Utiliser GnuPG sous GentooCe que vous apportera ce guide Ce guide présume que vous êtes relativement familier avec la cryptographie à clé publique, le chiffrement et les signatures numériques. Si ce n'est pas le cas, sautez à la section crytographie à clé publique ou jetez un œil au manuel GNU de la confidentialité chapitre 2, puis reprenez votre lecture ici. Ce guide vous apprendra comment installer GnuPG, comment créer votre paire de clés, comment ajouter des clés à votre trousseau, comment soumettre votre clé publique au serveur de clés et comment signer, chiffrer, vérifier ou déchiffrer les messages que vous envoyez ou recevez. Vous apprendrez aussi comment chiffrer des fichiers de votre système pour empêcher sa lecture par une autre personne. Installation des logiciels requis Pour commencer, vous devez lancer emerge gnupg. De plus en plus d'applications supportent gpg de nos jours, vous pouvez ajouter crypt dans votre variable USE si vous le souhaitez. Si vous souhaitez utiliser gnupg avec un logiciel de messagerie, vous pouvez utiliser pine (emerge pinepgp), mutt (emerge mutt), Mozilla Thunderbird (emerge mozilla-thunderbird), Evolution (Evolution est un clone GNOME de Microsoft Outlook) et KMail de KDE (KMail fait partie du paquet kdepim). Kgpg devrait vous intéresser si vous utilisez KDE. Ce petit programme vous permet de générer des paires de clés, d'importer des clés à partir de fichiers ASCII, de signer des clés, d'exporter des clés et plus encore. 2. Génération de votre clé et ajout de clés à votre trousseau Pour créer votre clé, il vous suffit de faire gpg --gen-key. La première fois que vous la lancez, cette commande créera quelques répertoires. Lancez-la à nouveau pour créer les clés :
Vous avez ici la possibilité de choisir le type de clé que vous voulez utiliser. En général, les utilisateurs choisissent le défaut, DSA et ElGamal. Ensuite, il faut choisir la taille de la clé. Sachez que plus elle est grande, mieux c'est. Néanmoins, n'utilisez pas une taille supérieure à 2048 avec une clé DSA/ElGamal, 1024 est largement suffisant pour une utilisation normale de la messagerie. Après la taille vient la date d'expiration. Ici, par contre, plus c'est petit, mieux c'est, mais la plupart des utilisateurs peuvent choisir une clé qui n'expire jamais ou bien dans deux ou trois ans.
Vous devez maintenant entrer quelques informations personnelles. Si vous comptez distribuer votre clé publique, mettez votre adresse de messagerie réelle.
Entrez maintenant votre mot de passe deux fois. Utilisez de préférence un mot de passe robuste. En effet, si quelqu'un réussissait à s'emparer de votre clé privée et à trouver votre mot de passe, il pourrait envoyer des messages signés à votre nom, de telle sorte que quiconque pensera que c'est vous qui l'avez envoyé. Ensuite, GnuPG vous génère votre clé. Vous pouvez déplacer la souris ou jouer un MP3 pour accélérer le processus de création de la clé, car cela aide la génération de valeurs aléatoires. Générer un certificat de révocation
Après avoir créé vos clés, vous devez créer un certificat de révocation. Il vous permettra d'annuler votre clé si quelque chose de fâcheux venait à se produire (une personne l'a volée, par exemple).
La commande gpg --list-keys liste les clés de votre trousseau de clés publiques. Vous pouvez l'utiliser pour repérer l'ID de votre clé afin de créer le certificat de révocation. Maintenant, il est sage de copier tout le répertoire ~/.gnupg/ et le certificat de révocation (le fichier ASCII revoke.asc) sur un support sécurisé (deux disquettes ou bien un CD-ROM stockés dans un endroit sûr). Rappelez-vous bien que ce fichier revoke.asc peut être utilisé pour annuler votre clé et la rendre inutilisable.
