Qu’est-ce que le courrier électronique sécurisé et devez-vous changer?

Le courrier électronique a été inventé en 1971 et a très peu changé depuis. Pendant ce temps, il a réussi à devenir un risque de sécurité majeur pour les particuliers, les gouvernements et les entreprises privées du monde entier. Cela pourrait expliquer la popularité croissante des fournisseurs dits «de messagerie sécurisée».

Alors, qu’est-ce qui différencie exactement le courrier électronique sécurisé du courrier électronique ordinaire?

Qu’est-ce qu’un courrier électronique sécurisé et crypté?

Le courrier électronique sécurisé est essentiellement un courrier électronique régulier avec quelques améliorations de sécurité en plus. La technologie en coulisse est finalement la même, ce qui signifie que vous savez déjà comment utiliser un fournisseur de messagerie sécurisé. Vous envoyez toujours des messages à des adresses nommées avec un @ et un domaine, et vous recevez toujours beaucoup de spam.

Pour cette raison, n’importe qui peut se qualifier de fournisseur de messagerie sécurisé. Il n’y a pas de définition de dictionnaire, et la plupart des principaux fournisseurs de messagerie comme Gmail et Outlook se considéreraient également comme «sécurisés» même s’ils ne respectent pas la norme.

La plupart des fournisseurs qui utilisent le terme pour décrire leur service vont bien plus loin que d’exiger un mot de passe fort ou d’utiliser une authentification à deux facteurs. La sécurité, dans ce sens, ne consiste pas seulement à empêcher quelqu’un d’accéder à votre compte, mais aussi à protéger vos données et votre identité.

Un fournisseur de messagerie vraiment sécurisé ne peut pas lire vos conversations par courrier électronique. Ils devraient idéalement être situés dans une juridiction qui n’est pas soumise au partage de données entre les agences de renseignement. La technologie elle-même serait idéalement construite sur des normes ouvertes pour une approche «crowdsourcing» de la sécurité. Le service ne doit pas vous profiler, diffuser des annonces personnalisées ou enregistrer des métadonnées.

C’est pourquoi Gmail, Outlook, Yahoo et la plupart des autres fournisseurs de messagerie gratuits et grand public ne sont pas considérés comme véritablement sécurisés. Un fournisseur de messagerie sécurisé est «meilleur» que Gmail en termes de sécurité des données, mais vous manquerez les fonctionnalités et les intégrations approfondies de Google. Laissez vos priorités décider quelle est la meilleure option.

Comment les fournisseurs de messagerie sécurisée vous protègent-ils?

Le chiffrement de bout en bout est essentiel pour créer un système de messagerie véritablement sécurisé. Alors que des services comme Gmail chiffrent la connexion entre votre ordinateur et le serveur, toutes les informations que vous envoyez au serveur (y compris le contenu de vos messages) ne sont pas chiffrées lorsqu’elles y arrivent.

Toutes les conversations privées (ou secrets d’État) dont vous parlez seront placées sur les serveurs de Google dans un format non chiffré. Si ces données sont volées, par exemple, lors d’une fuite de données, elles n’ont pas besoin d’être déchiffrées avant de pouvoir être lues. Un fournisseur sécurisé cryptera les données sur le serveur, ce qui les rendra inutiles pour des tiers.

L’absence de cryptage de bout en bout signifie que les fournisseurs de messagerie peuvent accéder au contenu de vos messages, et ils ont utilisé cet accès dans le passé. Google a précédemment analysé le contenu des messages Gmail à des fins publicitaires, mais a arrêté la pratique en 2017. La société a continué à analyser les e-mails pour alimenter des services tels que Google Now (désormais disparu). Sinon, comment l’assistant de Google pourra-t-il vous rappeler le voyage que vous avez à venir?

L’emplacement de ces serveurs peut également avoir un impact sur la manière dont ces données sont traitées. Comme c’est le cas avec les VPN, les services de messagerie les plus sécurisés sont généralement situés dans des pays éloignés ou historiquement neutres. ProtonMail, par exemple, est situé en Suisse, où les lois sur la protection de la vie privée sont notoirement strictes.

Les services de messagerie situés aux États-Unis peuvent être contestés devant les tribunaux pour transmettre des données. Les États-Unis font partie de l’alliance de renseignement Five Eyes, aux côtés de l’Australie, du Canada, du Royaume-Uni et de la Nouvelle-Zélande. Les données sont régulièrement transmises entre différentes autorités dans différentes juridictions sous couvert de sécurité nationale.

