URL: https://linuxfr.org/users/cbri/journaux/chiffrement-de-smtp-une-obligation Title: Chiffrement de SMTP, une obligation? Authors: cbri Date: 2015年10月12日T12:28:38+02:00 License: CC By-SA Tags: courriel, smtp, confidentialité, benjamin_sonntag, sécurité, vie_privée et tls Score: 21 Bonjour, Notre cher gouvernement français souhaite passer entre les différents FAI français et le groupe La Poste une charte pour que les flux de courriels entre eux soit chiffrés. http://www.nextinpact.com/news/96749-une-charte-avec-fai-francais-pour-chiffrement-emails.htm Bref qu'ils ajoutent un S au SMTP. Les techniciens espéreront juste que cela n'utilise pas SSL mais plutôt TLS. _Avant d'entrer dans le sujet, un petit rappel rapide. Le courriel est une carte postale que tout intervenant dans le réseau peut lire: FAI, DSLAM, routeur, etc. Dans un courriel, il y a:_ * _les métadonnées qui sont souvent là dans un but de faire fonctionner la technologie et_ * _le corps du message._ _Protéger le corps du message (contenu) c'est bien, protéger aussi les méta-données (le contenant) c'est mieux._ _Le courriel n'a pas été prévu à la base pour faire de la confidentialité, ses concepteurs voulaient juste que cela transmettent des informations. Pour donner de la confidentialité, il est possible de chiffrer le corps du message de bout en bout avec des couples de clés asymétries, le meilleur exemple est GPG. On peut aussi chiffrer le flux de communication entre les clients et les serveurs. Mais on peut surtout chiffrer le flux entre les différents serveurs en utilisant TLS ._ _Pour plus d'informations: http://www.iletaitunefoisinternet.fr/lemail-par-benjamin-sonntag/ http://www.iletaitunefoisinternet.fr/ssltls-benjamin-sonntag_ (fin de la parenthèse technique) On peut regretter que le gouvernement (après un discours du [premier ministre JM Ayrault](http://www.nextinpact.com/news/96749-une-charte-avec-fai-francais-pour-chiffrement-emails.htm) en 2014), ne rende pas la chose obligatoire ( une charte cela n'engage que ceux qui y croient). Désarmons tout de suite l'aspect renseignement. Il est certains que les RG ont des accès dans ces FAI et que le chiffrement de SMTP ne va pas les arrêter (ils feront des demandes aux prestataires). Mais pour le gouvernement, cela permet de protéger les citoyens français et les entreprises. En effet, cela va éviter aux espions des autres états de se servir facilement en informations juste en captant le flux de courriels. On peut dire que c'est une bonne chose. Toutefois quand on voit qu'Orange ne demande pas de mots de passe si on se connecte en local à la box. Pour des particuliers, je trouve ça limite. Pour des offres professionnels destiné aux PME, c'est pour moi de la paresse de la part de l'agrume. Enfin, il y a ceux qui discutent et ceux qui agissent. Et Google est clairement dans la deuxième catégorie. Ils mettent en avant le chiffrement des flux SMTP: https://www.google.com/transparencyreport/saferemail/ Et on peux tester les serveurs des autres. Ainsi: | domaine du courriel | messages sortants | messages entrants | | -------------------- | ----------------- | ----------------- | | bouyguestelecom.fr | **inconnu** | 0% | | bouygues-telecom.fr | **inconnu** | 100% | | _free.fr_ | _moins de 50%_ | _99%_ | | _aliceadsl.fr_ | _moins de 50%_ | _99%_ | | laposte.net | 100% | 99,99% | | _numericable.fr_ | _100%_ | _99,9%_ | | _noos.fr_ | _**inconnu**_ | _100%_ | | Orange | 100% | 99% | | wanadoo.fr | 100% | 99% | | _sfr.fr_ | _100%_ | _99,9 %_ | | _club-internet.fr_ | _100%_ | _**inconnu**_ | | _neuf.fr_ | _100%_ | _**inconnu**_ | | ovh.net | **inconnu** | moins de 50% | On relève donc que c'est déjà le cas de beaucoup des futurs signataires de la charte. Au moins pour les flux chiffrés venant de gmail. Quand il s'agit de produire des flux chiffré vers gmail c'est moins fréquent mais pas rare. Ce journal ne serait pas complet si on ne parlait du projet Own-Mailbox qui avorté avant la fin de la campagne Kickstarter (voir [la news](https://linuxfr.org/news/la-campagne-kickstarter-de-own-mailbox-a-commence)). Le projet me semblait intéressant et si il n'offrait une confidentialité parfaite (c'est pas l’objectif du mail), il permettait de faciliter la confidentialité des échanges en utilisant GPG. Le nouveau projet veut utiliser Tor pour donner de la confidentialité. TLS sera utilisé systématiquement pour communiquer avec Own-Mailbox au niveau http, j'imagine qu'il en sera de même au niveau SMTP et IMAP. Pour finir, j'aimerais savoir si il existe des outils autre que la page de google que j'ai cité qui permettent de savoir si: - le fournisseur de courriel propose STMPS et si oui avec quelles technologies (TLS, SSL) et quel algorithme? - même questions pour IMAP et POP Bref, des outils à la [SSLLabs](https://www.ssllabs.com/ssltest/), histoire de voir si votre fournisseur ne fait pas que du déclaratif. Enfin je me demande si il y est possible de refuser de communiquer un courriel si le serveur en face ne fait pas de réception/envoi chiffré? On le sait, si vous mettez du chiffrement mais laissez la possibilité d'un mode avec un chiffrement trop faible (RC4 ou bien SSL) ou un mode sans chiffrement un attaquant va essayer au maximum de vous forcer à utiliser ces modes. Et pour en revenir au titre, pensez-vous que le SMTP devrait obligatoirement communiquer avec une couche de chiffrement ??

AltStyle によって変換されたページ (->オリジナル) /