Actions

Communications sécurisées

De RAME

La communication passe aujourd'hui par de nombreux médiums, pas tous très nets vis-à-vis du respect des données privées et de la confidentialité. Il n'est pas nécessaire d'avoir des choses à cacher pour vouloir garder sa vie privée, sans que n'importe qui puisse voir nos messages, nos photos, nos informations privées.


Pour se protéger des regards indiscrets, il existe des solutions.

Ce qui n'est pas sécurisé


Par principe, tout ce qui n'est pas spécifié comme chiffré de bout en bout n'est pas sécurisé. Facebook, instagram, twitter, diaspora, mastodon, youtube, skype, zoom, ... Mais aussi les sms, mails, appels vocaux, ... Contrairement à ce qui est annoncé, Whatsapp, télégram, ne sont pas fiables, de par leurs construction opaque (une architecture qu'on ne peut pas vérifiée parce qu'elle n'est pas open source est suspecte), ou par les législations de leur pays qui les contraint à donner des informations aux services de renseignement !

Télégram, de plus, nécessite une attention particulière : si on l'utilise normalement, rien n'est crypté !! Pour que cela le devienne, il faut un cadenas à côté du nom du destinataire, et le cadenas et le nom deviennent verts. Si ce n'est pas le cas, la conversation n'est pas chiffrée ! Voir la manip à faire.

Mails


Rappels

De base, les mails sont très vulnérables. Aucun des protocoles utilisés pour le transfert des mail ne les sécurise. Par contre, la plupart des boite mails utilisent aujourd'hui la sécurité de la connexion SSL/STL, ce qui permet de crypter les transferts, et surtout d'envoyer des mails sur d'autres FAI que le vôtre (si vous êtes chez laposte, vous pourrez envoyer un mail à quelqu'un chez protonmail par exemple). Attention ce n'est pas le mail lui même qui est chiffré, c'est les échanges réseaux entre votre PC et Internet qui sont chiffrés.

  • Serveur sortant SMTP (Simple mail transfert protocol):

"Le courrier SMTP est intrinsèquement non sécurisé dans la mesure où il est possible, même pour des utilisateurs assez occasionnels, de négocier directement avec les serveurs SMTP de réception et de relais et de créer des messages qui inciteront un destinataire naïf à croire qu'ils viennent d'ailleurs.[...]La véritable sécurité du courrier réside uniquement dans des méthodes de chiffrement de bout en bout impliquant les corps du message, telles que celles qui utilisent des signatures numériques"[1]

Il est intéressant de constater que dans les protocoles, on ne peut être plus clair sur les méthodes nécessaires pour obtenir la sécurité. SMTP n'est donc pas du tout sûr pour les données du mail.

  • Serveur entrant POP3 (Post Office Protocol) :

"Les serveurs qui répondent par -ERR à la commande USER peuvent permettre à d’éventuels pirates informatiques de trouver quels sont les noms d’utilisateur valides.

L’utilisation de la commande PASS envoie les mots de passe en clair à travers le réseau.

L’utilisation des commandes RETR et TOP envoie le courrier en clair à travers le réseau."[2]

  • Serveur entrant IMAP4 (Internet Message Access Protocol) :

C'est comme POP3 en amélioré (notamment pour le stockage des mails : POP3 stocke en local, quand IMAP stocke en ligne sur un serveur). Quant à la sécurité, elle est identique à POP3...[3]

CONCLUSION :
Si vous ne chiffrez pas , et bien ça veux dire que sur les wifi gratuits et même votre wifi ou wifi d'hotel tout passe en "clair" dont votre nom utilisateur et mot de passe aussi. Le minimum est de mettre les certificats SSL/TLS pour les entrants sortants.
Pour plus d'informations, consulter cette page.
Pour ajouter une couche de sécurité lors du transfert, on peut chiffrer le mail à envoyer. Le transfert sera chiffré par le SSL/TLS, et le mail quant à lui sera chiffré par un autre procédé. L'avantage de ce cryptage, c'est que seul ceux qui ont la clé de déchiffrage peuvent lire le mail à réception. Il faut donc au préalable donner sa clé au récepteur.
Cependant, même avec autant de chiffrage que l'on veut, le mail reste une technologie fragile. Les métadonnées seront toujours envoyées en clair (qui envoie ? qui reçoit ? à quelle date ? ...), et cela est déjà une fuite de donnée.

