Comment Chiffrer les e-Mails et les Pièces Jointes

Les méthodes de chiffrement d’e-mail existent depuis 30 ans, et pourtant très peu de gens les utilisent. C’est peut-être dû, entre autres choses, à une mauvaise connaissance des risques encourus lors de l’envoi de messages non chiffrés. Par chiffrement d’e-mail, nous entendons l’encodage d’un e-mail dans le but de protéger des informations potentiellement sensibles de sorte qu’elles puissent être lues uniquement par les destinataires prévus.

L’envoi d’informations sensibles comme des numéros de sécurité sociale, des numéros de comptes bancaires, des identifiants de connexion, etc. peut s’apparenter à l’envoi d’une lettre ordinaire contenant des informations personnelles : quiconque l’ouvre peut la lire avant qu’elle n’atteigne sa destination.

Pour éviter que vos informations personnelles tombent entre de mauvaises mains, vous avez tout intérêt à apprendre à chiffrer les e-mails. Cela tiendra les regards indiscrets à l’écart et vous épargnera les conséquences fâcheuses d’un manque de protection.

D’ailleurs, les services de messagerie instantanée comme Messenger, Skype et WhatsApp utilisent déjà le chiffrement de bout en bout pour garantir la confidentialité et la sécurité de leurs utilisateurs.

En chiffrant vos e-mails, vous êtes certain que même si votre message est intercepté par des pirates ou des cybercriminels, ils ne seront pas en mesure de le déchiffrer ni de le lire. Pas avant une centaine d’années, en tout cas, même s’il est vrai que la technologie peut évoluer.

Beaucoup de gens utilisent des services de chiffrement de bout en bout comme ProtonMail en Suisse, Tutanota, Hushmail et d’autres afin de protéger leurs communications par e-mail. Si la confidentialité de vos e-mails est essentielle, il vaut mieux utiliser un service comme ceux mentionnés ci-dessus, sans quoi vous devrez gérer vous-même le chiffrement.

Rentrons maintenant plus en détail dans ce qu’est le chiffrement d’e-mails, et voyons comment l’appliquer sur différentes plateformes.

4 types de chiffrement d’e-mail

Autrefois, la communication entre les serveurs de messagerie expéditeurs et destinataires se faisait en texte brut. Cependant, les e-mails contenant de plus en plus d’informations sensibles, cette méthode s’est avérée beaucoup trop vulnérable. Ainsi, de plus en plus de méthodes de chiffrement ont vu le jour afin d’assurer la sécurité et la confidentialité des communications en ligne.

Il existe quatre manières basiques d’approcher le chiffrement et la sécurité des e-mails :

1. Chiffrement de la couche de transport

La connexion entre le serveur de votre fournisseur d’e-mail et celui du destinataire est chiffrée, ce qui sécurise vos communications lors de leur passage d’un fournisseur d’e-mail à l’autre. STARTTLS est l’une des extensions le plus souvent utilisées pour que les serveurs e-mail chiffrent les communications en texte brut, à condition que cette méthode soit prise en charge par les deux parties.

2. Chiffrement des e-mails et des pièces jointes

Le chiffrement de bout en bout (E2EE) peut être utilisé pour chiffrer vos e-mails avant de les envoyer, et ainsi empêcher les curieux de les lire même s’ils les interceptent plus tôt (ou plus tard). Cela signifie que l’e-mail que vous êtes sur le point d’envoyer est chiffré à la source et n’est déchiffré qu’à sa destination.

Une des normes de chiffrement des données de bout en bout s’appelle OpenPGP. PGP signifie « Pretty Good Privacy » (Une confidentialité plutôt bonne). Cette méthode peut être utilisée pour chiffrer le contenu des e-mails, y compris les pièces jointes. OpenPGP utilise la cryptographie asymétrique, ce qui veut dire qu’elle génère une clé publique et une clé privée.

La clé publique doit être partagée avec tous les destinataires qui utiliseront ce canal de communication sécurisé et privé. En revanche, la clé privée ne doit être partagée avec personne, car la combinaison des deux permet de chiffrer et déchiffrer vos messages.

Par ailleurs, il est conseillé de ne partager votre clé publique qu’avec des amis et des partenaires commerciaux dignes de confiance.

Il existe à peu près trois façons de partager la clé publique. Vous pouvez :

• l’envoyer par e-mail : vous pouvez exporter la clé publique et l’envoyer tout simplement aux destinataires de confiance afin qu’ils puissent l’importer
• poster la clé publique sur un site internet accessible à tous les destinataires de confiance
• transférer la clé sur un serveur de clés auquel les destinataires de confiance ont accès.

