#Comprendre PGP simplement : chiffrement, clés publiques et vie privée

Quand on entend parler de cryptographie, beaucoup imaginent immédiatement :

  • des hackers dans des films ;
  • des algorithmes incompréhensibles ;
  • ou des lignes de commande impossibles à retenir.

c’est exactement pour cette raison que beaucoup de gens pensent que PGP est réservé aux experts.

Alors qu’en réalité :

  • le concept de base est assez simple ;
  • et surtout extrêmement intéressant à comprendre aujourd’hui.

Parce que même sans utiliser directement PGP au quotidien :

une énorme partie de notre vie numérique moderne repose déjà sur les mêmes principes.

Par exemple :

  • HTTPS ;
  • les passkeys ;
  • SSH ;
  • Signal ;
  • Proton ;
  • les signatures numériques ;
  • ou encore certaines protections des gestionnaires de mots de passe.

Et derrière tout ça :

on retrouve souvent les mêmes idées :

  • chiffrement ;
  • identité ;
  • confiance ;
  • clés publiques ;
  • clés privées.

#PGP, c’est quoi exactement ?

PGP signifie :

Pretty Good Privacy (Assez bonne confidentialité)

Oui :

le nom est volontairement un peu drôle.

Son créateur, Phil Zimmermann, voulait rendre le chiffrement fort accessible au grand public à une époque où ce sujet était encore largement réservé aux gouvernements et aux grandes organisations.

PGP est un système de chiffrement créé dans les années 90 pour permettre :

  • d’échanger des messages sécurisés ;
  • protéger des fichiers ;
  • vérifier l’identité d’une personne ;
  • ou signer des données numériquement.

Concrètement :

énormément de technologies modernes utilisent encore aujourd’hui des concepts très proches de ceux introduits par PGP.

#Pourquoi PGP existe

Pendant longtemps, les emails ont fonctionné exactement comme :

des cartes postales.

Concrètement :

  • le message traverse plusieurs serveurs ;
  • plusieurs réseaux ;
  • parfois plusieurs pays ;
  • et peut potentiellement être lu à différents endroits.

un email classique n’est pas réellement conçu pour être confidentiel.

C’est exactement pour cette raison que PGP a été créé :

chiffrer les messages avant même qu’ils quittent votre ordinateur.

#Le problème concret : envoyer un document sensible

Imaginons simplement :

  • un scan de carte d’identité ;
  • un contrat ;
  • des documents médicaux ;
  • un mot de passe temporaire ;
  • ou des informations professionnelles sensibles.

Aujourd’hui encore, énormément de personnes font :

  • pièce jointe par mail ;
  • mot de passe envoyé dans un second message ;
  • ou PDF “protégé” avec une sécurité très faible.

Concrètement :

ce n’est pas réellement sécurisé.

PGP permet justement :

de chiffrer directement le fichier avant l’envoi.

Résultat :

  • même si le mail est intercepté ;
  • le fichier reste illisible sans la bonne clé privée.

Et là :

le concept commence généralement à devenir beaucoup plus concret.

#Le vrai problème des mots de passe

Quand on découvre PGP, une question revient souvent :

“Pourquoi ne pas simplement utiliser un mot de passe ?”

c’est une très bonne question.

Le problème :

  • il faut partager ce mot de passe ;
  • le transmettre ;
  • le mémoriser ;
  • éviter qu’il fuite ;
  • ou qu’il soit réutilisé.

Et dès qu’on échange ce mot de passe :

toute la sécurité repose alors sur ce secret partagé.

C’est exactement là qu’intervient :

la cryptographie asymétrique.

#Le concept le plus important : clé publique et clé privée

C’est probablement :

LE concept central à comprendre.

Concrètement :

une fois qu’il est compris, énormément de choses deviennent soudainement logiques :

  • SSH ;
  • HTTPS ;
  • signatures numériques ;
  • passkeys ;
  • certificats ;
  • ou encore PGP lui-même.

