Le cas des mails

La plupart des mails que vous envoyez voyagent littéralement par monts et vallées : il parcourent de grandes distances, traversent de nombreux réseaux, certains sécurisés, d'autres non, certains supervisés, d'autres totalement hors de contrôle, et laissent des copies d'eux-mêmes sur des serveurs situés un peu partout sur Internet.

Envoyer un e-mail est aujourd'hui un véritable jeu d'enfants. Vous utilisez votre logiciel préféré, vous y saisissez un titre, un texte, un destinataire et hop ! Un simple clic sur le bouton “Envoyer” revient littéralement à poster une lettre au bureau de poste…

Tout se passe très vite et en général, peu importe où se situe votre destinataire, quelques secondes à quelques minutes à peine suffisent pour que votre message soit acheminé. C'est tout de même un poil plus rapide que La Poste…

Eh bien détrompez-vous : en ce très court laps de temps, il s'est passé beaucoup de choses ! Vous ne vous en êtes pas rendus compte, mais vous avez tout bonnement perdu tout contrôle sur votre message.

Vous voyez bien que l'analogie avec La Poste s'arrête là : alors que vous savez très bien que votre lettre est unique et transite uniquement à travers les réseaux de La Poste, vous n'avez aucune idée de combien de copies de votre e-mail sont réalisées, ni même du chemin qui a été emprunté pour l'acheminer…

En lisant ça, vous vous demandez certainement ce que ça peut bien vous faire, que vos messages soient copiés un peu partout, et transitent par différents réseaux voire différents pays.

Il y a deux raisons pour lesquelles il faut faire attention lorsque l'on envoie des mails : la sécurité et la vie privée.

Comme l'on vient de le voir, dès qu'un mail est envoyé, il nous échappe. Si vous envoyez une pièce jointe sensible (comme un RIB ou un papier administratif important, des infos personnelles comme une adresse postale), vous ne pouvez pas contrôler cette pièce jointe une fois le mail envoyé. Dans de nombreux cas, il arrive par exemple que l'ordinateur d'un·e destinataire soit victime d'un virus ou son adresse mail d'un piratage. Dans ce cas, votre pièce jointe se retrouve entre les mains d'une personne malveillante, même des mois ou des années plus tard… (la plupart des gens conservent leurs mails pendant des années)

Mais ce n'est pas tout, quiconque ayant un accès à votre réseau Internet, ou bien à un des serveurs sur lequel vont rebondir vos messages, ou encore à un des réseaux par lesquels vont transiter vos messages, a lui-aussi accès à toutes vos données ! Que d'inconnues, et autant de malveillances potentielles…

Après tout, vous vous dites probablement que vous n'êtes pas un·e terroriste en herbe, que vous n'avez rien à cacher aux autorités de votre pays ni même à celle d'un autre (coucou la NSA !), et que tout cela ne vous concerne pas.

Si vous utilisez des services gratuits comme Gmail, Hotmail/live, Yahoo, iCloud, AOL, Free … Figurez-vous que c'est ce qu'il se passe.
Comme il est expliqué dans l'article sur les GAFAM, ces entreprises sont friandes de nos mails et leurs services de messagerie récoltent des informations sur ce que vous commandez en ligne, sur quels sites vous êtes inscrit·e·s, avec qui vous conversez, sur quels sujets, à quelle heure, où vous avez réservé vos prochaines vacances, dans quelle banque vous placez votre argent, votre numéro de carte bleue, vos papiers d'identité, dans quel magasin vous allez faire vos courses, quand vous avez effectué votre déclaration d'impôts, si vous payez à temps vos factures d'électricité, vos derniers résultats d'analyses médicales, les offres d'emploi que vous avez consultées, les contrats que vous avez signés… Ce ne sont ici que des exemples de toutes les données qui, vous en conviendrez, devraient coûte que coûte rester confidentielles.

Alors qu'il existe des protocoles de chiffrement pour notre navigation sur internet (afin de sécuriser nos achats en ligne par exemple), il n'existe pas, à grande échelle, de norme de chiffrement des échanges mail.
Pourquoi ?
Tout simplement parce que le fonctionnement du mail est tel qu'il nécessiterait de mettre d'accord tous les fournisseurs de messagerie (La Poste, Google, Yahoo, Microsoft, etc.). En effet, le chiffrement ne fonctionne que si la personne avec qui l'on communique joue aussi le jeu du chiffrement. Sinon, cela ne sert à rien (lire l'article sur le chiffrement).
D'autre part, ces acteurs principaux qui fournissent nos boites mail n'ont aucun intérêt à le mettre en place un chiffrement des données puisque c'est en lisant les mails de leurs utilisateur·trice·s qu'ils se font de l'argent.
Ainsi, le protocole technique utilisé aujourd'hui pour le mail n'est pas sécurisé et ne le sera probablement jamais !

Il y a donc deux solutions :

1. Faire attention : ci-dessous quelques points clés pour préserver sa sécurité et sa confidentialité avec les mails.
2. Chiffrer ses mails : je vais vous donner des pistes, mais vous allez voir, ce n'est pas très pratique.

Avant d'envoyer chaque mail

• Se rappeler que n'importe qui pourra lire mon mail (sauf s'il est chiffré, voir ci-dessous)
• Se rappeler que je ne sais pas par où va passer mon mail
• Je ne connais pas les fournisseurs de mails de mes interlocutrices·eurs.

Conclusion : dès que j’envoie un mail, je perds le contrôle de sa sécurité et de sa confidentialité, même si je fais très attention. Je dois donc faire attention au CONTENU de mes mails avant tout.

