Ind1ju
Numérique
Clément Sénéchal a aimé
Reporterre @Reporterre · 13h
Le fournisseur de courriers électroniques chiffrés suisse @ProtonMail a fourni sous contrainte légale des informations sur des militants français de @Youth4Climatefr, qui ont par la suite été perquisitionnés.
reporterre.net
Réputé sûr, Protonmail a livré à la police des informations sur des militants climat
Le fournisseur de courriers électroniques chiffrés suisse Protonmail a fourni sous contrainte légale des informations sur des militants français de Yout
4 - 66 - 62
Trucs et Astuces 0 Views
Option 1 : envoyer un e-mail à un autre utilisateur de ProtonMail
... Lorsque vous envoyez un message à un autre utilisateur de ProtonMail, votre e-mail est automatiquement chiffré. Le destinataire n’a rien à faire pour déchiffrer le message et peut simplement cliquer ou appuyer sur l’e-mail pour le lire. ...
Option 2: configurer PGP avec des utilisateurs non-ProtonMail
PGP signifie «Pretty Good Privacy» et fournit une méthode de cryptage de bout en bout conviviale par e-mail qui utilise à la fois une clé publique et une clé privée. PGP vous permet d’envoyer des e-mails chiffrés aux personnes qui n’utilisent pas ProtonMail, à condition qu’elles aient configuré PGP. ...
Option 3: envoyer des e-mails autodestructeurs protégés par mot de passe à n’importe qui
...
ProtonMail est un fournisseur de messagerie sécurisé établi, mais ce n’est pas le seul. Tutanota et Posteo sont deux excellentes alternatives, mais il y en a bien d’autres.
Ndlr : suivi d'un didacticiel en fr mais reposant sur des copies d'écran en anglais
...
Cryptographie open source
Algorithmes de chiffrement éprouvés et de confiance
Nous utilisons uniquement les implémentations sécurisées d’AES, RSA ainsi qu'OpenPGP. En outre, toutes les bibliothèques de chiffrement que nous utilisons sont open source. En utilisant des bibliothèques open source, nous vous garantissons que les algorithmes de chiffrement que nous utilisons n’ont pas de portes dérobées intégrées clandestinement. Le logiciel open source de ProtonMail a été soigneusement contrôlé par des experts en sécurité venant du monde entier afin d'assurer les plus hauts niveaux de protection.
...
Afin de démystifier le domaine des emails chiffrés de bout en bout, nous nous sommes penchés sur le cas de ProtonMail
...
En cas de mails reçus depuis un service tiers, la situation reste simple également. Un cadenas gris est affiché à côté de l’expéditeur. Il signifie que le chiffrement utilisé est classique : le contenu est bien chiffré, mais uniquement pendant son stockage sur les serveurs (probablement comme chez le service de l’expéditeur, Google et Microsoft faisant de même par exemple). Pendant le transport, le chiffrement n’est donc assuré que par TLS. Ce qui ne signifie pas bien sûr que les données sont ouvertes aux quatre vents, simplement que les prestataires impliqués sont en capacité d’en lire les informations.
...
Dans le dernier cas, vous aurez le choix. Par défaut, qu’il s’agisse d’un nouveau mail ou une réponse à un courrier reçu, le mode d’expédition sera de rester sur la même ligne de conduite : un chiffrement classique. Toutefois, en bas à gauche de la fenêtre de rédaction, on trouve une icône de cadenas permettant de basculer sur un mode plus sécurisé.
Il faudra alors renseigner un mot de passe ainsi qu’éventuellement une date d’expiration pour générer un lien. Par défaut, le lien n’est valable que 28 jours, mais on peut par exemple raccourcir ce délai à trois jours. Le mail reçu par le destinataire ne contient presque que le lien, qui va s’ouvrir alors dans un navigateur et réclamer le mot de passe. Le domaine ouvert appartient à ProtonMail et permet de rester dans un cadre aussi sécurisé que si le courrier avait été ouvert directement dans le service. Il faudra simplement veiller à transmettre le mot de passe de manière sécurisée, par exemple via une messagerie instantanée chiffrée de bout en bout comme Signal ou Wire.
...
Le service de mails chiffrés ProtonMail lance son service caché sur Tor, alors que la censure des outils spécialisés dans le chiffrement des communications devient de plus en plus commune. Une initiative qui suit celle d'autres services, concrètement confrontés au problème.
La lutte technique contre la censure fait des émules. Après Signal, qui a intégré un contournement contre la censure de son service en Égypte, aux Émirats arabes unis puis à Oman, ProtonMail lance son service caché via Tor. Le fournisseur d'emails chiffrés est désormais accessible via protonirockerxow.onion. « Nous réalisons que la censure de ProtonMail n'est pas une question de « si », mais de « quand » » affirme l'équipe.
Quelques avantages à passer par un « .onion »
Quel est l'intérêt de passer par une version en « .onion » par rapport au « .com » classique ? Comme l'explique le service, le passage par l'extension .onion permet d'utiliser le chiffrement de bout en bout jusqu'au site, et non jusqu'au nœud de sortie. Cela en plus de fournir une authentification de bout en bout. Dans ses instructions, le service demande avant tout de réactiver JavaScript, coupé par défaut par la version de Firefox fournie avec Tor.
Pour obtenir une adresse .onion lisible, ProtonMail affirme avoir utilisé les ressources CPU libres de ses services pour générer des millions de clés de chiffrement et les hacher... Jusqu'à avoir un nom de domaine qui leur convienne. Une approche par force brute qui semble avoir été le meilleur moyen d'éviter une adresse de 16 caractères sans aucun sens.
Tor et HTTPS, pas si redondants estime ProtonMail
Petite particularité : le service impose l'usage du HTTPS via un certificat fourni par DigiCert, déjà derrière celui délivré à Facebook pour son accès via Tor. L'équipe affirme que même si cela peut paraître redondant avec l'usage de Tor, elle estime qu'il vaut mieux deux protections qu'une, surtout si le réseau anonyme est compromis d'une manière ou d'une autre. Dans l'autre sens, Tor fournit une couche de protection si HTTPS venait à être compromis, notamment à cause de liens entre autorités de certification et gouvernements.
ProtonMail doit encore fournir certaines fonctions réclamées de longue date, comme l'import et l'export de clés PGP. Depuis le début du mois, le service a lancé le bêta test fermé de son « bridge », qui doit permettre d'utiliser ProtonMail via un client email classique, comme Outlook ou Thunderbird. Il s'agit d'un client local, dont les versions d'essai étaient proposées sur Windows, macOS et Linux. La mouture finale devrait donc émerger dans les prochains mois.
Accéder à ProtonMail via Tor https://protonirockerxow.onion/