Donc, si vous êtes Edward Snowden, ou le futur Edward Snowden, et que vous avec une situation de vie ou de mort qui nécessite une extrême prudence dans vos échanges privés, on ne vous recommande pas Protonmail. Pour les situations extrêmement critiques, ce n'est tout simplement pas une bonne idée d'utiliser des mails comme moyen de communication.[4]

Si l'on veut toutefois se protéger, en sachant tout cela, voici quelques pistes :

Le chiffrement, comment ça marche ?


Le chiffrement c'est une boite opaque qui transporte votre message.
Cette boite a deux clés :

  • La clé publique, qui sert à chiffrer (à ouvrir la boite pour y mettre le message). Mais elle ne peut pas déchiffrer. Avec cette clé, vous ne pouvez que mettre des messages dans la boite, vous ne pouvez pas lire ceux qui y sont.
  • La clé privée, qui permet de déchiffrer (à ouvrir la boite pour récupérer le courrier et les lire). Elle ne permet pas de chiffrer. Donc, quand vous envoyez votre clé publique à quelqu'un, il ne peut que vous écrire ; il ne pourra jamais lire vos mails. Par contre, si vous perdez votre clé publique, tous les messages chiffrés que vous recevrez seront à jamais fermés.

Stockez-là dans un lieu sûr, et ne la partagez jamais.

Protonmail


Protonmail est un service mail suisse, qui propose un chiffrage des emails, mais seulement avec d'autres adresses Protonmail ou des personnes qui peuvent crypter leurs courriels, comme en installant le module enigmail sur thunderbird. Cela veut dire que tous les mails envoyés à des personnes qui n'ont pas protonmail ou qui ne peuvent pas crypter leurs courriels sont envoyés en texte clair.
Il est toutefois possible d'envoyer un mail crypté avec un mot de passe, qui est stocké sur les serveurs de Protonmail, et que l'on consulte via un lien sur son navigateur. Il est possible pour le récepteur de répondre directement au mail depuis le lien obtenu, pour garder l'échange chiffré. Cette alternative se passant en dehors de la boite mail du récepteur, celui-ci ne pourra pas en garder trace, ce qui peut être limitant.

Écrire des mails chiffrés à des adresses non protonmail
Dans l'interface de protonmail, Aller dans Paramètres puis sécurité.
Mettez sur ON les paramètres du PGP externe (notamment "attacher automatiquement la clé publique", ce qui permettra à vos contacts de pouvoir vous répondre avec chiffrage aussi) et la validation d'adresse.
Ensuite, il faut sélectionner le contact avec qui on veut mettre en place une communication chiffrée, aller dans les paramètres avancées du contact (petit engrenage à droite de l'adresse mail du contact), et activer le chiffrement et/ou la signature pour ce contact en particulier.
Lorsque vous voulez écrire un mail à une adresse en chiffrage PGP, vous verrez apparaitre un cadenas vert coché à droite de l'adresse destinataire. Il n'y a rien de plus à faire, votre mail est chiffré ! Si vous essayez de cocher le cadenas de chiffrement en bas de la fenêtre du mail, vous remarquerez que cela ne prend pas en charge le PGP, et ne vous propose que d'envoyer un mail chiffré avec un mot de passe, ce qui ne permettra pas à votre destinataire de recevoir votre mail dans sa boite mail.
Si vous n'avez pas encore la clé publique de votre destinataire, vous ne pourrez pas chiffrer votre message, mais vous pourrez au moins le signer par PGP, ce qui assure au destinataire que c'est bien vous qui lui écrivez. Pour remédier à cela, pensez à bien joindre votre clé publique à vos mails, et à demander celles de vos contacts !
Pour les utilisateurs payants, les adresses Protonmail peuvent être rapatriées sur thunderbird grâce à protonmail bridge, qui travaille en arrière plan sur l'ordinateur, et permet de déchiffrer et chiffrer les mails entrant et sortants.


Ce qui est toutefois gênant avec l'idée d'utiliser protonmail, c'est de devoir changer de boite mail. On n'a pas forcément envie de changer d'adresse, surtout s'il ne s'agit que d'une question de chiffrage. Il n'y a pas d'intérêt à utiliser protonmail si c'est pour écrire à des gens qui n'ont pas protonmail (ou un moyen de chiffrage) ! De plus, pour éviter la centralisation des données, mieux vaut ne pas tous aller chez le même hébergeur, sans quoi le monopole qu'on reproche à Google sera reproduit ailleurs. La puissance des alternatives repose sur leur multiplicité.

