Gmail : du chiffrement de bout en bout pour les entreprises ? Pas si vite

Le 1^ᵉʳ avril, Gmail a fêté ses 21 ans. Ce qui était apparu initialement comme un poisson est devenu l’un des produits les plus emblématiques de Google. Hier soir, pour marquer l’évènement, la firme a annoncé une amélioration importante : l’arrivée du chiffrement de bout en bout, dans un format présenté comme simple à exploiter, sans nécessiter de gestion des certificats. Explications.

Le chiffrement de bout en bout vu par Google

Depuis hier soir, Gmail propose aux entreprises disposant de comptes professionnels payants une version bêta. À l’intérieur se trouve une nouveauté : la possibilité d’envoyer des e-mails « chiffrés de bout en bout » à d’autres membres de leur organisation via un système simplifié. Rappelons en effet que Gmail pouvait déjà le faire via S/MIME (Secure/Multipurpose Internet Mail Extensions), mais la configuration de ce dernier n’a rien de simple.

Il s’agit d’une première phase dans le plan de déploiement. Cette version bêta, limitée à un périmètre réduit, va permettre de tester le fonctionnement de ce nouveau chiffrement décrit comme E2EE (End-to-End Encryption). Dans le cas où la personne contactée fait partie de la même entreprise, le contenu du message est automatiquement chiffré. Côté destinataire, il est automatiquement déchiffré.

Comme on peut le voir dans la capture fournie par Google, il faut d’abord activer la fonction, via l’icône de cadenas située en haut à droite de la fenêtre de composition. En bas, un message apparait pour indiquer que l’ouverture de l’e-mail sur l’application mobile Gmail ou une autre plateforme de messagerie affichera un lien invitant à se connecter pour voir le contenu du message sur une version restreinte de Gmail. Le système rappelle le fonctionnement des partages de fichiers dans Google Docs et Sheets. Quand ce système de chiffrement est utilisé, il se substitue à S/MIME.

Durant une deuxième phase, qui commencera dans quelques semaines, le système sera étendu à l’ensemble des adresses Gmail, mais toujours pour les entreprises uniquement. Plus tard dans l’année, sans plus de précision pour l’instant, il pourra être appliqué aux envois vers toutes les plateformes. On retrouvera alors la présentation sous forme d’invitation à se connecter pour lire le message. À noter que si le ou la destinataire de l’e-mail a configuré S/MIME et n’est pas sur Gmail, ce dernier se servira de S/MIME pour envoyer le courrier, comme il le faisait déjà.

Google peu satisfaite du système actuel

L’entreprise rappelle les bienfaits du chiffrement, mais note qu’il est trop souvent complexe à mettre en place. « Alors que de plus en plus d'organisations ont des besoins réels en matière de courrier électronique E2EE, peu d'entre elles disposent des ressources nécessaires pour mettre en œuvre S/MIME », affirme Google.

La société indique ainsi que les entreprises intéressées par le chiffrement de bout en bout font alors face à la complexité de gestion des certificats, qu’il faut notamment déployer auprès de chaque personne dans l’entreprise. Côté grand public, il faut avoir activé S/MIME soi-même et vérifier que les destinataires l’ont fait également, « puis se soumettre aux tracas de l'échange de certificats avant de pouvoir échanger des courriels chiffrés ». Google, qui met bien sûr en avant la simplicité de son approche, évoque les nombreuses « frustrations » qui en découlent.

« Cette capacité, qui ne demande qu'un minimum d'efforts de la part des équipes informatiques et des utilisateurs finaux, fait abstraction de la complexité informatique traditionnelle et de l'expérience utilisateur médiocre des solutions existantes, tout en préservant la souveraineté des données, la confidentialité et les contrôles de sécurité », claironne ainsi Google.

Du chiffrement côté client

La solution de Google est effectivement de considérer l’e-mail comme un document stocké dans Google Drive. Les administrateurs peuvent alors appliquer des règles supplémentaires, par exemple en exigeant que l’ensemble des destinataires externes passent par la version restreinte de Gmail pour lire le contenu, même s’ils ne sont pas eux-mêmes utilisateurs de Gmail.

Pour gérer plus simplement le chiffrement de bout en bout, Google a choisi Client Side Encryption (CSE). La technologie n’est pas nouvelle : la firme la fournit déjà depuis quelques années aux éditions Enterprise Plus, Education Standard et Education Plus de son Workspace. Comme indiqué sur la page du CSE, les données sont chiffrées côté client avant leur envoi, supprimant la possibilité de les lire pour les intermédiaires, y compris Google. Les organisations l’utilisant peuvent fournir leurs propres clés. C’est sur ce paramètre que les administrateurs peuvent agir, en forçant CSE pour l’ensemble des membres de l’organisation.

Attention toutefois : bien que l’on parle de chiffrement de bout en bout, ce n’est pas 100 % vrai. CSE chiffre bien les données avant leur envoi, mais les clés sont gérées de manière centralisée par l’équipe d’administration, qu’elles soient générées par le service ou fournies directement par l’organisation. Traduction, les administrateurs seront en mesure de voir le contenu des e-mails.

Peu importe pour Google, qui parle surtout de simplification et d’élimination des frictions. Cette solution de chiffrement ne sera d’ailleurs pas activée par défaut et est présentée comme un moyen supplémentaire d’augmenter la sécurité des échanges.

Une question de confiance

Au-delà de la confiance qu’une entreprise peut accorder à ce type de système, la solution retenue par Google interroge : les destinataires utilisant d’autres plateformes vont-ils faire confiance à ces e-mails ?

La question est loin d’être anodine, car le message ne sera pas directement affiché. Si vous recevez un tel courrier, vous verrez simplement quelques lignes d’explications sur le contexte et un bouton vous invitant à cliquer pour aller lire le contenu. Or, ce fonctionnement en rappelle un autre : les tentatives d’hameçonnage.

Google a conscience que sa solution peut ne pas inspirer confiance. Si vous utilisez par exemple Outlook.com sans avoir mis en place S/MIME, vous verrez ce type de message, avec l’invitation à cliquer. Google a « prévu le coup » : dans le texte, un passage explique qu’il est conseillé de ne cliquer que si vous avez une entière confiance en l’expéditeur. Mais même ainsi, il est possible qu’une partie des destinataires suppriment le courriel sans vraiment lire l’avertissement, tant le contenu pourrait ressembler à une tentative de phishing.

Et si ce déploiement semble familier, c’est que Microsoft a déployé exactement la même capacité en janvier, nommée Purview Message Encryption. Le fonctionnement, réservé aux entreprises abonnées à la formule E5, est identique, avec une lecture directe des courriels tant que l’on reste dans Outlook, mais affiche un lien sur les autres plateformes. Et même si Google applique la même stratégie que Microsoft dans ce domaine, les deux systèmes sont bien sûrs incompatibles.

Michael Waltz, le conseiller à la sécurité de Donald Trump, n’a en tout cas pas attendu l’arrivée du CSE pour se servir de Gmail dans des échanges gouvernementaux, comme l’a révélé hier le Washington Post. Nous reviendrons plus en détail sur ce sujet plus tard dans la journée.