Revoir son hygiène du mail

• Utilisez un fournisseur de mail qui vous respecte et en lequel vous avez CONFIANCE. La confiance est la meilleure des sécurités. Choisissez un fournisseur qui ne lit pas vos mails (voir la liste des alternatives).
• Utilisez un mot de passe solide afin qu'il ne puisse pas être deviné facilement par un virus.
• N'envoyez pas de pièce jointe sensible, administrative ou personnelle par mail car celle-ci sera dispatchée sur le net et peut tomber entre de mauvaises mains ! Préférez un service d'envoi de fichier temporaire (voir la liste des alternatives).
• Créez une deuxième adresse mail “poubelle” que vous donnerez en vous inscrivant aux services en lesquels vous n'avez pas confiance. Cela vous permettra de ne pas perturber votre adresse principale en cas de spam ou de piratage.

Comme il est expliqué au début de l'article, envoyer un mail aujourd'hui revient à envoyer une carte postale sans enveloppe qui est lue et recopiée par beaucoup d'intermédiaires avant qu'elle n'arrive chez vous.

Chiffrer ses mails, c'est simplement rendre illisible ce qui est écrit sur la carte postale, sauf pour la personne qui connait l'astuce pour la décoder. Cela peut-être utile si vous n'avez pas d'autres moyens de communication chiffrés mis en place avec la personne avec qui vous souhaitez échanger.

Pour chiffrer des mails, il existe une méthode asymétrique appelée PGP (pour “Pretty Good Privacy”, en anglais : “Assez Bonne Confidentialité”). Il est considéré par les cryptographes comme le plus sûr des procédés de cryptage pour mails.

Avec ce système, vous allez pouvoir chiffrer votre adresse mail actuelle (free.fr, gmail, hotmail …) Mais attention, ce n'est pas très facile à mettre en place ! Car les fournisseurs de mail ou les logiciels avec lesquels vous lisez vos mails sur votre ordinateur ne prévoient pas, à la base, la gestion des clés privées et des clés publiques nécessaires au chiffrement PGP.

Solution 1 : mettre en place le chiffrement soi-même

Il faut donc mettre en place un procédé entre vous et la personne avec qui vous voulez chiffrer vos mails.
En effet, il faut apprendre à stocker ses clés privées et publiques sur tous les appareils avec lesquels vous voulez envoyer des mails chiffrés. Il existe par exemple des extensions pour les logiciels de mail ou les navigateurs qui permettent d'enregistrer et de gérer ces clés de façon sécurisée.

Je ne vais pas vous l'expliquer ici, car je pense que ce n'est pas facile à utiliser au quotidien.
Cependant, vous trouverez un tutoriel pour débutant ici qui vous expliquera comment faire.

Solution 2 : s'aider de son fournisseur de mail

Une autre solution consiste à créer une adresse mail chez un fournisseur qui simplifie pour vous la gestion des clés de chiffrement de façon transparente et ainsi faciliter l'usage quotidien du chiffrement des mails.

Les trois fournisseurs que je recommande et qui sont reconnus pour leur sérieux et leur neutralité sont :

• ProtonMail
• Tutanota
• Mailo (C'est le fournisseur que j'utilise derrière toutes mes adresses mail @pcet.fr )

Pratique !

(Tous ces fournisseurs ont une offre de base gratuite, je vous laisse y jeter un oeil)

Avec l'un de ces fournisseurs, vous pouvez ainsi écrire des mails chiffrés depuis votre boite mail. D'ailleurs, pour permettre l'utilisation de vos clés de chiffrement depuis vos différents appareils, ces trois fournisseurs on créé des applications que vous pouvez installer sur vos ordinateurs⁽¹⁾ et vos téléphones afin de pouvoir retrouver vos clés de façon transparentes sans vous soucier de quoi que ce soit. Ces clés sont bien évidemment chiffrées de bout en bout et uniquement accessibles par vous même.
Protonmail et Tutanota chiffrent même de façon automatique et transparente les communications entre deux adresse mail utilisant leurs services (deux adresse protonmail ou deux adresses Tutanota qui communiquent ensemble).

Cependant, cette automatisation a un prix : pour protéger au maximum vos communications par mail de cette sécurité, Protonmail⁽²⁾ et Tutanota ne fonctionnent que depuis leurs applications ou sur leurs sites internet. En d'autres termes : fini Thunderbird ou tout autre logiciel que vous utilisez pour lire vos mails sur vos appareils (cela veut dire aussi que si vous avez d'autres adresses mail d'un autre fournisseur, vous ne pouvez pas les intégrer aux applications de Protonmail et Tutanota).

Mailo lui, fonctionne comme n'importe quel fournisseur de mail et vous pouvez y accéder de la manière que vous le souhaitez, c'est à dire de n'importe quel logiciel ou application de téléphone. Il propose simplement de créer et stocker vos clés de chiffrement et de vous permettre d'envoyer et lire un mail chiffré depuis son site internet ou son application de téléphone. Vous pouvez ainsi envoyer ou recevoir un mail chiffré depuis leur site, leur application ou votre logiciel de mail préféré s'il vous permet de gérer vos clés PGP. Mais si le chiffrement ne vous intéresse pas, vous pouvez continuer à utiliser votre logiciel préféré !

Après chiffrement, un mail ressemble à ça : Cliquez ici pour afficher un exemple de mail chiffré

Oui en effet, comme l'on vient de le voir, chiffrer ses mails demande la mise en place d'un procédé d'échange de clés avec chaque personne avec qui l'on veut communiquer. Et ce procédé, malheureusement, n'est pas rendu transparent par les principaux fournisseurs de mail.

Conclusion

Enfin, référez vous, comme écrit plus haut, aux règles simples à retenir sur l'utilisation des mails pour en faire un moyen de communication plus sécurisé sans utiliser de chiffrement.