13 Astuces pour Gérer vos clés OpenPGP en Toute Sécurité

Le chiffrement de bout en bout, et plus particulièrement OpenPGP, sont une partie essentielle de ce que nous faisons ici chez Mailfence.

Cependant, le chiffrement OpenPGP n’est pas toujours simple.

Et la gestion correcte des clés reste un défi. Dans ce guide, nous allons donc vous présenter nos meilleurs conseils pour gérer vos clés OpenPGP en toute sécurité, et en particulier:

• comment générer et gérer vos clés OpenPGP ;
• comment échanger des clés OpenPGP avec d’autres personnes ;
• comment définir des dates d’expiration pour vos clés privées ;

… et bien plus encore ! Alors, plongeons dans le vif du sujet.

Note : si vous avez besoin d’un rappel sur ce qu’est OpenPGP, consultez notre guide détaillé ici.

Conseil n° 1 : Générez la Clé OpenPGP la plus Forte Possible

Mailfence génère par défaut une clé de 4096 bits en utilisant RSA (Rivest-Shamir-Adleman), l’un des systèmes cryptographiques à clé publique les plus anciens et les plus utilisés.

Mailfence prend également en charge la génération de clés à l’aide de la cryptographie à courbe elliptique (ECC) avec Curve25519 (longueur de clé de 256 bits).

Les algorithmes ECC sont généralement plus rapides et plus efficaces que les algorithmes RSA, en particulier dans les environnements où les ressources informatiques sont limitées. Si vous prévoyez de générer votre clé privée à l’aide d’un outil externe, assurez-vous qu’il est basé sur ECC avec Curve25519 ou RSA avec une longueur de clé de 4096 bits.

Conseil n° 2 : Vérifiez les Clés Publiques OpenPGP

N’importe qui peut télécharger des clés sur des serveurs de clés publiques.

Cela signifie qu’il ne faut pas faire confiance aveuglément à l’association entre l’identifiant de l’email et la clé publique.

Vous devez donc vérifier auprès du propriétaire l’empreinte complète de sa clé. Il est recommandé d’effectuer cette vérification en personne ou par téléphone (si possible) en utilisant un canal différent de celui utilisé pour échanger ou télécharger la clé publique OpenPGP du contact.

Pour rappel, l’empreinte digitale est un hachage du certificat de l’utilisateur et apparaît comme l’une des propriétés du certificat.

Si ce n’est pas possible, consultez des sites tels que les réseaux sociaux, les sites web personnels, les blogs, etc. qui appartiennent à la personne dont vous souhaitez obtenir l’empreinte de la clé – car certaines personnes publient simplement l’empreinte de leur clé publique.

Veillez à vérifier cette empreinte avant de l’importer.

Conseil n° 3 : Ne vous Fiez Pas Uniquement à l’Identifiant KEY ID

Vérifiez toujours une clé publique OpenPGP donnée à l’aide de son empreinte, qui est une chaîne alphanumérique de 40 chiffres (sans espaces ni tirets).

Même avec des ID de clés OpenPGP de 64 bits (par exemple, 0x44434547b7286901 -), la probabilité de collision est potentiellement un problème très grave.

Conseil n° 4 : Mettez à Jour les Clés Publiques OpenPGP dans Votre Base de Données

Si vous ne mettez pas à jour les clés publiques dans base de données, vous n’obtiendrez pas d’expirations ou de révocations en temps voulu.

Il est très important de connaître les dates d’expiration et de révocation.

Avec Mailfence, vous pouvez le faire en cliquant simplement sur “Mettre à jour à partir du serveur public” sur n’importe quelle clé publique importée que vous avez dans votre répertoire de clés.

Si possible, procédez à un échange de clés dénonçable !

Vous pouvez échanger des clés de manière déniaisée en disposant d’une clé publique facilement accessible et identifiable. Dites à tous vos correspondants d’utiliser votre clé publique pour vous contacter et d’inclure leur clé publique dans le corps chiffré du message.

Vous serez ainsi protégé contre toutes les attaques classiques par échange de clés. Veillez simplement à ce que votre clé publique soit vérifiable par le biais de plusieurs canaux, notamment les réseaux sociaux, les listes de diffusion publiques, les serveurs de clés, etc. Plus il y a de canaux qui hébergent votre empreinte de clé OpenPGP, plus il est difficile pour quelqu’un de les attaquer tous.

Conseil n° 5 : Fixez des Dates d’Expiration

Un autre conseil souvent négligé consiste à fixer une date d’expiration pour vos clés.

Les utilisateurs ne souhaitent généralement pas que leurs clés expirent, mais il existe de bonnes raisons de le faire.

Pourquoi ? Il s’agit d’un mécanisme qui désactive votre clé au cas où vous en perdriez l’accès ou si elle devient compromise. L’idée est de fixer une date d’expiration que vous pouvez prolonger à souhait.

