Journal : Militer pour le cryptage des mails

Posté par Samuel Bizien (page perso, ) le 16 juillet 2008
0
Bonjour,

Nous sommes tous conscients des problèmes que pose la création du fichier Edvige, dont le décret est paru récemment au JO, et nous avons bien entendu signé la pétition pour s'opposer à ce décret.

Seulement, j'ai des doutes sur l'utilité de cette pétition, et je crains que toutes les manifestations contre ce décret soient vouées à l'échec (ce qui ne veut pas dire qu'il ne faut pas les tenter, loin de là). À ce propos, il semblerait que certains syndicats sont conscients du problème, et veulent tenter « quelque chose ». Nous, libristes barbus ou imberbes, intégristes ou non, êtres soucieux de notre vie privée, conscients des enjeux qui reposent sur le contrôle de l'information, ne sommes pas les seuls inquiets de ce décret.

Venons-en au fait. Le décret précise notamment que sont aussi enregistrées les « données relatives à l'environnement de la personne, notamment à celles entretenant ou ayant entretenu des relations directes et non fortuites avec elle ». Autrement dit, les amis/contacts sont fichés aussi (les amis des amis aussi ?). Or, le moyen le plus simple pour déterminer les relations qu'entretiennent deux personnes est certainement d'observer les mails qui transitent entre ces personnes. D'où l'intérêt de chiffrer nos mails.
Seulement, très peu de personnes chiffrent leurs mails (je n'ai jamais envoyé de mail chiffré à qui que ce soit, sauf à des fins de test). Or, cela est une solution particulièrement efficace (il me semble) pour protéger les communications. Si tout le monde chiffrait ses mails, déjà les mails chiffrés n'attireraient plus l'attention, et il serait très difficile pour les autorités de violer la vie privée des citoyens.

Peut-être est-il temps de faire un battage autour de cette question, de pousser nos contacts à se créer une clé PGP, pour que nous puissions chiffrer les mails que nous leur envoyons, et leur demander de chiffrer les mails qu'ils nous envoient.
Cela en vaut-il la peine ?

Note : il existe un très bon site web, expliquant très bien pourquoi et comment chiffrer ses mails avec PGP sous Windows : http://openpgp.vie-privee.org/

> Lire le journal (38 commentaires, moyenne: 3,7).  

Vous avez demandé le commentaire #950345.

Et pour les webmails hébergés ?

Posté par ptifeth (page perso, ) le 16/07/2008 à 16:21. (lien). Évalué à 3.

La question centrale du chiffrement est : avez vous confiance dans vos outils ?

  • l'algorithme, issu de sommités du monde de la sécurité et du renseignement,
  • l'implémentation, vérifiée par des experts parfois étourdis,
  • la machine et le système d'exploitation, administrés par d'autres, miné par des vers, des keyloggers, appartenant à un cyber café, à une entreprise...
On en fait, des compromis, lorsqu'on chiffre ses données. Il existe déjà des implémentations javascript des principales fonctions de chiffrement, et ça pourrait être une solution pour le chiffrement/la signature des mails envoyés par gmail, yahoo et autres, sans pour autant résoudre notre problème, au contraire, puisqu'un javascript altéré pourrait même être envoyé par un "man in the middle" (l'administrateur du proxy transparent par exemple). Faites-vous confiance à ces géants pour être garants de votre vie privée ? Il faut se mettre à la place de l'utilisateur moyen : il n'a aucune envie de s'encombrer de mots de passe ni de protocoles de sécurité, et n'est pas admin de la machine qu'il utilise, souvent verolée. L'auteur du journal propose un défi intéressant avec la démocratisation du chiffrage, mais j'ai bien peur que ça soit une utopie.

  • [^]Re: Et pour les webmails hébergés ?

    Posté par Octabrain () le 16/07/2008 à 16:34. (lien). Évalué à 3.

    Quand ces problématiques se poseront un peu plus (il faudrait d'abord utiliser la cryptographie un peu avant de pouvoir se poser ce genre de questions), alors on s'y intéressera un peu plus.

    • [^]Re: Et pour les webmails hébergés ?

      Posté par Octabrain () le 16/07/2008 à 16:43. (lien). Évalué à 2.

      Sinon, à propos de webmail, ils apportent une sorte de "plausible deniability" que les clients "lourds" n'ont pas. Pour la cryptographie, c'est plus difficile (remarque on peut imaginer stocker clefs à distance, elles sont protégées par mot de passe)

      • [^]Re: Et pour les webmails hébergés ?

        Posté par Jean B () le 16/07/2008 à 20:01. (lien). Évalué à 2.

        C'est là ou je me dit qu'il suffirait que les "grands du webmail" (À savoir Google, Yahoo et Microsoft ) mettent en place un système de connexion SSL au webmail, stockent la clé sur leur serveur et proposent le chiffrement par défaut quand il est possible, pour qu'un très grande partie des mails soient chiffrés.

        Ça ne protégerai que peu contre une demande de la justice, mais pour le reste ce serait déjà pas mal.

        • [^]Re: Et pour les webmails hébergés ?

          Posté par ptifeth (page perso, ) le 16/07/2008 à 22:00. (lien). Évalué à 2.

          Je suis tenté -à tort sans doute- de te répondre "tout ou rien", parce que la sécurité d'une chaîne est en gros celle du maillon le plus faible. Ce que tu proposes serait déjà un pas incontestable dans la bonne direction.

          Pour le commun des mortels, la solution de sécurité devra prendre en compte que l'infrastructure (clavier, écran, unité centrale) appartient en général à quelqu'un d'autre. Il y a peut-être quelque chose à inventer, un dispositif personnel et incessible, une super startup française à monter...