Logiciels de chiffrement
Le chiffrement des données est le seul moyen de contrôler de qui peut y accéder. Si vous n'utilisez pas actuellement de logiciel de chiffrement pour votre disque dur, vos e-mails ou vos fichiers, vous devriez choisir une option ici.
Multi-plateforme¶
Les options répertoriées ici sont multiplateformes et parfaites pour créer des sauvegardes chiffrées de vos données.
Cryptomator (Cloud)¶
Recommendation
Cryptomator est une solution de chiffrement conçue pour enregistrer vos fichiers de manière privée vers n'importe quel fournisseur de cloud. Il vous permet de créer des coffres-forts qui sont stockés sur un disque virtuel, dont le contenu est chiffré et synchronisé avec votre fournisseur de stockage cloud.
Cryptomator utilise le chiffrement AES-256 pour chiffrer les fichiers et les noms de fichiers. Cryptomator ne peut pas chiffrer certaines métadonnées telles que les dates et heures d'accès, de modification et de création, ni le nombre et la taille des fichiers et des dossiers.
Certaines bibliothèques cryptographiques de Cryptomator ont été auditées par Cure53. La portée des bibliothèques auditées comprend: cryptolib, cryptofs, siv-mode et cryptomator-objc-cryptor. L'audit ne s'est pas étendu à cryptolib-swift, qui est une bibliothèque utilisée par Cryptomator pour iOS.
La documentation de Cryptomator détaille sa cible de sécurité, son architecture de sécurité, et ses meilleures pratiques prévues pour une utilisation de manière plus détaillée.
Picocrypt (Fichier)¶
Recommendation
Picocrypt est un outil de chiffrement léger et simple qui fournit un chiffrement moderne. Picocrypt utilise le chiffrement sécurisé XChaCha20 et la fonction de dérivation de clé Argon2id pour assurer un haut niveau de sécurité. Il utilise les modules x/crypto standards de Go pour ses fonctions de chiffrement.
VeraCrypt (Disque)¶
Recommendation
VeraCrypt est un utilitaire gratuit et open source pour le chiffrement de fichiers/dossiers à la volée. Il peut créer un disque virtuel chiffré dans un fichier, chiffrer une partition ou l'ensemble du périphérique de stockage avec une authentification avant le démarrage.
VeraCrypt est un dérivé du projet TrueCrypt, qui a été abandonné. Selon ses développeurs, des améliorations de la sécurité ont été apportées et les problèmes soulevés par l'audit initial du code de TrueCrypt ont été résolus.
Lors du chiffrement avec VeraCrypt, vous avez la possibilité de choisir parmi différentes fonctions de hachage. Nous vous suggérons de seulement sélectionner SHA-512 et de vous en tenir au chiffrement par blocs AES.
Truecrypt a été audité un certain nombre de fois et VeraCrypt a également été audité séparément.
Chiffrement complet du disque du système d'exploitation¶
Les systèmes d'exploitation modernes incluent le Chiffrement de Disque et utiliseront un cryptoprocesseur sécurisé.
BitLocker¶
Recommendation
BitLocker est la solution de chiffrement intégral de volume fournie avec Microsoft Windows. La principale raison pour laquelle nous le recommandons est son [utilisation du TPM] (https://docs.microsoft.com/fr-fr/windows/security/information-protection/tpm/how-windows-uses-the-tpm). ElcomSoft, une entreprise de forensique, a écrit à ce sujet dans Understanding BitLocker TPM Protection.
BitLocker est uniquement pris en charge sur les éditions Pro, Entreprise et Éducation de Windows. Il peut être activé sur les éditions Famille à condition qu'elles remplissent les pré-requis.
Activer BitLocker sur Windows Famille
Pour activer BitLocker sur les éditions "Famille" de Windows, vous devez formater vos partitions avec une Table de Partitionnement GUID et disposer d'un module TPM dédié (v1.2, 2.0+).
