CHIFFRÉ

Tout chiffrer : Tuta facilite le chiffrement de bout en bout.

E-mails, calendriers et contacts cryptés

Tuta est le service de référence pour stocker vos données en toute sécurité dans le nuage. Son chiffrement intégré garantit que vos données restent en sécurité, quoi qu'il arrive. Votre clé de cryptage vous appartient, et à vous seul. Elle n'est jamais partagée avec qui que ce soit, pas même avec Tuta.

Tuta est le service de messagerie électronique le plus sécurisé au monde car nous protégeons vos données à tous les niveaux. Que ce soit sur nos serveurs ou sur vos appareils : Chez Tuta, toutes les données sont toujours cryptées de bout en bout.

Boîte aux lettres cryptée

L'ensemble de la boîte aux lettres - courriels, calendrier et carnet d'adresses - est stocké de bout en bout et crypté dans Tuta. Les seules données non chiffrées sont les adresses e-mail des utilisateurs ainsi que les expéditeurs et les destinataires des e-mails. Lorsque vous entrez vos identifiants de connexion, votre boîte aux lettres est automatiquement décryptée localement sur votre appareil.

Données que Tuta crypte de bout en bout :

  • Emails, y compris les lignes d'objet et toutes les pièces jointes
  • Calendriers entiers, même les métadonnées telles que les notifications d'événements
  • Carnet d'adresses entier, pas seulement des parties des contacts
  • Règles / filtres de la boîte de réception
  • Et l'index de recherche entier.

Tuta crypte automatiquement tous les emails entre les utilisateurs de Tuta de bout en bout, ce qui fait une grande différence pour la sécurité en ligne dans son ensemble. Tuta vous permet même d'envoyer des courriels cryptés de bout en bout à n'importe qui quel que soit le fournisseur de messagerie qu'il utilise.

Courriels cryptés envoyés à n'importe qui

Tuta utilise le cryptage symétrique (AES 256) et asymétrique (AES 256 / RSA 2048) pour crypter les courriels de bout en bout. Lorsque les deux parties utilisent Tuta, tous les courriels sont automatiquement cryptés de bout en bout (cryptage asymétrique). Pour un e-mail crypté destiné à un destinataire externe, un mot de passe pour le cryptage et le décryptage de l'e-mail (cryptage symétrique) doit être échangé une fois. Vous pouvez ensuite utiliser le même mot de passe pour toute conversation avec ce contact spécifique : Avec Tuta, vous n'avez pas besoin de définir un nouveau mot de passe pour chaque email envoyé au même contact.

Le cryptage automatique de Tuta fonctionne facilement sur tous les appareils mobiles et de bureau. La clé de cryptage n'est jamais partagée avec qui que ce soit, y compris Tuta. Par conséquent, même si un attaquant malveillant intercepte le message électronique, il ne sera pas en mesure de lire son contenu ou ses pièces jointes.

Calendrier chiffré

Tuta est le premier calendrier crypté de bout en bout jamais développé. Le calendrier Tuta crypte toutes les données, même les participants à un événement sont stockés de manière cryptée.

Le calendrier Tuta est le seul calendrier à zéro connaissance existant car même lorsque vous recevez une notification push pour un événement à venir, nous avons construit ce service de rappel de manière à ce que nos serveurs ne voient jamais la notification. Ainsi, nos serveurs ne sauront pas seulement quels événements vous organisez, mais aussi quand vos événements ont lieu.

Tout calendrier qui utilise des notifications par email ne peut pas être considéré comme étant à connaissance zéro, même si les notifications par email sont cryptées, car l'envoi de la notification elle-même implique déjà le serveur, ce qui entraîne des fuites d'informations. C'est pourquoi nous nous sommes efforcés d'envoyer des notifications cryptées directement aux clients de Tuta, par exemple à nos applications de bureau et mobiles, et de traiter ces notifications localement sur votre propre appareil - et non sur notre serveur. Le grand avantage des applications mobiles est que vous recevez également ces rappels lorsque vous n'utilisez pas activement l'application.

Consultez notre article sur notre première version du calendrier pour savoir pourquoi les notifications cryptées sont si importantes pour protéger votre vie privée.

Cryptage innovant

Comment fonctionne le processus de cryptage de Tuta ?

