# Chiffrement Mail



## zags (16 Avril 2013)

(avant propos : je ne suis pas sûr de la section, merci aux modérateurs de m'indiquer si j'ai mal fait)

Bonjour,

La situation est simple :
J'utilise l'application Mail, et je souhaite que mes emails soient chiffrés avec le système clef publique / clef privé, et cela gratuitement.

J'ai fait plusieurs recherches, un peu sur Google et surtout sur le forum, mais les infos que j'y ai trouvé n'étaient pas pile sur le sujet que je souhaite et surtout les infos étaient anciennes (toujours valides ??).

Est-ce que quelqu'un pourrait m'indiquer un lien vers un tutorial toujours d'actualité pour installer le module adéquat pour Mail ? (je ne souhaite pas passer par une autre application)

Merci pour votre aide


----------



## demougin (16 Avril 2013)

de mémoire, il me semble que l'usage de chiffrement doit être autorisé par la puissance publique, il y a qq part (voir du coté de Matignon) in bureau pour cela.


----------



## zags (16 Avril 2013)

demougin a dit:


> de mémoire, il me semble que l'usage de chiffrement doit être autorisé par la puissance publique, il y a qq part (voir du coté de Matignon) in bureau pour cela.



Effectivement, outre l'aspect "technique", il y a aussi l'aspect juridique à prendre en compte. Si quelqu'un a un lien et/ou des coordonnées et/ou explications pour l'aspect déclaration, ça m'intéresse.




Par rapport à mon post initial (purement "technique"), en fait ça semble _très_ simple ...
Ca semblerait être ici ===> https://gpgtools.org/installer/index.html

1- télécharger
2- quitter Mail
3- installer
4- créer sa propre clef
5- ouvrir Mail
6- créer un nouvel email
7- indiquer le destinataire et ........

* Si le destinataire n'a pas de clef PGP, alors l'email à envoyé ne pourra être que signé (garantissant que l'expéditeur est bien celui qui est indiqué) .... Est-ce que ça garantie que le contenu du corps de l'email reçu est identique au corps de l'email envoyé ?? j'en doute ...

* Si le destinataire a une clef PGP, alors l'email envoyé pourra être signé (cf explication précédente) et/ou crypté ...... garantissant à la fois que l'expéditeur indiqué est valide, à la fois que le contenu de l'email n'a pas été altéré, et à la fois qu'aucun tier n'a la possibilité de LIRE le contenu de l'email


note : Si on met plusieurs destinataires dont tous n'ont pas de clef PGP, alors l'email ne sera pas crypté mais uniquement signé.

Reste à savoir s'il vaut mieux :
RSA et RSA
ou DSL et Elgamal
ou DSA seulement
ou RSA seulement
....... mais quelques recherches m'ont incité à choisir "RSA et RSA"


----------



## Sly54 (16 Avril 2013)

Bonjour,

Jamais testé, mais cet article semble correspondre à tes besoins.




Edit. Grilled


----------



## WebOliver (16 Mai 2013)

zags a dit:


> * Si le destinataire a une clef PGP, alors l'email envoyé pourra être signé (cf explication précédente) et/ou crypté ...... garantissant à la fois que l'expéditeur indiqué est valide, à la fois que le contenu de l'email n'a pas été altéré, et à la fois qu'aucun tier n'a la possibilité de LIRE le contenu de l'email
> 
> 
> note : Si on met plusieurs destinataires dont tous n'ont pas de clef PGP, alors l'email ne sera pas crypté mais uniquement signé.



Mais dans cette situation, est-ce que le cryptage a un intérêt? Sachant que je ne vais pas prendre mon bâton de pèlerin pour aller vers mes contacts, un par un, pour leur prêcher la bonne parole en leur disant qu'ils faut qu'ils cryptent leurs mails, car je les crypte moi-même, et que c'est nécessaire pour pleins de raisons que je ne citerai pas ici.

De plus, avec la multiplication des appareils connectés à domicile, cela devient difficile voire impossible de crypter son compte mail, puisqu'on accède à celui-ci, non seulement depuis son Mac, mais aussi depuis son iPhone ou son iPad, ou encore depuis son travail via un accès web (gmail, outlook.com, iCloud, etc.).


----------



## kyaude (11 Décembre 2014)

WebOliver a dit:


> Mais dans cette situation, est-ce que le cryptage a un intérêt? Sachant que je ne vais pas prendre mon bâton de pèlerin pour aller vers mes contacts, un par un, pour leur prêcher la bonne parole en leur disant qu'ils faut qu'ils cryptent leurs mails, car je les crypte moi-même, et que c'est nécessaire pour pleins de raisons que je ne citerai pas ici.
> 
> De plus, avec la multiplication des appareils connectés à domicile, cela devient difficile voire impossible de crypter son compte mail, puisqu'on accède à celui-ci, non seulement depuis son Mac, mais aussi depuis son iPhone ou son iPad, ou encore depuis son travail via un accès web (gmail, outlook.com, iCloud, etc.).



