Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Thunderbird 78 va ajouter une fonctionnalité intégrée pour le chiffrement de courriels
Et les signatures numériques à l'aide du standard OpenPGP

Le , par Stéphane le calme

27PARTAGES

11  0 
Le projet Thunderbird a annoncé que pour la future version de Thunderbird 78, prévue pour l'été 2020, il va ajouter une fonctionnalité intégrée pour le chiffrement des courriels et les signatures numériques à l'aide du standard OpenPGP. Cette nouvelle fonctionnalité remplacera le module complémentaire Enigmail, qui continuera d’être pris en charge jusqu’à la fin de vie de Thunderbird 68, qui est prévue pour l’automne 2020.

Concernant le courrier électronique chiffré dans Thunderbird, rappelons que deux technologies populaires existent, qui prennent en charge le chiffrement de bout en bout et les signatures numériques dans le courrier électronique. Thunderbird offre une prise en charge intégrée de S / MIME depuis de nombreuses années et continuera de le faire.

Le module complémentaire Enigmail a rendu possible l’utilisation de Thunderbird avec le logiciel externe GnuPG pour la messagerie OpenPGP. Étant donné que les types de modules complémentaires pris en charge dans Thunderbird changeront avec la version 78, la branche actuelle de Thunderbird 68.x (maintenue jusqu'à l'automne 2020) sera la dernière pouvant être utilisée avec Enigmail.


Thunderbird 78 offrira une assistance aux utilisateurs d’Enigmail pour la migration des clés et paramètres existants.

Pour y parvenir, l'équipe a bénéficié de la collaboration de Patrick Brunschwig, développeur de longue date d’Enigmail, qui a proposé de travailler avec l’équipe Thunderbird sur OpenPGP. À propos de ce changement, Patrick avait ceci à dire : « Mon objectif a toujours été de prendre en charge OpenPGP dans le produit de base Thunderbird. Même si cela mettra fin à une longue histoire, après 17 ans de travail sur Enigmail, je suis très heureux de ce résultat ».

Les utilisateurs qui n’ont pas utilisé Enigmail auparavant devront choisir d’utiliser la messagerie OpenPGP, car le chiffrement ne sera pas activé automatiquement. Cependant, Thunderbird 78 aidera les utilisateurs à découvrir la nouvelle fonctionnalité.

Afin de promouvoir une communication sécurisée, Thunderbird 78 encouragera l’utilisateur à confirmer les clés utilisées par les correspondants, à l’informer de tout changement inopiné et à proposer une assistance pour résoudre le problème.

Il n’est pas décidé si Thunderbird 78 prendra en charge les confirmations de propriété de clé indirectes utilisées dans le modèle Web of Trust (WoT), ou dans quelle mesure. Toutefois, le partage des confirmations de propriété de clé effectuées par l'utilisateur (signatures de clé) et l'interaction avec les serveurs de clés OpenPGP doivent être possibles.

Objectif principal

L'objectif principal est de pouvoir envoyer un courrier électronique chiffré, signé numériquement, déchiffrer le courrier électronique reçu, vérifier l'exactitude du courrier électronique signé numériquement et de fournir cette fonctionnalité de manière sécurisée, compatible, interopérable et conviviale. L'équipe considère le chiffrement et les signatures numériques comme des fonctionnalités pouvant être utilisées conjointement ou indépendamment. Lors de l'envoi d'un courrier électronique, les utilisateurs doivent pouvoir choisir eux-mêmes les fonctionnalités qu'ils souhaitent utiliser et lors de la réception d'e-mails, il doit être possible de déterminer lequel de ces mécanismes de protection a été utilisé.


Moteur OpenPGP

Thunderbird ne peut pas intégrer le logiciel GnuPG en raison de licences incompatibles (MPL version 2.0 vs GPL version 3+). Au lieu de compter sur les utilisateurs pour obtenir et installer des logiciels externes tels que GnuPG ou GPG4Win, l'équipe a manifesté son intention d'identifier et d'utiliser une bibliothèque compatible alternative, et de la distribuer avec Thunderbird sur toutes les plateformes prises en charge.

En conséquence de la non-utilisation de GnuPG, plusieurs aspects liés à la messagerie OpenPGP fonctionneront probablement différemment de ceux de la solution Enigmail d’aujourd’hui. L'équipe voudrait identifier et utiliser une autre bibliothèque existante qui prend en charge la création et le traitement des messages OpenPGP, et elle avance qu'elle va essayer de réutiliser des parties d’Enigmail qui ne sont pas spécifiques à GnuPG. Cependant, elle va devoir repenser plusieurs aspects, de l'interface utilisateur aux modèles de confiance, à la gestion et à l'échange de clés.

Stockage de clés

Pour traiter les messages OpenPGP, GnuPG stocke les clés secrètes, les clés publiques des correspondants et les informations de confiance des clés publiques dans son propre format de fichier. Thunderbird 78 ne réutilisera pas le format de fichier GnuPG, mais implémentera plutôt son propre stockage pour les clés et la confiance.

