[Tuto] Utiliser gpg pour le chiffrement

Bonjour.

Je vous apporte un petit tutoriel fait à la main pour bien comprendre l'utilisation de Pretty Good Privacy ainsi que de son package linux nommé "gpg".

D'abord, qu'est-ce que PGP et GPG ?

PGP est un logiciel de cryptographie asymétrique qui est considéré comme la référence en matière de sécurité des chiffrements (il se base sur un standart "OpenPGP" qu'on va revoir plus tard).

Malheureusement, "PGP" est placé comme licence propriétaire par symantec depuis un moment, c'est pourquoi on a crée GPG ("GNU Privacy Guard") qui est une implémentation totalement open-source de PGP et c'est ce que nous allons utiliser tout le long de ce tutoriel.

Son utilisation est assez simple à comprendre :
C'est un logiciel de gestion des identités, il permet de se créer un jeu de clé PGP liés à une identité (un mail principalement mais on peut aussi lier un jeu de clé à un site web ou à un compte xmpp par exemple) qui permet de signer un message, de le chiffrer, de déchiffrer des messages qui nous sont destinés et de vérifier des signatures.

L'objectif de PGP est d'arriver à créer un WOT (Web Of Trust) où tout le monde aurais la clé publique de tout le monde et où chacun pourrais communiquer sans crainte de parler à une usurpation ou crainte que ses propos soit repris contre lui.
Bien sur, c'est un peu utopique, mais le système a été conçus de manière à être extrêmement difficile à mettre en défaut si on l'utilise de la bonne façon.

Son fonctionnement

PGP fonctionne grâce à un principe de clé publique et privé définies par la cryptographique asymétrique.

Chaque personne ayant une identité a une clé publique et une clé privée.

Pour comprendre comment fonctionne la cryptographie utilisés je vais utiliser une métaphore très simple.

Citation :Bob veut envoyer un message à Alice.
Bob à une clé publique, une clé privé et il en est de même pour Alice.
Ces clés ouvrent des cadenas.
Bob possède également la clé publique d'Alice et Alice possède la clé publique de Bob.

Bob, pour envoyer son message va procéder de la sorte : il va le mettre dans un coffre et mettre son cadenas publique et privé dessus puis il va l'envoyer.
Alice va recevoir le coffre, enlever le cadenas publique de Bob (puisqu'elle en a la clé) et mettre son cadenas privé à la place, puis elle va renvoyer le coffre à Bob.
Bob va réceptionner à nouveau le coffre, enlever son cadenas privé et mettre son cadenas publique sur le coffre.
Alice va le réceptionner et puisqu'elle a son cadenas privé et le cadenas publique de Bob sur le coffre, elle va pouvoir l'ouvrir avec l'assurance que seul elle et Bob ont pu ouvrir ce coffre.

Si vous avez suivit jusque là, vous avez compris une bonne partie du principe de fonctionnement des transmissions par chiffrement asymétrique.
Mais, il faut bien comprendre une chose, c'est que c'est exemple est un peu imprécis.
En réalité, il existe un procédé mathématique qui permet à Bob d'envoyer le coffre en le chiffrant directement avec le cadenas privé d'Alice sans avoir sa clé.
Ce qui permet donc de faciliter l'échange et faisant un envoie unique.

Si vous avez suivit, vous comprenez donc maintenant qu'il vous suffit d'avoir la clé publique de quelqu'un pour lui envoyer un message privé lisible uniquement par ceux qui possèdent sa clé privé.

Un peu de pratique

Bon, maintenant qu'on a pas mal discutés, passons à la pratique, on commence donc par installer le logiciel :

Ensuite, on va générer nôtre premièré clé :
Normalement, vous allez devoir remplir un ensemble d'information qui vont figurer sur vôtre clé de la sorte :

Citation :$ gpg --gen-key
gpg (GnuPG) 1.4.16; Copyright © 2013 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

gpg: using character set `utf-8'
Please select what kind of key you want:
(1) RSA and RSA (default)
(2) DSA and Elgamal
(3) DSA (sign only)
(4) RSA (sign only)
Your selection? 1
RSA keys may be between 1024 and 4096 bits long.
What keysize do you want? (2048) 4096
Requested keysize is 4096 bits
Please specify how long the key should be valid.
0 = key does not expire
<n> = key expires in n days
<n>w = key expires in n weeks
<n>m = key expires in n months
<n>y = key expires in n years
Key is valid for? (0) 5y
Key expires at lun. 28 juin 2021 17:34:42 CEST
Is this correct? (y/N) y

