Vous êtes sur la page 1sur 2

PGP - Pretty Good Privacy

Introduction PGP
PGP (Pretty Good Privacy) est un cryptosystme (systme de chiffrement) invent par Philip Zimmermann, un analyste informaticien. Philip Zimmermann a travaill de 1984 1991 sur un programme permettant de faire fonctionner RSA sur des ordinateurs personnels (PGP). Cependant, tant donn que celui-ci utilisait RSA sans l'accord de ses auteurs, cela lui a valu des procs pendant 3 ans, il est donc vendu environ 150$ depuis 1993. Il est trs rapide et sr ce qui le rend quasiment impossible cryptanalyser.

Le principe de PGP
PGP est un systme de cryptographie hybride, utilisant une combinaison des fonctionnalits de la cryptographie cl publique et de la cryptographie symtrique. Lorsqu'un utilisateur chiffre un texte avec PGP, les donnes sont dabord compresses. Cette compression des donnes permet de rduire le temps de transmission par tout moyen de communication, d'conomiser l'espace disque et, surtout, de renforcer la scurit cryptographique. La plupart des cryptanalystes exploitent les modles trouvs dans le texte en clair pour casser le chiffrement. La compression rduit ces modles dans le texte en clair, amliorant par consquent considrablement la rsistance la cryptanalyse.

Les fonctionnalits de PGP

PGP offre les fonctionnalits suivantes :

Signature lectronique et vrification d'intgrit de messages : fonction base sur l'emploi simultan d'une fonction de hachage (MD5) et du systme RSA. MD5 hache le message et fournit un rsultat de 128 bits qui est ensuite chiffr, grce RSA, par la clef prive de l'expditeur.

Chiffrement des fichiers locaux : fonction utilisant IDEA. Gnration de clefs publiques et prives : chaque utilisateur chiffre ses messages l'aide de clefs prives IDEA. Le transfert de clefs lectroniques IDEA utilise le systme RSA; PGP offre donc des mcanismes de gnration de clefs adapts ce systme. La taille des clefs RSA est propose suivant plusieurs niveaux de scurit : 512, 768, 1024 ou 1280 bits.

Gestion des clefs : fonction s'assurant de distribuer la clef publique de l'utilisateur aux correspondants qui souhaiteraient lui envoyer des messages chiffrs. Certification de clefs : cette fonction permet d'ajouter un sceau numrique garantissant l'authenticit des clefs publiques. Il s'agit d'une originalit de PGP, qui base sa confiance sur une notion de proximit sociale plutt que sur celle d'autorit centrale de certification.

Rvocation, dsactivation, enregistrement de clefs : fonction qui permet de produire des certificats de rvocation.

Les modles de fiabilit de PGP


En rgle gnrale, la CA (Certification authority - autorit de certification) inspire une confiance totale pour tablir la validit des certificats et effectuer tout le processus de validation manuelle. Mais, il est difficile d'tablir une ligne de confiance avec les personnes n'ayant pas t explicitement considres comme fiables par votre CA.

Dans un environnement PGP, tout utilisateur peut agir en tant qu'autorit de certification. Il peut donc valider le certificat de clef publique d'un autre utilisateur PGP. Cependant, un tel certificat peut tre considr comme valide par un autre utilisateur uniquement si un tiers reconnat celui qui a valid ce certificat comme un correspondant fiable. C'est--dire, si l'on respecte par exemple mon opinion selon laquelle les clefs des autres sont correctes uniquement si je suis considr comme un correspondant fiable. Dans le cas contraire, mon opinion sur la validit d'autres clefs est controverse. Supposons, par exemple, que votre trousseau de clefs contient la clef d'Alice. Vous l'avez valide et, pour l'indiquer, vous la signez. En outre, vous savez qu'Alice est trs pointilleuse en ce qui concerne la validation des clefs d'autres utilisateurs. Par consquent, vous affectez une fiabilit complte sa clef. Alice devient ainsi une autorit de certification. Si elle signe la clef d'un autre utilisateur, cette clef apparat comme valide sur votre trousseau de clefs.

La rvocation d'un certificat PGP

Seul le dtenteur du certificat (le dtenteur de sa clef prive correspondante) ou un autre utilisateur, dsign comme autorit de rvocation par le dtenteur du certificat, a la possibilit de rvoquer un certificat PGP. La dsignation d'une autorit de rvocation est utile, car la rvocation, par un utilisateur PGP, de son certificat est souvent due la perte du mot de passe complexe de la clef prive correspondante. Or, cette procdure peut uniquement tre effectue s'il est possible d'accder la clef prive. Un certificat X. 509 peut uniquement tre rvoqu par son metteur. Lorsqu'un certificat est rvoqu, il est important d'en avertir ses utilisateurs potentiels. Pour informer de la rvocation des certificats PGP, la mthode habituelle consiste placer cette information sur un serveur de certificats. Ainsi, les utilisateurs souhaitant communiquer avec vous sont avertis de ne pas utiliser cette clef publique.