Les utilisateurs qui possèdent déjà des clés secrètes issues de leur utilisation précédente d’Enigmail et de GnuPG et qui souhaitent réutiliser leurs clés secrètes existantes devront transférer leurs clés vers Thunderbird 78. Sur les systèmes sur lesquels GnuPG est installé, les utilisateurs se verront proposer une assistance d'importation.

Les clés secrètes gérées par GnuPG sont généralement protégées par une phrase secrète. En utilisant le stockage de clés interne de Thunderbird, la fonction de mot de passe principal pourrait être réutilisée pour protéger les clés OpenPGP de la même manière qu’elle peut déjà être utilisée pour protéger les informations de connexion et les clés utilisées pour S / MIME. Cela pourrait vous éviter d'avoir à retenir des mots de passe distincts pour chaque clé OpenPGP.

Vérification de la propriété des clés

La messagerie chiffrée de bout en bout doit être protégée contre les attaques de type MITM. En arrière-plan, une clé utilisée pour la messagerie OpenPGP est composée de chiffres et de méta-informations, notamment d'informations sur le propriétaire présumé. Étant donné que n'importe qui peut facilement créer une nouvelle clé aléatoire avec de fausses métadonnées, il est nécessaire d'obtenir la confirmation de la propriété de la clé auprès du propriétaire présumé pour pouvoir utiliser OpenPGP en toute sécurité.

La confirmation directe qu'une clé appartient bien au prétendu propriétaire nécessite une communication hors bande. Par exemple, il est possible de calculer une somme de contrôle courte pour les nombres contenus dans une clé OpenPGP. Le terme « fingerprint » (dans le cas d'espèce empreinte numérique) est souvent utilisé pour décrire cette somme de contrôle. Lors de réunions en personne, les personnes peuvent échanger les empreintes numériques de leurs clés OpenPGP sur du papier. Si la voix de l'autre personne est connue, un appel téléphonique peut également être utilisé pour échanger l'empreinte numérique. Le fait de vérifier que l’empreinte numérique affichée sur l’ordinateur est identique à celle obtenue du partenaire de communication confirme la propriété de la clé.

Une fois qu'Alice a confirmé l'authenticité de la clé publique de Bob, Alice doit créer un enregistrement permanent qui le note. L’approche habituelle est qu’Alice utilise sa propre clé pour signer numériquement la clé publique de Bob (y compris ses méta-informations). Lorsque vous utiliserez la clé de Bob ultérieurement, le logiciel utilisé par Alice remarquera la signature et pourra traiter la clé de Bob comme confirmée.

Thunderbird 78 devrait continuer à offrir ce mécanisme. La bibliothèque OpenPGP devant être utilisée par Thunderbird 78 devrait prendre en charge la signature numérique de clés publiques. (Alternativement, Thunderbird 78 devra mémoriser les informations sur les confirmations réussies séparément).


Partage de clés

Les utilisateurs d'OpenPGP partagent souvent leurs confirmations de clé avec d'autres, en publiant des clés signées sur des répertoires de clés (serveurs de clés). GnuPG et Enigmail permettent à la fois de faire un upload mais aussi un download sur des serveurs de clés, d’obtenir les clés d’autres personnes et de connaître les confirmations de clés effectuées par d’autres.

Malheureusement, l'équipe Thunderbird a récemment constaté une augmentation des inquiétudes concernant le modèle de serveur de clés OpenPGP classique, en raison de la manière dont ils peuvent être circonvenus, ce qui a déjà causé des problèmes de stabilité et de disponibilité. De nouveaux mécanismes de partage de clés sont en cours de développement par la communauté OpenPGP, tels que Autocrypt, WKD et une nouvelle génération de serveurs de clés tels que Hagrid. Bien que les mécanismes qui seront préférés à l’avenir ne soient pas encore clairs, Thunderbird 78 continuera probablement à prendre en charge les interactions de serveur clé, en plus du mécanisme trivial d’envoi et de réception de clés OpenPGP sous forme de pièces jointes.

Sur les systèmes sur lesquels GnuPG est installé, il est peut-être possible de proposer une importation assistée pour les clés publiques de correspondants préalablement obtenues et stockées à l’aide de GnuPG. Dans le cadre de cette importation, les confirmations de propriété de clé doivent également être importées.

Souvent, la confirmation de la propriété des clés par une interaction humaine directe est considérée comme irréalisable. Une alternative est la vérification indirecte. Bob aurait peut-être signé la clé de David. Mais Alice fait-elle confiance à Bob pour confirmer la propriété clé d’autres personnes ? Le logiciel GnuPG permet à Alice de décider et de configurer si elle considère que Bob est digne de confiance pour confirmer la propriété clé d’autres personnes. Le logiciel GnuPG implémente des règles qui peuvent permettre à un certain nombre de confirmations indirectes, incertaines, d'être considérées comme équivalentes à une confirmation par clé directe. En combinant les confirmations d'Alice avec les informations trouvées dans d'autres clés, généralement extraites de serveurs de clés, GnuPG pourrait automatiquement traiter la clé de David comme confirmée. Ce mécanisme et l'ensemble de toutes les confirmations trouvées sur les clés sont généralement décrits comme le Web of Trust.