Pour exporter votre clé, tapez gpg --armor --output john.asc --export john@nowhere.someplace.flick. Vous pouvez pratiquement tout le temps utiliser l'ID de la clé ou autre chose qui l'identifierait (ici nous utilisons l'adresse de messagerie). John a maintenant un fichier john.asc qu'il peut envoyer à ses amis ou publier sur une page web pour permettre à qui le voudra de communiquer avec lui en toute sécurité. Pour ajouter une clé à votre trousseau de clés publiques, vous devez d'abord l'importer, puis vérifier son empreinte numérique. Après avoir vérifié l'empreinte, vous pourrez la valider.
Nous allons maintenant ajouter la clé publique de Luis Pinto (un ami) à notre trousseau. Après lui avoir passé un coup de fil pour lui demander l'empreinte numérique de sa clé, je compare l'empreinte avec la sortie de la commande fpr. La clé est authentique, je l'ajoute donc à mon trousseau. Dans ce cas particulier, la clé de Luis ne sera plus valide à partir du 2003-12-01, il m'est donc demandé si je veux que la signature expire à la même date.
3. Utilisation d'un serveur de clés Publier des clés sur un serveur de clés Maintenant que vous avez votre clé, il s'agit de la distribuer à un serveur de clés qui la rendra publique. Il y a de nombreux serveurs de clés dans le monde et la plupart d'entre eux s'échangent les clés. Nous allons envoyer la clé de Luis au serveur subkeys.pgp.net. Le protocole utilisé est HTTP, donc si vous avez besoin d'un proxy il est temps de le définir (export http_proxy=http://proxy_host:port/). La commande pour envoyer une clé est : gpg --keyserver subkeys.pgp.net --keyserver-options honor-http-proxy --send-key 75447B14 où 75447B14 est l'ID de votre clé. Si vous n'avez pas besoin du proxy, vous pouvez enlever la partie --keyserver-options honor-http-proxy. Vous pouvez aussi envoyer au serveur les clés d'autres personnes que vous avez signées. Nous pourrions envoyer la clé de Luis Pinto. De cette manière, une personne qui a confiance en vous pourra faire confiance en cette clé pour Luis car vous l'avez signée. Récupérer des clés depuis un serveur de clés Nous allons maintenant chercher la clé de Gustavo Felisberto (votre serviteur) et l'ajouter au trousseau de John Doe.
Comme vous pouvez le constater, j'ai publié plusieurs clés sur le serveur, pourtant, je n'utilise que B9F2D52A. John Doe peut maintenant la récupérer et la signer s'il a confiance en elle. Quelques fois certaines applications requièrent une utilisation vraiment fréquente de votre clé GPG, ce qui signifie que vous devez entrer votre mot de passe très souvent. Pour résoudre ce problème, de nombreuses applications utilisaient un mécanisme de mise en mémoire tampon pour faciliter le travail des utilisateurs. Toutefois, cela ne permet pas un partage de cette mémoire entre les applications (imaginez les problèmes de sécurité que cela impliquerait) et les applications devaient réinventer la roue, encore et encore. Un agent GPG est une application à part entière utilisée par GPG pour mettre en cache le mot de passe de manière standard et sécurisée. Cela permet aux applications d'utiliser GPG de manière concurrente : si vous entrez votre mot de passe alors que vous utilisez déjà une application, la seconde pourra travailler avec le GPG sans devoir demander de nouveau le mot de passe pour libérer la clé, si l'agent GPG est configuré pour permettre cela, bien sûr. Gentoo fournit quelques programmes d'agent GPG. Le paquet app-crypt/gnupg-1.9.* peut être considéré comme l'application de référence et est utilisé dans ce document. Installation et configuration de gpg-agent et pinentry Vous devez évidemment installer gnupg-1.9.* qui comprend gpg-agent ainsi que pinentry. pinentry est l'application d'aide utilisée par gpg-agent pour demander le mot de passe dans une fenêtre graphique. Elle est proposée avec trois possibilités : elle peut ouvrir une fenêtre en utilisant gtk+, Qt, ou un bibliothèque curses (selon le paramètre USE utilisé lors de son installation).
