Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

DIME : la Darkmail Alliance veut standardiser le chiffrement des emails

Vivons cachés
Internet 3 min
DIME : la Darkmail Alliance veut standardiser le chiffrement des emails

Ladar Levison, qui dirigeait l’entreprise Lavabit, souhaite désormais que le monde de l’email soit plus sûr. Membre de la Darkmail Technical Alliance, il travaille sur un nouveau projet qui pourrait standardiser le chiffrement des courriers pour une majorité d’utilisateurs. Faut-il encore qu’il s’agisse effectivement d’un standard.

L'une des conséquences de l'affaire Snowden

Ladar Levison est connu pour avoir été le fondateur et le dirigeant de Lavabit, une entreprise fournissant des services d’emails sécurisés. Ce nom a subitement reçu la lumière crue des projecteurs quand l’affaire Snowden a éclaté, le lanceur d’alertes s’étant servi d’un compte Lavabit pour une partie de ses communications. Le FBI avait alors souhaité fouiller dans les serveurs grâce à une commission rogatoire, et Levison avait alors provoqué lui-même l’effacement des données pour garantir que la vie privée de ses clients serait préservée. Dans une interview donnée aux Inrocks il y aura bientôt un an, il estimait qu’il devait à la médiatisation de ne pas être allé en prison.

En novembre 2013, quelque temps après les évènements, Levison initiait avec d’autres, notamment le concepteur de PGP Phil Zimmermann, la Darkmail Technical Alliance, qui devait se pencher sur les manières de revoir les communications par emails afin de mieux sécuriser l’ensemble grâce au chiffrement des données. Il était alors envisagé notamment de remplacer SMTP par XMPP (que l’on retrouve souvent dans les solutions de messagerie), mais le projet a depuis beaucoup évolué.

Des chiffrements successifs de l'information

Désormais nommé DIME, pour Dark Internet Mail Environment, il doit à terme pouvoir être installé sur un serveur afin de gérer deux protocoles : DMTP (the Dark Mail Transfer Protocol) et DMAP (Dark Mail Access Protocol). L’idée générale est qu’un courrier va subir différentes opérations pour que des couches successives de chiffrement lui soient appliquées. Durant le transport d’un email, chaque acteur impliqué dans la chaine du transfert ne pourra alors lire que les informations qui le concernent directement, et rien d’autre.

darmail alliance dime

Comme on peut le voir sur le schéma, qui réduit à sa forme la plus simple le trajet entre l’expéditeur et le destinataire, chaque acteur ne peut en d’autres termes que voir ceux qui sont immédiatement sur ses « côtés ». Par exemple, le serveur d’origine ne voit que le serveur de destination, et pas le destinataire lui-même. Il faut donc que le serveur email possède un système automatisé de gestion des clés car chaque acteur de la chaine devra posséder sa paire de clés publique/privée.

Standardiser pour mieux déployer

L’ensemble du projet est encore dans une forme de brouillon et est réalisé depuis un « fork » du serveur Magma. Dans son état actuel, DIME n’est que peu exploitable et va demander en fait de nombreuses mises à jour de l’écosystème pour pouvoir être adopté. Comme expliqué à Ars Technica par Levison, DIME pourra dans un premier assurer un chiffrement point à point entre les serveurs quand la solution sera déployée, mais les clients email devront eux aussi être modifiés pour que la chaine s’étende réellement jusqu’à l’utilisateur.

L’Alliance travaille en fait sur plusieurs méthodes qui permettront d’utiliser DIME dans différents contextes, notamment pour ne pas exiger l’installation d’une solution serveur entière. Mais l’étape cruciale sera de faire de DIME un vrai standard, afin que son adoption soit plus poussée quand il sera prêt. Pour y parvenir, Ladar Levison fournira une copie des spécifications à plusieurs membres de l’IETF (Internet Engineering Task Force) lors d’une réunion prévue en mars.

32 commentaires
Avatar de Commentaire_supprime Abonné
Avatar de Commentaire_supprimeCommentaire_supprime- 07/01/15 à 08:04:38

Bonne initiative, sachant que la confidentialité d'un courriel par défaut est purement et simplement nulle à l'heure actuelle. Si ça pouvait déboucher sur un standard, ça serait bien !