Le problème d’OpenPGP, c’est qu’il ne chiffre que le contenu des e-mails, mais les métadonnées associées restent lisibles, autrement dit les curieux peuvent facilement savoir qui a envoyé un e-mail et à qui.

L’autre inconvénient bien connu d’OpenPGP, c’est que les utilisateurs doivent eux-mêmes mettre en place les paires de clés publique et privée et distribuer la clé publique. Cela peut s’avérer trop technique pour les utilisateurs moins expérimentés. Rien d’étonnant au fait que si peu de gens chiffrent leurs e-mails alors que les méthodes existent depuis 30 ans.

3. Chiffrement des e-mails archivés ou stockés

Comme vous stockez probablement des e-mails importants sur votre client de messagerie (MS Outlook, Gmail, Yahoo mail) voire sur votre disque dur, il est conseillé de chiffrer les e-mails contenant des données sensibles. De cette façon, si des parties sans autorisation, comme des pirates, accèdent à votre ordinateur ou à votre client de messagerie malgré vos mots de passe, ils ne pourront pas les lire.

4. Solutions de rechange

Comme les méthodes présentées plus haut peuvent être trop compliquées pour l’utilisateur lambda, quelques solutions de rechange ont fait leur apparition et offrent un sentiment de confidentialité et de protection pour les communications par e-mail. Voyons de quoi il s’agit :

• Signature numérique : bien que ce ne soit pas une méthode de chiffrement à proprement parler, vous pouvez utiliser des certificats d’e-mail personnels pour protéger et signer vos messages numériquement. Une signature numérique permet au destinataire de vérifier que vous êtes bien l’auteur du message qu’il a reçu. Cela permet de ne pas ouvrir de spams dangereux qui imitent le nom et l’adresse e-mail d’un proche pour transmettre des pièces jointes malveillantes (comme des ransomwares ou des chevaux de Troie).
• Mix network : cette méthode permet de protéger l’anonymat des communications. Les mix networks sont des protocoles de routage qui utilisent des chaînes de serveurs proxy afin de masquer l’expéditeur et le destinataire de sorte qu’il n’y ait pas de lien entre la source et la destination. De cette façon, les curieux ont beaucoup plus de mal à tracer les communications par e-mail de bout en bout.
• Partage d’identifiants de webmail : pour éviter d’utiliser le chiffrement et pour vous donner un faux sentiment de confidentialité, vous pouvez partager vos identifiants de webmail avec le destinataire. Il vous suffit ensuite d’enregistrer un brouillon de votre e-mail, puis de demander au destinataire de le consulter se connectant à votre compte de webmail. Bien sûr, cette méthode pose de graves problèmes de confidentialité et de sécurité, puisque le destinataire a également accès à tous les autres e-mails.
• Services de messagerie sécurisés : les services comme ProtonMail utilisent l’E2EE pour sécuriser vos communications par e-mail. Ce fournisseur dispose de versions Android, iOS et Web pour vous offrir un excellent niveau de confidentialité.

Le meilleur moyen de protéger votre vie privée et vos e-mails contenant des informations sensibles reste l’utilisation systématique du chiffrement.

En d’autres termes, il vaut mieux chiffrer tous les messages que vous envoyez et recevez, pas seulement ceux qui contiennent des données sensibles. Pourquoi ? Parce qu’avoir une poignée de messages cryptés dans votre boîte de réception revient à inviter les pirates à creuser davantage pour obtenir les informations que vous voulez cacher.

En revanche, si tous vos messages sont cryptés, il n’y a pas de signe évident qui indique aux pirates où il faut regarder. Ce type d’approche systématique peut protéger votre vie privée.

Comment chiffrer les services de webmail comme Gmail ?

Avec l’apparition de fournisseurs de services de webmail comme Gmail, Yahoo Mail, ProtonMail et AOL Mail, de plus en plus d’utilisateurs ont délaissé les clients comme MS Outlook ou Thunderbird et les petits fournisseurs de services d’e-mail. Les clients Web sont plus faciles à utiliser car ils ne nécessitent aucune configuration.

Depuis 2014, Gmail utilise le chiffrement par défaut. Cependant, c’est un chiffrement de la couche de transport, qui ne fonctionne que si le fournisseur d’e-mail du destinataire prend également en charge TLS. Plus important encore, cela signifie que Google peut lire vos e-mails, ce qui pose problème.

Comme nous l’avons signalé récemment, Gmail présente un problème de confidentialité encore plus inquiétant : certains développeurs tiers d’applications Gmail peuvent parfois également accéder à votre boîte de réception Gmail.

En outre, Google peut aussi permettre aux autorités d’accéder à vos e-mails privés ou professionnels si elles le demandent.