Il vous faut maintenant créer un fichier ~/.gnupg/gpg-agent.conf et lui ajouter les lignes suivantes pour définir le temps d'expiration du mot de passe (par exemple 30 minutes) et l'application à appeler lorsque le mot de passe doit être tapé la première fois (par exemple, la version qt de pinentry).
Ensuite, configurez GnuPG pour utiliser l'agent à bon escient. Éditez le fichier ~/.gnupg/gpg.conf et ajoutez la ligne suivante :
Maintenant, votre système est (presque) prêt à l'utilisation de l'agent GPG. Démarrer automatiquement l'agent GPG Si vous utilisez KDE comme environnement graphique, éditez le fichier /usr/kde/3.x/env/agent-startup.sh (pour l'ensemble du système ) ou ~/.kde/env/gpgagent.sh (pour un utilisateur local) et ajoutez la commande suivante pour que KDE démarre automatiquement l'agent GPG :
Si vous utilisez un environnement graphique différent, ajoutez la ligne citée précédemment dans votre fichier ~/.xinitrc (si vous utilisez startx) ou ~/.xsession (si vous utilisez XDM/GDM/KDM/...) 5. Travailler avec des documents Disons que vous voulez envoyer un fichier à Luis. Vous pouvez le chiffrer, le signer ou le chiffrer et le signer. Si vous le chiffrez, alors seul Luis pourra le lire à l'aide de sa clé privée. La signature informera Luis que c'est vraiment vous qui avez créé le fichier. Voici les trois commandes qui correspondent à ces actions : chiffrer, signer et chiffrer/signer.
Les fichiers générés sont des binaires. Si vous voulez des fichiers ASCII, ajoutez simplement l'option --clearsign au début de la commande. Déchiffrage et vérification des signatures Supposons maintenant que vous avez reçu un fichier chiffré qui vous est destiné. La commande pour le déchiffrer est gpg --output document --decrypt encrypted_doc.gpg. Cela déchiffrera le fichier et vérifiera sa signature (s'il y en a une). Chiffrage et déchiffrage sans clef Il est aussi possible de chiffrer des fichiers en utilisant un mot de passe plutôt qu'une clef. En fait, le mot de passe lui-même va fonctionner comme une clef. Il sera utilisé comme algorithme de chiffrement symétrique. Vous pouvez chiffrer le fichier en utilisant l'argument --symmetric de gpg ; le déchiffrage fonctionne de la même manière que ce que l'on a vu précédemment.
GnuPG possède des fonctions avancées assez sympa. Pour les trouver, ouvrez le fichier ~/.gnupg/gpg.conf.
Cherchez ces deux lignes et décommentez-les. Maintenant, quand GnuPG voudra vérifier une signature et ne trouvera pas la clé publique sur le trousseau local, il contactera directement le serveur de clés subkeys.pgp.net et essaiera de récupérer la clé. Une autre commande très utile est gpg --refresh-keys. Elle contacte le serveur de clés défini dans le fichier d'options et met à jour les clés publiques de votre trousseau local, cherche les clés révoquées, les nouveaux identifiants et les nouvelles signatures des clés. Vous devriez lancer cette commande de temps en temps, une ou deux fois par mois, pour être au courant si une personne révoque sa clé. Gestion des signatures des messages 95% du temps, vous utiliserez GnuPG pour chiffrer ou signer un email et pour lire des messages chiffrés ou signés. Il est donc normal que j'en parle en premier. Il y a deux façons de chiffrer/signer un message avec GnuPG, l'ancienne et la nouvelle méthode :). Avec l'ancienne méthode, les messages apparaissent en texte brut sans aucune possibilité de formatage ni de fichiers attachés qui seraient chiffrés/signés. Voici un exemple de message signé avec l'ancienne méthode :
De tels messages ne sont plus acceptables de nos jours avec nos belles interfaces graphiques et nos clients de messagerie qui comprennent le HTML. Pour résoudre ce problème, une extension MIME (extensions multi-usages pour la messagerie Internet) a été créée. Cette extension ajoute un champ au message qui indique au client de messagerie que le contenu du message entier est signé/chiffré. Le problème de cette extension est qu'elle n'est pas supportée par tous les clients de messagerie, certains clients ignorent même le contenu du message. Microsoft Outlook est bien connu pour ne pas fonctionner avec cette méthode. Kgpg est une belle interface vers GnuPG. Dans l'écran principal, vous pouvez coller du texte à signer ou chiffrer, vous pouvez aussi coller le texte ASCII blindé (N.D.T. : un texte « blindé », de l'anglais « armored text », est un texte précédé et suivi de marqueurs PGP indiquant qu'il est chiffré ou signé) à déchiffrer.