Alors autant garder son adresse et ajouter un module pour pouvoir chiffrer ses emails !

Module Thunderbird


Versions antérieures à 78.2.2

Sur ordinateur (windows, mac ou linux), il faut deux logiciels : GPG4win et thunderbird avec son module enigmail. Un très bon tuto a été fait par le hollandais volant. Une fois que votre paire de clefs est créée à travers Kleopatra, qui s'installe automatiquement avec GPG4win et vous permet de gérer vos identités, vous pouvez passer à votre téléphone pour utiliser les mêmes clefs sur vos deux applications (sans quoi vous chiffrerez des mails avec un chiffrage différent depuis votre ordi ou votre téléphone, et vous ne pourrez pas les lire sur l'autre support...).

Envoyer un mail
Pour envoyer un mail à quelqu'un, vous devez avoir sa clé publique. Si vous écrivez à des adresses protonmail ou à quelqu'un qui a publié sa clé sur un serveur de clés, enigmail la trouvera automatiquement et l'ajoutera à votre carnet d'adresses. Sinon, il faut que votre correspondant vous envoie sa clé publique, que vous importerez via Kleopatra. Pensez à publier votre propre clé sur les serveurs, ou à joindre votre propre clé publique à votre mail, pour que votre correspondant puisse l'enregistrer et vous répondre en chiffré aussi !/br>

Versions à partir de 78.2.2

Depuis la version 78.2.2, le chiffrement de bout en bout est intégré à Thunderbird, plus besoin d'ajouter enigmail, ni d'avoir Gpg4win !
Dans les paramètres du compte, cliquez sur chiffrement de bout en bout. Cliquez sur Ajouter une clé. Si vous avez déjà une clé, vous pouvez l'importer. Sinon, créez-en une. Une ois que vous avez ajouté votre clé, il faut la sélectionner (dans paramètre des comptes / chiffrement de bout en bout). Vous aurez le choix entre "Aucune" et votre clé, ou vos clés si vous en avez plusieurs pour une même adresse mail. Vous ne pouvez en sélectionner qu'une à la fois.

Envoyer un mail
Entrez l'adresse mail du destinataire. Si vous avez déjà enregistré sa clé publique, Thunderbird saura la retrouver, et quand vous choisirez de chiffrer (onglet Sécurité / Exiger le chiffrement), en bas à droite de la fenêtre de votre mail apparaitra OpenPGP, avec un cadenas et un cachet. Si vous n'avez pas la clé publique de votre destinataire, il est possible de la trouver sur les serveurs de clé, si elle y est publiée (c'est le cas des adresses Protonmail par exemple). Mettez le chiffrement. Lorsque vous essayerez d'envoyer votre mail, vous recevrer ce message d'erreur :

Erreur de Chiffrage.png







En cliquant sur "fermer" s'ouvre une autre fenêtre, qui vous permettra de gérer les clés des destinataires. Sélectionner l'adresse concernée, et cliquez sur gérer les clés du destinataire sélectionné. Dans la fenêtre suivante, si quelque chose s'affiche, cliquez sur ouvrir les détails et modifier l'acceptation (à condition d'êter sûr de l'identité du destinataire...). Si rien ne s'affiche, cliquez sur Rechercher une clé nouvelle ou mise à jour. Si aucune clé n'est trouvée sur les serveurs des clés, vous ne pourrez pas envoyer ce mail chiffré. Dans ce cas, demandez la clé publique directement à la personne concernée.
Attention : une clé qui se trouve sur un serveur de clé n'est peut-être plus d'actualité. Il est facile de publier ses clés sur un serveur, mais beaucoup plus dur d'en enlever une obsolète (pour faire ça, il faut faire un certificat de révocation, une sorte de date de péremption, après laquelle la clé ne pourra plus être utilisée). Il est donc possible que la personne à qui vous voulez écrire n'ait plus la clé privée correspondante, et ne puisse donc pas déchiffrer votre message.

Une fois que vous aurez sélectionné les clés de chiffrage manquantes pour envoyer votre mail, fermez toutes les fenêtres, et cliquez de nouveau sur envoyer.

