Signer et crypter ses mails avec Outlook et Outlook Express

1. Signer et crypter ses mailsavec Outlook et Outlook Express Bernard OpicMVP for Office Systems - Outlookbernard.opic@media-tips.com Bernard OpicMVP for Office Systems - Outlookbernard.opic@media-tips.com

2. Présentation Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► La confiance et la sécurité dans les tiers sont parmi les problèmes majeurs que pose Internet aujourd’hui. • ►Exemple : La majorité des consommateurs sont concernés par la sûreté de leur carte de crédit et de leurs informations personnelles, mais le Web ne leur inspire pas toujours une grande confiance. • ►Exemple : Transmettre de l’informationconfidentielle par e-mail pose égalementle problème de sa possible analysepar des robots. • ► Au travers de la signature et ducryptage des e-mails, nous allonsdécouvrir une des méthodes pour créerplus de confiance sur Internet. Authentification+Cryptage + Autorité de Certification = Confiance

3. Réduire les risques : authentifier + crypter Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Dans les transactions de personne à personne, la sécurité repose sur des critères physiques comme voir et toucher des produits, évaluer une marque, ... • ► Sur Internet, sans ses critères physiques, il est plus difficile de se faire une opinion sur un tiers. • ► Des problèmes récurrents à prendre en compte, parmi lesquels nous trouvons l’usurpation d’identité (Spoofing), l’action non autorisée (fonctionnement détourné par un concurrent ou un client mécontent), la divulgation non autorisée (interception par des hackers) ou l’altération de données (intentionnelle ou accidentelle). • ► L’authentification et le cryptage constituent des solutions viables.

4. Ce qu’il faut savoir sur l’authentification Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► L’établissement d’une identité passe par la mise en oeuvre de processus de vérification de l’existence des personnes physiques et morales, c’est le rôle des tiers de confiance. • ► La gestion de l’accréditation est formalisée par la délivrance d’un certificat de serveur, signé par une autorité de certification (CA). • ► Le fonctionnement de l’authentification repose sur l’exploitation de clés publiques, de certificats numériques et de clés privées. • ► Un certificat d’authenticité confirme la réalité physique d’un tiers, auquel on peut par exemple se fier pour faire un acte de commerce ou déléguer la transmission d’une information sensible.

5. Le rôle des autorités de certification (CA) Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Un administrateur génère une demande d’émission de certificat, qui retourne deux clés cryptées : une privée et une publique. • ► L’administrateur système envoi la clé publique à une CA, qui détient une clé de signature cryptographique racine servant à signer les clés publiques délivrées à des tiers ainsi que la clé publique de la CA elle-même. Une clé de signature cryptographique racine est une information cruciale qui doit être protégée par les meilleures technologies de sécurisation. • ► Lorsque la CA a validé la demande de signature, elle renvoie la clé publique signée à l’administrateur système qui la stocke sur son ordinateur. • ► Un couple clé publique / clé privée permet de valider un certificat.

6. Qu’est ce que le cryptage ? • ► Le cryptage est une technologie de sécurisation qui protège la confidentialité de données transmises, sans garantir l’authenticité. • ► Le cryptage est important car il augmente la sécurité des transmissions en réduisant les risques d’interception de contenu. • ► Pour crypter un e-mail, l’expéditeur doit disposer du certificat de serveur du destinataire car il contient sa clé publique. Le certificat peut être obtenu par extraction d’un e-mail signé et envoyé au préalable par le destinataire. • ► Pour décrypter un e-mail, le destinataire doit disposer de sa clé privée, il convient donc de la sauvegarder par précaution.

7. Comment vérifier l’authenticité d’un certificat ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Pour vérifier l’authenticité d’un certificat, vous pouvez tout simplement utiliser le gestionnaire de certificats numériques intégré à Internet Explorer. • ►Question : Qui sont toutes cessociétés à qui Microsoft nousdemande de faire confianceimplicitement en installantautomatiquement leurs certificatspendant l’installation de Windows ? • ►Question : Avez-vous une idée de ceque coûte le titre CA ?

8. Bénéfice pour les utilisateurs Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Les utilisateurs de certificats assurent leurs correspondants de l’origine d’un message lorsqu’il est signé et de sa sûreté lorsqu’il est crypté. • ► L’utilisation systématique et généralisé des certificats pour signer les e-mails pourrait être une des mesures visant à éradiquer le SPAM. • ► La délivrance de certificats est un service qui ne vaut que par la qualité des CA qui les délivrent et comme tout service, il peut avoir un prix variant avec ses fonctionnalités. • ► Nous verrons que même si la fourniture de certificats est majoritairement une activité commerciale, il est possible de se procurer un certificat fiable et gratuit.

9. À quoi ressemble un certificat personnel ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Un certificat personnel contient votre adresse e-mail. Cette information est la seule information que la CA (ici thawte) peut vérifier en vous envoyant un e-mail auquel vous devez répondre. • ► Pour être sur que le certificat est transmis à la bonne personne, vous devez récupérer votre certificat depuis le même ordinateur que celui depuis lequel vous avezfais la demande, en utilisant unID et un mot de passe générés pendant l’enregistrement.