Bonjour,

L'état n'a pas les moyens de garantir notre identité moderne, cette extension attachée à notre personne, La chose la plus censée mais partielle faite par l'état a été d'autoriser le chiffrement. Une adresse aujourd'hui est dématérialisée donc détachée de notre personne et notre lieu de résidence. Pensez aux gens qui galèrent pendant des années pour stopper un usurpateur. 
Je ne comprend pas que les opérateurs étatiques, juridiques, financiers, industriels n'y soient pas complètement. A quand l'identifiant unique + chiffrement ?

Aujourd'hui utiliser à bon escient, pour les choses importantes qui nous engagent, sur une adresse email réservée à cela, le chiffrement est un début de solution.

Le chiffrement est aussi un moyen de lutter contre le SPAM voilà pourquoi le commerce freine des 4 fers pour que le chiffrement ne se généralise pas. Contrairement au VPN la confidentialité est de bout en bout (jusqu'à preuve que le chiffrement MIME/PGP ne soit pas fiable). 

Je me demande aussi si les états n'ont pas intérêt au statu quo pour minimaliser les flux de données potentiellement suspects pour diminuer leur charge d'analyse.

La non généralisation actuelle est un problème de culture et de manque de maîtrise (les clients mails/FTP ne sont pas très transparents du point de vue de la mise en oeuvre et sur tous les OS certes) , mais demain il est sûr que nous chiffrerons même pour faire coucou à la famille, car même faire coucou peut avoir des conséquences incalculables (Pensez au cas d'un vol de carnet d'adresses pendant des vacances à l'étranger qui s'est transformé en autant de demandes d'argent aux proches pour cause de pseudo détresse pendant ce séjour à verser sur un compte pirate) ...

Cordialement.


----------



## zags (12 Décembre 2014)

On ne le répètera jamais assez :
En l'état actuel des choses, les emails qui circulent sont comme des cartes postales envoyées sans enveloppe !

Tous les "techniciens" qui sont quelques part sur la chaine peuvent lire ce qui est écrit sur cette "carte postale virtuelle" (l'email sous sa forme actuelle non-chiffré) : quand on pense à tous les serveurs intermédiaires qui voient passer votre email, et au nombre de personnes ayant un accès admin sur chaque, ça laisse songeur...


Dans l'idéal, tous les clients mails devrait être d'office livré avec le petit module PGP. Voilà déjà un premier point qui freine son utilisation : il faut l'installer, le configurer.

Mais si on prend un tout petit recul supplémentaire, on voit que beaucoup de personnes ne prennent pas la peine de configurer leur client mail (Outlook, Mail.app, Thunderbird,...) et préfèrent utiliser un webmail : gmail, orange, outlook.com , yahoo, hotmail, ...
Du coup, utiliser un système de chiffrement sur les webmail, c'est beaucoup + sioux (il parait qu'il existe quelque chose pour gmail).

Au même rang, les smartphones se développent, les gens utilisent l'application intégrée, mais là encore le module PGP loin d'être une évidence.


Prenons encore un recul : Je vois énormément de personnes savoir à peine (voire pas du tout) ce qu'est un email, et lorsqu'on leur dit d'en envoyer un ils ont le réflexe d'aller sur facebook est d'envoyer un message (phénomène TRES répandu).


Dans ce gros cafarnum, il va vous être bien difficile d'argumenter aux gens le fait qu'un email chiffré garanti que :
- l'expéditeur mentionné est bien celui qui a expédié l'email
- le contenu de l'email n'a pu être altéré/modifié
- le contenu de l'email n'a pas être lu par une autre personne que le destinataire
- et seul le destinataire peut lire le contenu


Sans parler de "secret d'Etat", les gens apprécieraient très peu si la totalité de leur factures EDF, Eaux, impôts, courrier professionnel, courrier de famille, etc , leurs étaient transmis SANS enveloppe.

Depuis plus d'un an et demi le module PGP est installé avec Mail.app , son usage est totalement transparent : 
* tous mes emails sont signés sans que j'ai à cliquer sur quoique ce soit
* tous mes emails se chiffrent automatiquement si le destinataire a une clef PGP

Une sorte de simple "mise sous enveloppe" automatique.


....
Le problème c'est "l'éducation".
De nos jours, toutes cette débauche de puissance de CPU, quantité de mémoire vive, grosseur des tuyaux d'accès internet (débit), sont utilisés pour le confort et divertissement, mais pas pour la sécurité et fonctionnalité .


