Accueil > Guides Techniques > Sécuriser ses mails sous Mac OS X

Sécuriser ses mails sous Mac OS X

29/05/2002
Allez aux commentaires Commenter

Introduction

Il existe actuellement deux sortes de sécurisation possible :

  • Avec certificat
  • Sans certificat

Avec un certificat, la signature électronique a une valeur légale, en effet, des organismes officiels délivrent ces certificats. Suivant les besoins de sécurité et d’authentification exigé, la délivrance de ces certificats peut varier entre 10 minutes et quelques jours. Ces certificats ont aussi un coût.

Note
Dans toute cette liste, seul Trust Center propose des certificats basiques gratuitement.

Rappels sur les services de sécurité et les mécanismes associés

Confidentialité

La confidentialité est un service de sécurité qui consiste à s’assurer que seules les personnes autorisées peuvent prendre connaissance d’un ensemble de données. Le mécanisme qui permet d’obtenir ce service est généralement le chiffrement des données concernées à l’aide d’un algorithme cryptographique. Dans le cadre du chiffrement d’échanges réseau, on utilise toujours, pour des raisons de performance, des algorithmes de chiffrement symétriques.

Si seules les données transportées sont chiffrées, un espion peut tout de même observer des caractéristiques extérieures du trafic transitant sur un réseau afin de tenter d’en tirer des informations : fréquence des transmissions, identités des tiers communicants, quantités de données transférées. Associées à des informations de nature différente (date de rendez-vous, actualité…) ces éléments peuvent permettre aux adversaires de faire des déductions intéressantes. On parle de protection contre l’analyse du trafic lorsqu’on tente d’empêcher l’analyse du trafic en cachant les adresses source et destination, la taille des paquets, la fréquence des échanges…

Authentification

L’authentification d’un tiers est l’action qui consiste à prouver son identité. Ce service est généralement rendu par l’utilisation d’un “échange d’authentification” qui implique un certain dialogue entre les tiers communicants.

L’authentification de l’origine des données sert à prouver que les données reçues ont bien été émises par l’émetteur déclaré.

Intégrité

L’intégrité est un service de sécurité qui consiste à s’assurer que seules les personnes autorisées pourront modifier un ensemble de données. Dans le cadre de communications, ce service consiste à permettre la détection de l’altération des données durant le transfert

Autenticité

Lorsque l’on communique avec une autre personne au travers d’un canal peu sûr, on aimerait que le destinataire puisse s’assurer que le message émane bien de l’auteur auquel il est attribué et qu’il n’a pas été altéré pendant le transfert. Les services correspondant sont l’authentification de l’origine des données et l’intégrité.

Les fonctions de hachage à sens unique permettent d’assurer l’intégrité des données : appliquée à un ensemble de données, une telle fonction génère un bloc de taille plus petite appelée empreinte. Toute modification des données entraîne une modification de l’empreinte, et il est très difficile (entendre par la : dans le domaine de l’impossible) de générer un message ayant la même empreinte que l’original.

Si l’on transfère l’empreinte sur un canal de communication non sûr, un intercepteur peut modifier les données puis recalculer l’empreinte. Il convient donc de trouver une méthode pour s’assurer que seul l’expéditeur est capable de calculer l’empreinte. Pour cela, on peut utiliser, par exemple, une fonction de hachage à sens unique qui fonctionne de plus avec une clef secrète ou privée. On remarquera que, ce faisant, on fournit également l’authentification de l’origine des données. Inversement, si on désire fournir l’authentification de l’origine des données et que l’on utilise pour cela un moyen qui ne garantit pas l’intégrité des données authentifiées, un intrus peut modifier le message et donc faire accepter comme authentifiées des données qu’il a choisies. C’est pourquoi intégrité et authentification de l’origine des données sont généralement fournies conjointement par un même mécanisme. Le terme “authenticité” désigne l’intégrité jointe à l’authentification des données. Par abus de langage, le terme “authentification” est également couramment utilisé pour désigner en fait authentification et intégrité.

Les deux mécanismes permettant d’assurer l’authenticité des données transmises sont le scellement et la signature.

