S/MIME pour la signature et le chiffrement des messages

Lorsque vous envoyez un email, vous voulez que le message arrive non modifié auprès du destinataire souhaité et qu’il ne puisse être lu que par ce dernier. Si vous recevez vous-même un message électronique, vous voulez également que le contenu ne soit pas lu ou même manipulé par des tiers. De plus, l’expéditeur spécifié devrait également être l’expéditeur réel du message et ne pas simplement prétendre être l’expéditeur. Cependant, ces souhaits ne peuvent être réalisés qu’avec le cryptage et les signatures électroniques ; sans eux, les cybercriminels ont la voie libre malgré la protection anti-spam et les logiciels antivirus. Une procédure standard, à l’aide de laquelle les deux éléments de sécurité peuvent être utilisés, est le S/MIME défini en 1999.

Dans la RFC 1847, deux extensions de sécurité ont été spécifiées pour la norme d’email MIME (Multipurpose Internet Mail Extension). Le format multipart/signé pour la signature des messages et le format multipart/crypté pour leur cryptage. 4 ans plus tard, l’IEFT (Internet Engineering Tasking Force) a publié l’extension MIME S/MIME décrite dans la spécification RFC 2633 : une norme qui supporte le premier format de signature.

Pour le cryptage, cependant, la procédure utilise sa propre solution application/pkcs7-mime. Vous pouvez choisir librement si un mail avec S/MIME doit être uniquement chiffré, signé ou bien si les deux opérations doivent être appliquées.

Le cryptage S/MIME et la signature est possible sur tous les clients de messagerie courants, comme par exemple Microsoft Outlook, Thunderbird ou Apple Mail. Une alternative bien connue, qui prend en charge aussi bien multipart/signé que multipart/chiffré est l’OpenPGP.

S/MIME est basée sur une méthode de chiffrement asymétrique et utilise donc une paire de clés composée d’une clé privée et d’une clé publique. Alors que la clé publique est partagée avec tous les contacts par courriel, la clé privée n’est ouverte qu’à l’utilisateur. Il est utilisé à la fois pour envoyer des messages chiffrés en combinaison avec la clé publique du destinataire et pour décrypter les messages reçus. Avec un certificat S/MIME, le client de messagerie peut générer et échanger des clés, un tel certificat peut être obtenu auprès de différents fournisseurs.

Pour que le chiffrement des courriers électroniques fonctionne, chaque message S/MIME est précédé de l’information d’en-tête qui fournit au client destinataire l’information nécessaire pour saisir et traiter le contenu. Entre autres, le type de contenu (par exemple « enveloped-data » pour les données chiffrées), le nom de fichier correspondant (par exemple smime.p7m pour les données signées ou chiffrées) ou la forme d’encodage sont spécifiés. Un en-tête possible d’un email chiffré ressemble à ce qui suit :

La signature S/MIME, qui peut être automatiquement épinglée à un email, est pratique pour plusieurs raisons : elle envoie la clé publique pour une communication sécurisée au destinataire, qui peut également vous envoyer des messages avec un contenu chiffré. La signature prouve également au destinataire que l’email a bien été envoyé par vous. Contrairement à PGP, l’ajout d’une signature n’entraîne pas l’apparition de caractères cryptiques. Si le client de réception détecte des incohérences lors de la vérification de la signature reçue, la légitimité du message n’est pas confirmée, ce qui permet à l’utilisateur de conclure que les données ont été manipulées.

Comme nous l’avons déjà mentionné, l’utilisation de S/MIME nécessite un certificat (X.509). En principe, il est possible d’en créer un vous-même, cependant, vous avez d’abord besoin d’un certificat racine, que vous devez également générer dans ce cas. De plus, tous les partenaires de communication doivent d’abord importer ce certificat racine avant que l’échange de clés puisse être initié. La solution la plus simple et la moins compliquée est l’achat d’un certificat auprès d’un organisme de certification officiel, avec des offres payantes et gratuites. La classification des certificats disponibles dans les trois classes suivantes est typique :

• Classe 1 : le certificat délivré par l’autorité de certification garantit l‘authenticité de l’adresse électronique fournie.
   