Cela signifie que la date de péremption agit davantage comme une “soupape de sécurité” qui se déclenche automatiquement à un moment donné. Si vous avez toujours accès à la clé secrète, vous pouvez empêcher l’expiration.

Un deuxième conseil consiste à planifier un événement dans le calendrier pour vous rappeler la date d’expiration.

Il est préférable de configurer un événement dans votre calendrier Mailfence qui vous rappellera au bon moment de prolonger la date d’expiration de votre clé OpenPGP. Encore une fois, vous pouvez toujours prolonger votre date de péremption même après qu’elle a expiré ! Il n’est pas nécessaire de créer une nouvelle clé, il suffit de reporter l’expiration à une date ultérieure.

Conseil n° 6 : Générer un Certificat de Révocation OpenPGP

Mais qu’en est-il si vous oubliez votre phrase de passe? Ou si votre clé privée est compromise ou perdue?

Dans ce cas, votre seul espoir est d’attendre l’expiration de la clé (ce qui n’est pas la meilleure solution).

Une meilleure approche consiste à activer votre certificat de révocation en le publiant sur des serveurs de clés publiques. Cette opération a pour effet de signaler aux autres que vous avez révoqué la clé. Toutefois, une clé révoquée peut toujours être utilisée pour vérifier d’anciennes signatures numériques ou, si la clé privée est accessible, pour déchiffrer d’anciennes données.

Note : Gardez à l’esprit que votre certificat de révocation est prêt à l’emploi. Si un escroc y accède, il peut l’utiliser pour révoquer votre clé.

Conseil n° 7 : Partagez vos Clés OpenPGP en Toute Sécurité

La première fois que vous chiffrez vos emails avec OpenPGP, vous risquez d’être déconcerté. Comment puis-je obtenir la clé publique de mon destinataire ? Comment obtient-il la mienne ? Voici quelques-unes des méthodes les plus courantes que vous pouvez utiliser.

Méthode 1 : emails signés numériquement

La première option consiste à envoyer un courrier électronique signé numériquement avec votre clé publique en pièce jointe à votre destinataire. Par la suite, votre destinataire devrait faire de même. Pour ce faire, vous devez connaître à l’avance l’adresse email de votre destinataire.

Méthode 2 : Applications de messagerie instantanée

Dans la plupart des cas, cette option nécessite que vous disposiez à l’avance du numéro de portable de votre destinataire. Vous devez également utiliser tous les deux l’application correspondante.

Si vous envisagez d’utiliser cette méthode, nous vous recommandons d’utiliser Signal.

Si vous n’êtes pas certain de l’identité de votre contact, suivez les étapes de vérification du contact détaillées ici.

Méthode 3 : réseaux sociaux et sites web

Aujourd’hui, de nombreuses personnes sont présentes sur les réseaux sociaux (Facebook, X, …). Cela signifie que vous pouvez leur envoyer un message direct avec votre clé publique OpenPGP en clair.

Vous pouvez parfois trouver l’empreinte de la clé publique OpenPGP sur le site web d’un utilisateur ou sur toute autre présence en ligne. Mailfence offre également la possibilité de partager des documents via des liens publics qui peuvent être utilisés pour partager une clé publique OpenPGP.

Notez toutefois que les faux profils sur Facebook et autre sont courants. Veillez donc à utiliser le bon (en effectuant quelques vérifications). Les profils sociaux peuvent également être compromis. Vérifiez toujours que le profil de votre destinataire ne présente pas de signes suspects, afin de vous assurer qu’il n’a pas été compromis.

Méthode 4 : dépôts de clés publiques

Un dépôt de clés publiques est un endroit où résident les clés publiques de différentes personnes.

Nous vous recommandons d’utiliser des référentiels ou des serveurs qui mettent en œuvre la vérification des courriels et qui sont compatibles avec le GDPR (par exemple, keys.openpgp.org).

Il existe également d’autres serveurs de clés publics ouverts basés sur les spécifications du “OpenPGP HTTP Keyserver Protocol”. Hockeypuck est l’une de ces implémentations.

Cependant, la publication des clés publiques sur ces serveurs est un processus non réversible (votre clé ne peut pas être supprimée ou entièrement retirée). Un autre inconvénient de ces serveurs de clés est que l’UID (nom et adresse électronique) de votre clé peut devenir public.

Notez que n’importe qui peut publier une clé publique sur ces serveurs de clés publiques ouverts. Par conséquent, vous devez vous assurer d’avoir établi un certain niveau de confiance avant d’importer la clé publique de votre contact.

