GnuPG

Dernière mise à jour : 21/08/2003

    Voici un petit article pour vous initier aux joies de GnuPG qui vous permet de certifier (dans une certaine mesure) vos emails par une signature et meme de crypter ceux-ci. Le nom ne sera pas sans vous rappeller un autre produit : PGP. Vous vous en doutez, il ne s'agit pas d'un hasard. Je vais donc tenter de vous guider dans la procédure de paramétrage et d'installation de GnuPG ainsi que son utilisation de base (signature, cryptage, etc ...). Vouis pouvez trouver le site officiel de GPG chez Gnu à l'adresse suivante : http://www.gnupg.org/. Vous pouvez utiliser GnuPG sous Unix, Linux, Mac et Microsoft Windows. Cet article a bénéficié d'une petite mise à jour concernant l'échange de clés et leur signature. Les captures d'écrans on également été actualisées avec Evolution 1.4

    Commencez par télécharger la dernière version à l'adresse ci-dessus. Je préconise à présent de faire un peu de ménage afin de ne pas croiser plusieurs versions sur votre système. Ainsi les utilisateurs de debian taperont apt-get remove gnupg alors que les utilisateurs de systèmes RPMs feront un rpm -qa |grep -i gnupg ; rpm -e 'packages trouvés sur la commande précédente et enfin les utilisateurs de gentoo : emerge gnupg.

    Pour installer le source que vous avez téléchargé, les commandes classiques sont applicables, ainsi :

    Selon votre système, il devrait gentillement vous répondre :

    Scandez alors les commandes habituelles : make ; make install ; ldconfig. Vous pouvez alors vérifier que la bonne version de gnupg est installée par la commande : gpg --version. Cela devrait vous retourner la version que vous avez téléchargé. Si ce n'est pas le cas, vous avez sans doute oublié d'enlever la version binaire qui se trouvait sur votre système lors de l'installation. Voici ce que retourne une demande de version, notez toutes les méthodes supportées en bas :

    Vous êtes alors prêt à générer votre première clé. Notez que le Home de GnuPG est : ~/.gnupg qui est l'endroit où vos clés seront stockées (ainsi que les clés publiques de vos correspondants). Tout comme avec SSH, vous disposez ici de clés privées et clés publiques. Ainsi, la clé privée ne doit être transmise à personne alors que la clé publique est celle que vous allez envoyer à vos correspondants pour authentifier vos messages.

    Créez vos clés par la commande : gpg --gen-key. Nous allons ici générer une clé de type DSA et ElGamal (utilisées pour signer et crypter vos messages) avec une résistance de 2048 bits (jamais assez sécurisé ;) et sans expiration. Voici donc le résultat de la console :

    Comme vous pouvez le remarquer, ce n'était pas trop dur ! Assurez vous d'entre une passphrase qui soit suffisement longue et compliquée pour éviter que quelqu'un ne puisse la décrypter, la principale raison étant bien sûr la sécurité de vos échanges. Pour voir les clés disponibles dans votre HOME, tapez gnupg --list-keys. Une fois les clés générées, c'est une bonne idée d'envoyer la clé publique, pour se faire, tapez gpg --keyserver wwwkeys.pgp.net --send-key frlinux@frlinux.net (remplacez mon adresse email par la vôtre ;). Vous venez de déclarer votre clé publique au monde.

    Je vais ici utiliser Evolution pour vous montrer comment signer des messages et les authentifier. Pour commencer, Evolution va chercher gpg dans /usr/bin, il faut donc changer cela vers /usr/local/bin/gpg dans les Outils/Paramètres/Autre de configuration (Tools/Mail Settings/Other). Vous pouvez ensuite paramétrer votre compte email pour signer vos messages à l'envoi, comme le montre la fenêtre ci-dessous.



    Il vous faut maintenant taper votre message. Votre destinataire doit pour se faire avoir votre clé publique. Il peut alors la trouver sur un serveur publique : gpg --keyserver certserver.pgp.com --search-keys frlinux@frlinux.net puis l'importer : gpg --keyserver certserver.pgp.com --recv-keys 0x81FCD7A0 . Voici un exemple de message qu'évolution vous demande de signer avant l'envoi :



    Comme vous l'avez constaté, Evolution vous demande de signer chaque message à moins de cocher de se rappeller du mot de passe pour la session en cours, ce qui est plus que recommandé en milieu professionnel. L'exemple ci-dessus vous a également montré comment chercher et importer une clé. Une fois la clé téléchargée, il faut l'importer avec la commande suivante : gpg --import 'clé'. Simple et efficace, cela vous permettra d'échanger des emails sécurisés entre utilisateurs. Il est important de signer la clé une fois reçue, sans cette étape, il ne vous sera en effet pas possible de pouvoir dialoguer avec votre interlocuteur car le cryptage du message sera refusé, vous devez donc faire ceci : gpg --sign-key email@domaine.org. Vous devez vérifier l'autenticité de la clé avec lui de préférence par IRC ou tout autre moyen. Voici la procédure de signature :
Voici à présent un exemple d'email signé et crypté par GPG :



    Je vais maintenant couvrir rapidement le cryptage de données. Disons que vous transmettiez un contrat de travail par email et que vous voulez être sûr qu'il ne sera pas consulté par tout le monde, tapez votre email et activez l'option crypter. Votre destinataire recevra alors un message pour lequel la passphrase doit être indiquée, il ne sera sinon pas possible de consulter le message.



    Enfin, voici la méthode pour exporter une clé si vous voulez la mettre à disposition de vos correspondants : gpg --export -a frlinux@frlinux.net > frlinux_public_key.asc. La clé est disponible ici. Pour l'importer, il vous suffit d'un : gpg --import /home/stephane/frlinux_public_key.asc. Et voici le résultat :

    Si vous obtenez le message plus bas, c'est que vous ne possédez pas la clé de la personne à qui vous tentez d'envoyer un message crypté. Il faut donc lui demander sa clé publique avant de poursuivre.



    Enfin, si vous tentez d'envoyer un message à une personne dont vous avez la clé mais ne l'avez pas signée, vous obtiendrez le message ci-dessous, si tel est le cas, reprenez la section un peu plus haut pour signer la clé de votre correspondant. Le partie en gras du message ci-dessous vous donne une indication de ce qui se passe :

    Vous êtes maintenant parés pour commencer vos échanges semi-sécurisés dans le monde de GPG. Sachez que le serveur officiel contient de nombreuses documentations qui expliquent également comment échanger des clés et des emails avec des utilisateurs de PGP.