Différences

Ci-dessous, les différences entre deux révisions de la page.

--- doc:pgp [2020/07/19 15:42] – [Toile de confiance] chiahetcho
+++ doc:pgp [2020/07/19 17:15] (Version actuelle) – [Conception] chiahetcho
@@ Ligne 15: / Ligne 15: @@
 Le cryptage PGP utilise une combinaison en série de hachage, de compression de données, de cryptographie à clé symétrique et enfin de cryptographie à clé publique ; chaque étape utilise un des nombreux algorithmes pris en charge. Chaque clé publique est liée à un nom d'utilisateur ou à une adresse électronique. La première version de ce système était généralement connue sous le nom de "web of trust" pour contraster avec le système X.509, qui utilise une approche hiérarchique basée sur l'autorité de certification et qui a été ajouté aux implémentations PGP par la suite. Les versions actuelles du cryptage PGP comprennent les deux options par le biais d'un serveur de gestion de clés automatisé.
+{{ :doc:pgp_encryption.png?600 |}}
 ==== Empreinte PGP ====
@@ Ligne 44: / Ligne 45: @@
 </html>
+Le mécanisme de toile de confiance présente des avantages par rapport à un système d'infrastructure à clé publique géré de manière centralisée, comme celui utilisé par S/MIME, mais qui n'a pas été utilisé de manière universelle. Les utilisateurs doivent être prêts à accepter les certificats et à en vérifier la validité manuellement ou doivent simplement les accepter. Aucune solution satisfaisante n'a été trouvée pour le problème sous-jacent.
+==== Certificats ====
+Dans la spécification OpenPGP (plus récente), les signatures de confiance peuvent être utilisées pour soutenir la création d'autorités de certification. Une signature de confiance indique à la fois que la clé appartient à son propriétaire déclaré et que le propriétaire de la clé est digne de confiance pour signer d'autres clés à un niveau inférieur au sien. Une signature de niveau 0 est comparable à un réseau de signatures de confiance puisque seule la validité de la clé est certifiée. Une signature de niveau 1 est comparable à la confiance que l'on a dans une autorité de certification car une clé signée au niveau 1 peut émettre un nombre illimité de signatures de niveau 0. Une signature de niveau 2 est très similaire à l'hypothèse de confiance sur laquelle les utilisateurs doivent se baser lorsqu'ils utilisent la liste d'autorités de certification par défaut (comme celles incluses dans les navigateurs web) ; elle permet au propriétaire de la clé de faire d'autres clés des autorités de certification.
+Les versions PGP ont toujours inclus un moyen d'annuler ("révoquer") les certificats d'identité. Une clé privée perdue ou compromise l'exigera si la sécurité de la communication doit être conservée par l'utilisateur. Cela est plus ou moins équivalent aux listes de révocation de certificats des systèmes PKI centralisés. Les versions récentes de PGP prennent également en charge les dates d'expiration des certificats.
+Le problème de l'identification correcte d'une clé publique comme appartenant à un utilisateur particulier n'est pas propre à PGP. Tous les systèmes de cryptographie à clé publique/clé privée ont le même problème, même s'il est légèrement différent, et aucune solution pleinement satisfaisante n'est connue. Le système original de PGP laisse au moins à l'utilisateur la décision d'utiliser ou non son système d'approbation/vérification, alors que la plupart des autres systèmes PKI ne le font pas, exigeant au contraire que chaque certificat attesté par une autorité centrale de certification soit accepté comme correct.
+==== Qualité de la sécurité ====
+Pour autant que l'on sache, il n'existe aucune méthode connue qui permette à une personne ou à un groupe de casser le cryptage PGP par des moyens cryptographiques ou informatiques. En effet, en 1995, le cryptographe Bruce Schneier a décrit une première version comme étant "la plus proche du cryptage de niveau militaire". Les premières versions de PGP se sont avérées présenter des vulnérabilités théoriques et les versions actuelles sont donc recommandées. En plus de protéger les données en transit sur un réseau, le cryptage PGP peut également être utilisé pour protéger les données stockées à long terme, comme les fichiers sur disque. Ces options de stockage à long terme sont également connues sous le nom de données au repos, c'est-à-dire des données stockées, et non en transit.
