Une des autres choses que vous m’avez probablement vu aborder, ce sont les entreprises qui acceptent de partager leur clé PGP avec leurs clients pour que ceux-ci puissent utiliser l’e-mail + PGP pour communiquer avec le support. D’abord, attaquons-nous à la différence entre PGP et GPG. PGP est l’abréviation de Pretty Good Privacy et a été développé par Phil Zimmerman en 1991. GPG est l’abréviation de Gnu Privacy Guard, une version adaptée de ce dernier sortie en 1999. Et OpenPGP est le standard auquel ces deux logiciels se conforment. Donc quand les gens parlent de clés GPG, il s’agit techniquement toujours de clés PGP, mais dérivées d’un programme GPG comme GPG Keychain pour OSX. Sur mon site web, j’ai indiqué ma clé comme G/PGP parce que c’est une clé PGP qui utilise le logiciel GPG.
RSA est la base de la génération d’une clé privée et d’une clé publique uniques pour un utilisateur. Ces clés pourraient être comparées à 2 pièces d’un puzzle, chacune de la taille d’un terrain de football, comportant des centaines de milliers de petites encoches le long de chaque côté. La clé publique et la clé privée générées sont les 2 seules pièces du puzzle qui s’emboîtent l’une dans l’autre.
En général, les clés PGP servent à la fois à communiquer de façon sécurisée sous forme chiffrée et à signer des messages dont l’authenticité peut être validée. Une fois générée, on distribue sa clé publique et on l’envoie aux serveurs de clés sur internet qui la stockent pour que d’autres puissent la récupérer. En revanche, votre clé privée, protégée par une longue phrase de passe, reste privée et ne devrait jamais être distribuée publiquement. Une fois votre clé publique distribuée, les gens peuvent l’utiliser pour vous chiffrer des messages que seule votre clé privée peut déchiffrer. Vous pourriez aussi signer un message, ce qui le protégerait de toute altération. Les utilisateurs pourraient alors prendre le message et utiliser votre clé publique pour valider son authenticité. Si ne serait-ce qu’un espace était supprimé, le message ne se vérifierait pas correctement et les destinataires ou le public du message sauraient qu’il a été altéré. C’est particulièrement utile pour les messages liés à la sécurité émanant d’une entreprise ou d’un site web, comme la signature des notifications et des mises à jour, afin de confirmer que c’est bien le propriétaire du site web qui publie ces messages et non un pirate ou un organisme gouvernemental.
Récemment, j’ai acheté ProtonMail Plus, ce qui impliquait de relier mon nom de domaine à ProtonMail pour qu’il soit routé à travers leurs serveurs. Cela signifiait toutefois que l’adresse e-mail que j’avais ajoutée à ma clé PGP principale n’était pas celle que je communiquais au public. Même boîte de réception, adresse différente. Découvrez ma méthode pour basculer vers une nouvelle clé avec ma nouvelle adresse tout en maximisant le vecteur de confiance pour ceux qui communiquaient fréquemment avec moi ou avaient simplement mon ancienne clé PGP enregistrée. Je ne dis pas que c’est quelque chose que tout le monde devrait faire. Cependant, je voulais m’assurer que la transition vers une nouvelle clé ne puisse en aucune façon, sous aucune forme, être interprétée à tort comme malveillante ou comme le signe que ma sécurité avait été compromise.
Si vous faites partie de cette catégorie, je dirais qu’il est prudent que la génération de cette clé se fasse sur un système dont le réseau est désactivé, avec le programme GPG de votre choix isolé par un pare-feu pour bloquer toutes les connexions vers et depuis les serveurs de clés. La dernière chose dont vous avez besoin, c’est d’un programme avec une porte dérobée qui envoie votre clé privée quelque part de façon malveillante et à votre insu. Oui, votre clé privée devrait être protégée par un mot de passe très solide contre ce genre d’attaques, mais elle ne devrait pas non plus être “si facile” à voler. Votre programme GPG n’a pas besoin de récupérer des clés ni quoi que ce soit de ce genre, puisque les importer est simple avec un copier-coller : aucun intérêt donc à le laisser accéder à internet.