Sur cette image, vous pouvez voir la fenêtre principale de Kgpg avec un texte ASCII blindé chiffré à l'intérieur. À partir de là, vous pouvez le déchiffrer (vous devez donner votre mot de passe), chiffrer d'autres fichiers, copier/coller un texte à signer...
Vous voyez maintenant la fenêtre de gestion des clés. On peut y voir notre clé pour John Doe, les deux clés de confiance pour Gustavo et Luis et la clé non vérifiée de Daniel Robbins -- je ne l'ai toujours pas appelé pour lui demander son empreinte :). Seahorse est une interface graphique vers GnuPG pour l'environnement de bureau GNOME. Ce logiciel a évolué rapidement, mais il lui manque des fonctionnalités importantes qui se trouvent dans Kgpg ou en ligne de commande. Enigmail est une extension pour les clients de messagerie Mozilla (comme Thunderbird ou Seamonkey) très simple à configurer. Dans Seamonkey, vous n'avez qu'à aller dans Preferences -> Privacy & Security -> Enigmail. Ensuite, il vous suffit d'entrer l'adresse de messagerie de votre clef. Vous devez d'abord faire un emerge enigmail pour l'utiliser dans Thunderbird, puis vous pouvez le configurer en allant dans Edit -> Account Settings -> OpenPGP Security. Les messages qui arriveront avec une signature pgp ou gpg sans confiance seront marqués avec un stylo cassé. Ceux qui auront une bonne signature auront un stylo bien droit. Enigmail a même la possibilité de récupérer des clés à partir d'un serveur de clés, mais, s'il rencontre un problème, il affichera des messages très bizarres (de toute façon, vous vous rappeler comment utiliser la ligne de commande, n'est-ce pas ?). Si vous utilisez le paramètre USE crypt, KMail sera compilé avec le support gpg et sera capable de chiffrer et déchiffrer les courriers PGP automatiquement. Il pourra également chiffrer les courriers avec OpenPGP/MIME. Si vous voulez également pouvoir déchiffrer les courriers OpenPGP/MIME (ce qui est probablement le cas), vous devrez disposer d'un agent GPG en cours d'exécution (voir le chapitre Utiliser un agent GPG). Vous pouvez vérifier si KMail est correctement configuré en allant dans Configurations, Configurer KMail, Sécurité, Crypto Plugins. Vous devriez voir un élément GpgME-based dans la liste. S'il n'est pas grisé, cliquez sur Rescan. S'il n'est toujours pas grisé, KMail ne fonctionne pas correctement. Si KMail ne fonctionne toujours pas correctement, veuillez consulter le Guide KMail PGP (en anglais) pour plus d'informations. Ce client de messagerie est très rapide avec de grosses boîtes, il a toutes les fonctionnalités qu'une personne voudrait dans un client de messagerie et marche vraiment bien avec gpg. Le seul problème est qu'il ne marche pas avec les anciennes signatures PGP, donc quand vous recevrez ce type de messages signés, vous devrez faire la vérification à la main. Pour utiliser votre clé gpg avec Claws-Mail, allez simplement dans la configuration de votre compte et sélectionnez l'onglet Privacy. Enfin, choisissez la clé à utiliser. En principe, vous pouvez utiliser la clé par défaut. 