Signer et crypter ses mails avec Outlook et Outlook Express Bernard Opic MVP for Office Systems - Outlook bernard.opic@media-tips.com Bernard Opic MVP for Office Systems - Outlook bernard.opic@media-tips.com

Authentification + Cryptage Autorité de Certification Présentation ► La confiance et la sécurité dans les tiers sont parmi les problèmes majeurs que pose Internet aujourd’hui. ► Exemple : La majorité des consommateurs sont concernés par la sûreté de leur carte de crédit et de leurs informations personnelles, mais le Web ne leur inspire pas toujours une grande confiance. ► Exemple : Transmettre de l’information confidentielle par e-mail pose également le problème de sa possible analyse par des robots. ► Au travers de la signature et du cryptage des e-mails, nous allons découvrir une des méthodes pour créer plus de confiance sur Internet. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Authentification + Cryptage + Autorité de Certification = Confiance

Réduire les risques : authentifier + crypter ► Dans les transactions de personne à personne, la sécurité repose sur des critères physiques comme voir et toucher des produits, évaluer une marque, ... ► Sur Internet, sans ses critères physiques, il est plus difficile de se faire une opinion sur un tiers. ► Des problèmes récurrents à prendre en compte, parmi lesquels nous trouvons l’usurpation d’identité (Spoofing), l’action non autorisée (fonctionnement détourné par un concurrent ou un client mécontent), la divulgation non autorisée (interception par des hackers) ou l’altération de données (intentionnelle ou accidentelle). ► L’authentification et le cryptage constituent des solutions viables. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Ce qu’il faut savoir sur l’authentification ► L’établissement d’une identité passe par la mise en oeuvre de processus de vérification de l’existence des personnes physiques et morales, c’est le rôle des tiers de confiance. ► La gestion de l’accréditation est formalisée par la délivrance d’un certificat de serveur, signé par une autorité de certification (CA). ► Le fonctionnement de l’authentification repose sur l’exploitation de clés publiques, de certificats numériques et de clés privées. ► Un certificat d’authenticité confirme la réalité physique d’un tiers, auquel on peut par exemple se fier pour faire un acte de commerce ou déléguer la transmission d’une information sensible. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Le rôle des autorités de certification (CA) ► Un administrateur génère une demande d’émission de certificat, qui retourne deux clés cryptées : une privée et une publique. ► L’administrateur système envoi la clé publique à une CA, qui détient une clé de signature cryptographique racine servant à signer les clés publiques délivrées à des tiers ainsi que la clé publique de la CA elle-même. Une clé de signature cryptographique racine est une information cruciale qui doit être protégée par les meilleures technologies de sécurisation. ► Lorsque la CA a validé la demande de signature, elle renvoie la clé publique signée à l’administrateur système qui la stocke sur son ordinateur. ► Un couple clé publique / clé privée permet de valider un certificat. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Qu’est ce que le cryptage ? ► Le cryptage est une technologie de sécurisation qui protège la confidentialité de données transmises, sans garantir l’authenticité. ► Le cryptage est important car il augmente la sécurité des transmissions en réduisant les risques d’interception de contenu. ► Pour crypter un e-mail, l’expéditeur doit disposer du certificat de serveur du destinataire car il contient sa clé publique. Le certificat peut être obtenu par extraction d’un e-mail signé et envoyé au préalable par le destinataire. ► Pour décrypter un e-mail, le destinataire doit disposer de sa clé privée, il convient donc de la sauvegarder par précaution.

Comment vérifier l’authenticité d’un certificat ? ► Pour vérifier l’authenticité d’un certificat, vous pouvez tout simplement utiliser le gestionnaire de certificats numériques intégré à Internet Explorer. ► Question : Qui sont toutes ces sociétés à qui Microsoft nous demande de faire confiance implicitement en installant automatiquement leurs certificats pendant l’installation de Windows ? ► Question : Avez-vous une idée de ce que coûte le titre CA ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Bénéfice pour les utilisateurs ► Les utilisateurs de certificats assurent leurs correspondants de l’origine d’un message lorsqu’il est signé et de sa sûreté lorsqu’il est crypté. ► L’utilisation systématique et généralisé des certificats pour signer les e-mails pourrait être une des mesures visant à éradiquer le SPAM. ► La délivrance de certificats est un service qui ne vaut que par la qualité des CA qui les délivrent et comme tout service, il peut avoir un prix variant avec ses fonctionnalités. ► Nous verrons que même si la fourniture de certificats est majoritairement une activité commerciale, il est possible de se procurer un certificat fiable et gratuit. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

