Tuta Mail crypte automatiquement toutes les données que vous stockez dans votre boîte aux lettres de bout en bout à l’aide d’algorithmes de cryptage résistants aux quanta. Lors de l’envoi d’emails cryptés ou d’invitations de calendrier cryptées, le cryptage de bout en bout est effectué avec un cryptage asymétrique - à l’aide d’une clé publique et d’une clé privée.

Dans Tuta, lorsque vous envoyez un courriel sécurisé à un autre utilisateur de Tuta, vous le chiffrez avec sa clé publique afin qu’il soit le seul à pouvoir le lire. Vous ne remarquez pas le processus de cryptage de bout en bout car Tuta gère automatiquement l’échange de clés pour vous.

Établir la confiance

Cependant, comment savez-vous que la clé publique que vous utilisez pour envoyer un courrier électronique chiffré appartient réellement à votre interlocuteur ? En théorie, un “monstre au milieu” (MITM) pourrait vous donner sa propre clé publique et prétendre qu’il s’agit de la clé de votre destinataire. L’attaquant pourrait alors décrypter votre message et le lire avant de le transmettre à votre destinataire.

La vérification des clés résout ce problème. Elle permet de s’assurer que tous les messages que vous envoyez peuvent être vérifiés par le destinataire, qu’ils proviennent bien de vous et qu’ils n’ont pas été altérés.

Vérification des clés à Tuta

La vérification des clés dans Tuta doit être effectuée manuellement. La vérification manuelle des clés fonctionne mieux lorsque vous êtes physiquement avec votre contact, ou lorsque vous pouvez vous authentifier l’un l’autre par le biais d’un canal de confiance. Une fois que vous avez vérifié vos empreintes de clés publiques respectives, vous pouvez être sûr que chaque message que vous envoyez est à l’abri de toute interception.

Vous pouvez vérifier la clé publique d’une personne de deux façons :

• en scannant un code QR avec l’application
• en saisissant l’adresse électronique de votre destinataire et en comparant l’empreinte digitale avec celle qui est affichée dans les paramètres de vérification de la clé de l’autre destinataire.

Une fois la vérification effectuée, le client Tuta s’assurera que la clé correspond à celle que vous avez enregistrée comme vérifiée avant de leur envoyer des messages.

Que se passe-t-il si vous ne vérifiez pas une clé ?

La vérification des clés est facultative, mais nous vous recommandons vivement de vérifier les clés de vos contacts. Si vous choisissez de ne pas vérifier la clé d’un contact, Tuta utilisera le concept de TOFU (Trust On First Use).

Que signifie TOFU ?

Lorsque vous communiquez pour la première fois avec quelqu’un dans Tuta, votre client enregistre automatiquement sa clé publique et suppose simplement qu’elle est valide. À partir de ce moment, Tuta vérifiera chaque nouveau message que vous envoyez pour s’assurer que la clé n’a pas changé.

• Si la clé reste la même, la communication se poursuit sans problème.

• Si la clé change de manière inattendue, Tuta vous alertera, car cela pourrait indiquer un risque de sécurité potentiel, comme une attaque de type “monster-in-the-middle”.

La TOFU rend la communication sécurisée transparente sans nécessiter de vérification manuelle. Cependant, il n’est pas aussi puissant que la vérification d’une clé par vous-même, car lors du tout premier échange de courriels, vous ne pouvez pas être sûr à 100 % que personne n’a altéré la clé.

C**‘est pourquoi la vérification de la clé est la meilleure solution pour une sécurité maximale**, tandis que le TOFU constitue une solution par défaut pratique pour les utilisateurs qui ne souhaitent pas procéder immédiatement à une vérification manuelle.

Une sécurité optimale

Une fois que vous avez vérifié vos contacts, vous pouvez être sûr que les messages cryptés de bout en bout que vous envoyez sont plus sûrs que jamais !

Nous sommes ravis de vous apporter cette fonctionnalité dans le cadre de notre mission de construire le service de messagerie et de calendrier le plus sûr et le plus respectueux de la vie privée. Tuta Mail et Tuta Calendar vous permettent de communiquer en ligne en toute confidentialité. Avec notre récente introduction d’un cryptage résistant au quantum combiné à cette mise à jour pour la vérification des clés, nous nous assurons que vos données restent en sécurité, aujourd’hui et dans le futur.