7. Cryptographie à clé publique Cryptographie à clé publique de base Le concept de la cryptographie à clé publique a été introduit par Whitfield Diffie et Martin Hellman en 1976. Quand j'ai entendu pour la première fois les mots « clé publique » et « cryptographie » dans la même phrase en 1993, je me suis dit qu'il était impossible de faire une telle chose. En ces temps-là, il n'y avait pas encore Internet (enfin si, mais pas pour moi), je me suis rendu dans une bibliothèque et j'ai demandé des livres sur la cryptographie. Je devais avoir seize ans à l'époque, alors le documentaliste m'a regardé avec étonnement et m'a ramené un livre pour enfants sur les codages à substitution (ceux qui consistent à échanger une lettre par une autre comme le célèbre codage de César ou ROT-13 : Tragbb p'rfg qr yn onyyr, znvf ibhf yr fnirm qrwn, installez rotix si vous ne pouvez pas lire le texte précédent). Cela m'a frustré et j'ai commencé à chercher plus d'informations. Ça aide d'avoir des mathématiciens dans la famille, car dès que j'ai commencé à en parler avec l'un d'entre eux, il m'a fait découvrir un monde nouveau. Et maintenant un peu de maths :
Si je vous donne le nombre 35 et je vous dis que ce nombre est le produit de deux nombres premiers, c'est assez facile de voir que c'est 5 et 7. Mais si je vous demande la même chose pour 1588522601, vous passerez un bon moment (un bon nombre de cycles CPU) pour trouver que c'était 49811 x 31891. Et si ce nombre était vraiment très très grand, cela serait « impossible ». Alors maintenant, si je donne à tout le monde mon grand nombre qui est le produit de deux nombres premiers, je saurai quelque chose sur ce nombre que personne d'autre ne connaît. C'est la base des implémentations de cryptographie à clé publique (PKC, public key cryptography) d'aujourd'hui. Pour illustrer son fonctionnement, je distribue mon nombre et une personne pourra l'utiliser pour chiffrer un message à mon intention. Ce n'est pas génant que n'importe qui puisse voir le message chiffré puisque je suis le seul à connaître un moyen de le lire. Il faudrait que les éventuels espions arrivent à décomposer ce grand nombre pour pouvoir lire le message, ce qui a été montré comme impossible à faire dans un temps relativement court (avec les méthodes et les moyens actuels, cela prendrait des milliers d'années). Dans cette configuration, les deux grands nombres premiers s'appellent la CLÉ PRIVÉE et le grand nombre non premier est la CLÉ PUBLIQUE. En pratique, ce n'est pas exactement ça, mais c'est une bonne idée de la réalité. Pour plus d'informations, consultez Wikipédia à propos du protocole Diffie-Hellman. Pour encore plus d'informations, allez dans une bibliothèque et trouvez un exemplaire du manuel de cryptographie appliquée (Handbook of Applied Cryptography) par Alfred J. Menezes, Paul C. van Oorschot et Scott A. Vanstone. Cet ouvrage est disponible en ligne sur le lien précédent. Une des conséquences de cette technique est que si vous chiffrez un message à mon intention et que vous perdez l'original, vous ne pourrez plus le récupérer à partir de la version chiffrée. Nous avons déja vu comment une personne peut nous envoyer un message chiffré si elle dispose de notre clé publique. Mais comment savoir si l'auteur du message est vraiment celui qu'il prétend être ? En d'autres termes : si je reçois un message de votre part, comment puis-je savoir s'il vient vraiment de vous et pas d'une personne qui se fait passer pour vous ? Vous vous souvenez que j'ai écrit ci-dessus que la PKC n'était pas aussi simple que ce que je disais ? L'idée est que lorsque vous chiffrez un message pour moi, vous le signez avec votre clé privée de telle manière que, lorsque je le reçois, je puisse d'abord utiliser votre clé publique pour vérifier votre signature et ensuite utiliser ma clé privée pour déchiffrer le message. Comme vous pouvez le constater, on ne peut pas faire cela avec la méthode que j'ai décrite tout à l'heure. Il est donc très important de signer ses messages ainsi vous n'aurez pas à les chiffrer au préalable. Maintenant, vous