S/MIME dans les courriels d’entreprise

Les extensions de courrier Internet sécurisé et polyvalent sont une norme de chiffrement à clé publique et de signature des données MIME, le format utilisé pour le courrier électronique. Contrairement à PGP, S/MIME utilise des certificats X.509 délivrés par des autorités de certification plutôt qu’un réseau de confiance. Cette solution est intégrée à la plupart des clients de messagerie d’entreprise, ce qui facilite son déploiement dans les environnements administrés.

PGP repose sur l’échange manuel et l’approbation des clés publiques. S/MIME repose sur des certificats qui associent une clé publique à une adresse électronique et qui sont signés par un CA de confiance. Le CA atteste l’identité du titulaire du certificat. Si vous faites confiance au CA, vous faites automatiquement confiance aux certificats qu’il a délivrés, ce qui évite de vérifier chaque clé individuellement.

Vous pouvez obtenir des certificats S/MIME personnels auprès de CA commerciaux tels que Sectigo ou DigiCert, parfois gratuitement pour un usage personnel. Le CA vérifie que vous contrôlez l’adresse électronique avant de délivrer le certificat. Le fichier obtenu contient votre certificat (clé publique) ainsi que votre clé privée. Le certificat est ensuite importé dans votre client de messagerie.

Microsoft Outlook prend nativement en charge S/MIME sous Windows et peut être configuré pour signer ou chiffrer automatiquement tous les courriels sortants une fois qu’un certificat est installé. Apple Mail sous macOS et iOS prend également S/MIME en charge nativement, en affichant des icônes de cadenas pour les messages chiffrés et des icônes en forme de ruban pour les messages signés. Aucun module d’extension n’est nécessaire dans l’un ou l’autre client.

S/MIME prend en charge deux opérations indépendantes. Une signature numérique joint une preuve cryptographique que le message provient bien de l’expéditeur indiqué et qu’il n’a pas été modifié. Le chiffrement brouille le corps du message afin que seul le destinataire puisse le lire. Vous pouvez signer sans chiffrer, chiffrer sans signer, ou effectuer les deux opérations. La plupart des déploiements d’entreprise exigent au minimum une signature.

Lorsque vous signez un courriel avec S/MIME, votre client de messagerie utilise votre clé privée pour créer une signature sur le hachage du message. Le client du destinataire vérifie la signature à l’aide de la clé publique contenue dans votre certificat et confirme que le certificat a été délivré par un CA de confiance. Une signature valide indique au destinataire que le message provient bien de votre adresse électronique et qu’il n’a pas été altéré.

Pour envoyer un courriel S/MIME chiffré, vous avez besoin du certificat du destinataire, plus précisément de sa clé publique. Les destinataires partagent généralement leur certificat en vous envoyant d’abord un courriel signé, après quoi votre client de messagerie enregistre automatiquement leur certificat. Sans le certificat du destinataire enregistré, le chiffrement est impossible, ce qui constitue une difficulté courante lors du déploiement.

Les grandes organisations gèrent souvent leur propre autorité de certification interne à l’aide de Microsoft Active Directory Certificate Services ou d’un système similaire. Le CA interne délivre automatiquement des certificats S/MIME à tous les employés par l’intermédiaire de la stratégie de groupe. Tous les ordinateurs de l’entreprise font confiance par défaut au CA interne, ce qui permet de chiffrer et de signer les courriels de manière transparente au sein de l’organisation, sans coûts liés à un CA externe.

S/MIME utilise un modèle hiérarchique de confiance fondé sur des CA, tandis que PGP utilise un réseau de confiance décentralisé. Les certificats S/MIME contiennent des métadonnées d’identité vérifiées par le CA ; les clés PGP contiennent les informations que leur propriétaire leur attribue. S/MIME convient mieux aux environnements d’entreprise administrés ; PGP est plus flexible pour les utilisateurs indépendants. Les deux offrent une robustesse cryptographique équivalente lorsqu’ils sont correctement configurés.

S/MIME s’intègre directement à Outlook, Exchange et Active Directory, sans logiciel supplémentaire. Les services IT peuvent automatiser l’émission et le renouvellement des certificats. Les cadres de conformité comme HIPAA et les réglementations financières font souvent référence explicitement à S/MIME. PGP nécessite l’installation de modules d’extension, la gestion d’un trousseau de clés et la formation des utilisateurs au réseau de confiance, ce qui complique son déploiement à grande échelle.

S/MIME chiffre le corps du message, mais pas la ligne d’objet, qui reste en clair. Les messages chiffrés ne peuvent pas être recherchés ni filtrés par le serveur de messagerie. Si vous perdez votre clé privée, les courriels chiffrés archivés deviennent définitivement illisibles. Le séquestre des clés par le CA de l’organisation est courant pour éviter les pertes de données, mais il crée un tiers qui a accès à tous les courriels chiffrés.

Que devez-vous obtenir avant de pouvoir envoyer un courriel S/MIME chiffré à un collègue ?

S/MIME fournit le chiffrement des courriels et des signatures numériques au moyen de certificats X.509 provenant de CA de confiance. Il est intégré à Outlook et à Apple Mail, ce qui simplifie son déploiement en entreprise. La signature prouve l’identité de l’expéditeur ; le chiffrement nécessite le certificat du destinataire. Les CA internes permettent l’attribution automatique des certificats à grande échelle. Les lignes d’objet restent non chiffrées dans toutes les implémentations S/MIME.