#Une analogie très simple : la boîte aux lettres

Imaginez une boîte aux lettres classique.

N’importe qui peut :

  • déposer un courrier ;
  • utiliser la fente ;
  • envoyer un message.

Mais :

seule la personne possédant la clé peut ouvrir la boîte.

PGP fonctionne un peu de cette manière.

#La clé publique

La clé publique :

peut être partagée librement.

Elle sert principalement à :

  • chiffrer un message ;
  • ou vérifier une signature.

Concrètement :

  • n’importe qui peut utiliser votre clé publique pour vous envoyer un message sécurisé.

Mais :

cette clé seule ne permet pas de lire les messages.

#La clé privée

La clé privée :

doit rester secrète.

Jamais partagée.

C’est elle qui permet :

  • de déchiffrer les messages ;
  • prouver votre identité ;
  • signer des fichiers ;
  • ou accéder à certaines données.

toute la sécurité repose essentiellement sur la protection de cette clé privée.

#Le moment où le concept devient enfin logique

Imaginons simplement :

  • Alice veut envoyer un message sécurisé à Bob.

Pour cela :

  • Alice utilise la clé publique de Bob ;
  • chiffre le message ;
  • puis l’envoie.

Ensuite :

  • Bob utilise sa clé privée ;
  • déchiffre le message ;
  • et peut enfin le lire normalement.

Même si quelqu’un intercepte le message pendant le trajet :

il ne pourra normalement rien lire sans la clé privée de Bob.

Et c’est justement là que la cryptographie asymétrique devient intéressante :

ce qui est chiffré avec la clé publique ne peut être déchiffré qu’avec la clé privée associée.

Dans la réalité, PGP utilise plusieurs mécanismes cryptographiques combinés pour être efficace, mais le principe général reste celui-ci.

En pratique, le contenu est généralement chiffré avec une clé temporaire très rapide à utiliser, tandis que cette clé est elle-même protégée grâce à la cryptographie asymétrique.

Et inversement :

la clé publique seule ne permet normalement pas de “faire machine arrière”.

C’est précisément ce qui rend ce système aussi puissant :

  • tout le monde peut posséder votre clé publique ;
  • mais seule votre clé privée permet réellement d’accéder au contenu.

#Mais alors... comment ça fonctionne réellement ?

Concrètement, les deux clés sont mathématiquement liées :

  • elles fonctionnent ensemble ;
  • mais n’ont pas exactement le même rôle.

La clé publique sert principalement à :

verrouiller l’information.

La clé privée, elle :

est la seule capable de la déverrouiller correctement.

Et justement :

les algorithmes cryptographiques modernes sont conçus pour que cette opération fonctionne uniquement dans un sens “pratique”.

Autrement dit :

  • chiffrer avec la clé publique est relativement simple ;
  • mais retrouver le contenu sans la clé privée devient extrêmement complexe.

Pas “impossible” au sens mathématique absolu, mais :

tellement difficile qu’un ordinateur classique mettrait potentiellement des millions voire des milliards d’années à réussir selon la puissance des clés utilisées.

Et c’est précisément cette difficulté mathématique qui protège aujourd’hui :

  • HTTPS ;
  • SSH ;
  • les passkeys ;
  • les banques ;
  • les VPN ;
  • les messageries sécurisées ;
  • et une énorme partie d’Internet moderne.

Concrètement :

c’est généralement à ce moment-là que beaucoup comprennent enfin pourquoi les clés publiques et privées ont complètement révolutionné la sécurité informatique moderne.

#À quoi ressemble réellement un message PGP ?

