Poutchi !

pouill.eu

Documentation et conseils

Informations générales

Pouill.eu est hébergé en France, et respecte donc la législation française.

Contact

Liens

Des projets qui permettent à Pouill.eu de fonctionner :

Chiffrement des échanges avec Pouill.eu et authentification

Grâce à la nouvelle autorité de certification Let's Encrypt, Pouill.eu possède désormais des certificats signés via une chaîne de confiance acceptée par les navigateurs Web modernes et disponible depuis tout système à jour. Si toute fois les certificats émis par Let's Encrypt ne sont pas acceptés par vos logiciels, la première fois que vous utilisez HTTPS avec Pouill.eu, afin d'identifier le serveur, vous devez accepter son certificat de sécurité. Cette étape nécessitant un bonne compréhension du problème sous-jacent pour être réalisée dans des conditions de sécurité satisfaisante, en cas de doute, contactez les administrateurs de Pouill.eu. Les connections que vous établirez par la suite avec le serveur vérifierons que le certificat n'a pas changé et garantiront que vous vous adressez toujours au même serveur.

Le fonctionnement est le même pour les services de courrier électronique, mais le certificat est différent. Vous devrez donc potentiellement aussi valider un autre certificat dans votre logiciel de messagerie à votre première connexion.

Considérations sur la confidentialité et la sécurité

Mots de passe

Pour vous authentifier sur un serveur (comme Pouill.eu) vous devez lui transmettre un identifiant et un mot de passe. Les protocoles usuels de communication sur internet ne sont pas protégés, c'est à dire que tout ce que vous envoyez peut être intercepté et lu par d'autres personnes sur le réseau, que ce soient votre courrier, les pages que vous visitez ou les fichiers que vous téléchargez.

Si lors de communications, vous transmettez un mot de passe, lui aussi peut être lu, ce qui réduit beaucoup son utilité. Pour préserver la confidentialité des échanges, la plupart des protocoles peuvent être transmis via un canal chiffré. C'est à dire que les ordinateurs communiquent entre eux avec le même langage (celui des courriels, des pages Web ou des transferts de fichier par exemple) mais chiffrent leurs messages de telle sorte que seul le destinataire identifié du message puisse le déchiffrer. Cette sorte de tuyau d'échange privé par chiffrement est appelé SSL. Quand vous envoyez des informations sensibles sur Internet, veillez à toujours utiliser le chiffrement.

Pour savoir si vous utilisez le chiffrement, regardez le nom du protocole utilisé. Par exemple dans un navigateur Web, HTTP est le protocole usuel, et son pendant sécurisé est HTTPS. Le protocole utilisé apparaît au début de l'adresse du site que vous contactez. De même, dans votre logiciel de messagerie activez le chiffrement par SSL (ou TLS qui est un peu différent mais établit lui aussi un canal de discussion sécurisé).

Chaque fois que vous devrez envoyer un mot de passe, Pouill.eu refusera de communiquer avec vous sans chiffrer les informations. Donc rassurez-vous, si ça marche c'est que vos mots de passe sont protégés. Ce n'est pas toujours le cas, certains serveurs ne permettent pas la communication chiffrée ... dans ces cas là prenez un certain recul sur la pertinence des mots de passes qu'ils demandent : tout le monde peut vous entendre quand vous leur transmettez !

Confidentilité de la messagerie

Les courriels ne sont absolument pas confidentiels. Tout courriel qui circule sur Internet est lisible sans protection par tous les intermédiaires par lesquels il transite. C'est la contrepartie numérique de la carte postale. Toute personne qu'elle travaille au tri, l'acheminement ou la livraison du courrier peut lire le contenu d'une carte postale. Il y a toutefois une différence notoire, c'est que dans le monde réel, la Poste est encore (pour le moment) un service assuré de bout en bout par une seule entité en qui l'on peut accepter de faire confiance. Dans le monde numérique, le chemin emprunté par un courriel de l'expéditeur au destinataire est parfois tortueux et peut potentiellement rencontrer un nombre important d'intermédaires.

N'écrivez donc rien de plus dans un courriel que ce que vous écririez sur une carte postale.

Le chiffrement TLS (ou SSL) permet de garantir lors d'une communication que seuls les participants à la communication pourront les lire. Or pour la transmission de courriers, un certain nombre d'intermédiaires devront se passer un à un le message entre l'expéditeur et le destinataire du message. Étant donné que le nombre de ces intermédiaires (et la confiance que l'on peut leur donner) n'est pas maîtrisé par l'expéditeur, peu importe si ces intermédiaires communiquent de façon privée entre eux (ce qu'ils font rarement de toute façon).

C'est le contenu du courrier lui-même qui doit être chiffré. Ainsi les intermédiaires se transmettent un message qu'ils ne peuvent pas comprendre, et seul le destinataire du message est en mesure de le déchiffrer. La protection des courriels n'est donc pas du même type que celle des communications avec un serveur, SSL et TLS sont insuffisants. L'outil GPG permet de chiffrer ses courriels. Pour Mozilla Thunderbird, l'extension Enigmail utilise GPG, et vous permet donc d'échanger des courriels privés : des lettres avec une enveloppe plutôt que des cartes postales.

Signature et certificats

Les outils de chiffrement permettent de garantir la confidentialité des échanges, mais il est inutile de veiller à n'être écouté par aucun tiers, tant qu'il n'y a pas de moyen d'identifier correctement le destinataire.

En effet, en cas de problème (souvent dû à des opérations malveillantes, ces problèmes n'arrivent pas par hasard), l'adresse que vous utilisez pour contacter un serveur ne vous redirige pas vers la bonne machine. Imaginez l'aubaine pour quelqu'un qui arriverait à répondre aux requêtes que vous enoyez au site de votre banque, en vous renvoyant un site qui y ressemblerait assez pour que vous vous mépreniez, il récupérerait toutes vos informations personnelles et vos données bancaires. Le chiffrement permet de s'arranger pour que seul le destinataire voulu puisse lire les informations que vous envoyez, mais dans ce cas vous voulez plutôt vérifier que c'est l'émetteur des informations qui est bien celui en qui vous avez confiance (vous voulez être sûr que le site qui vous est transmis est bien transmis par votre banque).

Pour s'identifier, le serveur utilise un certificat. Ce certificat est la signature du serveur, et chaque fois que vous vous y connectez, vos logiciels doivent vérifier que la signature du serveur est bien celle qu'ils connaissent. Ainsi, un serveur qui n'aurait pas ce certificat ne pourra plus se faire passer pour Pouill.eu.

Vous pouvez utiliser la signature dans vos courriels aussi. GPG (donc Enigmail) le permet. Au lieu de chiffrer les messages, vous pouvez y ajouter une autre sorte de certificat qui garanti que vous en êtes l'auteur et que le destinataire peut donc bien faire confiance au contenu du message. C'est particulièrement utile pour la messagerie, car il est extrêmement aisé d'envoyer un courriel depuis une adresse que l'on ne possède pas.

Accueil de Pouill.eu Pouill.eu