infoclick solution informatique (Gers) - version particulier

Introduction à PGP - Pretty Good Privacy

PGP est un cryptosystème (système de chiffrement) inventé par Philip zimmermann, un analyste informaticien. Philip Zimmermann a travaillé de 1984 à 1991 surun programme permettant de faire fonctionner RSA sur des ordinateurs personnels (PGP).

Cependant, étant donné que celui-ci utilisait RSA sans l'accord de ses auteurs, cela lui a valu desprocès pendant 3 ans, il est donc vendu environ 150$ depuis 1993...

Il est très rapide et sûr ce qui le rend quasiment impossible àcryptanalyser.

Le principe de PGP

PGP est une combinaison des fonctionnalités de la cryptographie de clef publique et de la cryptographie conventionnelle. PGP est donc un système de cryptographie hybride.

Lorsqu'un utilisateur chiffre un texte avec PGP, les données sont d'abord compressées. Cette compression des données permet de réduire le temps de transmission par modem, d'économiser l'espace disque et, surtout, de renforcer la sécurité cryptographique.

La plupart des cryptanalystes exploitent les modèles trouvés dans le texte en clair pour casser le chiffrement. La compression réduit ces modèles dans le texte en clair, améliorant par conséquent considérablement la résistance à la cryptanalyse.

Ensuite, l'opération de chiffrement se fait principalement en deux étapes :

• PGP crée une clé secrète IDEA de manière aléatoire, et chiffre les données avec cette clef
• PGP crypte la clé secrète IDEA et la transmet au moyen de la clé RSA publique du destinataire.

• PGP déchiffre la clé secrète IDEA au moyen de la clé RSA privée.
• PGP déchiffre les données avec la clé secrète IDEA précédemment obtenue.

Cette méthode de chiffrement associe la facilité d'utilisation du cryptage de clef publique à la vitesse du cryptage conventionnel. Le chiffrement conventionnel est environ 1 000 fois plus rapide que le cryptage de clef publique. Le cryptage de clef publique résout le problème de la distribution des clefs. Utilisées conjointement, ces deux méthodes améliorent la performance et la gestion des clefs, sans pour autant compromettre la sécurité.

Les fonctionnalités de PGP

PGP offre les fonctionnalités suivantes :

• Signature électronique et vérification d'intégritéde messages : fonction basée sur l'emploi simultané d'une fonction dehachage (MD5) et du système RSA. MD5 hache le message et fournit un résultatde 128 bits qui est ensuite chiffré, grâce à RSA, par la clef privée del'expéditeur.
• Chiffrement des fichiers locaux : fonction utilisantIDEA.
• Génération de clefs publiques et privées : chaqueutilisateur chiffre ses messages à l'aide de clefs privées IDEA. Letransfert de clefs électroniques IDEA utilise le système RSA; PGP offre doncdes mécanismes de génération de clefs adaptés à ce système. La taille desclefs RSA est proposée suivant plusieurs niveaux de sécurité : 512, 768,1024 ou 1280 bits.
• Gestion des clefs : fonction s'assurant dedistribuer la clef publique de l'utilisateur aux correspondants quisouhaiteraient lui envoyer des messages chiffrés.
• Certification de clefs : cette fonction permetd'ajouter un sceau numérique garantissant l'authenticité des clefspubliques. Il s'agit d'une originalité de PGP, qui base sa confiance sur unenotion de proximité sociale plutôt que sur celle d'autorité centrale decertification.
• Révocation, désactivation, enregistrement de clefs :fonction qui permet de produire des certificats de révocation.

Le format des certificats PGP

Un certificat PGP comprend, entre autres, les informations suivantes :

• Le numéro de version de PGP : identifie la versionde PGP utilisée pour créer la clef associée au certificat.
• La clef publique du détenteur du certificat : partiepublique de votre paire de clefs associée à l'algorithme de la clef, qu'ilsoit RSA, DH (Diffie-Hellman) ou DSA (Algorithme de signature numérique).
• Les informations du détenteur du certificat : ils'agit des informations portant sur l'« identité » de l'utilisateur, tellesque son nom, son ID utilisateur, sa photographie, etc.
• La signature numérique du détenteur du certificat :également appelée autosignature, il s'agit de la signature effectuée avec laclef privée correspondant à la clef publique associée au certificat.
• La période de validité du certificat : dates/ heuresde début et d'expiration du certificat. Indique la date d'expiration ducertificat.
• L'algorithme de chiffrement symétrique préféré pour laclef : indique l'algorithme de chiffrement que le détenteur du certificatpréfère appliquer au cryptage des informations. Les algorithmes pris encharge sont CAST, IDEA ou DES triple