You need a user ID to identify your key; the software constructs the user ID
from the Real Name, Comment and Email Address in this form:
"Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>"

Real name: richard
Email address: richard@dupont.net
Comment: identité IRL
You are using the `utf-8' character set.
You selected this USER-ID:
"richard (identité IRL) <richard@dupont.net>"

Change (N)ame, ©omment, (E)mail or (O)kay/(Q)uit? O
You need a Passphrase to protect your secret key.

We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.
$.+++++
.....+++++
gpg: writing self signature
gpg: RSA/SHA1 signature from: "1557CE2D [?]"
We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.
...............+++++
+++++
gpg: writing key binding signature
gpg: RSA/SHA1 signature from: "1557CE2D [?]"
gpg: writing key binding signature
gpg: RSA/SHA1 signature from: "1557CE2D [?]"
gpg: writing public key to `/home/<user>/.gnupg/pubring.gpg'
gpg: writing secret key to `/home/<user>/.gnupg/secring.gpg'
gpg: using PGP trust model
gpg: key 9A5ECCEA: accepted as trusted key
gpg: key 9AC66194: accepted as trusted key
gpg: key 1557CE2D: accepted as trusted key
gpg: key 1557CE2D marked as ultimately trusted
public and secret key created and signed.

gpg: checking the trustdb
gpg: 175 keys cached (385 signatures)
gpg: 3 keys processed (2 validity counts cleared)
gpg: 3 marginal(s) needed, 1 complete(s) needed, PGP trust model
gpg: NOTE: signature key 79CE1F5F expired jeu. 04 févr. 2016 04:21:59 CET
gpg: depth: 0 valid: 3 signed: 0 trust: 0-, 0q, 0n, 0m, 0f, 3u
gpg: next trustdb check due at 2017-01-20
pub 4096R/1557CE2D 2016-06-29 [expires: 2021-06-28]
Key fingerprint = 716E 22BC 5FAA B98C CA8D C8D1 6000 8586 1557 CE2D
uid richard (identité IRL) <richard@dupont.net>
sub 4096R/5147969F 2016-06-29 [expires: 2021-06-28]

Par expérience, je vous conseille de sélectionner le type de clé numéro 1 qui vous permettra de signer et de chiffrer assez simplement et le plus sûrement.
Au niveau de la taille 4096 est le mieux car les clé de 1024 bits sont actuellement considérés comme possiblement vulnérables.
Il vaut mieux que vous ne créiez pas de clé sans une date de révocation de la clé (sinon, vous aurez l'air fin quand on pourra signer avec vôtre clé après vôtre mort)...
Pour cela, mettez "10y", ça permettra de rendre vôtre clé inutilisable 10 ans plus tard.

La passphrase est l'une des choses les plus importantes, si quelqu'un peut obtenir vôtre clé privé et cette passphrase, il est en mesure de se faire passer pour vous sans aucun moyen de prouver que vous êtes le vrai propriétaire de cette clé.

Bien, maintenant que vous avez vôtre première clé, apprenons à nous en servir.

Et voilà vous avez signé le message "les pates au beurre, c'est pas si mauvais", maintenant, vous pouvez l'envoyer à tous car le monde doit savoir. Et vous aurez la garantie que toute personne ayant vôtre clé publique pourra vérifier et confirmer sans problème que ce message a bien été écrit par vous et vous seul.

Mais comment vérifier d'ailleurs ?

Aussi simple que ça.
On peut voir d'ailleurs un joli "gpg: Good signature from "richard (identité IRL) <richard@dupont.net>".

Maintenant, voyons comment exporter la clé PGP afin de la donner à tout ceux qui pourraient en avoir besoin.

J'espère que vous commencez à comprendre le fonctionnement.

Je vous donne donc en vrac quelques autres commandes bien utiles, je compléterais en fonction de vos demandes (car il y a tant à dire sur ce logiciel...).

Pour chiffrer :
et pour déchiffrer :

Voilà, si vous avez des questions, n'hésitez pas.