La méthode de cryptage innovante de Tuta sécurise votre clé privée afin que vous - et vous seul - puissiez accéder à vos données depuis n'importe quel appareil.

Tuta utilise une méthode de cryptage innovante pour sécuriser vos données en toute simplicité. Tuta est le seul service de messagerie qui chiffre automatiquement tous les courriels, tous les calendriers et tous les contacts par défaut. La génération des clés, la gestion des clés, l'échange des clés - tout cela se fait automatiquement en arrière-plan, mais la clé privée n'est accessible qu'à l'utilisateur.

Lorsqu'un utilisateur enregistre un compte de messagerie sécurisé Tuta, le navigateur, l'application Tuta ou le client de bureau génère automatiquement une clé privée et une clé publique localement sur votre appareil. La clé privée est cryptée à l'aide du mot de passe de l'utilisateur avant d'être transmise aux serveurs de Tuta dans des centres de données hautement sécurisés en Allemagne.

Alors que de nombreux services en nuage apparemment sécurisés stockent les clés privées ouvertement sur un serveur central, cela n'a jamais été une option pour nous.

Le mot de passe de l'utilisateur devient la clé

Chez Tuta, la clé privée est cryptée avec le mot de passe de l'utilisateur, de sorte que seul l'utilisateur peut y accéder. Personne d'autre, pas même nous en tant que développeurs de Tuta, ne peut accéder aux clés privées stockées de manière cryptée sur nos serveurs.

Lisez ici pourquoi une clé privée ne doit pas être stockée sur un serveur central de manière non cryptée.

Comment le mot de passe est-il sécurisé dans Tuta ?

Le mot de passe de l'utilisateur étant au cœur de la sécurité des données cryptées stockées dans la boîte aux lettres de Tuta, nous devons nous assurer que le mot de passe est sécurisé à tout moment. Tuta n'envoie jamais le mot de passe au serveur en texte clair afin d'authentifier l'utilisateur.

Pour sécuriser le mot de passe de connexion, Tuta utilise bcrypt et SHA256. Ainsi, le mot de passe de connexion n'est utilisé qu'indirectement pour authentifier l'utilisateur auprès du serveur et pour crypter/décrypter la clé privée.

Ceci est illustré par l'image suivante et expliqué dans le texte ci-dessous :

Détails sur la façon dont la clé privée est sécurisée avec le cryptage innovant de Tuta.

Bcrypt modifie le mot de passe pour qu'il devienne la "clé de mot de passe AES". Cette clé de mot de passe AES est utilisée pour crypter la clé RSA privée (par le biais d'une indirection avec la "clé de groupe d'utilisateurs AES" symétrique privée).

La clé de mot de passe AES elle-même n'est toutefois pas utilisée pour authentifier l'utilisateur auprès du serveur, mais elle est hachée pour devenir le "vérificateur de mot de passe".

Ce vérificateur de mot de passe est ensuite transmis au serveur pour authentifier l'utilisateur. Le serveur lui-même ne stocke le vérificateur de mot de passe que sous la forme d'un autre hachage ("vérificateur haché"), de sorte qu'il est impossible d'utiliser les données persistantes du serveur pour se connecter.

Le vérificateur de mot de passe est cryptographiquement indépendant de la clé de mot de passe, de sorte que le vérificateur de mot de passe ne peut pas être utilisé pour décrypter des données. Le vérificateur de mot de passe est transmis au serveur Tuta sécurisé par cryptage TLS.

Si une tierce personne accède au vérificateur de mot de passe via une vulnérabilité TLS, elle ne sera pas en mesure d'accéder à la clé privée ou aux données cryptées de bout en bout stockées dans la boîte aux lettres cryptée de Tuta.

Le processus de décryptage a lieu localement sur l'appareil de l'utilisateur une fois que l'utilisateur a été authentifié auprès du serveur. En chiffrant la clé privée avec le mot de passe de l'utilisateur, Tuta peut automatiser l'ensemble du processus de chiffrement sans jamais avoir accès à votre clé privée.

Pourquoi Tuta n'utilise-t-il pas PGP ?