Si vous recherchez la confidentialité, vous devez donc oublier Gmail ou, si vous n’avez pas ce luxe, utiliser une méthode de chiffrement externe pour sécuriser vos e-mails afin qu’aucun curieux ne puisse les lire.

Il y a quelques années, Yahoo Mail a aussi commencé à utiliser SSL (Secure Sockets Layer) pour protéger votre compte. C’est une norme du secteur pour le chiffrement des données privées envoyées sur Internet. Paradoxalement, Yahoo était assez zélé pour créer un outil capable de scanner des centaines de millions d’e-mails entrants à la recherche de mots-clés donnés pour le compte du FBI ou de la NSA. Plus tard, cela a créé un énorme scandale de surveillance. N’oublions pas non plus la plus grande violation de données de l’histoire, qui a eu lieu en 2013 lorsque Yahoo a été piraté et que des millions de comptes ont été exposés.

Si vous souhaitez chiffrer vos e-mails vous-même, vous devez télécharger et installer une application tierce. Ces applications prennent généralement en charge plusieurs plateformes comme Windows, Mac OS, Linux, Google Chrome, Mozilla Firefox, Android et iOS. Les quatre grandes figures du chiffrement d’e-mails sont Gnu Privacy Guard (GPG), GPG Tools (Mac OS uniquement), Mailvelope et FlowCrypt.

Si des centaines de milliers de personnes utilisent ces applications standards PGP pour envoyer des e-mails et des pièces jointes chiffrés de bout-en-bout, les experts en cybersécurité déplorent le fait que ces applications peuvent en réalité accéder au contenu de vos e-mails. Il semble cependant que cela reste la méthode la plus sûre à l’heure actuelle. Veillez néanmoins à bien comprendre ce dans quoi vous vous engagez avant d’installer une application tierce. Pensez aussi à lire attentivement la politique de confidentialité.

Ces programmes sont relativement faciles à configurer et à utiliser. Leurs sites Web officiels disposent de manuels et d’autres informations utiles concernant leur utilisation.

Comment chiffrer les e-mails d’Outlook ?

Avant d’envoyer des informations ou des notes sensibles sur Outlook, vous devriez configurer et utiliser un certificat numérique. Si vous n’en avez pas, vous devrez en créer en suivant les étapes ci-dessous :

• Allez dans Fichier > Options > Centre de gestion de la confidentialité > Paramètres du Centre de gestion de la confidentialité > Sécurité du courrier, Obtenir une identification numérique
• Sélectionnez l’autorité de certification à laquelle demander votre identification numérique (Comodo est recommandé)
• Vous recevrez votre identification numérique par voie postale.
• Une fois que vous avez votre certificat numérique, suivez ces instructions pour qu’il fonctionne dans Outlook :
  • Sélectionnez Outils > Options > cliquez sur l’onglet Sécurité
  • Saisissez le nom de votre choix dans le champ Nom du paramètre de sécurité
  • Sélectionnez S/MIME dans la boîte Format de message sécurisé
  • Vérifiez que les paramètres de sécurité sont réglés sur leurs options par défaut
  • Dans la boîte Certificat, choisissez votre certificat électronique sécurisé s’il n’est pas sélectionné par défaut
  • Cochez la case « Envoyer ces certificats avec les messages signés »
  • Cliquez sur OK pour enregistrer les paramètres et revenir à Outlook

Votre signature numérique figure maintenant sur vos e-mails. Cependant, elle n’apparaîtra pas par défaut. Pour l’ajouter, suivez cette procédure :

• Cliquez sur Nouveau message
• Allez dans Outils > Personnaliser et cliquez sur l’onglet Commandes
• Choisissez Standard dans la liste des catégories
• Cliquez sur Signer le message numériquement dans la liste de commandes
• Cliquez et faites glisser la liste dans votre barre d’outils. Vous pouvez désormais cliquer dessus pour ajouter votre signature numérique
• Pendant que vous y êtes, cliquez et faites glisser Chiffrer le contenu et les pièces jointes du message dans la barre des tâches.

Veuillez noter que la signature numérique n’est pas un chiffrement. Toutefois, pour envoyer un message chiffré dans Outlook, vous devez avoir reçu au moins un e-mail du destinataire accompagné d’une signature numérique. C’est la seule façon qu’Outlook a de vérifier qu’il peut faire confiance à ce destinataire. Inversement, si vous voulez recevoir des messages chiffrés de la part de quelqu’un, vous devrez d’abord lui envoyer un message non chiffré avec votre signature numérique. De cette façon, Outlook sait qu’il peut faire confiance aux deux parties.