Le scellement consiste à adjoindre au message un sceau ou code d’authentification de message (Message Authentication Code, MAC), qui est le résultat d’une fonction de hachage à sens unique à clef secrète. L’empreinte dépend à la fois des données et de la clef ; elle n’est donc calculable que par les personnes connaissant la clef.

La signature numérique assure également l’authenticité des données et fournit en plus la non-répudiation : l’émetteur ne peut pas nier avoir émis un message qu’il a signé. Ce dernier point différencie la signature des codes d’authentification de message, et a pour conséquence que la plupart des algorithmes de signature utilisent la cryptographie à clef publique. Dans le cadre de la protection d’échanges réseau, on utilise, pour des raisons de performance, un mécanisme de scellement.

Les solutions disponibles

Note
J’ai écumé TOUS les clients de messagie listés sur VerstionTracker.com. Aucun de ceux qui ne sont pas sités ici ne gérent ni les certificats, ni le cryptage des emails. Je ne traite donc que les principaux clients disponibles sur Mac OS X.

Fonctionnement avec certificats

Mozilla

Le fonctionnement de Mozilla avec les certificats est on ne peut plus simple. Il possède un gestionnaire de certificats pour l’utilisateurs, et un autre pour la gestion des certificats des personnes du carnet d’adresses.

L’utilisateur peut choisir de signer et/ou encrypter ces emails grâce au certificat. Mozilla vérifie alors si le destinataire possède bien la clé pour décrypter, et authorise ou non l’envoie des emails cryptés en conséquence.


Le mail est seulement signé


Le mail est signé et crypté

Entourage

Ne vérifie pas les emails signés qui ne sont pas cryptés. Il peut toutefois afficher le contenu, puisque l’email en question n’est pas chiffré. Il ne peut pas lire les emails cryptés (qu’ils soient ou non signés). Un TRÈS mauvais point pour Entourage et Microsoft surtout lorsque l’on sait que ce client vise les entreprises, et qui fait partie du pack Office…

Apple Mail

Ne vérifie pas les emails signés qui ne sont pas cryptés. Il peut toutefois afficher le contenu, puisque l’email en question n’est pas chiffré. Il ne peut pas lire les emails cryptés (qu’ils soient ou non signés).

Sans certificat (type d’encryptage PGP)

Mozilla

Il existe une solution pour Mozilla basée sur GPG, l’équivalent GNU de PGP. Les binaires d’Enigmail pour Mozilla NE fonctionnent PAS avec la version Carbon. En effet ceux-ci sont pour linuxPPC, et les IPC ne doivent pas fonctionner de la même manière (peut-être avec jaguar, qui a beaucoup de mises à jours du côté FreeBSD, on aura de meilleurs résultats…).

Note
Je suis actuellement en contact avec les développeurs de Mozilla/Netscape et l’auteur d’Enigmail pour compiler ce dernier pour Mac OS X.
Note
L’installation et la configuration de GPG ne sont pas à la portée des non-unixiens. J’ajouerais eventuellement ici une aide à l’installation de GPG.

Entourage

Fonctionne avec GPG à l’aide des script EntourageGPG (freeware). Le fonctionnement est bancale à cause de limitations dues à Applescript. De plus, l’installation et la configuration de GPG ne sont pas à la portée des non-unixiens.


EntourageGPG

Note
L’installation et la configuration de GPG ne sont pas à la portée des non-unixiens. J’ajouterais eventuellement ici une aide à l’installation de GPG.

Apple Mail

Il existe un plug-in appelé GPGMail qui permet d’envoyer et de revoir des emails signés et chiffrés par GPG. Il comporte certaines limitations, de même que GPGEntourage, dus à la nature même du plug-in, mais les fonctionnalités ajoutés sont tout à fait suffisants, et facilement accessibles. Le site qui lui est dédié est très complet et fourni les informations nécessaire à l’intallation et la configuration..


EntourageGPG

Note
L’installation et la configuration de GPG ne sont pas à la portée des non-unixiens. J’ajouerais eventuellement ici une aide à l’installation de GPG.

© 2002 / 1.0 - Pejvan pour l’équipe de Project:Omega

pejvan Guides Techniques , ,

  1. Pas encore de commentaire
  1. Pas encore de trackbacks
S'abonner aux commentaires de cet article