Tuta utilise des algorithmes standard également utilisés par PGP (AES 256 / RSA 2048) pour crypter l'ensemble de la boîte aux lettres. Tuta n'utilise pas d'implémentation de PGP car PGP manque d'exigences importantes que nous prévoyons de corriger avec Tuta :

  • PGP ne crypte pas la ligne d'objet (déjà réalisé dans Tuta),

  • Les algorithmes PGP ne peuvent pas être facilement mis à jour (ce que nous devons faire lors de la mise à jour vers des algorithmes sécurisés post-quantiques),

  • PGP n'a pas d'option pour Perfect Forward Secrecy (déjà réalisé dans notre prototype post-quantique).

Dans Tuta, nous pouvons facilement mettre à jour les algorithmes, et nous prévoyons de remplacer les algorithmes actuels par un protocole hybride à sécurité quantique dans un avenir proche. La flexibilité de Tuta nous permet d'intégrer un calendrier crypté, un stockage en nuage crypté et de nombreuses autres fonctionnalités beaucoup plus facilement et rapidement qu'il n'aurait été possible de le faire avec une implémentation de PGP.

Pourquoi Tuta n'offre-t-il pas de support S/Mime ?

Un autre protocole de cryptage des courriels utilisé par les entreprises comme solution de messagerie est S/Mime.

Pour S/MIME, un certificat doit être installé sur les clients de messagerie du destinataire et de l'expéditeur. Lorsqu'un courriel est envoyé, l'expéditeur le chiffre à l'aide de la clé publique du destinataire et le destinataire le déchiffre à l'aide de la clé privée.

Cependant, en mai 2018, l'Electronic Frontier Foundation (EFF) a annoncé des vulnérabilités critiques dans S/MIME, ainsi qu'une forme obsolète d'OpenPGP qui est encore utilisée dans de nombreux clients de messagerie. Baptisé EFAIL, le bogue a nécessité un effort coordonné important de la part de nombreux fournisseurs de clients de messagerie pour corriger cette vulnérabilité. Toutefois, à ce jour, il n'est pas certain que tous les services de courrier électronique aient effectivement corrigé le problème.

Cryptage sécurisé post-quantique

Tuta n'est pas seulement le service de messagerie électronique le plus sûr à l'heure actuelle, nous avons également l'intention de rester le plus sûr à l'avenir.

C'est pourquoi nous avons travaillé sur le cryptage sécurisé post-quantique. Nous avons lancé le projet PQ Mail en 2020 et nous disposons d'un prototype fonctionnel qui nous permet de crypter les courriels à l'aide d'un protocole hybride combinant nos algorithmes de cryptage éprouvés et des algorithmes sécurisés postquantiques.

Nous resterons en tête de la course aux armements de l'informatique quantique et veillerons à ce que vos données restent sécurisées, même lorsque les ordinateurs quantiques seront capables de briser les algorithmes de cryptage actuellement utilisés.

Tout chiffrer

Chaque fois que vous communiquez avec Tuta - recevoir une notification pour un nouvel email, exécuter une recherche, entrer dans un calendrier, ajouter un nouveau contact à votre carnet d'adresses - vos données sont toujours envoyées cryptées de bout en bout. Nous n'envoyons jamais de données non cryptées par le biais de notifications et nous n'autorisons jamais le stockage de données non cryptées sur votre appareil.

Vous pouvez vérifier par vous-même quelles sont les données cryptées par Tuta !

Quelles sont les données chiffrées par Tuta ?

Courriel

Tuta crypte autant de données que possible directement sur votre appareil. Vous pouvez le vérifier vous-même : Lorsque vous êtes connecté dans un navigateur web, appuyez sur F12 pour ouvrir la console de développement. Cliquez ensuite sur " Réseau " et " Aperçu " pour voir quelles données sont envoyées au serveur. Cette vue est mise à jour chaque fois que vous ouvrez un courriel, un contact ou une entrée de calendrier. Tous les textes qui sont rendus illisibles par l'homme et qui sont envoyés au serveur sont cryptés de bout en bout et encodés en Base64.

Tuta encrypted email body

La capture d'écran montre le contenu de l'e-mail crypté. Comme PGP, Tuta chiffre les données d'un courriel de bout en bout avec un protocole de chiffrement hybride basé sur AES et RSA.