10. Quelques acronymes à connaître ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► X.509Contenu standard de certificat. • ► ASN.1 (Abstract Syntax Notation)Description exacte du certificat, il assure que les données reçues sont identiques aux données envoyées. • ► Base 64 et DER (Distinguished Encoding Rules)Codage physique de certificat. • ► PKCS (Public Key Cryptography Standards) #1 ... # 15* PKCS #7 : Cryptographic Message Syntax Standard* PKCS #10 : Certification Request Syntax Standard

11. Quelques acronymes à connaître Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► RSA (Rivest, Shamir, and Adelman ) Data Security, IncPrincipale société qui développe de signature de clés publiques . • ► MD5 et SHA1Algorithmes utilisés pour la signaturedes clés incluses dans les certificats. • ► DES (Data Encryption Standard)Algorithme de cryptage symétriqueutilisé dans les certificats. Il repose surune clé de 56 bits et une méthode decodage de bloc, qui fractionne les textesen blocs de 64 bits pour les crypter. • ► 3DES : Triple DES (3DES)Algorithme de cryptage itérant 3 fois DES, plus lent mais plus sur.

12. Secure Multipurpose Internet Mail Extensions Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► S/MIME est une méthode répandue basée sur le standard MIME. Elle sert à transmettre des données binaires par Internet. • ► Lors de l’envoi, MIME code les données binaires sous forme de texte ASCII. • ► À la réception, MIME décode les données ASCII pour leur redonner leur format initial. • ► S/MIME ajoute les fonctions de signature et de cryptage des données formatées par MIME. Comme dans le cas de MIME, le format est identifié par un en-tête transmis dans l’e-mail.

13. Comment obtenir un certificat ? • ► Suivre les conseils de Microsoft pour choisir une CA, parmi les quelles figure thawte, que nous prendrons comme exemple. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Outils / Options... / Sécurité

14. Authentifier et sécuriser ses e-mails avec thawte Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ►thawte est une société qui propose des certificats personnels gratuits. • ► Un certificat personnel permet de signer et de crypter des e-mails. • ► Les certificats thawte sont acceptés par la majorité des clients de messagerie intégrant lestandard S/MIME (Microsoft,Netscape, Novell, IBM, ...). • ►Rappel :S/MIME a été adoptécomme standard de sécuritépar la plupart des acteursdans le domaine de lamessagerie électronique.

15. Application à Outlook Express 6 Démo Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Utilisation des certificats poursigner et crypter des e-mailsdepuis Outlook Express 6.

16. Choix d’une compte d’e-mail (identité) Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Outils / Comptes... / Courrier / Propriétés Cliquer sur l’onglet Sécurité pour sélectionner le certificat.

17. Sélection d’un certificat (identificateur numérique) Choisir le certificat parmi ceux qui sont affichés, sachant que seuls les certificats contenant l’adresse e-mail de l’identité sélectionnée sont affichés. Cliquer sur Sélectionner...

18. Configurer le support S/MIME Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Outils / Options... / Sécurité Cliquer sur Sélectionner... Choisir ses options.

19. Envoyer un messages signé Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Pour envoyer un message signé, il suffit de cocher une option de l’e-mail. • Un message signé porte le logo • Outils / Options...

20. Quelques nouveautés Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Lorsque vous envoyez l’e-mail, vous devez autoriser l’API cryptographique à accéder à votre magasin de clés privée. • Le destinataire est informé qu’il reçoit un message signé.

21. Récupérer le certificat d’un correspondant ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Un clic droit permet d’accéder au certificat ... • Cliquer sur Afficher les certificats...

22. Récupérer le certificat d’un correspondant Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • À partir de la fenêtre de certificats, on peut consulter les différentes informations qu’il contient. • Pour conserver le certificat de l’expéditeur, il suffit de l’enregistrer dans le carnet d’adresse.Ce certificat pour ensuite être utilisé pour crypter un message à envoyer à son expéditeur.

23. Envoyer un message crypté Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Pour envoyer un message signé, il suffit de cocher une option de l’e-mail. • Un message signé porte le logo • Outils / Options...

24. Application à Outlook 2003 Démo Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Utilisation des certificats poursigner et crypter des e-mailsdepuis Outlook 2003.

25. Configurer S/MIME ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • À la différence d’Outlook Express, il n’est pas nécessaire de sélectionner un compte de mail pour y associer un certificat. • Outlook sait mettre en correspondance un compte d’e-mail utilisé pour envoyer un message avec le certificat contenant approprié. Outils / Options... / Sécurité

26. Configurer S/MIME ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Une fois que le certificat est choisi, on peut paramétrer S/MIME et par exemple, changer l’algorithme de hachage de la signature, qui n’est pas modifiable dans Outlook Express.