+La sécurité cryptographique du cryptage PGP repose sur l'hypothèse que les algorithmes utilisés sont inviolables par une cryptanalyse directe avec les équipements et techniques actuels.
+===== OpenPGP =====
+Au sein de PGP Inc, les questions relatives aux brevets continuaient de susciter des inquiétudes. RSADSI contestait le maintien de la licence Viacrypt RSA à la société nouvellement fusionnée. La société a adopté une norme interne informelle qu'elle a appelée "PGP non grevée" qui "n'utiliserait aucun algorithme présentant des difficultés de licence". En raison de l'importance du cryptage PGP dans le monde entier, beaucoup voulaient écrire leur propre logiciel qui interopérerait avec PGP 5. Zimmermann a acquis la conviction qu'une norme ouverte pour le cryptage PGP était essentielle pour eux et pour la communauté cryptographique dans son ensemble. En juillet 1997, PGP Inc. a proposé à l'IETF de créer un standard appelé OpenPGP. Ils ont donné à l'IETF l'autorisation d'utiliser le nom OpenPGP pour décrire cette nouvelle norme ainsi que tout programme qui la soutient. L'IETF a accepté la proposition et a créé le groupe de travail OpenPGP.
+OpenPGP est sur la piste des standards Internet et est en cours de développement actif. De nombreux clients de messagerie électronique offrent une sécurité du courrier électronique conforme à OpenPGP, comme le décrit la RFC 3156. La spécification actuelle est la RFC 4880 (novembre 2007), qui succède à la RFC 2440. La RFC 4880 spécifie une suite d'algorithmes requis comprenant le cryptage ElGamal, DSA, Triple DES et SHA-1. En plus de ces algorithmes, la norme recommande RSA comme décrit dans PKCS #1 v1.5 pour le cryptage et la signature, ainsi que AES-128, CAST-128 et IDEA. De nombreux autres algorithmes sont également pris en charge. La norme a été étendue pour prendre en charge le chiffrement Camellia par la RFC 5581 en 2009, et la signature et l'échange de clés basés sur la cryptographie sur courbe elliptique (ECC) (c'est-à-dire ECDSA et ECDH) par la RFC 6637 en 2012. La prise en charge du cryptage ECC a été ajoutée par la proposition de RFC 4880bis en 2014.
+La Free Software Foundation a développé son propre programme conforme à OpenPGP appelé GNU Privacy Guard (abrégé GnuPG ou GPG). GnuPG est disponible gratuitement avec tout le code source sous la licence publique générale GNU (GPL) et est maintenu séparément de plusieurs interfaces utilisateur graphiques (GUI) qui interagissent avec la bibliothèque GnuPG pour les fonctions de cryptage, de décryptage et de signature (voir KGPG, Seahorse, MacGPG). Plusieurs autres fournisseurs ont également développé des logiciels compatibles avec OpenPGP.
+Le développement d'une bibliothèque open source conforme à OpenPGP, OpenPGP.js, écrite en JavaScript, a permis aux applications web d'utiliser le cryptage PGP dans le navigateur web.
+  * PGP
+    * RFC 1991 Formats d'échange de messages PGP (obsolète)
+  * OpenPGP
+    * RFC 2440 OpenPGP Message Format (obsolète)
+    * RFC 4880 Format de message OpenPGP
+    * RFC 5581 The Camellia Cipher in OpenPGP
+    * RFC 6637 Cryptographie sur courbe elliptique (ECC) dans OpenPGP
+    * RFC 4880bis (projet) Format de message OpenPGP
+  * PGP/MIME
+    * RFC 2015 MIME Security with Pretty Good Privacy (PGP)
+    * RFC 3156 Sécurité MIME avec OpenPGP
+Le cryptage d'OpenPGP peut assurer la livraison sécurisée des fichiers et des messages, ainsi que la vérification de l'identité de la personne qui a créé ou envoyé le message, grâce à un processus appelé signature numérique. La suite bureautique open source LibreOffice a mis en œuvre la signature de documents avec OpenPGP à partir de la version 5.4.0 sous Linux. L'utilisation d'OpenPGP pour la communication nécessite la participation de l'expéditeur et du destinataire. OpenPGP peut également être utilisé pour sécuriser des fichiers sensibles lorsqu'ils sont stockés dans des endroits vulnérables comme des appareils mobiles ou dans le nuage.