Gmail : bientôt un chiffrement des mails de bout en bout avec PGP ?
Une source chez Google affirme que l'entreprise y travaille

Le , par Stéphane le calme, Chroniqueur Actualités
Une source chez Google a rapporté à VentureBeat que l’entreprise travaille sur la prochaine évolution de son service de messagerie en matière de sécurité. Mountain View plancherait notamment sur l’intégration du protocole de chiffrement PGP (Pretty Good Privacy) qui permettrait, selon le site We Fight Censorship, de supprimer «toute possibilité d'interception. Vos e-mails sont chiffrés de bout en bout, et seul le destinataire du mail envoyé a la possibilité de le déchiffrer » bien que l’objet du message et les en-têtes ne sont pas chiffrés.

PGP offre « une plus grande protection que SSL/TLS parce que les données privées utilisateur ne peuvent pas être déchiffrées par l’entreprise ou pars un partie tiers, gouvernement compris » a affirmé l’EFF à VentureBeat. Ceci étant, le quotidien explique avoir contacté GPG Tools, l'éditeur de la solution de chiffrement pour Mac OS X du même nom, qui affirme avoir vu un bond dans les téléchargements la période juste après les premières révélations sur les programmes d’espionnage par la NSA. Précisons toutefois que ce boom n’a pas duré : dès le mois de septembre, les compteurs de téléchargement affichaient un retour à la normale.

PGP utilise le chiffrement symétrique et asymétrique. Pour ce dernier, 2 paires de clés (RSA ou DSA) sont utilisées et les correspondants échangent leurs clés publiques afin d'être en mesure d'authentifier l'émetteur du message qui a crypté un condensat du message au moyen de sa clé privée. Le processus, considéré par certains comme extrêmement sûr, s’avère être assez lourd ; seules les personnes averties savent le manipuler facilement. D'où l'idée de Google de faciliter son emploi.

Toutefois, une curieuse remarque peut être faite : les messages chiffrés par PGP ne peuvent pas être lus lors de leur cheminement sur le réseau. Pourtant, Google a affirmé ouvertement et a assumé analysés tous les messages reçus et envoyés via son service de messagerie afin de proposer à ses utilisateurs de la publicité contextuelle pertinente. Il est difficile d’imaginer l’entreprise abandonner la publicité ciblée pour proposer des annonces aléatoires.

De plus, Mountain View doit pouvoir répondre aux exigences de la législation et des autorités américaines, que ce soit dans le cadre du Patriot Act ou dans une quelconque enquête judiciaire nécessitant le déchiffrement des données dans le cadre d'un procès. Il lui faudrait donc détenir les clés pour déchiffrer.

Si Google envisage effectivement d'insérer PGP dans Gmail, il faudra voir comment l’entreprise compte mettre cette idée en œuvre.

Source : VentureBeat

Et vous ?

Qu'en pensez-vous ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Squeak Squeak - Membre habitué http://www.developpez.com
le 27/04/2014 à 13:06
Si c'est eux qui le gèrent, alors ils peuvent tout faire, y compris scanner les messages ou les fournir à quelqu'un d'autre.

La véritable solution est de former les utilisateurs à utiliser eux-même un logiciel de chiffrement dont ils ont le contrôle total.
Avatar de miky55 miky55 - Membre averti http://www.developpez.com
le 27/04/2014 à 14:07
Citation Envoyé par Squeak  Voir le message
Si c'est eux qui le gèrent, alors ils peuvent tout faire, y compris scanner les messages ou les fournir à quelqu'un d'autre.

La véritable solution est de former les utilisateurs à utiliser eux-même un logiciel de chiffrement dont ils ont le contrôle total.

Si c'est de "bout en bout" c'est pas géré par leurs serveurs mais bien géré par un script coté client...

Si le projet se concrétise, l'idée est plus qu’intéressante, par contre nul doute que google a plus d'une flèche à son arc et qu'ils n'abandonnera pas les pubs ciblés. Peut être que les requêtes sur leur moteur de recherche leur apportent plus d'infos que les mails échangés par exemple.
Avatar de kOrt3x kOrt3x - Modérateur http://www.developpez.com
le 27/04/2014 à 20:51
La question est surtout, peut on encore faire confiance à Google ?
Avatar de Traroth2 Traroth2 - Expert éminent http://www.developpez.com
le 27/04/2014 à 22:50
C'est quoi, le but ? Que Google et la NSA soient les seuls capables de nous espionner ?
Avatar de ennadi ennadi - Membre à l'essai http://www.developpez.com
le 28/04/2014 à 1:34
Utilisez bitmessage: https://bitmessage.org
Message peer to peer, crypté
Avatar de Carhiboux Carhiboux - Expert éminent sénior http://www.developpez.com
le 28/04/2014 à 10:10
Citation Envoyé par Traroth2  Voir le message
C'est quoi, le but ? Que Google et la NSA soient les seuls capables de nous espionner ?

