Qu’est-ce que le chiffrement de bout en bout et pourquoi est-ce important?
Le chiffrement de bout en bout (E2EE) garantit que vos données sont chiffrées (gardées secrètes) jusqu’à ce qu’elles atteignent un destinataire prévu. Que vous parliez de messagerie cryptée de bout en bout, de courrier électronique, de stockage de fichiers ou de toute autre chose, cela garantit que personne au milieu ne peut voir vos données privées.
En d’autres termes: si une application de chat propose un cryptage de bout en bout, par exemple, seuls vous et la personne avec laquelle vous discutez pourrez lire le contenu de vos messages. Dans ce scénario, même l’entreprise exploitant l’application de chat ne peut pas voir ce que vous dites.
Sommaire
Principes de base du chiffrement
Commençons par les bases du cryptage. Le chiffrement est un moyen de brouiller (chiffrer) les données afin qu’elles ne puissent pas être lues par tout le monde. Seules les personnes capables de déchiffrer (décrypter) les informations peuvent en voir le contenu. Si quelqu’un ne possède pas la clé de déchiffrement, il ne pourra pas déchiffrer les données et afficher les informations.
(C’est ainsi que cela est censé fonctionner, bien sûr. Certains systèmes de cryptage présentent des failles de sécurité et d’autres faiblesses.)
Vos appareils utilisent en permanence diverses formes de cryptage. Par exemple, lorsque vous accédez à votre site Web bancaire en ligne ou à tout site Web utilisant HTTPS, qui est la plupart des sites Web de nos jours, les communications entre vous et ce site Web sont cryptées de sorte que votre opérateur réseau, votre fournisseur de services Internet et toute autre personne espionnant votre trafic ne peut pas voir votre mot de passe bancaire et vos informations financières.
Le Wi-Fi utilise également le cryptage. C’est pourquoi vos voisins ne peuvent pas voir tout ce que vous faites sur votre réseau Wi-Fi, en supposant que vous utilisez une norme de sécurité Wi-Fi moderne qui n’a pas été piratée, de toute façon.
Le cryptage est également utilisé pour sécuriser vos données. Les appareils modernes comme les iPhones, les téléphones Android, les iPad, les Mac, les Chromebooks et les systèmes Linux (mais pas tous les PC Windows) stockent leurs données sur vos appareils locaux sous forme cryptée. Il est décrypté une fois que vous vous êtes connecté avec votre code PIN ou votre mot de passe.
Chiffrement «en transit» et «au repos»: qui détient les clés?
Le cryptage est donc partout, et c’est génial. Mais lorsque vous parlez de communiquer en privé ou de stocker des données en toute sécurité, la question est: qui détient les clés?
Par exemple, pensons à votre compte Google. Vos données Google (vos e-mails Gmail, vos événements Google Agenda, vos fichiers Google Drive, votre historique de recherche et d’autres données) sont-elles sécurisées par cryptage?
Hé bien oui. À certains égards.
Google utilise le cryptage pour sécuriser les données «en transit». Lorsque vous accédez à votre compte Gmail, par exemple, Google se connecte via HTTPS sécurisé. Cela garantit que personne d’autre ne peut espionner la communication en cours entre votre appareil et les serveurs de Google. Votre fournisseur de services Internet, votre opérateur réseau, les personnes à portée de votre réseau Wi-Fi et tout autre appareil entre vous et les serveurs de Google ne peuvent pas voir le contenu de vos e-mails ni intercepter le mot de passe de votre compte Google.
Google utilise également le cryptage pour sécuriser les données «au repos». Avant que les données ne soient enregistrées sur le disque sur les serveurs de Google, elles sont cryptées. Même si quelqu’un réussit un braquage, se faufilant dans le centre de données de Google et volant des disques durs, il ne pourra pas lire les données sur ces disques.
Le cryptage en transit et au repos est bien entendu important. Ils sont bons pour la sécurité et la confidentialité. C’est bien mieux que d’envoyer et de stocker les données non cryptées!
Mais voici la question: qui détient la clé qui peut décrypter ces données? La réponse est Google. Google détient les clés.
Pourquoi c’est important qui détient les clés
Étant donné que Google détient les clés, cela signifie que Google est capable de voir vos données: e-mails, documents, fichiers, événements d’agenda et tout le reste.
