 |
| Cryptologie Chiffrement par substitution Chiffrement symétrique Chiffrement asymétrique Public Key Infractructure (PKI) Cryptosystèmes Législation Protocoles sécurisés Plus d'information |
PGP (Pretty Good Privacy) est un cryptosystème (système de chiffrement) inventé par Philip Zimmermann, un analyste informaticien. Philip Zimmermann a travaillé de 1984 à 1991 sur un programme permettant de faire fonctionner RSA sur des ordinateurs personnels (PGP).
Cependant, étant donné que celui-ci utilisait RSA sans l'accord de ses auteurs, cela lui a valu des procès pendant 3 ans, il est donc vendu environ 150$ depuis 1993.
Il est très rapide et sûr ce qui le rend quasiment impossible à cryptanalyser.
PGP est un système de cryptographie hybride, utilisant une combinaison des fonctionnalités de la cryptographie à clé publique et de la cryptographie symétrique.
Lorsqu'un utilisateur chiffre un texte avec PGP, les données sont d’abord compressées. Cette compression des données permet de réduire le temps de transmission par tout moyen de communication, d'économiser l'espace disque et, surtout, de renforcer la sécurité cryptographique.
La plupart des cryptanalystes exploitent les modèles trouvés dans le texte en clair pour casser le chiffrement. La compression réduit ces modèles dans le texte en clair, améliorant par conséquent considérablement la résistance à la cryptanalyse.
Ensuite, l'opération de chiffrement se fait principalement en deux étapes :
Cette méthode de chiffrement associe la facilité d'utilisation du cryptage de clef publique à la vitesse du cryptage conventionnel. Le chiffrement conventionnel est environ 1000 fois plus rapide que les algorithmes de chiffrement à clé publique. Le chiffrement à clé publique résoud le problème de la distribution des clé. Utilisées conjointement, ces deux méthodes améliorent la performance et la gestion des clefs, sans pour autant compromettre la sécurité.
PGP offre les fonctionnalités suivantes :
Un certificat PGP comprend, entre autres, les informations suivantes :
Le fait qu'un seul certificat puisse contenir plusieurs signatures est l'un
des aspects uniques du format du certificat PGP. Plusieurs personnes peuvent
signer la paire de clefs/ d'identification pour attester en toute certitude
de l'appartenance de la clef publique au détenteur spécifié.
Certains certificats PGP sont composés d'une clef publique avec plusieurs
libellés, chacun offrant un mode d'identification du détenteur de la clef
différent (par exemple, le nom et le compte de messagerie d'entreprise du
détenteur, l'alias et le compte de messagerie personnel du détenteur, sa
photographie, et ce, dans un seul certificat).
Dans un certificat, une personne doit affirmer qu'une clef publique et le
nom du détenteur de la clef sont associés. Quiconque peut valider les
certificats PGP. Les certificats X. 509 doivent toujours être validés par
une autorité de certification ou une personne désignée par la CA. Les
certificats PGP prennent également en charge une structure hiérarchique à
l'aide d'une CA pour la validation des certificats.
Plusieurs différences existent entre un certificat X. 509 et un certificat
PGP. Les plus importantes sont indiquées ci-dessous :
Pour créer votre propre certificat PGP, vous devez
demander l'émission d'un certificat X. 509 auprès d'une autorité de
certification et l'obtenir ;
En règle générale, la CA (Certification authority - autorité de certification)
inspire une confiance totale pour établir la
validité des certificats et effectuer tout le processus de validation
manuelle. Mais, il est difficile d'établir une ligne de confiance avec les
personnes n'ayant pas été explicitement considérées comme fiables par votre
CA.
Dans un environnement PGP, tout utilisateur peut agir en tant qu'autorité de
certification. Il peut donc valider le certificat de clef publique d'un
autre utilisateur PGP. Cependant, un tel certificat peut être considéré
comme valide par un autre utilisateur uniquement si un tiers reconnaît celui
qui a validé ce certificat comme un correspondant fiable. C'est-à-dire, si
l'on respecte par exemple mon opinion selon laquelle les clefs des autres
sont correctes uniquement si je suis considéré comme un correspondant
fiable. Dans le cas contraire, mon opinion sur la validité d'autres clefs
est controversée.
Supposons, par exemple, que votre trousseau de clefs contient la clef d'Alice. Vous l'avez validée et, pour l'indiquer, vous la signez. En outre, vous savez qu'Alice est très pointilleuse en ce qui concerne la validation des clefs d'autres utilisateurs. Par conséquent, vous affectez une fiabilité complète à sa clef. Alice devient ainsi une autorité de certification. Si elle signe la clef d'un autre utilisateur, cette clef apparaît comme valide sur votre trousseau de clefs.
Seul le détenteur du certificat (le détenteur de sa clef privée correspondante) ou un autre utilisateur, désigné comme autorité de révocation par le détenteur du certificat, a la possibilité de révoquer un certificat PGP. La désignation d'une autorité de révocation est utile, car la révocation, par un utilisateur PGP, de son certificat est souvent due à la perte du mot de passe complexe de la clef privée correspondante. Or, cette procédure peut uniquement être effectuée s'il est possible d'accéder à la clef privée. Un certificat X. 509 peut uniquement être révoqué par son émetteur.
Lorsqu'un certificat est révoqué, il est important d'en avertir ses utilisateurs potentiels. Pour informer de la révocation des certificats PGP, la méthode habituelle consiste à placer cette information sur un serveur de certificats. Ainsi, les utilisateurs souhaitant communiquer avec vous sont avertis de ne pas utiliser cette clef publique.
Article écrit par Sylvain Lorin
Source : http://www.pgpi.org/doc/pgpintro/, une très bonne référence