À quoi ressemble un certificat personnel ? ► Un certificat personnel contient votre adresse e-mail. Cette information est la seule information que la CA (ici thawte) peut vérifier en vous envoyant un e-mail auquel vous devez répondre. ► Pour être sur que le certificat est transmis à la bonne personne, vous devez récupérer votre certificat depuis le même ordinateur que celui depuis lequel vous avez fais la demande, en utilisant un ID et un mot de passe générés pendant l’enregistrement. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Quelques acronymes à connaître ... ► X.509 Contenu standard de certificat. ► ASN.1 (Abstract Syntax Notation) Description exacte du certificat, il assure que les données reçues sont identiques aux données envoyées. ► Base 64 et DER (Distinguished Encoding Rules) Codage physique de certificat. ► PKCS (Public Key Cryptography Standards) #1 ... # 15 * PKCS #7 : Cryptographic Message Syntax Standard * PKCS #10 : Certification Request Syntax Standard Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Quelques acronymes à connaître ► RSA (Rivest, Shamir, and Adelman ) Data Security, Inc Principale société qui développe de signature de clés publiques . ► MD5 et SHA1 Algorithmes utilisés pour la signature des clés incluses dans les certificats. ► DES (Data Encryption Standard) Algorithme de cryptage symétrique utilisé dans les certificats. Il repose sur une clé de 56 bits et une méthode de codage de bloc, qui fractionne les textes en blocs de 64 bits pour les crypter. ► 3DES : Triple DES (3DES) Algorithme de cryptage itérant 3 fois DES, plus lent mais plus sur. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Secure Multipurpose Internet Mail Extensions ► S/MIME est une méthode répandue basée sur le standard MIME. Elle sert à transmettre des données binaires par Internet. ► Lors de l’envoi, MIME code les données binaires sous forme de texte ASCII. ► À la réception, MIME décode les données ASCII pour leur redonner leur format initial. ► S/MIME ajoute les fonctions de signature et de cryptage des données formatées par MIME. Comme dans le cas de MIME, le format est identifié par un en-tête transmis dans l’e-mail. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Comment obtenir un certificat ? ► Suivre les conseils de Microsoft pour choisir une CA, parmi les quelles figure thawte, que nous prendrons comme exemple. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Outils / Options... / Sécurité

Authentifier et sécuriser ses e-mails avec thawte ► thawte est une société qui propose des certificats personnels gratuits. ► Un certificat personnel permet de signer et de crypter des e-mails. ► Les certificats thawte sont acceptés par la majorité des clients de messagerie intégrant le standard S/MIME (Microsoft, Netscape, Novell, IBM, ...). ► Rappel :S/MIME a été adopté comme standard de sécurité par la plupart des acteurs dans le domaine de la messagerie électronique. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Application à Outlook Express 6 Démo Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Utilisation des certificats pour signer et crypter des e-mails depuis Outlook Express 6.

Choix d’une compte d’e-mail (identité) Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Outils / Comptes... / Courrier / Propriétés Cliquer sur l’onglet Sécurité pour sélectionner le certificat.

Sélection d’un certificat (identificateur numérique) Choisir le certificat parmi ceux qui sont affichés, sachant que seuls les certificats contenant l’adresse e-mail de l’identité sélectionnée sont affichés. Cliquer sur Sélectionner...

Configurer le support S/MIME Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Outils / Options... / Sécurité Cliquer sur Sélectionner... Choisir ses options.

Envoyer un messages signé Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Pour envoyer un message signé, il suffit de cocher une option de l’e-mail. Outils / Options... Un message signé porte le logo

Quelques nouveautés Lorsque vous envoyez l’e-mail, vous devez autoriser l’API cryptographique à accéder à votre magasin de clés privée. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Le destinataire est informé qu’il reçoit un message signé.

Récupérer le certificat d’un correspondant ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Un clic droit permet d’accéder au certificat ... Cliquer sur Afficher les certificats...

Récupérer le certificat d’un correspondant À partir de la fenêtre de certificats, on peut consulter les différentes informations qu’il contient. Pour conserver le certificat de l’expéditeur, il suffit de l’enregistrer dans le carnet d’adresse. Ce certificat pour ensuite être utilisé pour crypter un message à envoyer à son expéditeur. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Envoyer un message crypté Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Pour envoyer un message signé, il suffit de cocher une option de l’e-mail. Outils / Options... Un message signé porte le logo

Démo Application à Outlook 2003 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Utilisation des certificats pour signer et crypter des e-mails depuis Outlook 2003.

Configurer S/MIME ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 À la différence d’Outlook Express, il n’est pas nécessaire de sélectionner un compte de mail pour y associer un certificat. Outlook sait mettre en correspondance un compte d’e-mail utilisé pour envoyer un message avec le certificat contenant approprié. Outils / Options... / Sécurité

Configurer S/MIME ... Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Une fois que le certificat est choisi, on peut paramétrer S/MIME et par exemple, changer l’algorithme de hachage de la signature, qui n’est pas modifiable dans Outlook Express.

Envoyer des messages signés et cryptés Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Dès que l’on à installé un certificat, on signe un message d’un seul clic sur un bouton. Si on dispose du certificat d’un tiers, un autre clic suffit pour crypter le message.