Méthode 5 : Rencontre en personne

Si vous connaissez votre destinataire à l’avance et qu’il est possible de le rencontrer en personne, c’est l’option la plus sécurisée. Vous pouvez partager ou échanger la clé publique à l’aide d’une clé USB. Ensuite, il échange son empreinte digitale oralement, ou par tout autre moyen possible, sûr et fiable.

L’objectif de l’échange de clés publiques OpenPGP est de s’assurer qu’elles appartiennent bien au propriétaire déclaré.

Conseil n° 8 : Sauvegardez votre Matériel de Clé Secrète

Vérifiez que vous disposez d’une copie de sauvegarde chiffrée de vos clés secrètes.

Idéalement, vous devriez sauvegarder votre clé (chiffrée par défaut avec votre phrase de passe).

Avec Mailfence, vous pouvez facilement sauvegarder vos clés secrètes et tout autre document sensible grâce à notre solution de cloud virtuel.

Faites également une copie de sauvegarde de votre certificat de révocation et stockez-la dans un endroit protégé de votre appareil.

Conseil n° 9 : Utilisez Correctement l’Identifiant de l’Utilisateur

N’incluez pas de “commentaires” dans votre ID utilisateur si vous n’en avez pas besoin. L’identifiant OpenPGP est généralement utilisé pour mentionner votre nom ou votre alias et non pour faire des commentaires.

Conseil n° 10 : Faites Attention aux Serveurs de Clés Publiques

La plupart des applications basées sur OpenPGP sont livrées avec un serveur de clés unique et spécifique, sans autres options pour la découverte ou l’échange de clés. Ce n’est pas la solution idéale, car si le serveur de clés tombe en panne ou, pire encore, s’il semble fonctionner mais ne fonctionne pas correctement, vous risquez de ne pas recevoir les mises à jour des clés critiques.

Il s’agit non seulement d’un point de défaillance unique, mais aussi d’une source privilégiée de fuites d’informations sur les relations entre les utilisateurs d’OpenPGP, et donc d’une cible pour les attaques.

Enfin, toutes vos interactions avec le serveur de clés doivent être cryptées (via TLS/SSL – hkps), ce qui permet de dissimuler votre carte des relations sociales à toute personne susceptible d’espionner votre trafic.

Conseil n°11 : Comment Répondre à un E-mail chiffré ?

Supprimez le contenu déchiffré dans une réponse à un courriel chiffré, et ne citez que les parties pertinentes si nécessaire. Configurez votre application pour qu’elle n’enregistre pas les brouillons (ou qu’elle les stocke de manière chiffrée) par défaut et qu’elle supprime les messages chiffrés des éléments envoyés ou qu’elle ne les conserve pas en texte clair.

Conseil n° 12 : Protégez vos Métadonnées

Une bonne pratique consiste également à minimiser les fuites d’informations contextuelles de la communication en cachant simplement les métadonnées (destinataire, destinataire, adresse IP, etc.).

Lorsque cela est possible et pertinent, prenez le contrôle de ces informations et dissociez-les des données qui vous concernent.

Par exemple, vous pouvez contrôler le champ “De” en créant un nouveau compte de messagerie. L’adresse IP du client de messagerie peut être modifiée en utilisant un VPN, Tor ou une connexion Internet publique. Les mises en garde habituelles concernant Tor s’appliquent : ne vous fiez pas exclusivement à Tor, si vous devez protéger votre adresse IP, utilisez une adresse IP qui ne vous est pas attribuable.

En ce qui concerne la confidentialité des données, l’objet du message ne doit pas faire directement référence au contenu du message. Par exemple, “Objet : J’ai été ravi de vous rencontrer à la Tour Eiffel !” fournit une information presque complète sur le contenu de l’e-mail.

Conseil n°13 : Dernières Vérifications

Enfin, voici quelques dernières vérifications que vous pouvez effectuer sur vos clés OpenPGP :

• assurez-vous que le format de votre clé OpenPGP n’est pas v3 ou plus ancien ;
  
• vérifiez que vos clés OpenPGP ont une date d’expiration raisonnable (par exemple, 2 ans dans le futur).

Si vous avez généré votre clé privée à l’aide de Mailfence, vous pouvez être assuré que la paire de clés sera générée à l’aide de paramètres techniques solides.

Conclusion sur les Meilleures Pratiques OpenPGP

Ceci conclut notre guide sur les meilleures pratiques OpenPGP ! Nous espérons que vous l’avez trouvé utile et que vous pourrez mettre ces conseils en pratique.

Si vous souhaitez approfondir le sujet, vous pouvez consulter nos guides suivants:

• Qu’est-ce que OpenPGP ?
• Chiffrement de bout en bout. Qu’est-ce que c’est et comment cela fonctionne-t-il ?
• Chiffrement symétrique ou asymétrique : Quelle est la différence ?
• Emails signés numériquement. Comment fonctionnent les signatures numériques ?