La solution alternative à la PEC: les certificats S/MIME
La solution alternative à la PEC: les certificats S/MIME.
- Dominiando
(grâce à la concession de Ilsoftware.it)
Tous les programmes (client) pour l'envoi et la réception du courrier électronique qui supportent le format S/MIME sont capables de gérer certificats digitales: ces derniers servent à signer soit les e-mails soit les relatives pièces jointes en les rendant immodifiables et en donnant valeur légale aux mêmes. On ajoute qu'il est possibile cryptographer les messages en rendant ainsi sûr leur transport.
MIME est l’acronyme de Multipurpose Internet Mail Extensions et fixe un standard pour le format d'un message de courrier électronique. Chaque message envoyé à travers un server SMTP est considéré comme en format MIME. Les différentes parties d'un’e-mail et, en particulier, les indications MIME classées à son intérieur, spécifiquent, par exemple, le format avec lequel vient envoyé le message (seulement texte o html), la codification utilisée, éventuelles pièces jointes et ainsi de suite.
S/MIME (Secure Multipurpose Internet Mail Extensions) est un standard pour la cryptographie à clé publique et pour la signature des messages de courrier électronique qui s'insère à l'intérieur des spécifiques de MIME. S/MIME, à l'origine développé par RSA Security, et il fourni la possibilité d'autentifier, vérifier l'integrité, garantir le non refus (en utilisant la signature digitale) et protéger le message (utilisant la crypyographie) transmis dans le Réseau.
Par rapport à la PEC, l'emploi d'un certificat S/MIME permet par exemple de certifier l'entier contenu du message que l'on envoi, permet d'envoyer communication à n'importe quelle adresse e-mail, est inter-opérable avec tous systèmes et est valide dans tout le monde. Ensuite, l'utilisation d'un certificat S/MIME permet de confier sur une solution qui garantie une portabilité maximun et en plus est capable de permettre la protection du contenu du message grâce à la cryptographie.
Deux exemples de société (“Certification Authority” o CA) qui mettent à disposition, gratuitement si personnels, certificats digitals à utiliser pour le courrier électronique, sont Globaltrust (italien) et Thawte.
La “Certification Authority” est un organisme (trusted third party), publique ou privé, qui est habilité à la livraison d'un certificat digital sous réserve de vérification des généralités de l'utilisateur demandeur. Le système adopté est celui “à clé publique” (ou “asymétrique”): une clé est insérée à l'ntérieur du certificat (“publique”) tandis que l'autre, relié à la clé publique, doit rester absolument segrète et conservée avec attention de la part de l'utilisateur (“clé privée”).
Le couple clé publique-clé privée peut être généré automatiquement de la part de l'utilisateur en se servant d'un programme “ad hoc”. Les CA représente la solution entre la clé publique et la personne qui détient la relative clé privé.
Sans passer par un CA, deux interlocuteurs peuvent créer le propre couple clé privé/publique, en publiant ensuite celles publiques sur un “keyserver” (il s'agit d'un server, de libre accès, qui ramasse les clés publiques de milions d'utilisateurs de tout le monde).
En littérature, quand on parle de cryptographie, on rencontre souvent deux amis Alice et Bob. Il s'agit de noms conventionels qui sont habituellement utilisés pour se référer à deux interinterlocuteurs.
Quand deux autres personnes s'ajoutent à la communication, sont généralement utilisés les noms de Carol et Dave. Obligatoire “le méchant”, habituellement identifié avec le nom de Mallory.
On suppose que Bob veut envoyer un message à Alice, signé et cryptographié. Il s'assure de le signer utilisant sa clé privé donc il le codifie en utilisant la clé publique de Alice, récupérée – par exemple – dans un “keyserver”, publiée sur le site web de Alice ou communiquée précedemment par e-mail. Une fois que Alice reçoit la communication, celle-ci est déchiffrée en utilisant sa clé privée vérifiant la signature du message utilisant la clé publique de Bob.
Alice, à ce point, sait que le message était direct à elle et qu'il a été signé par Bob. Cependant, il n'y a pas la pleine certitude que la clé utilisée soit réellement de propriété de Bob parce qu'il manque une attestation “officielle” au sujet de la correspondance entre la clé et la personne “physique”. Le “malintentionné" Mallory pourrait être capable de substituer la clé publique du destinataire avec une “fausse” de manière à pouvoir intercepter toutes les communications.
Les CA s'occupent de controler l'identité d'un utilisateur en produisant, après les nécessaires vérifications, un certificat qui est signé digitalement de la CA même (qui bénéfice de la confiance des parties impliquées dans la communication). Grâce à cette expédient, il est possible établir immédiatement l'attendibilité et la validité de toutes les certifications digitales.