Android


Sur android, on utilisera Openkeychain et K9-Mail. Dans openkeychain, cliquez sur le plus, puis sur importer d'un fichier (vous aurez au préalable téléchargé vos clefs sur votre portable. Comme sur ordinateur, pour envoyer un mail à quelqu'un, vous devez avoir sa clé publique. Si votre correspondant a publié sa clé publique sur les serveurs, vous pouvez cliquer sur le "+" et recherche de clés. Vous rentrez ensuite l'adresse mail souhaitée, et si une identité correspond, vous aurez une carte avec des infos qui apparaitra. Importez-la. Cliquez ensuite sur l'adresse mail qui vient de se rajouter dans votre carnet d'adresses. avant de pouvoir s'en servir, il faut la vérifier (l'encart passera de orange à vert). Soit vous avez votre correspondant sous la main, et vous pouvez flasher son QR code, soit vous devez vous débrouiller à distance : cliquez sur les trois points verticaux en haut à droite, puis confirmer par une empreinte. Validez (ou pas) l'empreinte qui s'affiche en fonction de celle de votre correspondant. Confirmez la démarche avec votre propre clé.

Astuce : Les adresses protonmail sont automatiquement publiées sur des serveurs de clé. Si vous cherchez un ami qui a une adresse protonmail, vous la trouverez facilement.

Dans K9-Mail, entrez votre adresse mail. Dans les comptes, sélectionnez longtemps le dossier de votre boite mail, puis cliquez sur paramètres du compte, et enfin sur cryptographie. Dans Ma clé, sélectionnez votre adresse, et cliquez sur utiliser la clé. Au passage vous pouvez aussi activer le mode mutuel Autocrypt, qui vous permettra de continuer des échanges automatiquement cryptés avec ceux qui l'ont aussi activé, et qui vous ont envoyé un mail chiffré.

Pour envoyer un mail chiffré, retournez dans l'interface et cliquez sur composer.entrez votre correspondant. Si vous n'avez pas la clé de chiffrage de cette adresse, vous ne pourrez pas envoyer votre mail chiffré. Pour ça, retourner dans Openkeychain. Si vous avez la clé, un cadenas va apparaitre. Grisé, le mail n'est pa chiffré, en cliquant il devient vert et chiffre votre email.


Application de conversation


Les applications conçues spécialement pour communiquer de manière sécurisées sont les seules qui peuvent prétendre à une sécurité égale à une discussion en huis-clos. Nous en retiendrons deux seulement, Signal et Olvid. Toutes les autres sont soit insuffisamment protégées, soit aux mains d'entreprises peu scrupuleuses.


Olvid


Olvid se veut une application de communication très sécurisée. Pas besoin de données personnelles (mail, numéro de téléphone, ...) pour se créer un compte, il suffit d'avoir un appareil avec internet (ordi, tablette, téléphone, ...)

Les développeurs mettent en avant également qu'elle n'utilise pas de serveurs pour fonctionner, et donc qu'aucune trace n'est gardée du message ou des coordonnées, des échanges ni des métadonnées (heure d'envoi, poids, qui écrit et à qui c'est envoyé...).

Cependant, nous prendrons le temps de rédiger plus en détail quelque chose seulement quand tout le code source de Olvid sera open source. Pour l'instant, nous ne pouvons pas nous prononcer sur la réelle sécurité de l'application.

Signal


Documents partagés


Cryptpad

Privatebin

Un privatebin est un pastebin (ou gestionnaire d'extraits de texte et de code source) minimaliste et open source, dans lequel le serveur n'a aucune connaissance des données envoyées. Les données sont chiffrées/déchiffrées dans le navigateur par un chiffrement AES 256 bits. Plus d'informations sur la page du projet.

Plusieurs instances en ont hébergées, comme c'est opensource, vous aussi vous pourriez le faire ! Pour utiliser un privatebin, rendez-vous ici :

Sur celui que nous avons installé, nous avons ajouté la possibilité de joindre un fichier (50MO max), qui est entièrement crypté également.

VPN


Un VPN (Virtual Private Network - Réseau Privé Virtuel) permet d'accéder à des ordinateurs distants comme si l'on était connecté au réseau local.
Un VPN dispose généralement aussi d'une « passerelle » permettant d'accéder à l'extérieur, ce qui permet de changer l'adresse IP source apparente de ses connexions. Cela rend plus difficile l'identification et la localisation approximative de l'ordinateur émetteur par le fournisseur de service. Cependant, l'infrastructure de VPN (généralement un serveur) dispose des informations permettant d'identifier l'utilisateur : par exemple, les sociétés proposant des VPN gratuits ou payants peuvent récolter les données de navigation de leurs clients, ce qui relativise l'anonymat de ces services. [5]
Un VPN peut permettre aussi de contourner les restrictions géographiques de certains services proposés sur Internet.

