Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

  1. #1
    Chroniqueur Actualités

    Homme Profil pro
    Administrateur de base de données
    Inscrit en
    mars 2013
    Messages
    4 736
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Canada

    Informations professionnelles :
    Activité : Administrateur de base de données

    Informations forums :
    Inscription : mars 2013
    Messages : 4 736
    Points : 123 291
    Points
    123 291
    Par défaut Thunderbird 78 va ajouter un support au standard OpenPGP
    Thunderbird 78 va ajouter une fonctionnalité intégrée pour le chiffrement de courriels
    et les signatures numériques à l'aide du standard OpenPGP

    Le projet Thunderbird a annoncé que pour la future version de Thunderbird 78, prévue pour l'été 2020, il va ajouter une fonctionnalité intégrée pour le chiffrement des courriels et les signatures numériques à l'aide du standard OpenPGP. Cette nouvelle fonctionnalité remplacera le module complémentaire Enigmail, qui continuera d’être pris en charge jusqu’à la fin de vie de Thunderbird 68, qui est prévue pour l’automne 2020.

    Concernant le courrier électronique chiffré dans Thunderbird, rappelons que deux technologies populaires existent, qui prennent en charge le chiffrement de bout en bout et les signatures numériques dans le courrier électronique. Thunderbird offre une prise en charge intégrée de S / MIME depuis de nombreuses années et continuera de le faire.

    Le module complémentaire Enigmail a rendu possible l’utilisation de Thunderbird avec le logiciel externe GnuPG pour la messagerie OpenPGP. Étant donné que les types de modules complémentaires pris en charge dans Thunderbird changeront avec la version 78, la branche actuelle de Thunderbird 68.x (maintenue jusqu'à l'automne 2020) sera la dernière pouvant être utilisée avec Enigmail.

    Nom : thunder.png
Affichages : 1418
Taille : 22,6 Ko

    Thunderbird 78 offrira une assistance aux utilisateurs d’Enigmail pour la migration des clés et paramètres existants.

    Pour y parvenir, l'équipe a bénéficié de la collaboration de Patrick Brunschwig, développeur de longue date d’Enigmail, qui a proposé de travailler avec l’équipe Thunderbird sur OpenPGP. À propos de ce changement, Patrick avait ceci à dire : « Mon objectif a toujours été de prendre en charge OpenPGP dans le produit de base Thunderbird. Même si cela mettra fin à une longue histoire, après 17 ans de travail sur Enigmail, je suis très heureux de ce résultat ».

    Les utilisateurs qui n’ont pas utilisé Enigmail auparavant devront choisir d’utiliser la messagerie OpenPGP, car le chiffrement ne sera pas activé automatiquement. Cependant, Thunderbird 78 aidera les utilisateurs à découvrir la nouvelle fonctionnalité.

    Afin de promouvoir une communication sécurisée, Thunderbird 78 encouragera l’utilisateur à confirmer les clés utilisées par les correspondants, à l’informer de tout changement inopiné et à proposer une assistance pour résoudre le problème.

    Il n’est pas décidé si Thunderbird 78 prendra en charge les confirmations de propriété de clé indirectes utilisées dans le modèle Web of Trust (WoT), ou dans quelle mesure. Toutefois, le partage des confirmations de propriété de clé effectuées par l'utilisateur (signatures de clé) et l'interaction avec les serveurs de clés OpenPGP doivent être possibles.

    Objectif principal

    L'objectif principal est de pouvoir envoyer un courrier électronique chiffré, signé numériquement, déchiffrer le courrier électronique reçu, vérifier l'exactitude du courrier électronique signé numériquement et de fournir cette fonctionnalité de manière sécurisée, compatible, interopérable et conviviale. L'équipe considère le chiffrement et les signatures numériques comme des fonctionnalités pouvant être utilisées conjointement ou indépendamment. Lors de l'envoi d'un courrier électronique, les utilisateurs doivent pouvoir choisir eux-mêmes les fonctionnalités qu'ils souhaitent utiliser et lors de la réception d'e-mails, il doit être possible de déterminer lequel de ces mécanismes de protection a été utilisé.

    Nom : open.png
Affichages : 1395
Taille : 114,5 Ko

    Moteur OpenPGP

    Thunderbird ne peut pas intégrer le logiciel GnuPG en raison de licences incompatibles (MPL version 2.0 vs GPL version 3+). Au lieu de compter sur les utilisateurs pour obtenir et installer des logiciels externes tels que GnuPG ou GPG4Win, l'équipe a manifesté son intention d'identifier et d'utiliser une bibliothèque compatible alternative, et de la distribuer avec Thunderbird sur toutes les plateformes prises en charge.

