Un chiffrement puissant est à la base de presque toutes les fonctions de sécurité et de protection de la vie privée dans le paysage informatique moderne.
- Votre smartphone est chiffré par défaut. De sorte que son contenu n’est accessible que lorsque vous le déverrouillez à l’aide de la biométrie ou d’un code PIN.
- Votre PC Windows est chiffré avec BitLocker et votre MacBook est chiffré avec FileVault.
- Chaque page web que vous visitez est chiffrée en transit. Et vous recevez un message d’erreur désagréable si vous allez sur une page dont l’URL ne comporte pas le terme magique https.
- Vos discussions sur Signal sont chiffrées.
- Si vous envoyez à quelqu’un un contrat au format PDF, vous pouvez facilement le chiffrer et mettre son contenu à l’abri des regards indiscrets.
Le seul endroit où le chiffrement n’est pas facilement disponible est le courrier électronique. Certes, votre boîte de réception est chiffrée au repos et en transit. Mais bonne chance si vous souhaitez protéger un message pour qu’il ne puisse être lu que par la personne à laquelle vous l’envoyez. Les options existantes de chiffrement du courrier électronique sont coûteuses, excessivement complexes à administrer et peu pratiques.
Envoyer des messages chiffrés à n’importe quel utilisateur, quel que soit le service de messagerie
Google vient d’annoncer qu’il souhaite changer tout cela. Et ce avec une nouvelle fonctionnalité pour les utilisateurs de Gmail en entreprise. Elle leur permet d’envoyer des messages chiffrés de bout en bout à n’importe quel utilisateur, quel que soit le service de messagerie qu’il utilise. Et ce en quelques clics seulement.
Pour les administrateurs de Google Workspace, aucune configuration supplémentaire n’est nécessaire. Cette fonctionnalité repose sur le chiffrement côté client, qui utilise des clés contrôlées par l’entreprise et stockées sur les serveurs de l’entreprise, et non dans le cloud de Google.
Selon Google, cette fonctionnalité permet de chiffrer le contenu d’un message sur le client avant qu’il ne soit transmis ou stocké sur un serveur Google Workspace. Cette approche signifie que chaque message est protégé par un cryptage à connaissance nulle (zero-knowledge encryption) et répond à la base des normes que les industries hautement réglementées doivent respecter.
Résoudre l’écheveau complexe des courriels à chiffrer
Si vous avez déjà eu à traiter une transaction immobilière en utilisant du courrier chiffré, vous savez à quel point tout ceci est pénible. Lors d’une récente transaction avec un prêteur hypothécaire, j’ai dû utiliser son système chiffré pour partager des documents. L’ensemble de l’échange s’est déroulé dans une interface web propriétaire qui semblait avoir été écrite en 2002. Ce système n’était pas intégré au site web de la banque. Et j’ai donc dû créer un mot de passe séparé. Le plus ennuyeux, c’est que le système délivrait environ trois messages sur quatre que j’envoyais. Mais ne me donnait, ni à moi ni à mon banquier, aucune indication que les messages avaient disparu.
Dans les environnements d’entreprise actuels, les administrateurs peuvent mettre en place des systèmes de messagerie sécurisée basés sur la norme S/MIME. Grâce à cette configuration, il est relativement facile pour les personnes au sein de l’organisation d’échanger des messages sécurisés. Mais à condition que l’administrateur ait attribué un certificat à chaque utilisateur. Et qu’il n’ait laissé aucun de ces certificats expirer. Mais si vous envoyez un courriel à des personnes extérieures à l’organisation, vous devez vous assurer que le destinataire a activé la norme S/MIME (ce qui n’est pas le cas de la plupart des gens). Puis échanger des certificats S/MIME.
Il existe bien sûr des options moins centralisées, comme Pretty Good Privacy (PGP). Mais ces solutions ne font que transférer le fardeau de gestion à l’utilisateur final.
Seul un message sur 1 700 est chiffré
Il n’est pas étonnant qu’une étude à long terme menée dans une grande université ait révélé que seul un message sur 1 700 est chiffré.
La vision de Google est que les utilisateurs finaux peuvent choisir de chiffrer un message en cliquant sur une case à cocher. Ce qui se passe ensuite dépend de la personne qui est à l’autre bout du message. Voici comment Google décrit le processus :
- Lorsque le destinataire est un utilisateur de Gmail (entreprise ou particulier), Gmail envoie un courrier électronique E2EE. L’e-mail est automatiquement déchiffré dans la boîte de réception du destinataire, qui peut alors utiliser Gmail comme d’habitude.
- Lorsque le destinataire n’est pas un utilisateur Gmail, Gmail lui envoie une invitation à consulter l’e-mail E2EE dans une version restreinte de Gmail. Le destinataire peut alors utiliser un compte Google Workspace invité pour consulter l’e-mail et y répondre en toute sécurité.
- Lorsque le destinataire a configuré S/MIME, Gmail envoie un e-mail E2EE via S/MIME (comme aujourd’hui).
Les entreprises peuvent choisir d’obliger tous les destinataires externes, même ceux qui utilisent un compte Gmail, à utiliser cette version « restreinte » de Gmail.
Comprendre quand et pourquoi on reçoit un message chiffré
Elles disposent également d’options supplémentaires, notamment :
- Des paramètres permettant d’affecter des règles pour forcer l’utilisation du mode chiffré
- Des étiquettes de classification pour aider les utilisateurs à comprendre quand (et pourquoi) ils ont reçu un message chiffré
- Des règles de prévention de la perte de données.
Quand cette fonctionnalité sera disponible pour vous ?
Pour l’instant, ces fonctionnalités ne sont disponibles que pour les clients Premium de Google, ceux qui ont payé pour les abonnements Google Workspace Enterprise Plus, Education Standard ou Education Plus, avec l’option Assured Controls.
Si votre entreprise utilise un simple abonnement Business ou si vous disposez d’un compte Gmail gratuit, vous devrez attendre. Combien de temps ? Cela dépend.
La fonctionnalité est déployée dès aujourd’hui pour les entreprises et les établissements d’enseignement. Google met en place la prise en charge des messages E2EE selon ce qu’il appelle une « approche progressive… en version bêta, avec la possibilité d’envoyer des messages E2EE aux utilisateurs Gmail de votre propre entreprise ». La possibilité d’envoyer des courriels E2EE à des boîtes de réception extérieures à l’entreprise sera disponible plus tard dans l’année.