Bah oui sans doute. Ce serait un avantage stratégique énorme pour les USA et leurs alliés.

Et puis bon. On suppose surtout que Google aura forcément connaissance des clés privées de ses utilisateurs. En effet, j'imagine mal Gmail demander à ses utilisateurs de trimballer leur clé privée avec eux lorsqu'ils changent de machine. Je ne suis pas certain que tout le monde saurait par exemple mettre sa cle privée sur son smartphone, sa tablette, ses pc, etc...

Donc Google connaitra nos clés privées. Donc finalement, Google saura déchiffrer nos mails. Ce qui en soi réponds bien aux exigences des lois américaines.

N'empêche, cela pose quelques problèmes en terme de sécurité.

1) Soit la clé privée est initialement générée chez Alice sur une de ses machines, et est envoyé sur les serveurs de Google. Par quelle méthode? sera t'elle sécurisée? par quel protocole?

2) Soit le clé privée est générée par Google puis envoyé sur chacune des machines où Alice se connecte. Encore une fois se pose la question de savoir comment transférer de manière sure la clé privée des serveurs de Google vers chez Alice.

3) Si chaque machine où se connecte Alice reçoit la clé privée, alors il suffit de pirater les identifiants d'Alice pour récupérer sa clé privée. Or dans ce cas, le déchiffrement ne pose plus de problèmes.

Bref, je vois beaucoup de points critiques dans cette idée, mais nul doute que chez Google, ils y auront pensé aussi... non?
Avatar de Sammo Sammo - Futur Membre du Club http://www.developpez.com
le 28/04/2014 à 11:15
Citation Envoyé par Carhiboux  Voir le message

Et puis bon. On suppose surtout que Google aura forcément connaissance des clés privées de ses utilisateurs. En effet, j'imagine mal Gmail demander à ses utilisateurs de trimballer leur clé privée avec eux lorsqu'ils changent de machine. Je ne suis pas certain que tout le monde saurait par exemple mettre sa cle privée sur son smartphone, sa tablette, ses pc, etc...


Bonjour,

Pourquoi ne pas stocker la clé à la manière des numéros de cartes bancaires avec un algorithme de Hachage en combinaison avec les identifiants déjà existant (compte et password )? De cette façon Google n'aurait pas connaissance des clés privées.

Citation Envoyé par Carhiboux  Voir le message
3) Si chaque machine où se connecte Alice reçoit la clé privée, alors il suffit de pirater les identifiants d'Alice pour récupérer sa clé privée. Or dans ce cas, le déchiffrement ne pose plus de problèmes.

On sait bien que la sécurité absolue n'existe pas. C'est comme si on disait qu'il suffit de mouler la clé de ma maison pour pouvoir y entrer, encore faut-il y avoir accès

Le plus ici serait un renforcement du chiffrement des communications, bien sur si on accède aux identifiants c'est fini.
Avatar de miky55 miky55 - Membre averti http://www.developpez.com
le 28/04/2014 à 11:46
L'article est écrit au conditionnel, mais cela n’empêche pas les commentaires alarmistes.
Citation Envoyé par Carhiboux  Voir le message
1) Soit la clé privée est initialement générée chez Alice sur une de ses machines, et est envoyé sur les serveurs de Google. Par quelle méthode? sera t'elle sécurisée? par quel protocole?

2) Soit le clé privée est générée par Google puis envoyé sur chacune des machines où Alice se connecte. Encore une fois se pose la question de savoir comment transférer de manière sure la clé privée des serveurs de Google vers chez Alice.

3) Si chaque machine où se connecte Alice reçoit la clé privée, alors il suffit de pirater les identifiants d'Alice pour récupérer sa clé privée. Or dans ce cas, le déchiffrement ne pose plus de problèmes.

Bref, je vois beaucoup de points critiques dans cette idée, mais nul doute que chez Google, ils y auront pensé aussi... non?

Pour 1 et 2: je sais pas pour Alice ;-) mais moi quand je me connecte à un service google c'est toujours en ssl donc ma clé privée est en sécurité.
Pour le 3 oui si tu as piraté les identifiants d'Alice tu as accès aux infos d'Alice c'est le but...