Si un employé malveillant de Google voulait fouiner vos données – et oui, c’est arrivé – le chiffrement ne les arrêterait pas.
Si un pirate informatique compromettait d’une manière ou d’une autre les systèmes et les clés privées de Google (certes un défi de taille), il serait en mesure de lire les données de tout le monde.
Si Google était obligé de transmettre des données à un gouvernement, Google serait en mesure d’accéder à vos données et de les transmettre.
D’autres systèmes peuvent bien sûr protéger vos données. Google affirme avoir mis en place de meilleures protections contre les ingénieurs malhonnêtes qui accèdent aux données. Google est clairement très sérieux dans la protection de ses systèmes contre les pirates. Google a même repoussé les demandes de données à Hong Kong, par exemple.
Alors oui, ces systèmes peuvent protéger vos données. Mais ce n’est pas chiffrement protéger vos données de Google. Ce ne sont que les politiques de Google qui protègent vos données.
N’ayez pas l’impression que tout cela concerne Google. Ce n’est pas – pas du tout. Même Apple, si apprécié pour ses positions de confidentialité, ne crypte pas de bout en bout les sauvegardes iCloud. En d’autres termes: Apple conserve les clés qu’il peut utiliser pour décrypter tout ce que vous téléchargez dans une sauvegarde iCloud.
Fonctionnement du chiffrement de bout en bout
Maintenant, parlons des applications de chat. Par exemple: Facebook Messenger. Lorsque vous contactez quelqu’un sur Facebook Messenger, les messages sont cryptés en transit entre vous et Facebook, et entre Facebook et l’autre personne. Le journal des messages stockés est chiffré au repos par Facebook avant d’être stocké sur les serveurs de Facebook.
Mais Facebook a une clé. Facebook lui-même peut voir le contenu de vos messages.
La solution est le chiffrement de bout en bout. Avec le chiffrement de bout en bout, le fournisseur du milieu – celui avec qui vous remplacez Google ou Facebook, dans ces exemples – ne pourra pas voir le contenu de vos messages. Ils ne détiennent pas de clé qui déverrouille vos données privées. Seuls vous et la personne avec laquelle vous communiquez détenez la clé pour accéder à ces données.
Vos messages sont vraiment privés, et seuls vous et les personnes à qui vous parlez pouvez les voir, pas l’entreprise du milieu.
Pourquoi est-ce important
Le chiffrement de bout en bout offre beaucoup plus de confidentialité. Par exemple, lorsque vous avez une conversation sur un service de chat crypté de bout en bout tel que Signal, vous savez que seuls vous et la personne à qui vous parlez pouvez voir le contenu de vos communications.
Cependant, lorsque vous avez une conversation sur une application de messagerie qui n’est pas chiffrée de bout en bout, comme Facebook Messenger, vous savez que l’entreprise assise au milieu de la conversation peut voir le contenu de vos communications.
Il ne s’agit pas seulement des applications de chat. Par exemple, les e-mails peuvent être chiffrés de bout en bout, mais cela nécessite de configurer le chiffrement PGP ou d’utiliser un service intégré, comme ProtonMail. Très peu de personnes utilisent des e-mails chiffrés de bout en bout.
Le cryptage de bout en bout vous donne confiance lorsque vous communiquez et stockez des informations sensibles, qu’il s’agisse de détails financiers, de conditions médicales, de documents commerciaux, de procédures judiciaires ou simplement de conversations personnelles intimes auxquelles vous ne voulez pas que quiconque ait accès.
Le chiffrement de bout en bout ne se limite pas aux communications
Le cryptage de bout en bout était traditionnellement un terme utilisé pour décrire les communications sécurisées entre différentes personnes. Cependant, le terme est également couramment appliqué à d’autres services où vous seul détenez la clé qui peut déchiffrer vos données.
Par exemple, les gestionnaires de mots de passe tels que 1Password, BitWarden, LastPass et Dashlane sont chiffrés de bout en bout. L’entreprise ne peut pas fouiller dans votre coffre-fort de mots de passe – vos mots de passe sont protégés par un secret que vous seul connaissez.