Concrètement :

un message PGP ressemble souvent à ceci :

-----BEGIN PGP MESSAGE-----

xsFNBGobeAMBEADwm8NArMJxgNVc1isgwA4rkkv/G3k97p7uRkagSGcTGCXV
ueY1W1A0mgjIBQ8n7e+QKZds+qtymB4kvIHIg4xS8eabsNjvciyWlfd2iAUv
qHQhfXtGISwbTuBDP5Gb26MCi+iqac0vl8UGk4xjaDcE5tTYFBCgV3nniP0C
...
-----END PGP MESSAGE-----

Oui :

ça ressemble volontairement à quelque chose d’illisible.

Parce que justement :

le contenu est chiffré.

Sans la bonne clé privée :

impossible de lire normalement le contenu du message.

#PGP ne sert pas uniquement à chiffrer

C’est un point souvent mal compris.

PGP permet aussi :

de signer numériquement des fichiers.

Autrement dit :

  • prouver qu’un fichier vient bien d’une personne ;
  • vérifier qu’il n’a pas été modifié ;
  • ou confirmer l’authenticité d’un document.

c’est extrêmement utilisé dans le monde Linux et open source.

#Les signatures numériques sont partout

Aujourd’hui :

  • beaucoup de distributions Linux signent leurs ISO ;
  • certains développeurs signent leurs releases GitHub ;
  • des logiciels utilisent des signatures cryptographiques ;
  • et énormément de mises à jour reposent sur ce principe.

Le but :

vérifier qu’un fichier n’a pas été modifié ou remplacé.

Parce qu’honnêtement :

télécharger un logiciel modifié par un attaquant peut devenir catastrophique.

#Mais concrètement, qui utilise encore PGP aujourd’hui ?

Honnêtement :

davantage de monde qu’on ne le pense généralement.

Pas forcément directement « à la main », mais les concepts introduits par PGP restent présents dans de nombreuses technologies modernes :

  • Proton Mail ;
  • Linux ;
  • cybersécurité ;
  • développement ;
  • signatures Git ;
  • entreprises ;
  • journalistes ;
  • administrateurs système.

Et même pour des particuliers :

PGP peut encore avoir énormément d’intérêt.

#Des cas d’usage très concrets pour des particuliers

PGP peut servir à :

  • protéger certains documents sensibles ;
  • chiffrer des sauvegardes ;
  • transmettre un fichier important ;
  • signer des données ;
  • ou simplement apprendre les bases de la sécurité moderne.

Par exemple :

  • envoyer des documents administratifs ;
  • partager un mot de passe temporaire ;
  • protéger certaines archives ;
  • stocker des données sensibles ;
  • ou sécuriser des échanges professionnels.

Concrètement :

même sans devenir expert en cryptographie, comprendre PGP reste extrêmement enrichissant aujourd’hui.

#Quel logiciel utiliser pour PGP aujourd’hui ?

Sous Windows, l’une des solutions les plus connues reste :

Gpg4win.

Il s’agit d’une suite d’outils basée sur :

GPG (GNU Privacy Guard).

Concrètement : Gpg4win permet notamment :

  • générer des clés ;
  • chiffrer des fichiers ;
  • signer des documents ;
  • gérer des clés publiques ;
  • ou utiliser PGP avec certains clients mail.

c’est probablement l’une des façons les plus accessibles de découvrir PGP aujourd’hui.

#Générer sa première paire de clés

Lors de la création :

  • le logiciel génère automatiquement :
  • une clé publique ;
  • une clé privée.

Puis il demande généralement :

  • un nom ;
  • une adresse email ;
  • et une passphrase.

Cette passphrase est extrêmement importante :

elle protège votre clé privée.

Concrètement :

perdre sa clé privée ou sa passphrase peut devenir un très gros problème.

#Le moment où PGP devient enfin concret

Une fois les clés générées :

  • la clé publique peut être partagée ;
  • la clé privée reste sur votre machine.

Concrètement :

  • quelqu’un utilise votre clé publique pour chiffrer un message ;
  • seul vous pouvez ensuite le déchiffrer.