Vu que personne ne sais ce qu'il en est, mais que tout le monde émet des suppositions, je rentre dans le jeu: google pourrait crypter la clé privée d'Alice coté client avec le mot de passe d'Alice, bon certes si Alice oublie son mdp elle risque de perde ses messages cryptés, bref, le chiffrage des mails pourrait être optionnel avec un avertissement "attention l'oublie de votre mot de passe entraînerai la perte de votre message"
Avatar de Carhiboux Carhiboux - Expert éminent sénior http://www.developpez.com
le 28/04/2014 à 11:48
Citation Envoyé par Sammo  Voir le message
Bonjour,

Pourquoi ne pas stocker la clé à la manière des numéros de cartes bancaires avec un algorithme de Hachage en combinaison avec les identifiants déjà existant (compte et password )? De cette façon Google n'aurait pas connaissance des clés privées.

Sauf que Google préfère probablement les avoir, à des fins commerciales notament. En plus peut être même d'être tenu légalement de les avoir avec le Patriot Act et toutes les cochonneries législatives qui sont passées aux USA depuis 2001.

Citation Envoyé par Sammo  Voir le message
On sait bien que la sécurité absolue n'existe pas. C'est comme si on disait qu'il suffit de mouler la clé de ma maison pour pouvoir y entrer, encore faut-il y avoir accès

Le plus ici serait un renforcement du chiffrement des communications, bien sur si on accède aux identifiants c'est fini.

Bah oui, mais justement, on SAIT que les flux réseau sont écoutés et analysés, par la NSA, par on ne sait trop qui, etc...

Donc en gros, c'est un peu comme si lorsque tu fermais ta porte à clé, pour mettre la clé dans ta poche (donc supposément à l'abri) elle passait entre plein de mains différentes, qui potentiellement la mouleraient, la prendrait en photo, etc... avant d'enfin la mettre dans ta poche. Tu pense que tu pourrais partir en vacances 2 semaines l'esprit tranquille?
Avatar de Carhiboux Carhiboux - Expert éminent sénior http://www.developpez.com
le 28/04/2014 à 12:00
Citation Envoyé par miky55  Voir le message
L'article est écrit au conditionnel, mais cela n’empêche pas les commentaires alarmistes.

Non pas alarmiste, mais je pointe juste du doigt que même si Google mets en place un tel système, et c'est bien du conditionnel comme tu le dis, cela ne voudra pas dire que nos données seront réellement mieux protégées de l'espionnage de masse.

Maintenant, même si cela ne me plait pas, je m'en accommode.

Citation Envoyé par miky55  Voir le message
Pour 1 et 2: je sais pas pour Alice ;-) mais moi quand je me connecte à un service google c'est toujours en ssl donc ma clé privée est en sécurité.

Mouais. Peut être que de ton coté c'est sécurisé. Je dit bien peut être hein.

Mais chez Google, ils sont bien tenus de donner tout ce qu'ils ont quand un gentil juge d'un tribunal qui n'est pas supposé exister mais que c'est légal qu'on vous dit sisi lui demande le nécessaire pour lire ton courrier.

Citation Envoyé par miky55  Voir le message
Pour le 3 oui si tu as piraté les identifiants d'Alice tu as accès aux infos d'Alice c'est le but...

Là en effet, ce n'est pas propre à Google en effet.

Citation Envoyé par miky55  Voir le message
Vu que personne ne sais ce qu'il en est, mais que tout le monde émet des suppositions, je rentre dans le jeu: google pourrait crypter la clé privée d'Alice coté client avec le mot de passe d'Alice, bon certes si Alice oublie son mdp elle risque de perde ses messages cryptés, bref, le chiffrage des mails pourrait être optionnel avec un avertissement "attention l'oublie de votre mot de passe entraînerai la perte de votre message"

Sauf que là encore, tu supposes la bonne foi de Google et le fait qu'ils ne veulent pas lire ton message et ne veulent pas être en mesure de le faire. En pratique... on sait que c'est pas tout à fait le cas, en partie pour des raisons légales, en partie pour des raisons purement mercantiles (et ce n'est pas un reproche, Google est là pour faire du chiffre, et nous on est le produit, donc c'est assez normal dans certaines limites clairement définies).
Offres d'emploi IT
Développeur en Java JEE
INRA - Centre - Orléans (45100)
INGENIEUR ETUDES ET DEVELOPPEMENT .NET
Alten - Champagne Ardennes - Charlesvilles
Lead developer PHP
QOBUZ - Ile de France - PARIS

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil