveurs de Protonmail, et que l'on consulte via un lien sur son navigateur. Il est possible pour le récepteur de répondre directement au mail depuis le lien obtenu, pour garder l'échange chiffré. Cette alternative se passant en dehors de la boite mail du récepteur, celui-ci ne pourra pas en garder trace, ce qui peut être limitant.

Écrire des mails chiffrés à des adresses non protonmail
Dans l'interface de protonmail, Aller dans Paramètres puis sécurité.
Mettez sur ON les paramètres du PGP externe (notamment "attacher automatiquement la clé publique", ce qui permettra à vos contacts de pouvoir vous répondre avec chiffrage aussi) et la validation d'adresse.
Ensuite, il faut sélectionner le contact avec qui on veut mettre en place une communication chiffrée, aller dans les paramètres avancées du contact (petit engrenage à droite de l'adresse mail du contact), et activer le chiffrement et/ou la signature pour ce contact en particulier.
Lorsque vous voulez écrire un mail à une adresse en chiffrage PGP, vous verrez apparaitre un cadenas vert coché à droite de l'adresse destinataire. Il n'y a rien de plus à faire, votre mail est chiffré ! Si vous essayez de cocher le cadenas de chiffrement en bas de la fenêtre du mail, vous remarquerez que cela ne prend pas en charge le PGP, et ne vous propose que d'envoyer un mail chiffré avec un mot de passe, ce qui ne permettra pas à votre destinataire de recevoir votre mail dans sa boite mail.
Si vous n'avez pas encore la clé publique de votre destinataire, vous ne pourrez pas chiffrer votre message, mais vous pourrez au moins le signer par PGP, ce qui assure au destinataire que c'est bien vous qui lui écrivez. Pour remédier à cela, pensez à bien joindre votre clé publique à vos mails, et à demander celles de vos contacts !
Pour les utilisateurs payants, les adresses Protonmail peuvent être rapatriées sur thunderbird grâce à protonmail bridge, qui travaille en arrière plan sur l'ordinateur, et permet de déchiffrer et chiffrer les mails entrant et sortants.


Ce qui est toutefois gênant avec l'idée d'utiliser protonmail, c'est de devoir changer de boite mail. On n'a pas forcément envie de changer d'adresse, surtout s'il ne s'agit que d'une question de chiffrage. Il n'y a pas d'intérêt à utiliser protonmail si c'est pour écrire à des gens qui n'ont pas protonmail (ou un moyen de chiffrage) ! De plus, pour éviter la centralisation des données, mieux vaut ne pas tous aller chez le même hébergeur, sans quoi le monopole qu'on reproche à Google sera reproduit ailleurs. La puissance des alternatives repose sur leur multiplicité.

Alors autant garder son adresse et ajouter un module pour pouvoir chiffrer ses emails !

Module Thunderbird


Sous windows, il faut deux logiciels : GPG4win et thunderbird avec son module enigmail. Un très bon tuto a été fait par le hollandais volant. Une fois que votre paire de clefs est créée à travers Kleopatra, qui s'installe automatiquement avec GPG4win et vous permet de gérer vos identités, vous pouvez passer à votre téléphone pour utiliser les mêmes clefs sur vos deux applications (sans quoi vous chiffrerez des mails avec un chiffrage différent depuis votre ordi ou votre téléphone, et vous ne pourrez pas les lire sur l'autre support...).

Pour envoyer un mail à quelqu'un, vous devez avoir sa clé publique. Si vous écrivez à des adresses protonmail ou à quelqu'un qui a publié sa clé sur un serveur de clés, enigmail la trouvera automatiquement et l'ajoutera à votre carnet d'adresses. Sinon, il faut que votre correspondant vous envoie sa clé publique, que vous importerez via Kleopatra. Pensez à publier votre propre clé sur les serveurs, ou à joindre votre propre clé publique à votre mail, pour que votre correspondant puisse l'enregistrer et vous répondre en chiffré aussi !