    En conséquence de la non-utilisation de GnuPG, plusieurs aspects liés à la messagerie OpenPGP fonctionneront probablement différemment de ceux de la solution Enigmail d’aujourd’hui. L'équipe voudrait identifier et utiliser une autre bibliothèque existante qui prend en charge la création et le traitement des messages OpenPGP, et elle avance qu'elle va essayer de réutiliser des parties d’Enigmail qui ne sont pas spécifiques à GnuPG. Cependant, elle va devoir repenser plusieurs aspects, de l'interface utilisateur aux modèles de confiance, à la gestion et à l'échange de clés.

    Stockage de clés

    Pour traiter les messages OpenPGP, GnuPG stocke les clés secrètes, les clés publiques des correspondants et les informations de confiance des clés publiques dans son propre format de fichier. Thunderbird 78 ne réutilisera pas le format de fichier GnuPG, mais implémentera plutôt son propre stockage pour les clés et la confiance.

    Les utilisateurs qui possèdent déjà des clés secrètes issues de leur utilisation précédente d’Enigmail et de GnuPG et qui souhaitent réutiliser leurs clés secrètes existantes devront transférer leurs clés vers Thunderbird 78. Sur les systèmes sur lesquels GnuPG est installé, les utilisateurs se verront proposer une assistance d'importation.

    Les clés secrètes gérées par GnuPG sont généralement protégées par une phrase secrète. En utilisant le stockage de clés interne de Thunderbird, la fonction de mot de passe principal pourrait être réutilisée pour protéger les clés OpenPGP de la même manière qu’elle peut déjà être utilisée pour protéger les informations de connexion et les clés utilisées pour S / MIME. Cela pourrait vous éviter d'avoir à retenir des mots de passe distincts pour chaque clé OpenPGP.

    Vérification de la propriété des clés

    La messagerie chiffrée de bout en bout doit être protégée contre les attaques de type MITM. En arrière-plan, une clé utilisée pour la messagerie OpenPGP est composée de chiffres et de méta-informations, notamment d'informations sur le propriétaire présumé. Étant donné que n'importe qui peut facilement créer une nouvelle clé aléatoire avec de fausses métadonnées, il est nécessaire d'obtenir la confirmation de la propriété de la clé auprès du propriétaire présumé pour pouvoir utiliser OpenPGP en toute sécurité.

    La confirmation directe qu'une clé appartient bien au prétendu propriétaire nécessite une communication hors bande. Par exemple, il est possible de calculer une somme de contrôle courte pour les nombres contenus dans une clé OpenPGP. Le terme « fingerprint » (dans le cas d'espèce empreinte numérique) est souvent utilisé pour décrire cette somme de contrôle. Lors de réunions en personne, les personnes peuvent échanger les empreintes numériques de leurs clés OpenPGP sur du papier. Si la voix de l'autre personne est connue, un appel téléphonique peut également être utilisé pour échanger l'empreinte numérique. Le fait de vérifier que l’empreinte numérique affichée sur l’ordinateur est identique à celle obtenue du partenaire de communication confirme la propriété de la clé.

    Une fois qu'Alice a confirmé l'authenticité de la clé publique de Bob, Alice doit créer un enregistrement permanent qui le note. L’approche habituelle est qu’Alice utilise sa propre clé pour signer numériquement la clé publique de Bob (y compris ses méta-informations). Lorsque vous utiliserez la clé de Bob ultérieurement, le logiciel utilisé par Alice remarquera la signature et pourra traiter la clé de Bob comme confirmée.

    Thunderbird 78 devrait continuer à offrir ce mécanisme. La bibliothèque OpenPGP devant être utilisée par Thunderbird 78 devrait prendre en charge la signature numérique de clés publiques. (Alternativement, Thunderbird 78 devra mémoriser les informations sur les confirmations réussies séparément).

    Nom : public.png
Affichages : 1367
Taille : 83,6 Ko

    Partage de clés

    Les utilisateurs d'OpenPGP partagent souvent leurs confirmations de clé avec d'autres, en publiant des clés signées sur des répertoires de clés (serveurs de clés). GnuPG et Enigmail permettent à la fois de faire un upload mais aussi un download sur des serveurs de clés, d’obtenir les clés d’autres personnes et de connaître les confirmations de clés effectuées par d’autres.