-
Ouvrez une invite de commande et vérifiez le format de la table de partition de votre disque à l'aide de la commande suivante. Vous devriez voir "GPT" listé sous "Style de partition" :
powershell Get-Disk -
Exécutez cette commande (dans une invite de commande administrateur) pour vérifier la version de votre TPM. Vous devriez voir
2.0ou1.2listé à côté deSpecVersion:powershell Get-WmiObject -Namespace "root/cimv2/security/microsofttpm" -Class WIN32_tpm -
Accédez à Options de démarrage avancées. Vous devez redémarrer en appuyant sur la touche F8 avant que Windows ne démarre et aller dans l'invite de commande dans Dépannage → Options avancées → Invite de commande.
-
Connectez-vous avec votre compte administrateur et tapez ceci dans l'invite de commande pour lancer le chiffrement:
manage-bde -on c: -used -
Fermez l'invite de commande et continuez le démarrage vers Windows normalement.
-
Ouvrez une invite de commande administrateur et exécutez les commandes suivantes:
``` manage-bde c: -protectors -add -rp -tpm
manage-bde -protectors -enable c: manage-bde -protectors -get c: > %UserProfile%\Desktop\BitLocker-Recovery-Key.txt ```
!!! tip "Conseil"
Sauvegardez le fichier `BitLocker-Recovery-Key.txt` de votre ordinateur de bureau sur un périphérique de stockage distinct. La perte de ce code de récupération peut entraîner la perte de données.
FileVault¶
Recommendation
FileVault est la solution de chiffrement de volume à la volée intégrée à macOS. FileVault est recommandé parce qu'il tire profit de capacités de sécurité matérielle présentes sur un SoC de silicium Apple ou une Puce de Sécurité T2.
Nous recommandons de stocker une clé de récupération locale dans un endroit sûr plutôt que d'utiliser votre compte iCloud pour la récupération.
Linux Unified Key Setup¶
Recommendation
LUKS est la méthode de chiffrement de disque par défaut pour Linux. Elle peut être utilisée pour chiffrer des volumes complets, des partitions ou créer des conteneurs chiffrés.
Créer et ouvrir des conteneurs chiffrés
dd if=/dev/urandom of=/path-to-file bs=1M count=1024 status=progress
sudo cryptsetup luksFormat /path-to-file
Ouvrir des conteneurs chiffrés¶
Nous recommandons d'ouvrir les conteneurs et les volumes avec udisksctl car cela utilise Polkit. La plupart des gestionnaires de fichiers, tels que ceux inclus dans les environnements de bureau les plus courants, peuvent déverrouiller les fichiers chiffrés. Des outils comme udiskie peuvent s'exécuter dans la barre d'état système et fournir une interface utilisateur utile.
udisksctl loop-setup -f /path-to-file
udisksctl unlock -b /dev/loop0
N'oubliez pas de sauvegarder les en-têtes de volume
Nous vous recommandons de toujours sauvegarder vos en-têtes LUKS en cas de panne partielle du lecteur. Cela peut être fait avec :
cryptsetup luksHeaderBackup /dev/device --header-backup-file /mnt/backup/file.img
Basé sur le navigateur¶
Le chiffrement basé sur le navigateur peut être utile lorsque vous avez besoin de chiffrer un fichier, mais que vous ne pouvez pas installer de logiciel ou d'applications sur votre appareil.
hat.sh¶
Recommendation
Hat.sh est une application web qui fournit un chiffrement sécurisé des fichiers dans votre navigateur. Il peut également être auto-hébergé et est utile si vous devez chiffrer un fichier mais que vous ne pouvez pas installer de logiciel sur votre appareil en raison de politiques d'entreprises.
Ligne de commande¶
Les outils dotés d'une interface de ligne de commande sont utiles pour intégrer des scripts shell.
Kryptor¶
Recommendation
Kryptor est un outil gratuit et open source de chiffrement et de signature de fichiers qui utilise des algorithmes cryptographiques modernes et sécurisés. Il vise à être une meilleure version d'age et Minisign pour fournir une alternative simple et facile à GPG.
Tomb¶
Recommendation
Tomb est un outil pour LUKS en ligne de commande shell. Il prend en charge la stéganographie via des outils tiers.
OpenPGP¶
OpenPGP est parfois nécessaire pour des tâches spécifiques telles que la signature numérique et le chiffrage des e-mails. PGP possède de nombreuses fonctionnalités et est complexe car il existe depuis longtemps. Pour des tâches telles que la signature ou le chiffrement des fichiers, nous suggérons les options ci-dessus.