27. Envoyer des messages signés et cryptés Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Dès que l’on à installé un certificat, on signe un message d’un seul clic sur un bouton. • Si on dispose du certificat d’un tiers, un autre clic suffit pour crypter le message.

28. En bref, les avantages et les inconvénients Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • + Les technologies de signature et de cryptage, bien que complexes, sont très simple à utiliser dans les clients de messagerie de Microsoft. • + Un certificat permettant de signer et de crypter les e-mails peut être obtenu, révoqué et régénéré gratuitement. • + Internet devient un media sûr pour faire transiter des informations confidentielles, y compris par les particuliers. • - Peu de personnes connaissent et utilisent les certificats, il faut faire la promotion de ces technologies.

29. Qu’est ce que le thawte Web of Trust (WOT) ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Le thawte Web of Trust un système de certification communautaire, permettant de valider des identités. • ► Le thawte WOT est une adaptation du modèle PGP (Pretty Good Privacy) Web of Trust dont il diffère par son principe de points. • ► Les employés de thawte ont initié la communauté. Ils attribuaient 100 points aux personnes dont ils établissaient l’identité sur la base d’un document officiel avec photo, en conservant une copie. • ► Dans le système thawte WOT, lorsqu’une personne dispose de 100 points, elle peut devenir notaire et bénéficier de suffisamment de crédit pour distribuer des points aux personnes qu’elle authentifie.

30. Comment faire partie du WOT ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Pour faire partie du thawte WOT, il faut avoir un certificat personnel émis par thawte. • ► Les porteurs d’un certificat personnel thawte peuvent augmenter leur niveau d’authentification, par le biais de validations à vue. • ► Un certificat s’obtient par Internet depuis le site de thawte. • ► thawte ne fait payer aucun frais pour la fourniture d’un certificat personnel.

31. Comment devenir un notaire thawte ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Un notaire thawte n’est pas un notaire dans le sens légal du terme. • ► Pour devenir un notaire thawte il n’est pas nécessaire d’avoir une qualification formelle. Certificat personnel+100 points= Notaire thawte

32. Le système de points du WOT Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Selon son expérience, un notaire WOT attribue de 10 à 35 points à une personne lorsqu’il établi son identité. Si le notaire à moins de 21 ans il ne peut attribuer que 10 points. • ► Lorsqu’un porteur de certificat personnel de type Freemail a obtenu 50 points, il peut demander un nouveau certificat portant son nom au lieu de la mention « Freemail member ».

33. Les règles du WOT Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Il est important que les notaires thawte et les membres du WOT suivent des règles afin d’assurer un haut niveau de crédibilité aux informations enregistrées dans les certificats. • ► Les règles : Voir la personne à laquelle des points sont attribués, Voir les documents d’identification et leurs copies, Conserver les copies des documents d’identification, Signer et conserver les demandes d’attribution de points, Confidentialité, Frais d’assertion, Responsabilité, Points attribuables

34. Possibilité d’authentification à distance Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • ► Pour 25,00 $, thawte accepte et valide les identités certifiées par deux professionnels : banquier, avocat ou expert comptable. La procédure est alors la suivante : • 1) Télécharger et imprimer 4 exemplaires du formulaire thawte, • 2) Fournir 2 exemplaires du formulaire et 2 documents officiels avec copies à chaque notable qui doit les remplir en présence du demandeur et les conserver 31 jours, • 3) Le demandeur doit poster les copies des formulaires remplis avec les copies de ses documents officiels à thawte, • 4)thawte vérifiera les documents avant d’attribuer 100 points.

35. Conclusion Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Authentification+Cryptage + Autorité de Certification = Confiance Origine établie+Contenu sécurisé + Existence certifiée = Confiance • Les certificats sont peu utilisés alors que paradoxalement de forts besoins de sécurité et de confidentialité sont exprimés. • Le coût et la technicité n’étant pas à mettre en cause, il faut probablement faire découvrir ces procédés au plus grand nombre.

36. Ressources Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Microsoft Developer Network http://msdn.microsoft.com/security/ • RSA Data Security http://www.rsasecurity.com/ • British Telecommunications Group http://www.btplc.com/ • GlobalSign http://www.globalsign.net/ • Thawte http://www.thawte.com/ • VeriSign http://www.verisign.com/

37. Questions ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Learning without thought is labor lost. • -- Confucius

38. Merci à toutes et à tous pour votre attention ! Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 • Suite de la journée, après une pause de 15 minutes ... • 11h15 -12h15 : • ►Longhorn animé par Christian-Pierre BelinAmphi Mira (bâtiment Cristal) • ►Exemples d’applications .Net animé par Patrice Lamarche, Lucas Riedberger et Nicolas SorelSalle Rio (bâtiment Papillon) • ►Yukon animé par Pascal BelaudSalle Le Cap (bâtiment Papillon) • ►Opportunités sur Office online animé par Jérôme MoreelsSalle Sydney (bâtiment Papillon)