En bref, les avantages et les inconvénients + Les technologies de signature et de cryptage, bien que complexes, sont très simple à utiliser dans les clients de messagerie de Microsoft. + Un certificat permettant de signer et de crypter les e-mails peut être obtenu, révoqué et régénéré gratuitement. + Internet devient un media sûr pour faire transiter des informations confidentielles, y compris par les particuliers. - Peu de personnes connaissent et utilisent les certificats, il faut faire la promotion de ces technologies. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Qu’est ce que le thawte Web of Trust (WOT) ? ► Le thawte Web of Trust un système de certification communautaire, permettant de valider des identités. ► Le thawte WOT est une adaptation du modèle PGP (Pretty Good Privacy) Web of Trust dont il diffère par son principe de points. ► Les employés de thawte ont initié la communauté. Ils attribuaient 100 points aux personnes dont ils établissaient l’identité sur la base d’un document officiel avec photo, en conservant une copie. ► Dans le système thawte WOT, lorsqu’une personne dispose de 100 points, elle peut devenir notaire et bénéficier de suffisamment de crédit pour distribuer des points aux personnes qu’elle authentifie. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Comment faire partie du WOT ? ► Pour faire partie du thawte WOT, il faut avoir un certificat personnel émis par thawte. ► Les porteurs d’un certificat personnel thawte peuvent augmenter leur niveau d’authentification, par le biais de validations à vue. ► Un certificat s’obtient par Internet depuis le site de thawte. ► thawte ne fait payer aucun frais pour la fourniture d’un certificat personnel. Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Comment devenir un notaire thawte ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 ► Un notaire thawte n’est pas un notaire dans le sens légal du terme. ► Pour devenir un notaire thawte il n’est pas nécessaire d’avoir une qualification formelle. Certificat personnel + 100 points = Notaire thawte

Le système de points du WOT Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 ► Selon son expérience, un notaire WOT attribue de 10 à 35 points à une personne lorsqu’il établi son identité. Si le notaire à moins de 21 ans il ne peut attribuer que 10 points. ► Lorsqu’un porteur de certificat personnel de type Freemail a obtenu 50 points, il peut demander un nouveau certificat portant son nom au lieu de la mention « Freemail member ». Nouveau notaire 10 points Après 5 assertions 10 points Après 10 assertions 20 points Après 15 assertions 25 points Après 25 assertions 30 points Après 35 assertions 35 points

Les règles du WOT Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 ► Il est important que les notaires thawte et les membres du WOT suivent des règles afin d’assurer un haut niveau de crédibilité aux informations enregistrées dans les certificats. ► Les règles : Voir la personne à laquelle des points sont attribués, Voir les documents d’identification et leurs copies, Conserver les copies des documents d’identification, Signer et conserver les demandes d’attribution de points, Confidentialité, Frais d’assertion, Responsabilité, Points attribuables

Possibilité d’authentification à distance Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 ► Pour 25,00 $, thawte accepte et valide les identités certifiées par deux professionnels : banquier, avocat ou expert comptable. La procédure est alors la suivante : 1) Télécharger et imprimer 4 exemplaires du formulaire thawte, 2) Fournir 2 exemplaires du formulaire et 2 documents officiels avec copies à chaque notable qui doit les remplir en présence du demandeur et les conserver 31 jours, 3) Le demandeur doit poster les copies des formulaires remplis avec les copies de ses documents officiels à thawte, 4) thawte vérifiera les documents avant d’attribuer 100 points.

Conclusion Authentification + Cryptage + Autorité de Certification = Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Authentification + Cryptage + Autorité de Certification = Confiance Origine établie + Contenu sécurisé + Existence certifiée = Confiance Les certificats sont peu utilisés alors que paradoxalement de forts besoins de sécurité et de confidentialité sont exprimés. Le coût et la technicité n’étant pas à mettre en cause, il faut probablement faire découvrir ces procédés au plus grand nombre.

Ressources Microsoft Developer Network http://msdn.microsoft.com/security/ RSA Data Security http://www.rsasecurity.com/ British Telecommunications Group http://www.btplc.com/ GlobalSign http://www.globalsign.net/ Thawte http://www.thawte.com/ VeriSign http://www.verisign.com/ Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2

Questions ? Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Learning without thought  is labor lost. -- Confucius

Merci à toutes et à tous pour votre attention ! Suite de la journée, après une pause de 15 minutes ... 11h15 -12h15 : ► Longhorn animé par Christian-Pierre Belin Amphi Mira (bâtiment Cristal) ► Exemples d’applications .Net animé par Patrice Lamarche, Lucas Riedberger et Nicolas Sorel Salle Rio (bâtiment Papillon) ► Yukon animé par Pascal Belaud Salle Le Cap (bâtiment Papillon) ► Opportunités sur Office online animé par Jérôme Moreels Salle Sydney (bâtiment Papillon) Titre2 Titre2 Titre2 Titre2 Titre2 Titre2 Titre2