A quand le chiffrement obligatoire des emails ?

[Gros biscuit]

Le courrier électronique (email) est aujourd’hui le moyen de communication électronique de référence, utilisé par les administrations, entreprises, professionnels soumis à secret (santé, juristes...), et particuliers. Pourtant, le protocole email repose sur des standards (SMTP, MIME, etc.) qui n’imposent aucun chiffrement du contenu par défaut.
Des données hautement sensibles (médicales, juridiques, personnelles) sont quotidiennement transmises en clair via email, exposées à des interceptions potentielles lors de leur transit entre serveurs. Cette situation est inacceptable au regard des principes de confidentialité, de sécurité, et de respect des droits fondamentaux.

Il y a pourtant de quoi initier une réflexion normative sur l’évolution des standards email, en vue d’imposer Le chiffrement systématique du contenu des emails, indépendamment du chiffrement du transport (TLS).

Par exemple : une banque vous envoie un avis par email de réalisation de virement, un avis d'opéré, information d'existence d'une assurance-vie.. : même si une partie des données est tronquée (d'où la conscience que le moyen de communication n'est pas confidentiel), cela laisse en traçabilité et possibilité d'exploitation de contenus par traitements automatisés, une grande information à tous les intermédiaires relayant l'email entre l'émetteur et le réception.

L'’IETF, autorité internationale quant à l'acheminement technique des emails, ne semble guère considérer une évolution en ce sens.

[valioud]

Je m'inquiète plutôt des fuites de données qui sont régulièrement révélées. Avec plus de 300 milliards de courriels envoyés chaque jour dans le monde, les pirates cherchent à être efficaces que de se noyer dans un flot majoritairement constitué de SPAM.

[Gros biscuit]

Bonjour.

Votre inquiétude se manifeste par les scandales de fuites faisant couler encre tous les jours.
Cela relève de l'imprudence de connecter tout et n'importe quoi à un réseau international public. L'histoire de l'informatique n'est faite que de failles de sécurité sur les systèmes d'information, et les décideurs font ainsi en parfaite connaissance de cause, là où est maintenant habitude de se poser en victime de pirate, et non coupable de choix techniques non garantis.

Néanmoins, le vol de données par intrusion relève de l'accident. Ce n'est pas le mode de fonctionnement ordinaire.

L'email, quant à lui, quand bien même il eût au fil du temps été amélioré (chiffrement du transport TLS) est de conception volontaire et pourrait être malgré tout amélioré en proposant et obligeant le chiffrement de bout en bout afin d'améliorer encore, et non de garantir, le secret des correspondances.

[valioud]

Depuis 35 ans que je pratique le courriel, je n'ai jamais vu d'affaire d'interception de flux de messagerie que soit par protocole POP/IMAP ou SMTP. Vous avez un cas concret de piratage à nous donner ?

PS : l'émail c'est ce que vous avez sur les dents.

[Gros biscuit]

Par exemple les services de webmail font des traitements automatisés sur le contenu des emails :
https://cyberconseils.fr/gmail-analyse-vos-emails-pour-lia-risques-solutions-et-guide-complet-de-protection/

(les usages à finalité de ciblage publicitaires se sont diminués, mais là tout repose sur la confiance envers le prestataire, qui est toujours à loisir de faire des usages non prévus dans ses CGU).

Vous pouvez avoir aussi le piratage de vos comptes email par faille technique chez le prestataire de courriel comme il y en a souvent : https://www.it-connect.fr/zimbra-cve-2026-73570-serveurs-compromis/ (zimbra est par exemple ce qui est utilisé par free pour son webmail )

[valioud]

Vous pouvez avoir aussi le piratage de vos comptes email par faille technique

Oui mais cela n'a rien à voir avec l'interception de courriels pendant le transport qu'il soit en émission ou réception.

Quant à la faille Zimbra, elle implique la suite ZCS qui n'est pas utilisé par Free.

[Gros biscuit]

J'illustrait ce qu'était Zimbra pour ceux qui ne connaissaient pas afin de leur faire comprendre de quoi il s'agit, l'article en référence est clair quand à la faille citée.
Lors du transit entre serveur, il y a du stockage (serveurs POP...) où cela puisse être récupéré en clair alors que le transport quant à lui est chiffré TLS.

[valioud]

Lors du transit entre serveur, il y a du stockage (serveurs POP...)

Et ? Sauf à avoir l'identifiant et le mot de passe de l'utilisateur, le fait que le stockage soit chiffré n'aura aucun effet.

[Gros biscuit]

Et ? Sauf à avoir l'identifiant et le mot de passe de l'utilisateur, le fait que le stockage soit chiffré n'aura aucun effet.

Le contenu de l'email chiffré, pas l'espace de stockage sur le serveur de l'hébergeur, ce qui peut être aisément mis en oeuvre au niveau système d'exploitation. Les cas précités donnent l'intérêt de ce qui a entre autres amené à la création de PGP. Par exemple un hébergeur qui ferait sur les messages archives en clair des traitements illicites des données stockées.

[Sauvegarde]

Bonjour quelle est votre question, qu'attendez vous du forum et de Que Choisir en particulier ?