• Classe 2 : le certificat garantit l’authenticité de l’adresse email spécifiée et du nom correspondant. En outre, le cas échéant, la société est également confirmée. Les informations sont vérifiées à l’aide de bases de données de tiers ou de copies de carte d’identité.
   
• Classe 3 : les certificats de classe 3 diffèrent des certificats de classe 2 en ce que le demandeur doit s’identifier personnellement.

Si vous souhaitez crypter vos mails avec S/MIME et que vous recherchez un certificat, vous ne devez pas perdre de vue sa fonction principale : il est conçu pour sécuriser vos communications électroniques en empêchant l’interception et la manipulation du contenu des messages. C’est pourquoi, lors du choix d’un fournisseur, il est prioritaire de prêter attention à la fiabilité et au sérieux.

Sectigo est un service recommandable, dont les certificats sont reconnus par 99% des clients de messagerie électronique. L’autorité de certification, particulièrement connue pour les certificats SSL de haute qualité, propose des certificats à usage privé (à partir de 16,99 dollars par an), ou à usage professionnel (à partir de 39,99 dollars par an) avec lesquels il est possible de mettre en œuvre le chiffrement sécurisé de bout en bout avec S/MIME. L’hébergeur italien Actalis est aussi une option fiable pour générer des certificats gratuits.

Pour intégrer la procédure de sécurité du courrier électronique dans votre client de messagerie, vous avez logiquement besoin du certificat S/MIME, la recherche de fournisseurs est donc la première étape vers une boîte aux lettres sécurisées. Ensuite, il est nécessaire de créer et d’installer un certificat personnalisé. La procédure exacte varie légèrement, mais elle est fondamentalement similaire pour tous les fournisseurs. Après l’installation, configurez le programme de messagerie électronique respectif de sorte qu’il utilise S/MIME et le certificat intégré à cette fin. Habituellement, le processus d’installation est complété par le redémarrage du client, après quoi des fonctions spécifiques pour le chiffrement manuel ou automatique ou la signature des messages sont activées.

Dans les sections suivantes, vous trouverez des instructions détaillées sur la configuration de S/MIME sur les systèmes de bureau Windows et macOS et sur les systèmes mobiles iOs et Android. Le service de certificat gratuit de l’hébergeur Web Actalis est utilisé comme exemple d’autorité de certification.

Avec le client interne « Mail », les appareils Apple ont déjà installé une solution qui, contrairement au programme standard de Microsoft, permet de chiffrer et de signer les emails avec S/MIME dès le début. Si vous avez un compte de messagerie, vous pouvez créer un certificat directement chez Actalis sans avoir à installer un autre programme. La procédure est la même que sous Windows : allez sur le site Web d’Actalis, puis créez le certificat sur la base de vos données personnelles. Ensuite, procédez comme suit pour installer le certificat et configurer le chiffrement S/MIME.

1. Ouvrez l’Email envoyé par Actalis et téléchargez le certificat dans le dossier de votre choix. Le fichier reçu peut être ouvert directement sous macOS en double-cliquant, puis ajouté à la gestion du porte-clés. Si vous souhaitez également utiliser S/MIME sur iPhone ou iPad, vous devez d’abord convertir le certificat au format .p12 via la gestion du porte-clés. Vous pouvez ensuite l’envoyer à votre appareil mobile par email.

2. Après l’installation, il vous suffit de démarrer ou redémarrer Apple Mail pour intégrer le processus de chiffrement et signature.
    
3. Vous pouvez maintenant tester S/MIME en vous envoyant un message chiffré et signé. Pour cela, vous trouverez deux boutons correspondants dans la fenêtre email (serrure pour le chiffrement, roue dentée pour la signature). Les deux icônes peuvent également être trouvées dans une ligne supplémentaire sous l’objet du message de test si le chiffrement et la signature fonctionnent comme souhaité.