Pour envoyer un message chiffré avec OpenPGP, vous devez obtenir la clé publique du destinataire, par exemple depuis un message reçu de sa part ou d’un serveur de clés publiques. Une fois la clé publique obtenue, vous devez aussi décider si vous voulez l’accepter, car Thunderbird ne peut pas déterminer automatiquement si une clé est digne de confiance – une clé peut être authentique ou contrefaite. Cet article vous explique comment déterminer si une clé est authentique ou contrefaite afin de pouvoir décider de l’accepter ou la refuser.

Exemple de clé contrefaite

Il est très facile de créer une clé publique avec le nom et l’adresse e-mail d’une autre personne. Par exemple, une personne mal intentionnée, Malorie, peut simplement créer une clé contenant le nom et l’adresse e-mail de votre ami Bob, et vous envoyer la clé. Si quelqu’un d’autre que Bob a créé la clé, il s’agit alors d’une clé contrefaite.

Si vous décidez ensuite d’utiliser une clé contrefaite au nom de Bob, vous pourriez croire que vous avez une conversation confidentielle avec Bob, car vous utilisez le chiffrement des e-mails, alors que, en réalité, le message chiffré est lisible par la personne malveillante Malorie qui a créé la clé contrefaite au nom de Bob. C’est ce qu’on appelle l’attaque de l’homme (ou du monstre) du milieu, en anglais man-in-the-middle (MITM).

Comment décider d’accepter ou de refuser une clé publique

Pour éviter que vous n’utilisiez accidentellement une clé contrefaite, Thunderbird n’utilise jamais automatiquement la clé de quiconque. Thunderbird vous demande toujours de prendre la décision de reconnaître l’authenticité d'une clé. Vous décidez également de la quantité de travail que vous souhaitez consacrer à vérifier qu’une clé est authentique ou contrefaite.

Si vous avez des conversations informelles avec un correspondant ou une correspondante et que vous considérez le contenu de votre message comme très peu sensible, vous pourriez décider de marquer une clé comme acceptée sans vérifier plus avant son authenticité.

Cependant, si vous avez l’intention d’échanger des informations critiques et que votre liberté ou votre vie dépend de ce que ces informations restent confidentielles, vous devez alors vérifier soigneusement que la clé reçue est authentique, qu’elle provient effectivement de la personne avec qui vous souhaitez correspondre. Vous pouvez le faire en examinant les détails de la clé, puis utiliser un canal de communication autre que l’e-mail pour en parler avec cette personne. Ensuite, vous devez tous les deux consulter les détails de la clé publique de l’autre et examiner l’empreinte numérique qui s’affiche. L’empreinte numérique est un hachage de la clé complète, une sorte de somme de contrôle, et donc une manière unique d’identifier une clé.

Exemple de processus de vérification

Expliquons ce processus plus en détail : quand Alice et Bob veulent s’assurer mutuellement de l’exactitude de leurs clés, la vérification s’effectue en deux étapes.

Dans un premier temps, Alice ouvre les détails de sa propre clé personnelle, en la trouvant soit dans le gestionnaire de clés OpenPGP, soit en utilisant le panneau Chiffrement de bout en bout dans les paramètres du compte. Bob ouvre les détails de la clé qu’il a obtenue et qui est censée être au nom d’Alice. Ensuite, celle-ci lit à haute voix l’empreinte numérique de sa propre clé qui est affichée sur son écran. Bob doit alors écouter pour comparer cette empreinte avec ce qui est affiché sur son écran pour la clé au nom d’Alice. Si les informations correspondent parfaitement, alors Bob a vérifié la clé d’Alice et peut cocher la case qui dit « Oui, j’ai vérifié en personne que cette clé a la bonne empreinte numérique ».

Dans un second temps, Alice et Bob doivent répéter le processus pour la clé de Bob. Celui-ci doit ouvrir les détails de sa propre clé, et Alice ouvrir ceux de la clé qu’elle a obtenue et qui prétend être au nom de Bob. Ensuite, il lit l’empreinte numérique de sa propre clé qu’il voit à l’écran. Alice doit alors écouter pour comparer cette empreinte avec ce qui est affiché pour la clé de Bob. Si la chaîne de l’empreinte numérique correspond entièrement, Alice a vérifié la clé de Bob et peut elle aussi cocher la case qui dit « Oui, j’ai vérifié en personne que cette clé a la bonne empreinte numérique ».