Votre signature est ajoutée automatiquement aux nouveaux courriels. Avec Tuta, votre signature est stockée chiffrée de bout en bout sur notre serveur et synchronisée sur tous vos appareils.

Comme Tuta n'utilise pas PGP, il peut chiffrer beaucoup plus de données d'un e-mail que son simple contenu. Ceci est illustré par la capture d'écran suivante.

Tuta encrypted email view

Comme vous pouvez le voir, Tuta crypte le "sujet" ainsi que les noms de l'"expéditeur" et du destinataire ("toRecipients").

Les seules données qui ne sont pas cryptées dans un email Tuta sont les adresses email et la date d'envoi ou de réception d'un email. En raison de la façon dont le protocole de messagerie est configuré, il n'est pas possible de crypter ces informations car d'autres serveurs de messagerie ont besoin de savoir à qui le courrier électronique doit être remis.

En ce qui concerne la sécurité des courriers électroniques, il existe deux cas différents :

  • Les courriers électroniques cryptés de bout en bout envoyés entre les utilisateurs de Tuta ou à des utilisateurs d'autres systèmes de messagerie.

  • Les courriers électroniques qui sont envoyés ou reçus sous forme non cryptée à des utilisateurs d'autres systèmes de messagerie ou en provenance de ces derniers.

Dans les deux cas, tous les courriers électroniques sont stockés de manière entièrement cryptée sur nos serveurs. Nous ne stockons jamais d'e-mails non cryptés sur nos serveurs. Toutefois, les messages non cryptés ne sont pas protégés par un cryptage de bout en bout, mais sont uniquement cryptés une fois qu'ils atteignent nos serveurs.

Calendrier

Tuta encrypted calendar event

Le calendrier Tuta est le seul véritable calendrier à zéro connaissance car nos serveurs ne savent rien de vos événements cryptés. Toutes les données que vous stockez dans le calendrier sont cryptées : La "description", l'"heure de fin", le "lieu", l'"heure de début", le "résumé", l'"uid" (l'ID de l'événement), les "alarmInfos" (qui sont les rappels que vous pouvez définir pour être informé des événements à venir), et le "repeatRule" (qui est la règle pour définir dans quel intervalle et jusqu'à quelle date l'événement doit être répété).

Le calendrier Tuta crypte également les notifications, ce qui est une approche très innovante. Les alarmes cryptées de Tuta sont stockées localement sur vos appareils afin de les cacher complètement de nos serveurs. Cela signifie que nous ne savons rien des événements de votre calendrier, pas même quand un événement a lieu.

En revanche, les standards actuels tels qu'iCal ne cryptent aucune donnée. Si vous stockez vos événements avec un service en ligne pour un accès et une synchronisation faciles, vous pouvez être sûr que quelqu'un d'autre voit tous les événements de votre calendrier.

Dans le calendrier Tuta à connaissance zéro, toutes vos données sont toujours cryptées afin que personne, pas même nous en tant que développeurs, ne puisse voir vos rendez-vous privés.

Contacts

Contacts cryptés Tuta

Les Contacts Tuta sont entièrement cryptés, tout comme le Calendrier Tuta. Vous pouvez stocker tous les détails de vos contacts dans Tuta en sachant que personne d'autre que vous ne peut avoir accès à ces informations très personnelles des membres de votre famille, de vos amis ou de vos contacts professionnels.

Tuta crypte automatiquement le "birthdayISO", le "comment", la "company", le "firstName", le "lastName", le "nickname", le "role", le "title", les "addresses", les "mailAdresses", les "phoneNumbers", et les "socialIDs".

En savoir plus

Tuta offre plus qu'un simple cryptage des courriels. Tuta s'assure que toutes vos données sont toujours cryptées et ne sont accessibles qu'à une seule personne : Vous.

Tuta crypte automatiquement tous vos emails, calendriers et contacts

Tuta crypte automatiquement tous vos emails, calendriers et contacts.

Tuta apporte le cryptage automatique à tous vos appareils. Que vous soyez à la maison, au travail ou en déplacement, il n'a jamais été aussi facile de crypter toutes vos données.

Sécuriser vos e-mails aujourd'hui

Rapide, durable, open source, processus de migration simple. Un courriel pour se sentir bien.