Lorsque vous chiffrez avec PGP, vous avez la possibilité de configurer différentes options dans votre fichier gpg.conf . Nous recommandons de suivre les options standard spécifiées dans la FAQ de l'utilisateur de GnuPG.
Utiliser future-defaults lors de la génération d'une clé
Lorsque vous générez des clés, nous vous suggérons d'utiliser la commande future-default car elle demandera à GnuPG d'utiliser de la cryptographie moderne telle que Curve25519 et Ed25519 :
gpg --quick-gen-key alice@exemple.com future-default
GNU Privacy Guard¶
Recommendation
GnuPG est une alternative sous licence GPL de la suite de logiciels cryptographiques PGP. GnuPG est conforme RFC 4880, qui est la spécification actuelle de l'IETF pour OpenPGP. Le projet GnuPG a travaillé sur une nouvelle ébauche dans le but de moderniser OpenPGP. GnuPG fait partie du projet logiciel GNU de la Free Software Foundation et a reçu un financement majeur du gouvernement allemand.
Téléchargements
GPG4win¶
Recommendation
GPG4win est un paquet pour Windows de Intevation et g10 Code. Il comprend divers outils qui peuvent vous aider à utiliser GPG sous Microsoft Windows. Le projet a été lancé et initialement financé par l'Office Fédéral allemand pour la Sécurité de l'Information (BSI) en 2005.
Téléchargements
GPG Suite¶
À noter
Nous suggérons Canary Mail pour utiliser PGP avec les e-mails sur les appareils iOS.
Recommendation
GPG Suite fournit un support OpenPGP pour Courrier Apple et macOS.
Nous vous recommandons de consulter leurs Premiers pas et leur Base de connaissances pour obtenir de l'aide.
Téléchargements
OpenKeychain¶
Recommendation
OpenKeychain est une implémentation Android de GnuPG. Elle est généralement requise par les clients de messagerie comme K-9 Mail et FairEmail et d'autres applications Android pour fournir la prise en charge du chiffrement. Cure53 a réalisé un audit de sécurité d'OpenKeychain 3.6 en octobre 2015. Les détails techniques concernant l'audit et les solutions d'OpenKeychain peuvent être trouvés ici.
Téléchargements
Critères¶
Veuillez noter que nous ne sommes affiliés à aucun des projets que nous recommandons. En plus de nos critères de base, nous avons développé un ensemble d'exigences claires pour nous permettre de fournir des recommandations objectives. Nous vous suggérons de vous familiariser avec cette liste avant de choisir d'utiliser un projet, et de mener vos propres recherches pour vous assurer que c'est le bon choix pour vous.
Cette section est récente
Nous travaillons à l'établissement de critères définis pour chaque section de notre site, et celles-ci peuvent être sujet à changement. Si vous avez des questions sur nos critères, veuillez poser la question sur notre forum et ne supposez pas que nous n'avons pas pris en compte un élément dans nos recommandations s'il ne figure pas dans la liste. De nombreux facteurs sont pris en compte et discutés lorsque nous recommandons un projet, et la documentation de chacun d'entre eux est en cours.
Qualifications minimales¶
- Les applications de chiffrement multiplateforme doivent être open-source.
- Les applications de chiffrement de fichiers doivent prendre en charge le déchiffrement sur Linux, macOS et Windows.
- Les applications de chiffrement de disques externes doivent prendre en charge le déchiffrement sur Linux, macOS et Windows.
- Les applications de chiffrement de disques internes (OS) doivent être multiplateforme ou intégrées nativement au système d'exploitation.
Dans le meilleur des cas¶
Nos critères de cas idéal représentent ce que nous aimerions voir d'un projet parfait dans cette catégorie. Nos recommandations peuvent ne pas inclure tout ou partie de cette fonctionnalité, mais celles qui l'inclus peuvent être mieux classées que les autres sur cette page.
- Les applications de chiffrement du système d'exploitation (FDE) devraient utiliser une sécurité matérielle telle qu'un TPM ou Secure Enclave.
- Les applications de chiffrement de fichiers doivent bénéficier d'une prise en charge native ou tierce pour les plateformes mobiles.