Dans un sens, il s’agit sans doute d’un cryptage «de bout en bout», sauf que vous êtes des deux côtés. Personne d’autre – pas même l’entreprise qui fait le gestionnaire de mots de passe – ne détient une clé qui leur permet de déchiffrer vos données privées. Vous pouvez utiliser le gestionnaire de mots de passe sans permettre aux employés de la société de gestion de mots de passe d’accéder à tous vos mots de passe bancaires en ligne.
Un autre bon exemple: si un service de stockage de fichiers est chiffré de bout en bout, cela signifie que le fournisseur de stockage de fichiers ne peut pas voir le contenu de vos fichiers. Si vous souhaitez stocker ou synchroniser des fichiers sensibles avec un service cloud (par exemple, des déclarations fiscales contenant votre numéro de sécurité sociale et d’autres informations sensibles), les services de stockage de fichiers chiffrés sont un moyen plus sûr de le faire que de simplement les vider dans un cloud traditionnel service de stockage comme Dropbox, Google Drive ou Microsoft OneDrive.
Un inconvénient: n’oubliez pas votre mot de passe!
Il y a un gros inconvénient avec le chiffrement de bout en bout pour la personne moyenne: si vous perdez votre clé de déchiffrement, vous perdez l’accès à vos données. Certains services peuvent proposer des clés de récupération que vous pouvez stocker, mais si vous oubliez votre mot de passe et perdez ces clés de récupération, vous ne pourrez plus déchiffrer vos données.
C’est l’une des principales raisons pour lesquelles des entreprises comme Apple, par exemple, pourraient ne pas vouloir chiffrer de bout en bout les sauvegardes iCloud. Étant donné qu’Apple détient la clé de cryptage, il peut vous permettre de réinitialiser votre mot de passe et vous donner à nouveau accès à vos données. Ceci est une conséquence du fait qu’Apple détient la clé de cryptage et peut, d’un point de vue technique, faire ce qu’il veut avec vos données. Si Apple ne détenait pas la clé de cryptage pour vous, vous ne pourrez pas récupérer vos données.
Imaginez si, chaque fois que quelqu’un oublie un mot de passe pour l’un de ses comptes, ses données dans ce compte seraient effacées et deviendraient inaccessibles. Oubliez votre mot de passe Gmail? Google devrait effacer tous vos Gmails pour vous rendre votre compte. C’est ce qui se passerait si le cryptage de bout en bout était utilisé partout.
Exemples de services chiffrés de bout en bout
Voici quelques services de communication de base qui offrent un cryptage de bout en bout. Ce n’est pas une liste exhaustive – c’est juste une brève introduction.
Pour les applications de chat, Signal propose par défaut un cryptage de bout en bout pour tout le monde. Apple iMessage propose un cryptage de bout en bout, mais Apple obtient une copie de vos messages avec les paramètres de sauvegarde iCloud par défaut. WhatsApp dit que chaque conversation est cryptée de bout en bout, mais partage beaucoup de données avec Facebook. Certaines autres applications proposent un cryptage de bout en bout en option que vous devez activer manuellement, notamment Telegram et Facebook Messenger.
Pour les e-mails chiffrés de bout en bout, vous pouvez utiliser PGP. Cependant, sa configuration est compliquée. Thunderbird a maintenant intégré le support PGP. Il existe des services de messagerie cryptés comme ProtonMail et Tutanota qui stockent vos emails sur leurs serveurs avec cryptage et permettent d’envoyer plus facilement des emails cryptés. Par exemple, si un utilisateur de ProtonMail envoie un e-mail à un autre utilisateur de ProtonMail, le message est automatiquement envoyé chiffré afin que personne d’autre ne puisse voir son contenu. Cependant, si un utilisateur de ProtonMail envoie un e-mail à une personne utilisant un service différent, il devra configurer PGP pour utiliser le chiffrement. (Notez que le courrier électronique chiffré ne crypte pas tout: alors que le corps du message est chiffré, par exemple, les lignes d’objet ne le sont pas.)
Le chiffrement de bout en bout est important. Si vous allez avoir une conversation privée ou envoyer des informations sensibles, ne voulez-vous pas vous assurer que seuls vous et la personne à qui vous parlez pouvez voir vos messages?