Android


Sur android, on utilisera Openkeychain et K9-Mail. Dans openkeychain, cliquez sur le plus, puis sur importer d'un fichier (vous aurez au préalable téléchargé vos clefs sur votre portable. Comme sur ordinateur, pour envoyer un mail à quelqu'un, vous devez avoir sa clé publique. Si votre correspondant a publié sa clé publique sur les serveurs, vous pouvez cliquer sur le "+" et recherche de clés. Vous rentrez ensuite l'adresse mail souhaitée, et si une identité correspond, vous aurez une carte avec des infos qui apparaitra. Importez-la. Cliquez ensuite sur l'adresse mail qui vient de se rajouter dans votre carnet d'adresses. avant de pouvoir s'en servir, il faut la vérifier (l'encart passera de orange à vert). Soit vous avez votre correspondant sous la main, et vous pouvez flasher son QR code, soit vous devez vous débrouiller à distance : cliquez sur les trois points verticaux en haut à droite, puis confirmer par une empreinte. Validez (ou pas) l'empreinte qui s'affiche en fonction de celle de votre correspondant. Confirmez la démarche avec votre propre clé.

Astuce : Les adresses protonmail sont automatiquement publiées sur des serveurs de clé. Si vous cherchez un ami qui a une adresse protonmail, vous la trouverez facilement.

Dans K9-Mail, entrez votre adresse mail. Dans les comptes, sélectionnez longtemps le dossier de votre boite mail, puis cliquez sur paramètres du compte, et enfin sur cryptographie. Dans Ma clé, sélectionnez votre adresse, et cliquez sur utiliser la clé. Au passage vous pouvez aussi activer le mode mutuel Autocrypt, qui vous permettra de continuer des échanges automatiquement cryptés avec ceux qui l'ont aussi activé, et qui vous ont envoyé un mail chiffré.

Pour envoyer un mail chiffré, retournez dans l'interface et cliquez sur composer.entrez votre correspondant. Si vous n'avez pas la clé de chiffrage de cette adresse, vous ne pourrez pas envoyer votre mail chiffré. Pour ça, retourner dans Openkeychain. Si vous avez la clé, un cadenas va apparaitre. Grisé, le mail n'est pa chiffré, en cliquant il devient vert et chiffre votre email.


Application de conversation


Les applications conçues spécialement pour communiquer de manière sécurisées sont les seules qui peuvent prétendre à une sécurité égale à une discussion en huis-clos. Nous en retiendrons deux seulement, Signal et Olvid. Toutes les autres sont soit insuffisamment protégées, soit aux mains d'entreprises peu scrupuleuses.


Olvid


Signal


Documents partagés


Cryptpad

Pastebin

Ce qu'il faut retenir

Pour assurer au mieux sa sécurité dans ses communications :

  • Les mails et sms, même chiffrés, laissent passer des infos, et ne sont pas gage de sécurité. A éviter.
  • Les applications pas open source, ou appartenant à des entreprises sans scrupules sont à éviter.
  • Les serveurs en ligne sont à éviter autant que possible, ainsi que les services qui stockent vos données sur leurs serveurs, surtout quand ils ne sont pas à vous. A éviter.
  • Les métadonnées ne disent pas tout, mais c'est déjà trop. Combinez vos outils de communication avec un VPN.
  • Rappelez-vous que si vous utilisez windows, mac, ios ou android, Ces entreprises ont accès à tout sur votre support. Si google peut assurer de supprimer tous vos fichiers à distance sur un téléphone perdu, c'est qu'il ont accès à ces données[5]... Faites le test vous-même !
  • Rootez votre téléphone et installez linux sur votre ordinateur.
  • Vos mots de passe sont la première fragilité. Si l'on peut facilement déverrouiller votre téléphone votre ordinateur, ou craquer votre boite mail, vous avez beau avoir tout chiffré, on pourra avoir accès librement à tout votre contenu. Diversifiez vos mots de passe, et complexifiez-les. Certains vous diront même de les changer régulièrement.


Références

  1. RFC2821, 7.1 Mail Security and Spoofing.
  2. RFC1939, 13. Considérations sur la sécurité.
  3. configuration IMAP, SSL/TLS dans tous les cas
  4. Not recommended, mise en garde contre l'utilisation des mails.
  5. google google a accès à vos données.