Le fait qu'un seul certificat puisse contenir plusieurs signatures est l'undes aspects uniques du format du certificat PGP. Plusieurs personnes peuventsigner la paire de clefs/ d'identification pour attester en toute certitudede l'appartenance de la clef publique au détenteur spécifié.Certains certificats PGP sont composés d'une clef publique avec plusieurslibellés, chacun offrant un mode d'identification du détenteur de la clefdifférent (par exemple, le nom et le compte de messagerie d'entreprise dudétenteur, l'alias et le compte de messagerie personnel du détenteur, saphotographie, et ce, dans un seul certificat).
Dans un certificat, une personne doit affirmer qu'une clef publique et lenom du détenteur de la clef sont associés. Quiconque peut valider lescertificats PGP. Les certificats X. 509 doivent toujours être validés parune autorité de certification ou une personne désignée par la CA. Lescertificats PGP prennent également en charge une structure hiérarchique àl'aide d'une CA pour la validation des certificats.

Plusieurs différences existent entre un certificat X. 509 et un certificatPGP. Les plus importantes sont indiquées ci-dessous :
Pour créer votre propre certificat PGP, vous devezdemander l'émission d'un certificat X. 509 auprès d'une autorité decertification et l'obtenir ;

• Les certificats X. 509 prennent en charge un seulnom pour le détenteur de la clef ;
• Les certificats X. 509 prennent en charge une seulesignature numérique pour attester de la validité de la clef ;

Les modèles de fiabilité de PGP

En règle générale, la CA (Certification authority - autorité de certification)inspire une confiance totale pour établir lavalidité des certificats et effectuer tout le processus de validationmanuelle. Mais, il est difficile d'établir une ligne de confiance avec lespersonnes n'ayant pas été explicitement considérées comme fiables par votreCA.
Dans un environnement PGP, tout utilisateur peut agir en tant qu'autorité decertification. Il peut donc valider le certificat de clef publique d'unautre utilisateur PGP. Cependant, un tel certificat peut être considérécomme valide par un autre utilisateur uniquement si un tiers reconnaît celuiqui a validé ce certificat comme un correspondant fiable. C'est-à-dire, sil'on respecte par exemple mon opinion selon laquelle les clefs des autressont correctes uniquement si je suis considéré comme un correspondantfiable. Dans le cas contraire, mon opinion sur la validité d'autres clefsest controversée.

Supposons, par exemple, que votre trousseau de clefs contient la clefd'Alice. Vous l'avez validée et, pour l'indiquer, vous la signez. En outre,vous savez qu'Alice est très pointilleuse en ce qui concerne la validationdes clefs d'autres utilisateurs. Par conséquent, vous affectez une fiabilitécomplète à sa clef. Alice devient ainsi une autorité de certification. Sielle signe la clef d'un autre utilisateur, cette clef apparaît comme validesur votre trousseau de clefs.

La révocation d'un certificat PGP

Seul le détenteur du certificat (le détenteur de sa clef privéecorrespondante) ou un autre utilisateur, désigné comme autorité derévocation par le détenteur du certificat, a la possibilité de révoquer uncertificat PGP. La désignation d'une autorité de révocation est utile, carla révocation, par un utilisateur PGP, de son certificat est souvent due àla perte du mot de passe complexe de la clef privée correspondante. Or,cette procédure peut uniquement être effectuée s'il est possible d'accéder àla clef privée. Un certificat X. 509 peut uniquement être révoqué par sonémetteur.

Lorsqu'un certificat est révoqué, il est important d'en avertir sesutilisateurs potentiels. Pour informer de la révocation des certificats PGP,la méthode habituelle consiste à placer cette information sur un serveur decertificats. Ainsi, les utilisateurs souhaitant communiquer avec vous sontavertis de ne pas utiliser cette clef publique.

Article écrit par Sylvain Lorin
Source : http://www.pgpi.org/doc/pgpintro/, une très bonne référence