Il n’est actuellement pas décidé si Thunderbird 78 sera en mesure de réutiliser les configurations de confiance établies à l’aide des logiciels Enigmail et GnuPG. L'équipe ne sait pas non plus si Thunderbird 78 implémentera le modèle Web of Trust pour les confirmations indirectes.

Pour résumer les paragraphes précédents, Thunderbird 78 nécessitera probablement une vérification de la propriété directe afin de traiter un message OpenPGP utilisant cette clé comme entièrement sécurisé. Il n’est pas décidé si un équivalent pour la confirmation indirecte, tel que l’utilisation de Web Of Trust, permettra également de traiter les clés comme étant totalement sécurisées.

Source : Mozilla

Et vous ?

Utilisez-vous Thunderbird ? Qu'en pensez-vous ?
Que pensez-vous de ce choix technologique ?
Allez-vous en faire usage ?

Voir aussi :

Thunderbird 68.0 est disponible en téléchargement, le client de messagerie s'accompagne de nombreuses nouveautés et corrections de bogues
Thunderbird présente ses plans pour 2019 : remédier aux problèmes de performances, améliorer l'intégration, faciliter le chiffrement
Thunderbird 60.0 : le client de messagerie libre fait peau neuve avec le design Photon de Firefox, et supporte la norme d'authentification FIDO U2F

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Fagus
Membre actif https://www.developpez.com
Le 12/10/2019 à 20:33
Citation Envoyé par Aizen64 Voir le message
J'utilise peut-être une version ancienne pour le boulot mais je trouve que ce client de messagerie est une vraie plaie.

Le système de recherche de mail n'est pas précis du tout et pas pratique et impossible de faire du cliquer/déposer pour ajouter une pièce jointe, obliger de cliquer sur l’icône pour ajouter une pièce jointe. Pour ajouter plus de 2 destinataire c'est aussi relou.

Ajouter n destinataires sur Outlook ou Mail sous OS X c'est ultra intuitif.

Firefox est parfaitement utilisable au quotidien, Thunderbird est moisi niveau UX.
ça doit être une version défectueuse car tout cela est possible depuis un moment.
Pour glisser déposer un fichier en PJ il faut glisser le fichier vers le bandeau qui contient le destinataire.
Pour ajouter plusieurs destinataires, soit on les saisit puis on termine par entrée, soit on utilise les listes de destinataires si c'est toujours les mêmes.
1  0 
Avatar de emilie77
Membre averti https://www.developpez.com
Le 09/10/2019 à 8:35
Très bien de l'avoir integré
0  0 
Avatar de matthius
Membre extrêmement actif https://www.developpez.com
Le 09/10/2019 à 9:31
Reste à avoir un matériel adéquate.
0  0 
Avatar de Fagus
Membre actif https://www.developpez.com
Le 10/10/2019 à 1:27
Pour l'utilisateur final et pour de la correspondance ordinaire ce sera plus pratique.

Quoique, si je devais envoyer un truc vraiment secret, j'utiliserais quand même GnuPG , nu et en console et avec du texte brut.
Je trouve que depuis la faille E-Fail l'assemblage thunderbird + gnupg + enigmail offrent beaucoup de surface d'attaque. peut être qu'en intégrant tout, y'en aura moins ; peut être que ce sera pire... GnuPG a l'avantage d'être un projet très ancien et (j'espère) assez suivi pour que l'implémentation soit excellente.
Qui vraiment vérifie les diverses autres implémentations ?

Mozilla dit :
We intend to identify and use another existing library that provides support for creating and processing OpenPGP messages, and we will try to reuse parts of Enigmail that aren’t specific to GnuPG.
Apparemment, ça veut dire que leur projet est encore assez flou. peut être vont-ils utiliser OpenPGP.js de protonmail, ou autre ? mais qui a les moyens de créer et maintenir un librairie aussi sûre et riche que GnuPG ? Ce problème de licence est vraiment regrettable.
0  0 
Avatar de Volgaan
Membre confirmé https://www.developpez.com
Le 10/10/2019 à 10:09
Citation Envoyé par matthius Voir le message
Reste à avoir un matériel adéquate.
Non, ça n'est pas nécessaire. OpenPGP ne repose sur aucune puce cryptographique ou matériel dédié. C'est purement logiciel (avec très certainement une prise en charge de l'accélération matérielle, si disponible).
0  0 
Avatar de Aizen64
Membre averti https://www.developpez.com
Le 11/10/2019 à 22:05
J'utilise peut-être une version ancienne pour le boulot mais je trouve que ce client de messagerie est une vraie plaie.

Le système de recherche de mail n'est pas précis du tout et pas pratique et impossible de faire du cliquer/déposer pour ajouter une pièce jointe, obliger de cliquer sur l’icône pour ajouter une pièce jointe. Pour ajouter plus de 2 destinataire c'est aussi relou.

Ajouter n destinataires sur Outlook ou Mail sous OS X c'est ultra intuitif.

Firefox est parfaitement utilisable au quotidien, Thunderbird est moisi niveau UX.
0  0