Avatar de wanou2 Abonné
Avatar de wanou2wanou2- 07/01/15 à 08:07:16

Commentaire_supprime a écrit :

Bonne initiative, sachant que la confidentialité d'un courriel par défaut est purement et simplement nulle à l'heure actuelle. Si ça pouvait déboucher sur un standard, ça serait bien !

Sans vouloir faire de comparaison foireuse. La sécurité du courriel est égale à son pendant physique qu'est la lettre simple. Suffit de le savoir.

Avatar de Alucardisme INpactien
Avatar de AlucardismeAlucardisme- 07/01/15 à 08:09:05

Rectification : Carte postale

Avatar de Hijo Del Sol INpactien
Avatar de Hijo Del SolHijo Del Sol- 07/01/15 à 08:09:41

Une lettre, tu as une enveloppe autour.

Un Email est plutôt comparable à une carte postale.

Avatar de Bobmoutarde INpactien
Avatar de BobmoutardeBobmoutarde- 07/01/15 à 08:16:00

C'est une bonne idée, mais après c'est toujours pareil :

Quel est le coût ?
Quelle est la difficulté à mettre en place ?
Quelle est la compatibilité ?
Est-ce que ça fera comme DNSSEC ? (Développé depuis longtemps, mais très peu répandu)

Encore un business tout ça...

Avatar de Glyphe INpactien
Avatar de GlypheGlyphe- 07/01/15 à 08:22:28

S'ils veulent en faire un standard, par définition ça n'a rien à voir avec du business. Tout comme ton exemple de DNSSEC qui ne demande aucune licence ou d'argent pour être mis en place. Il n'y a que de la maj logicielle au pire ...

Donc non ça n'est pas du business, c'est juste l'évolution logique de vieux protocoles (SMTP, POP, IMAP) qui n'avaient pas été prévus pour tenir compte des problème de vie privée et de sécurité. ;)

Avatar de Bobmoutarde INpactien
Avatar de BobmoutardeBobmoutarde- 07/01/15 à 08:31:38

Tu as déjà fait du DNSSEC ?
Si tu as ton domaine perso c'est pas bien compliqué, mais si tu as plusieurs domaines le rollover des clés commence à être un bordel sans nom... Donc il te faut quelque chose pour gérer ça, ce qui implique donc des solutions "industrielles" qui font le boulot. Ca amène forcément un business !

Je ne dis pas que tu es obligé de payer, mais c'est tellement contraignant qu'au final tu lâches un billet.
Parce que si ton rollover de clés n'est pas fait correctement, le DNS ne répond plus donc ton site (par exemple) n'est plus joignebale... Bonjour les dégâts si tu as ton site "boutique" (perte de revenu conséquent).

J'imagine la même chose pour les mails, si les mails tombent dans l'entreprise ==> baisse de la productivité.

Après je suis tout à fait d'accord qu'il faut sécuriser, chiffrer les courriers électroniques.

Avatar de CryoGen Abonné
Avatar de CryoGenCryoGen- 07/01/15 à 08:53:18

Alucardisme a écrit :

Rectification : Carte postale

Hijo Del Sol a écrit :

Une lettre, tu as une enveloppe autour.

Un Email est plutôt comparable à une carte postale.

En utilisant le chiffrage avec S/MIME ou PGP on ajoute déjà une belle enveloppe autour quand même.

Avatar de kyrios123 INpactien
Avatar de kyrios123kyrios123- 07/01/15 à 09:06:49

Je crois beaucoup en ce projet qui contrairement à beaucoup d'autres ne se contente pas de proposer une solution end-to-end (il y en a des dizaines qui ont vu le jour ou qui ont été mises en évidence après les révélations de Snowden mais aucune ne sont interopérables)  mais bien des protocoles ouverts qui espérons-le deviendront des standards.

Ce que cet article ne dit pas est que ce protocole à pour but d'être beaucoup plus simple à utiliser pour l'utilisateur final que les solutions actuelles de chiffrement PGP des e-mail.

Leur business sera de proposer des services de mail sécurisé ainsi de la consultance. Le protocol et leur application seront open-source comme il se doit.

Avatar de seblamb INpactien
Avatar de seblambseblamb- 07/01/15 à 09:13:36

Non, on ne peut pas faire du traitement de masse sur les cartes postales, en tout cas, pas dans les mêmes proportions.

Il n'est plus possible de commenter cette actualité.
Page 1 / 4