Le type de données enregistrées à côté de votre e-mail peut également en dire long sur vous. Les métadonnées sont des «données sur les données» essentielles, comme les horodatages d’un e-mail ou la «signature» de l’agent utilisateur laissée par le navigateur que vous utilisez. Tu ne consciemment créer des métadonnées, mais cela sert de trace écrite pour presque tout ce que vous faites en ligne.

Les services de messagerie sécurisés ne manqueront pas de supprimer autant de métadonnées que possible du courrier électronique envoyé. Cela rend plus difficile la recherche de l’origine d’un message et protège davantage l’identité de la personne qui l’envoie.

Certains fournisseurs de messagerie sécurisée intègrent également des outils tels que Pretty Good Privacy (ou PGP en abrégé) dans leurs interfaces. PGP vous permet de «verrouiller» le contenu d’un message afin qu’il ne puisse être lu que par une personne disposant de la clé privée correcte. Une fois configuré correctement, votre e-mail aura l’air normal, sous forme de texte clair lisible. Si quelqu’un sans la clé interceptait le message, cela ressemblerait à du charabia.

Enfin, il y a un argument à faire en faveur de la création de produits axés sur la sécurité sur des logiciels open source. Le code source qui a été rendu public peut être mis à l’épreuve d’une manière que le code source fermé ne peut pas.

Quel service de messagerie sécurisé est le meilleur?

Il n’y a pas d’approche unique pour sécuriser les e-mails. Il existe de nombreux fournisseurs différents, offrant tous des niveaux de sécurité différents à différents niveaux de prix. Le budget est quelque chose que vous devrez probablement considérer car la plupart des services n’offrent pas une option gratuite généreuse comme Gmail ou Outlook.com.

ProtonMail (compte gratuit disponible) est l’un des fournisseurs cryptés les plus connus et l’un des plus matures. Les données sont cryptées sur des serveurs situés en Suisse, l’entreprise effectuant des audits pour s’assurer que les utilisateurs peuvent faire confiance à ses protections. Le service repose sur une technologie open source et il existe une application mobile dédiée pour iPhone et Android (mais pas de prise en charge des applications de messagerie par défaut, malheureusement).

Tutanota (compte gratuit disponible) est un autre fournisseur de messagerie sécurisé hautement recommandé, avec un ensemble de fonctionnalités (et un audit) similaire à ProtonMail. Les serveurs sont situés en Allemagne (la société a expliqué pourquoi) et le service repose sur de nombreuses bases open source. Il existe une mise en garde similaire avec l’accès mobile en ce sens que vous devez utiliser une application dédiée pour déchiffrer votre courrier électronique.

Posteo (pas de compte gratuit) est également situé en Allemagne et s’est un peu fait un nom pour être une alternative moins chère à ProtonMail et Tutanota. Tout est crypté de bout en bout, avec prise en charge de la mise en œuvre de PGP pour une tranquillité d’esprit supplémentaire. Il n’est pas non plus nécessaire de disposer d’un nom, d’une adresse e-mail de sauvegarde ou d’autres informations d’identification pour créer un compte.

Il existe de nombreux autres fournisseurs de messagerie sécurisée parmi lesquels choisir (beaucoup trop pour les énumérer ici), notamment Mailfence, mailbox.org, Fastmail et CounterMail. Vous devriez réfléchir sérieusement au service de messagerie sécurisé que vous choisissez, comme vous le feriez si vous choisissiez un VPN.

Il est préférable de choisir un fournisseur établi avec une solide expérience compte tenu de la nature de ce type de service. Un tel fournisseur basé en Islande, appelé UnSeen, a disparu sans laisser de trace à la fin de 2020, pour réapparaître avec un nom de domaine taïwanais, ce qui a conduit à toutes sortes de spéculations et de méfiance.

Avez-vous besoin d’un fournisseur de messagerie sécurisé?

Si vous avez besoin d’un fournisseur de messagerie sécurisé, vous le connaissez probablement déjà. Peut-être que vous êtes journaliste et que vous vous inquiétez des assignations à comparaître exposant des sources et des documents privés. Peut-être que tu es le prochain Edward Snowden.

Pour la plupart des gens, un fournisseur de messagerie sécurisé n’est probablement pas nécessaire. Cela vous procurera la tranquillité d’esprit au prix de certaines fonctionnalités, de la commodité et de l’argent. Votre fournisseur de messagerie ne pourra pas voir le contenu de vos messages et il sera plus facile de communiquer avec des personnes grâce au chiffrement de bout en bout. (Vous pouvez, bien sûr, simplement utiliser Signal pour communiquer avec un cryptage de bout en bout.) Cela dépend de vous.

Mais si votre motivation principale est la sécurité, sachez que vous êtes plus susceptible d’être victime d’attaques d’ingénierie sociale que de violations de données par e-mail.