Sécurité des e-mails : PGP et S/MIME : Outils

1.1 - Problèmes de sécurité liés à la messagerie électronique
1.2 - Panorama des technologies
1.3 - Mécanismes de base de PGP et de S/MIME

Tableau 1 - Algorithmes utilisés par OpenPGP et S/MIME

2 - FONCTIONS DE SÉCURITÉ COMMUNES À PGP ET S/MIME

2.1 - Gestion des clés
2.2 - Signature électronique des messages
2.3 - Chiffrement des messages
2.4 - Signature et chiffrement simultanés

3 - ÉCHANGE ET VÉRIFICATION DES CLÉS PUBLIQUES DANS LE CAS DE PGP

3.1 - Échange direct entre utilisateurs
3.2 - Échange via un serveur de clés
3.3 - Vérification des clés publiques : toile de confiance

4 - ÉCHANGE ET VÉRIFICATION DES CLÉS PUBLIQUES DANS LE CAS DE S/MIME

4.1 - Certificats S/MIME
4.2 - Obtention de certificats S/MIME
4.3 - Échange des certificats S/MIME
4.4 - Validité des certificats S/MIME

5 - FORMAT DES MESSAGES

6 - OUTILS

6.1 - PGP
6.2 - GnuPG
6.3 - Outils S/MIME

7 - CONCLUSION

Bibliographie & annexes

Présentation

RÉSUMÉ

La messagerie électronique représente l'un des usages majeurs du Web, avec un besoin de sécurisation très important. Les protocoles PGP et S/MIME assurent, au moyen de méthodes cryptographiques, mais de façons différentes, l’authentification des utilisateurs ainsi que la confidentialité et l’intégrité des échanges. Cet article présente et compare les caractéristiques des deux protocoles et les implémentations possibles.

Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.

Lire l’article

Auteur(s)

Patrick MAIGRON : Ingénieur d’études à l’Institut national des télécommunications (GET/INT) , Évry

INTRODUCTION

La messagerie électronique est l’une des applications Internet les plus utilisées, avec les technologies Web. Devenue le moyen de communication principal pour de nombreuses entreprises, son utilisation dans le cadre de l’échange de documents sensibles ou confidentiels n’est pas sans poser de problèmes. Les protocoles normalisés qui permettent de mettre en œuvre les applications de messagerie ont en effet été conçus dans les années 1970, époque à laquelle les questions de sécurité sur Internet n’étaient pas encore d’actualité.

Les deux techniques les plus utilisées pour intégrer des fonctions de sécurité à la messagerie électronique sont PGP (Pretty Good Privacy) et S/MIME (Secure MIME). Ces deux technologies concurrentes permettent en effet, au moyen de méthodes cryptographiques largement utilisées par ailleurs dans le domaine de la sécurité des réseaux, d’assurer l’authentification des utilisateurs ainsi que la confidentialité et l’intégrité des échanges.

Après avoir mis en évidence les différents problèmes inhérents à la messagerie électronique classique, nous présenterons dans une première partie les mécanismes de base utilisés par ces deux technologies et en quoi elles permettent de répondre à ces problèmes. Nous détaillerons ensuite les fonctions de sécurité communes à PGP et à S/MIME : création de clés, révocation de clés, signature électronique des messages, chiffrement des messages. Puis nous décrirons les différentes méthodes d’échange de clés publiques entre utilisateurs et montrerons qu’il est nécessaire, pour obtenir un niveau de sécurité suffisant, de valider les clés publiques obtenues. L’une des différences principales entre PGP et S/MIME vient du modèle de sécurité utilisé pour valider les clés publiques : un modèle décentralisé pour PGP, où chaque utilisateur est chargé de faire certifier lui-même sa propre clé publique, et un modèle centralisé pour S/MIME, où la certification est à la charge d’autorités de certification dûment accréditées. Nous décrirons successivement ces deux modèles de sécurité. Enfin, nous présenterons les différents formats de messages utilisés par PGP et S/MIME, ainsi que les principales implémentations disponibles actuellement. Nous conclurons par une comparaison entre les deux technologies.

Cet article est réservé aux abonnés.
Il vous reste 95% à découvrir.

Pour explorer cet article
Téléchargez l'extrait gratuit

Vous êtes déjà abonné ?Connectez-vous !

L'expertise technique et scientifique de référence

La plus importante ressource documentaire technique et scientifique en langue française, avec + de 1 200 auteurs et 100 conseillers scientifiques.

+ de 10 000 articles et 1 000 fiches pratiques opérationnelles, + de 800 articles nouveaux ou mis à jours chaque année.

De la conception au prototypage, jusqu'à l'industrialisation, la référence pour sécuriser le développement de vos projets industriels.

DOI (Digital Object Identifier)

https://doi.org/10.51257/a-v1-h5330

Cet article fait partie de l’offre

Sécurité des systèmes d'information

(77 articles en ce moment)

Cette offre vous donne accès à :

Une base complète d’articles

Actualisée et enrichie d’articles validés par nos comités scientifiques

Des services

Un ensemble d'outils exclusifs en complément des ressources

Un Parcours Pratique

Opérationnel et didactique, pour garantir l'acquisition des compétences transverses

Doc & Quiz

Des articles interactifs avec des quiz, pour une lecture constructive

ABONNEZ-VOUS

Lecture en cours
Présentation

Page
suivante

Conclusion

6. Outils

Nous présentons ci-après deux implémentations de la technologie PGP parmi les plus utilisées : l’outil PGP de la société PGP Corporation et l’implémentation libre GnuPG. Nous décrirons ensuite les outils S/MIME disponibles.

6.1 PGP

L’outil PGP est un produit développé et commercialisé par la société PGP Corporation. Il s’agit de l’évolution de la première implémentation de PGP créée par Philip Zimmermann. La version 8 est distribuée depuis décembre 2002.

Le produit se compose de différents modules logiciels : « PGP Mail » (sécurisation des messages électroniques), « PGP Disk » (chiffrement transparent des données sur un disque dur), « PGP Admin » (configuration centralisée de postes clients) et « PGP Keyserver » (serveur de clés PGP). Il propose quelques fonctionnalités originales telles que la récupération de clés privées perdues, les clés de déchiffrement additionnelles (qui permettent à une société d’avoir accès aux messages d’un employé lorsque celui-ci quitte la société) ou la possibilité de clés privées segmentées entre plusieurs personnes. Une autre caractéristique importante est que PGP supporte à la fois les certificats PGP et les certificats X.509 utilisés par les produits S/MIME. Enfin, les clés et certificats peuvent être stockés sur une carte à puce.

Le code source du produit est fourni gratuitement de manière à pouvoir être inspecté par les utilisateurs et les experts en sécurité, et à détecter d’éventuelles erreurs.

L’offre commerciale se décline en plusieurs variantes : individuelle ou entreprise, PC fixe ou PDA... À titre d’exemple, une licence individuelle pour PC fixe est proposée à 50 $. Il existe également une version gratuite (« PGP Freeware ») possédant moins de fonctionnalités et disponible pour des utilisations non commerciales uniquement.

Le site International PGP distribue des versions internationalisées de « PGP Freeware ». L’interface utilisateur et la documentation y sont traduites en différentes langues, donrt le français. Ce site fut pendant longtemps la seule manière d’obtenir légalement PGP à l’extérieur des États-Unis, du fait de la réglementation américaine sur l’exportation de produits cryptographiques.

...

Cet article est réservé aux abonnés.
Il vous reste 93% à découvrir.