En "éduquant" mal, on apporte le mauvais outil. C'est un peu comme si on utilisait le manche d'un tournevis afin d'enfoncer un clou : ça se fait, oui, mais il y en a de plus adaptés.
Sur le même principe :
* oui, on peut envoyer un message par un réseau social d'un site web, mais il y a plus adapté

* oui, on peut regarder ses emails à partir d'un client à l'origine conçu pour Transférer des HyperTexte (HyperText Transfert Protocol), mais il y a plus adapté (Simple Mail Transfert Protocol)

* oui, on peut regarder des nouveaux articles journaliers (LeMonde, figaro, afp, ...) à partir d'un client à l'origine conçu pour Transférer des HyperTexte (HyperText Transfert Protocol), mais il y a plus adapté (News Network Transfert Protocol)

* etc etc etc (la liste serait encore très longue)


Pour beaucoup de personnes (de plus en plus) , facebook = internet , alors qu'i existe tant d'autres choses ...
Pour beaucoup de personnes, http://... = internet alors qu'il existe tant d'autres choses ...
Pour beaucoup de personnes, l'ICANN = internet 

(pour rappel, l'ICANN c'est le plus gros réseau de serveurs DNS pour faire la correlation entre les noms de domaine et les adresses IP ..... Ainsi , http://www.azerty.uiop sur ICANN c'est 1.2.3.4 , mais http://www.azerty.uiop sur un autre réseau DNS c'est 6.7.8.9 )


Bref, je m'égare...
Certains me diront que tout ça c'est "compliqué", et que pour rendre plus accessible il faut que ce soit simple. D'ailleurs, pour cette simplicité, le web 2.0 est bientôt mort puisqu'il a laissé place aux applications smartphone .
Je ne suis pas du tout un adepte de Thunderbird, mais j'ai été agréablement surpris de voir que ce gros logiciel embarque plusieurs types de clients en lui-même :   client HTTP, client MAIL , client NNTP, ...

(Je me demande vraiment pourquoi au moins Thunderbird n'embarque pas d'office un module PGP)


Globalement ça n'est pas si "compliqué", c'est juste un manque de volonté ! Tout pourrait être intégré d'office et de manière transparente.
Mais ... l'affichage dans les moteurs de recherche, les publicités partout sur les sites web, le tracking des clics sur les sites web, les suivis dns, les cookies, l'étude des contenus des emails pour un meilleur suivi publicitaire, tout ça ça rapporte.... Et tout ça ne serait pas possible si on mettait dans les mains des internautes l'outil adéquat.

Je pense qu'énormément d'argent est généré à partir de la lecture des contenus des emails (outre l'aspect "sécurité intérieure du pays"). Ces entreprises qui décident n'ont aucun intérêt à chiffrer automatiquement le contenu des emails de tous les internautes.


----------



## ptistroumpf (14 Décembre 2014)

Il est nécessaire de savoir pourquoi on veut chiffrer ses messages. Il est vrai que je suis pour une protection de la vie privée, ce qui est bafoué à chaque instant. On est ""pisté" continuellement.
Tout d'abord si l'on envoie un mail chiffré, le correspondant doit avoir la clé pour le déchiffrement. Tous les correspondants doivent avoir une clé qui doit être changée régulièrement car le chiffrement exige qu'il soit changé également régulièrement. Cela implique une préparation en amont. Et comment communiquer les clés ?? Comment changer le chiffrement.
Quoiqu'il en soit on entre dans un domaine (que je connais ) qui est strictement réservé aux diverses administrations et pour certains secteurs sensibles (lesquels sont toujours en garde contre les intrusions malveillantes). La solution, à mon avis, devrait venir des FAI. Ainsi, nos Mails seraient à l'abri. Le feront-ils, je crains que non à cause de la publicité.  
P.S.: Depuis longtemps, pour le courrier déjà, ILS expédiaient des courriers personnels sans enveloppe ou avec enveloppe ouverte. Le contenu pouvait être lu tout au long de la chaîne de distribution. J'en ai pour preuve, les feuilles de paie que je recevais. Déjà on voulait tout savoir. Mais sur ce sujet c'est un autre débat.


----------



## zags (14 Décembre 2014)

NON.

De manière transparente et automatique, sans que l'utilisateur ait à faire quoique ce soit comme manipulation :
* si le Client Mail détecte que le destinataire a une clef PGP publique alors l'email est automatiquement chiffré sans rien avoir à cliquer
* si le Client Mail ne détecte pas que le destinataire a une clef PGP, alors l'email est automatiquement signé (mais pas chiffré) sans rien avoir à cliquer

* Celui qui reçoit l'email chiffré, le client mail va automatiquement déchiffrer l'email de manière transparente à l'utilisateur.


...
Concernant l'échange de clef, il s'agit de clef asymétrique !
C'est uniquement dans le cas de clef symétrique les utilisateurs doivent "se voir en vrai" pour échanger leur clef de manière sécurisée.
Dans le cas du chiffrement des mails par PGP, il y a un serveur de clef publique.


Si vous aviez essayé, vous saurez à quel point c'est ultra simple, transparent, et sécurisé ;-)

(et ne me parlez pas de l'argument par rapport aux terroristes, les hautes autorités ont la possibilité de lire ces emails)


----------

