Un bon chiffrement n’est plus le privilège des geeks et des paranoïaques, et la pratique se démocratise. Cependant, un véritable chiffrement de bout en bout n’est pas si évident et nécessite généralement d’activer un certain nombre de commutations, comme nous l’avons décrit dans ce post (en anglais) sur la messagerie instantanée. Le chiffrement OpenPGP ne fait pas exception et exige que les utilisateurs respectent quelques bonnes pratiques pour qu’il atteigne son niveau le plus sûr. Ce post propose de vous fournir une liste concise des meilleures pratiques de chiffrement OpenPGP.
Mailfence - Obtenez votre email gratuit et sécurisé.
4.1 sur base de 177 avis utilisateurs
Les clés publiques et les serveurs de clés publiques (SCP)
- Ne faites pas aveuglément confiance aux clés de serveurs publics
Tout le monde peut télécharger des clés sur les serveurs de clés publiques et il n’y a aucune raison de faire confiance aux relations induites (l’association entre l’identifiant de l’email et la clé publique). Vous devez donc vérifier avec son propriétaire l’empreinte digitale complète de sa clé.
- Vérifiez toujours les clés publiques avec vos destinataires
Il est recommandé de faire cette vérification dans la vie réelle ou par téléphone.
Si ce n’est pas possible, alors envisagez des endroits tels que les médias sociaux, un site personnel, un blog, … qui appartiennent à la personne dont vous voulez obtenir une empreinte digitale de clé – car certaines personnes publient simplement leur empreinte de clé publique.
- Vérifiez les empreintes d’une clé avant de l’importer
Vérifiez d’abord l’empreinte, avant de l’importer.
- Ne vous fiez jamais à l’identifiant de la clé
Vérifiez toujours une clé publique OpenPGP donnée au moyen de son empreinte.
Même les identifiants de clés OpenPGP de 64 bits (par exemple, 0x44434547b7286901 -) peuvent être à l’origine de « collisions » (lien en anglais), ce qui est potentiellement un problème très grave (lien en anglais).
- Mettez à jour les clés publiques dans votre magasin de clés
Si vous ne mettez pas à jour les clés publiques dans votre magasin de clés, vous ne serez pas avisé de leur expiration ou de leur révocation – deux informations capitales – en temps opportun. Mailfence vous permet d’atteindre cet objectif en cliquant simplement sur « mise à jour du serveur public » (lien en anglais) sur n’importe quelle clé publique importée que vous détenez dans votre magasin de clés.
Si possible, effectuez un échange de clés « contestable » !
Vous pouvez échanger des clés de manière contestable en ayant une clé publique facilement disponible et identifiable. Dites à tous vos correspondants d’utiliser votre clé publique pour vous contacter et d’inclure leur clé publique dans le corps chiffré du message. Cela vous protégera de toutes les attaques d’échange de clés habituelles. Assurez-vous simplement que votre public est vérifiable à travers des canaux multiples, par exemple : les médias sociaux, les listes de diffusion publiques, les serveurs de clés, etc. Plus les canaux qui hébergent l’empreinte PGP de votre clé sont nombreux, plus il sera difficile pour Eve de tous les attaquer.
Génération de clé OpenPGP et configuration
Maintenant que vous savez comment recevoir les mises à jour régulières de clés à partir d’un serveur de clés bien entretenu, vous devez vous assurer que votre clé OpenPGP est configurée de manière optimale. Un grand nombre de ces changements peuvent vous obliger à générer une nouvelle clé.
- Ayez une clé privée forte
Mailfence génère (lien en anglais) par défaut une clé RSA 4096 bits. Mais si vous avez l’intention de générer votre clé privée à l’aide d’un outil externe – alors assurez-vous qu’elle est longue de 2048 ou 4096 bits.
- Utilisez une date d’expiration
Les utilisateurs ne veulent généralement pas que leurs clés expirent, mais il y a pourtant de bonnes raisons de les laisser expirer. Pourquoi ? L’objectif est de mettre en place quelque chose qui puisse désactiver votre clé au cas où vous en perdriez l’accès, ou au cas où elle aurait été compromise (sans que vous disposiez d’un certificat de révocation). Vous pouvez toujours reporter la date d’expiration, même après qu’elle a expiré ! Cette « expiration » ressemble en fait davantage à une soupape de sécurité qui se déclenchera automatiquement à un moment donné. Si vous avez accès à la documentation de la clé secrète, vous pouvez empêcher son expiration.
Définissez un événement d’agenda pour vous rappeler la date d’expiration
Le mieux est de configurer un événement dans votre agenda Mailfence qui vous rappellera au moment opportun de repousser la date d’expiration de votre clé OpenPGP.
Encore une fois, vous pouvez toujours reporter la date d’expiration, même après son expiration ! Vous n’avez pas besoin de générer une toute nouvelle clé, il vous suffit de remettre la date d’expiration à une date ultérieure.
- Générez un certificat de révocation
Si vous oubliez votre mot de passe ou si votre clé privée est compromise ou perdue, le seul espoir qui vous reste est d’attendre l’expiration de la clé (ce n’est pas une bonne solution). Une meilleure approche consiste à activer votre certificat de révocation (lien en anglais) en le publiant sur des serveurs à clé publique. Ce faisant, vous notifierez aux autres que cette clé a été révoquée.