Et là :

énormément de notions modernes deviennent soudainement plus claires :

  • SSH ;
  • HTTPS ;
  • passkeys ;
  • signatures ;
  • authentification ;
  • sécurité des serveurs ;
  • ou encore certaines protections des messageries modernes.

#Pourquoi PGP paraît encore “compliqué”

Honnêtement :

le fonctionnement de base est finalement assez logique.

Le vrai problème vient surtout :

  • de la gestion des clés ;
  • des sauvegardes ;
  • de la confiance ;
  • des signatures ;
  • des empreintes ;
  • et des outils historiques parfois peu accessibles.

C’est aussi pour cette raison que beaucoup de services modernes :

  • simplifient énormément ces concepts ;
  • ou cachent complètement la partie technique.

une grande partie du succès de Signal ou Proton vient justement du fait qu’ils rendent toute cette cryptographie presque invisible pour l’utilisateur.

#Pourquoi PGP n’a jamais été adopté massivement

Lorsqu’on découvre PGP pour la première fois, une question revient souvent :

Si cette technologie est si efficace, pourquoi tout le monde ne l’utilise-t-il pas ?

La réponse est finalement assez simple :

le principal problème de PGP n’a jamais vraiment été la cryptographie.

Les algorithmes sont solides.

La difficulté vient surtout de l’utilisation quotidienne.

Par exemple :

  • gérer correctement ses clés ;
  • sauvegarder sa clé privée ;
  • vérifier l’identité des correspondants ;
  • comprendre les signatures ;
  • éviter les erreurs de configuration.

C’est notamment pour cette raison que des services comme Signal ou Proton ont rencontré un tel succès :

ils automatisent une grande partie de cette complexité.

L’utilisateur bénéficie alors de mécanismes cryptographiques avancés sans avoir à gérer lui-même toutes les notions techniques sous-jacentes.

Malgré ces limites, l'importance de PGP dépasse largement son usage quotidien.

#PGP reste surtout une immense leçon de cybersécurité

Même sans utiliser PGP tous les jours :

comprendre son fonctionnement aide énormément à mieux comprendre la cybersécurité moderne.

Parce qu’au final :

  • clés publiques ;
  • clés privées ;
  • signatures ;
  • chiffrement ;
  • identité numérique ;
  • certificats ;
  • HTTPS ;
  • SSH ;
  • passkeys ;
  • reposent tous sur des concepts extrêmement proches.

Concrètement :

une fois qu’on comprend réellement le fonctionnement des clés publiques et privées, une énorme partie de la sécurité informatique moderne devient soudainement beaucoup plus logique.

#PGP n’est pas une solution magique

Le chiffrement est un outil extrêmement puissant.

Mais il ne protège pas contre tous les problèmes.

Par exemple :

  • un ordinateur compromis ;
  • une clé privée volée ;
  • un fichier envoyé à la mauvaise personne ;
  • ou une erreur humaine.

Dans ces situations :

la cryptographie ne peut pas corriger ce qui s’est déjà produit.

La sécurité repose toujours sur un ensemble de pratiques :

  • protéger ses appareils ;
  • sauvegarder correctement ses clés ;
  • vérifier l’identité des interlocuteurs ;
  • et rester vigilant face aux erreurs humaines.

#PGP reste une technologie fascinante

Aujourd’hui, PGP n’est plus forcément “grand public”.

Mais il reste :

  • historique ;
  • extrêmement influent ;
  • et toujours très utilisé dans certains environnements techniques.

Et surtout :

PGP reste probablement l’une des meilleures portes d’entrée pour comprendre comment fonctionne réellement la cryptographie moderne.

Parce qu’au final :

derrière les algorithmes compliqués, PGP repose surtout sur une idée extrêmement élégante :

Permettre à deux personnes :

  • d’échanger ;
  • vérifier ;
  • et de protéger des informations, sans jamais avoir besoin de partager un secret commun au départ.