pouvez créer des messages qui peuvent être lus par tout le monde et qui portent votre « marque ». Et enfin, le moindre caractère modifié dans le message pourra (et sera) détecté. Serveurs de clés et clés signées Disons que je n'ai jamais eu de contact avec vous avant que vous ne m'ayez envoyé un message : comment puis-je obtenir votre clé publique et comment m'assurer que c'est bien la vôtre ? Pour résoudre ce problème, les serveurs de clés publiques ont été créés. Lorsque vous créez votre paire de clés (privée et publique), vous envoyez votre clé publique au serveur de clés. Ensuite, n'importe qui peut la récupérer. Cela résoud le problème de comment trouver votre clé. Mais comment peut-on s'assurer que c'est bien la bonne ? Un autre concept a été introduit, la signature de clé : Si j'ai la clé publique d'une personne et que je sais avec certitude que c'est vraiment la clé de cette personne (c'est un ami personnel, quelqu'un que je connais de la vraie vie, etc.), je peux signer cette clé publique et la renvoyer au serveur de clés, ce qui correspondrait à dire : « cette clé appartient bien à la personne qui le prétend ». De cette manière, les personnes qui ont ma clé publique et qui me font confiance peuvent utiliser cette confiance pour faire confiance en d'autres clés. Cela peut encore être confus, alors passons de suite à un exemple. Imaginons une situation avec trois personnes : John, Mary et Lisa. John est un bon ami de Mary mais ne connaît pas Lisa ; Lisa est une bonne amie de Mary, mais ne connais pas John. Un jour, Lisa envoie un message signé à John. John va récupérer la clé publique de Lisa sur le serveur de clés et tester le message. Si tout se passe bien, il verra que la personne qui a écrit le message a bien utilisé cette clé. Mais comment savoir si elle est vraiment la personne qu'elle prétend être ? John vois ensuite que la clé était signée par Mary, ce qu'il peut vérifier car il a déjà la clé de Mary et qu'il lui fait confiance. Avec ce cercle de confiance, il peut conclure que le message qu'il a reçu a vraiment été écrit par Lisa. Vous êtes maintenant fin prêt à utiliser ce guide. Revenez au chapitre 1 et apprenez à vous servir de gpg. 8. Mot de la fin et remerciements J'ai eu des problèmes avec les photos dans les clés. Vérifiez la version que vous utilisez, si c'est GnuPG 1.2.1-r1 ou au delà, ça devrait aller. Les versions plus anciennes peuvent avoir des problèmes. La plupart des serveurs de clés n'aiment pas les clés contenant des photos, il est donc préférable que vous ne mettiez pas de photo dans votre clé. Les dernières versions de gnupg semblent ne pas marcher avec la commande gpg --send-keys qui est utilisée pour envoyer toutes les clés de votre trousseau au serveur public. gpg est un outil très complexe, il vous permet de faire bien plus de choses que ce dont j'ai parlé ici. Ce document est destiné à l'utilisateur débutant avec GnuPG. Pour plus d'informations, veuillez consultez le site de GnuPG. Je n'ai rien écrit à propos d'autres outils tels que pgp4pine, gpgpine, evolution et des outils Windows, mais il est probable que je le fasse plus tard. Le manuel GnuPG de John Michael Ashley est un excellent ouvrage pour les débutants. Merci à Swift (Sven Vermeulen) pour m'avoir poussé à récrire cet article. Merci à tout le monde sur #gentoo-doc, vous êtes super les mecs. Merci à Tiago Serra pour m'avoir ramené sur la piste de la confidentialité. Ce document est protégé par la licence Creative Commons : Paternité - Partage des Conditions Initiales à l'Identique 2.5. |
|