Pour smartphone

Il existe un VPN/proxy gratuit utilisant la même technologie que TOR pour android, Orbot. Il s'installe depuis le playstore, ou bien F-droid, qui est une bibliothèque recensant que des applications libre open-source.

Comme toute application libre et hors norme, la mise à jour et la compatibilité ne sont pas toujours au top. Mais une désinstallation / réinstallation permet de corriger les défauts. Actuellement, l'application permet de choir un pays parmi 25, peut utiliser des ponts pour se connecter à travers des entrées de remplacement vers le réseau Tor, et surtout, elle permet de contrôler la connexion internet de toutes les autres applications (que vous pouvez cocher ou non), et pas seulement le moteur de recherche. Ainsi, votre agenda, vos applications de conversations, de stockage en ligne, de mail, ... utiliseront aussi Orbot pour fonctionner.

Pour toute autre application, nous ne pouvons que nous montrer méfiants. Gratuit est toujours synonyme de paiement caché. Et il y en a de très forts pour ça.[6]

Pour Ordinateur

Encore en phase de test, nous n'avons pas trouvé d'équivalent à orbot sur PC. Il existe des vpn gratuits, comme c'est très bien détaillé ici, mais cela se fait toujours au détriment de la sécurité (IP fixe, peu de serveurs donc facile à retrouver, stockage de vos données, même un certain temps, ...), de la revente de données, de la qualité du service, ou de l'impact de la législation du pays où le VPN a son siège social. En Suisse, (pour protonVPN ou VPNBook par exemple), une ordonnance du tribunal les obligerait à remettre aux autorités leurs journaux de connexion (qui sont conservés 7 jours par VPNBook par exemple, et qui recensent vos adresses IP, horodatages, ...) si une enquête était menée.[7]

Dans les VPN payants, nous sommes en phase test de Surfshark et CyberGhostVPN. Leurs offres promotionnelles (qui n'ont rien de temporaires, ils font les mêmes offres en permanence...) permet d'avoir accès aux VPN pour environ 2,5€/mois. C'est peu et déjà beaucoup trop pour assurer sa sécurité et son anonymat en ligne, des choses qui devraient être accordées de base à tous...

► Actuellement, nous proposons à tous nos adhérents qui le souhaitentun accès à Surfshark. Contactez-nous si vous êtes intéressés !

Ce qu'il faut retenir


Pour assurer au mieux sa sécurité dans ses communications :

  • Les mails et sms, même chiffrés, laissent passer des infos, et ne sont pas gage de sécurité. A éviter.
  • Les applications pas open source, ou appartenant à des entreprises sans scrupules sont à éviter.
  • Les serveurs en ligne sont à éviter autant que possible, ainsi que les services qui stockent vos données sur leurs serveurs, surtout quand ils ne sont pas à vous. A éviter.
  • Les métadonnées ne disent pas tout, mais c'est déjà trop. Pensez à les effacer quand vous mettez des choses en ligne.
  • Combinez vos outils de communication avec un VPN.
  • Rappelez-vous que si vous utilisez windows, mac, ios ou android, Ces entreprises ont accès à tout sur votre support. Si google peut assurer de supprimer tous vos fichiers à distance sur un téléphone perdu, c'est qu'il ont accès à ces données[8]... Faites le test vous-même !
  • Rootez votre téléphone et installez linux sur votre ordinateur.
  • Vos mots de passe sont la première fragilité. Si l'on peut facilement déverrouiller votre téléphone votre ordinateur, ou craquer votre boite mail, vous avez beau avoir tout chiffré, on pourra avoir accès librement à tout votre contenu. Diversifiez vos mots de passe, et complexifiez-les. Certains vous diront même de les changer régulièrement.


Références

  1. RFC2821, 7.1 Mail Security and Spoofing.
  2. RFC1939, 13. Considérations sur la sécurité.
  3. configuration IMAP, SSL/TLS dans tous les cas
  4. Not recommended, mise en garde contre l'utilisation des mails.
  5. Présentation vpn Wikipedia
  6. vpn android, méfiance !]
  7. VPNBook et la suisse, Quel anonymat ?
  8. google google a accès à vos données.