    Malheureusement, l'équipe Thunderbird a récemment constaté une augmentation des inquiétudes concernant le modèle de serveur de clés OpenPGP classique, en raison de la manière dont ils peuvent être circonvenus, ce qui a déjà causé des problèmes de stabilité et de disponibilité. De nouveaux mécanismes de partage de clés sont en cours de développement par la communauté OpenPGP, tels que Autocrypt, WKD et une nouvelle génération de serveurs de clés tels que Hagrid. Bien que les mécanismes qui seront préférés à l’avenir ne soient pas encore clairs, Thunderbird 78 continuera probablement à prendre en charge les interactions de serveur clé, en plus du mécanisme trivial d’envoi et de réception de clés OpenPGP sous forme de pièces jointes.

    Sur les systèmes sur lesquels GnuPG est installé, il est peut-être possible de proposer une importation assistée pour les clés publiques de correspondants préalablement obtenues et stockées à l’aide de GnuPG. Dans le cadre de cette importation, les confirmations de propriété de clé doivent également être importées.

    Souvent, la confirmation de la propriété des clés par une interaction humaine directe est considérée comme irréalisable. Une alternative est la vérification indirecte. Bob aurait peut-être signé la clé de David. Mais Alice fait-elle confiance à Bob pour confirmer la propriété clé d’autres personnes ? Le logiciel GnuPG permet à Alice de décider et de configurer si elle considère que Bob est digne de confiance pour confirmer la propriété clé d’autres personnes. Le logiciel GnuPG implémente des règles qui peuvent permettre à un certain nombre de confirmations indirectes, incertaines, d'être considérées comme équivalentes à une confirmation par clé directe. En combinant les confirmations d'Alice avec les informations trouvées dans d'autres clés, généralement extraites de serveurs de clés, GnuPG pourrait automatiquement traiter la clé de David comme confirmée. Ce mécanisme et l'ensemble de toutes les confirmations trouvées sur les clés sont généralement décrits comme le Web of Trust.

    Il n’est actuellement pas décidé si Thunderbird 78 sera en mesure de réutiliser les configurations de confiance établies à l’aide des logiciels Enigmail et GnuPG. L'équipe ne sait pas non plus si Thunderbird 78 implémentera le modèle Web of Trust pour les confirmations indirectes.

    Pour résumer les paragraphes précédents, Thunderbird 78 nécessitera probablement une vérification de la propriété directe afin de traiter un message OpenPGP utilisant cette clé comme entièrement sécurisé. Il n’est pas décidé si un équivalent pour la confirmation indirecte, tel que l’utilisation de Web Of Trust, permettra également de traiter les clés comme étant totalement sécurisées.

    Source : Mozilla

    Et vous ?

    Utilisez-vous Thunderbird ? Qu'en pensez-vous ?
    Que pensez-vous de ce choix technologique ?
    Allez-vous en faire usage ?

    Voir aussi :

    Thunderbird 68.0 est disponible en téléchargement, le client de messagerie s'accompagne de nombreuses nouveautés et corrections de bogues
    Thunderbird présente ses plans pour 2019 : remédier aux problèmes de performances, améliorer l'intégration, faciliter le chiffrement
    Thunderbird 60.0 : le client de messagerie libre fait peau neuve avec le design Photon de Firefox, et supporte la norme d'authentification FIDO U2F
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre averti
    Femme Profil pro
    Inscrit en
    juillet 2012
    Messages
    100
    Détails du profil
    Informations personnelles :
    Sexe : Femme
    Localisation : Italie

    Informations forums :
    Inscription : juillet 2012
    Messages : 100
    Points : 351
    Points
    351
    Par défaut
    Très bien de l'avoir integré

  3. #3
    Membre éprouvé

    Homme Profil pro
    Écrivain public, Économiste et Programmeur Free Pascal
    Inscrit en
    août 2005
    Messages
    284
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 43
    Localisation : France, Ille et Vilaine (Bretagne)

    Informations professionnelles :
    Activité : Écrivain public, Économiste et Programmeur Free Pascal
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : août 2005
    Messages : 284
    Points : 1 072
    Points
    1 072
    Billets dans le blog
    40
    Par défaut
    Reste à avoir un matériel adéquate.

  4. #4
    Membre actif
    Profil pro
    curiosité
    Inscrit en
    novembre 2003
    Messages
    103
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : curiosité

    Informations forums :
    Inscription : novembre 2003
    Messages : 103
    Points : 265
    Points
    265
    Par défaut
    Pour l'utilisateur final et pour de la correspondance ordinaire ce sera plus pratique.