Cependant, une clé révoquée peut encore être utilisée pour vérifier d’anciennes signatures, ou pour décrypter des données. À condition que vous ayez toujours accès à la clé privée.
- Autres points de contrôle des clés OpenPGP
Si vous avez généré votre clé privée grâce à Mailfence, vous pouvez vous dispenser de lire ce passage, il ne s’applique pas à vous :
– Assurez-vous que votre clé est une clé OpenPGPv4
– Vos clés de chiffrement OpenPGP devraient être des clés DSA-2 or RSA (RSA est mieux), idéalement longues de 4096 bits, voire plus.
– Vos clés de chiffrement OpenPGP devraient avoir une date d’expiration raisonnable (pas au-delà de 2 ans)
Suggestions supplémentaires pour de meilleures pratiques de chiffrement OpenPGP
- Avez-vous une sauvegarde chiffrée de la documentation de votre clé secrète ?
Il est important de bien vérifier ce point. Idéalement, vous devriez sauvegarder votre clé (cryptée avec votre phrase secrète par défaut) à la fois dans le cloud et sur votre machine locale. Assurez-vous également de faire une sauvegarde de votre certificat de révocation sur votre machine locale.
Remarque : Gardez à l’esprit que votre certificat de révocation est prêt à l’emploi. Si un pirate parvient à y avoir accès, alors il / elle peut l’utiliser pour révoquer votre clé.
- N’incluez pas de « commentaire » dans votre identifiant d’utilisateur
L’identifiant d’utilisateur OpenPGP est destiné généralement à mentionner votre nom ou pseudonyme et non des commentaires.
- Vérifiez les serveurs de clés publiques
La plupart des applications offrant du chiffrement OpenPGP sont associées à un serveur clé spécifique unique. Ce n’est pas idéal, parce qu’en cas de plantage du serveur, ou, pire, s’il tombe en panne tout en ayant l’air de fonctionner normalement, vous ne pourrez pas recevoir des mises à jour importantes concernant des clés. Ceci constitue non seulement une vulnérabilité importante, mais également une source majeure de fuites d’informations concernant les relations entre les utilisateurs OpenPGP, et de ce fait, une cible pour les attaques.
Par conséquent, il est bon de ne pas se baser sur un unique serveur de clé publique pour publier ou importer les clés. Mailfence utilise un « pool » de serveurs SKS (lien en anglais) – un pool de serveurs ayant des bilans de santé réguliers afin de veiller à ce qu’ils fonctionnent correctement. Lorsque un serveur ne fonctionne pas correctement, il est automatiquement retiré du pool.
Enfin, toutes vos interactions avec le serveur de clés doivent être chiffrées (grâce à TLS/SSL – hkps), ce qui permet de dissimuler votre carte de relations sociales pour tous ceux qui pourraient tenter d’espionner votre trafic.
Réponse à un email chiffré, éléments envoyés et brouillons
Supprimez le contenu décrypté en réponse à un email chiffré, et ne citez que les parties pertinentes lorsque c’est nécessaire. Configurez votre application pour ne pas enregistrer les brouillons par défaut et ne pas reprendre les messages chiffrés des éléments envoyés, ou ne pas les conserver en texte brut. Mailfence effectuera toutes ces opérations pour vous par défaut.
- Protégez vos métadonnées
Minimiser la fuite d’information contextuelle de la communication est également une bonne pratique à réaliser simplement en cachant les données métadonnées (destinataire, auteur, adresse IP, etc.). Lorsque vous en avez la possibilité et que cela est pertinent, prenez contrôle de cette information et désassociez-la des données qui vous sont liées. Par exemple, vous pouvez contrôler le champ « De » (auteur) en créant un nouveau compte de messagerie. L’adresse IP du client de messagerie d’envoi peut être modifiée en utilisant un réseau privé VPN, Tor, ou une connexion Internet publique. Les mises en garde habituelles sur Tor s’appliquent : ne vous fiez pas exclusivement à Tor, si vous avez besoin de protéger votre adresse IP, utilisez une adresse IP à laquelle on ne peut pas vous associer.
La ligne Objet ne doit jamais se référer au contenu de l’email (ou, mieux, elle doit être laissée vide), même de manière détournée. Par exemple, « Objet : Enchanté de t’avoir vu à la Tour Eiffel ! » n’est pas un bon exemple de courrier électronique sûr.
Si vous voulez approfondir le sujet du chiffrement OpenPGP, lisez les excellents documents suivants concernant les meilleures pratiques de chiffrement OpenPGP :
- https://riseup.net/en/security/message-security/openpgp/best-practices (conseils de base – un peu dépassé – lien en anglais)
- https://alexcabal.com/creating-the-perfect-gpg-keypair/ (conseils de base – lien en anglais)
- https://wiki.debian.org/Keysigning (tous les logiciels en Debian officiel et Ubuntu sont signés avec OpenPGP – lien en anglais)
Remarque : Si votre compte de messagerie n’est pas sécurisé, les meilleures pratiques de chiffrement OpenPGP ne vous seront d’aucune utilité. Nous vous conseillons de prendre connaissance de la manière dont vous pouvez vous doter d’un compte email privé sécurisé.
