Le cryptage est utilisé pour protéger le courrier électronique confidentiel. Certaines méthodes de cryptage sécurisent les e-mails pour une partie seulement du chemin de transmission. Certains ont des problèmes de travail avec d’autres systèmes de messagerie.
Un message électronique peut être divisé en trois parties:
- Le texte à l’intérieur de l’email (le « corps »).
- Pièces jointes
- En-têtes d’e-mail (De, À, Sujet, CC, etc.). Ce n’est pas tout le monde qui craint de protéger cela.
Les solutions de chiffrement peuvent protéger tout ou partie de ce qui précède.
Liens dans le chemin de transmission du courrier électronique
Le courrier électronique est envoyé d’un PC à un autre en utilisant des serveurs et des réseaux entre les deux. Les liens principaux sont:
- L’e-mail d’origine dans le client de messagerie de l’expéditeur (dossier de courrier brouillon ou envoyé).
- La connexion réseau entre le client de messagerie de l’expéditeur et le serveur de messagerie sortant.
- Une copie du courrier électronique à l’intérieur du serveur de messagerie sortant (disque dur).
- La connexion réseau entre le serveur de messagerie sortant et le serveur de messagerie de destination (destinataire).
- Une copie de l’e-mail à l’intérieur du serveur de messagerie de destination (disque dur).
- La connexion réseau entre le serveur de messagerie de destination et le client de messagerie du destinataire.
- Une copie de l’e-mail dans le client de messagerie du destinataire (Boîte de réception).
Une solution de chiffrement peut chiffrer le courrier électronique pour l’ensemble du voyage (de bout en bout) ou seulement pour certains des liens:
- De nombreux services de messagerie Web, tels que Gmail, proposent des connexions Web cryptées HTTPS. Cela crypte les liens n ° 2 et n ° 6.
- Les systèmes de chiffrement de disque dur tels que TrueCrypt et Windows Bitlocker crypteront les liens n ° 1, n ° 3, n ° 5 et n ° 7.
Cryptage de la messagerie de la couche de transport TLS
TLS est une version chiffrée du protocole de messagerie SMTP standard. Il chiffre les communications entre les serveurs de messagerie (lien n ° 4). L’installation est donc un travail pour les administrateurs système. Un utilisateur final ne peut rien faire à part choisir un service de messagerie utilisant TLS.
Avantages
- Transparent pour les utilisateurs.
- Pris en charge par de nombreux programmes de serveur de messagerie, tels que Microsoft Exchange.
- Travaille avec des serveurs de messagerie SMTP non-TLS (revient à des communications non chiffrées).
- Crypte les en-têtes de messagerie, pas seulement le corps de la messagerie et les pièces jointes.
Désavantage
- Ne chiffre que les communications entre les serveurs de messagerie. Ne crypte pas le courrier électronique stocké dans les serveurs, ni le courrier électronique envoyé entre les serveurs de messagerie et les clients de messagerie.
OpenPGP Email Encryption
OpenPGP est une norme de chiffrement de messagerie de bout en bout. Le cryptage et le décryptage sont effectués sur les clients de messagerie envoyant et recevant. Ceci crypte les liens n ° 1 ou n ° 2 (selon l’implémentation) jusqu’au n ° 7.
GnuPG (également appelé GPG) et PGP sont deux programmes bien connus implémentant OpenPGP. GnuPG est un logiciel gratuit. Des plug-ins frontaux supplémentaires peuvent être nécessaires pour lier GPG à des clients de messagerie tels que Thunderbird et Microsoft Outlook. Freenigma est un plugin Firefox qui permet d’utiliser OpenPGP avec n’importe quel email basé sur le Web (Gmail, Hotmail, Yahoo Mail).
Avantages
- Fonctionne avec tous les serveurs de messagerie, y compris les serveurs SMTP non chiffrés.
- Les utilisateurs peuvent signer leur courrier de manière cryptographique, afin de prouver aux destinataires que le courrier provient bien d’eux. Cela fournit également une « non-répudiation », car l’expéditeur ne peut ultérieurement prétendre qu’il n’a pas envoyé le courrier électronique.
Désavantages
- Ne crypte pas les en-têtes de courrier électronique.
- Peut être difficile à installer et à utiliser.
Solutions de cryptage de courrier électronique propriétaires et basées sur le Web
Des fournisseurs de cryptage de messagerie basés sur le Web (exemple: HushMail, ZipLip, ZixIt) sont disponibles. Certaines solutions offrent une protection de cryptage uniquement lorsque l’expéditeur et le destinataire possèdent des comptes de messagerie sur le serveur de messagerie crypté propriétaire.
D’autres solutions enverront un courrier électronique de notification au destinataire (sur n’importe quel serveur de messagerie), lui indiquant qu’il dispose d’un courrier électronique crypté. Le destinataire se connecte au système propriétaire pour récupérer le courrier électronique chiffré. Les nouveaux utilisateurs devront d’abord créer un compte. Cela permet d’utiliser les comptes de messagerie existants.
Le dispositif de chiffrement Cisco IronPort PXE (ciblé en tant que solution d’entreprise auto-hébergée) utilise une méthode similaire. Une différence est que tout le courrier électronique crypté est envoyé directement au destinataire, il ne se connecte que pour récupérer la clé de décryptage temporaire.
Microsoft Outlook et Exchange Email Encryption
Microsoft Outlook 2007 prend en charge le standard S / MIME v3. Il est similaire à OpenPGP mais n’est pas compatible avec celui-ci . Microsoft propose également le service Microsoft Exchange Hosted Encryption . Ceci est à peu près équivalent à l’IronPort de Cisco.
Le meilleur service de messagerie crypté
Pour évaluer une solution, ces questions doivent être posées:
- Lesquels des liens de transmission (n ° 1 à n ° 7) sont cryptés?
- Quelles parties de l’e-mail sont cryptées (corps, en-tête, pièce jointe)?
- Comment les clés de chiffrement privées et publiques sont-elles créées, récupérées, remplacées et sauvegardées? Quelle est l’utilisation de l’infrastructure à clé publique (ICP)?
- Que se passe-t-il lorsqu’un courrier électronique crypté est envoyé à une personne qui n’utilise pas le même système de cryptage?
- Quels clients de messagerie sont pris en charge?
- Peut-on utiliser le courrier électronique sur le Web?
- Peut-on utiliser des comptes de messagerie et des comptes existants (MS Exchange, Gmail)?
- La signature numérique est-elle prise en charge?
Pour la conformité réglementaire (telle que HIPAA), le cryptage n’est pas nécessairement suffisant. La réglementation devra être étudiée pour des exigences supplémentaires telles que le contrôle d’accès.
Le courrier électronique n’est pas la seule donnée à protéger. Le chiffrement de disque matériel et le chiffrement de logiciel doivent également être pris en compte. Pour envoyer occasionnellement quelques fichiers confidentiels par courrier électronique, le cryptage de fichier individuel constitue une alternative simple et rapide.