    Quoique, si je devais envoyer un truc vraiment secret, j'utiliserais quand même GnuPG , nu et en console et avec du texte brut.
    Je trouve que depuis la faille E-Fail l'assemblage thunderbird + gnupg + enigmail offrent beaucoup de surface d'attaque. peut être qu'en intégrant tout, y'en aura moins ; peut être que ce sera pire... GnuPG a l'avantage d'être un projet très ancien et (j'espère) assez suivi pour que l'implémentation soit excellente.
    Qui vraiment vérifie les diverses autres implémentations ?

    Mozilla dit :
    We intend to identify and use another existing library that provides support for creating and processing OpenPGP messages, and we will try to reuse parts of Enigmail that aren’t specific to GnuPG.
    Apparemment, ça veut dire que leur projet est encore assez flou. peut être vont-ils utiliser OpenPGP.js de protonmail, ou autre ? mais qui a les moyens de créer et maintenir un librairie aussi sûre et riche que GnuPG ? Ce problème de licence est vraiment regrettable.

  5. #5
    Membre confirmé
    Homme Profil pro
    Développeur .NET
    Inscrit en
    janvier 2011
    Messages
    201
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 29
    Localisation : Suisse

    Informations professionnelles :
    Activité : Développeur .NET

    Informations forums :
    Inscription : janvier 2011
    Messages : 201
    Points : 497
    Points
    497
    Par défaut
    Citation Envoyé par matthius Voir le message
    Reste à avoir un matériel adéquate.
    Non, ça n'est pas nécessaire. OpenPGP ne repose sur aucune puce cryptographique ou matériel dédié. C'est purement logiciel (avec très certainement une prise en charge de l'accélération matérielle, si disponible).

  6. #6
    Membre averti Avatar de Aizen64
    Profil pro
    Inscrit en
    mai 2007
    Messages
    538
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : mai 2007
    Messages : 538
    Points : 404
    Points
    404
    Par défaut
    J'utilise peut-être une version ancienne pour le boulot mais je trouve que ce client de messagerie est une vraie plaie.

    Le système de recherche de mail n'est pas précis du tout et pas pratique et impossible de faire du cliquer/déposer pour ajouter une pièce jointe, obliger de cliquer sur l’icône pour ajouter une pièce jointe. Pour ajouter plus de 2 destinataire c'est aussi relou.

    Ajouter n destinataires sur Outlook ou Mail sous OS X c'est ultra intuitif.

    Firefox est parfaitement utilisable au quotidien, Thunderbird est moisi niveau UX.
    Exprimer une différence d'opinion vaut mieux que :

  7. #7
    Membre actif
    Profil pro
    curiosité
    Inscrit en
    novembre 2003
    Messages
    103
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations professionnelles :
    Activité : curiosité

    Informations forums :
    Inscription : novembre 2003
    Messages : 103
    Points : 265
    Points
    265
    Par défaut
    Citation Envoyé par Aizen64 Voir le message
    J'utilise peut-être une version ancienne pour le boulot mais je trouve que ce client de messagerie est une vraie plaie.

    Le système de recherche de mail n'est pas précis du tout et pas pratique et impossible de faire du cliquer/déposer pour ajouter une pièce jointe, obliger de cliquer sur l’icône pour ajouter une pièce jointe. Pour ajouter plus de 2 destinataire c'est aussi relou.

    Ajouter n destinataires sur Outlook ou Mail sous OS X c'est ultra intuitif.

    Firefox est parfaitement utilisable au quotidien, Thunderbird est moisi niveau UX.
    ça doit être une version défectueuse car tout cela est possible depuis un moment.
    Pour glisser déposer un fichier en PJ il faut glisser le fichier vers le bandeau qui contient le destinataire.
    Pour ajouter plusieurs destinataires, soit on les saisit puis on termine par entrée, soit on utilise les listes de destinataires si c'est toujours les mêmes.

Discussions similaires

  1. Réponses: 8
    Dernier message: 20/09/2010, 12h43
  2. Ajouter le support du SSL à un programme existant
    Par SuperAllumette dans le forum Réseau
    Réponses: 2
    Dernier message: 10/08/2010, 10h12
  3. [phpToPDF] Ajouter le support d'une nouvelle police
    Par frutix dans le forum Bibliothèques et frameworks
    Réponses: 2
    Dernier message: 28/07/2010, 17h41
  4. ajouter strlcpy à la bibliothèque standard cyg1.7
    Par J4e8a16n dans le forum Bibliothèque standard
    Réponses: 1
    Dernier message: 25/04/2009, 12h23
  5. Comment ajouter le support natif de mysql ?
    Par brennion dans le forum MFC
    Réponses: 2
    Dernier message: 22/03/2005, 21h40

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo