Open source et confidentialité : e-mail

Il y a quelque chose dans ma tête que je voulais écrire depuis un certain temps. Vous voyez, nous parlons beaucoup de confidentialité, nous choisissons des solutions open source les considérant supérieures et défendant nos besoins en matière de confidentialité, et nous déplaçons même tout le contenu que nous possédons du cloud vers nos réseaux domestiques privés. Nous créons des serveurs de calendrier personnels, des serveurs de sauvegarde de messagerie et bien d'autres, tous pour la confidentialité, tout simplement pour retrouver un peu d'individualité, de sécurité et d'espace personnel dans un monde régi par des contrats exclusifs d'entreprise et des caprices de PDG.

Et je veux être juste envers vous, tous ceux qui lisent ce blog. Je suis le premier à suggérer, recommander et aider les gens à construire leur réseau domestique, à récupérer tout ce qu'ils possèdent à partir du cloud, à récupérer leurs informations personnelles et, si possible, à purger tout ce qui a déjà été divulgué en ligne. Au début, même moi, je doutais que cela soit possible et tout a commencé comme une expérience vouée à l'échec. Mais non, je n'ai pas besoin de Google pour mon agenda privé, ni de Spotify pour la musique sur tous mes appareils.

Mais voici le problème : après que tout soit dit et fait, le réseau est construit et les fichiers sont tous à moi, ai-je atteint la confidentialité ? Chaque logiciel que j'utilise est open-source, chaque fichier que j'ai suit la norme appropriée, ce sont tous des fichiers texte utilisables par n'importe quel client open-source et je suis complètement indépendant de tout verrouillage : cela suffit, n'est-ce pas ?

L'open source n'est pas synonyme de confidentialité

Bien que l'open source aide beaucoup en atténuant l'enfermement des entreprises, il le fait également en utilisant des normes équitables et ouvertes. Cela signifie que nous avons une norme pour les e-mails par exemple, une pour les contacts, pour les calendriers, les notes, etc. Si vous deviez ouvrir votre archive d'e-mails dès maintenant, vous obtiendriez un tas de fichiers texte, lisibles par n'importe quel client. Lisibles par n'importe quel humain, aussi, car ce ne sont que des fichiers texte après tout.

Mais la norme ne concerne pas la confidentialité, elle couvre simplement le format requis pour qu'une application analyse le fichier et en fasse quelque chose. Tout autre sujet comme la confidentialité, la livraison ou l'interaction est déchargé sur l'application. Donc, ce n'est pas parce que j'utilise la norme correcte, juste et ouverte pour stocker mes e-mails que quiconque y a accès ne peut pas simplement les lire.

Et quand un tiers aurait-il accès à mes e-mails sans jamais toucher à mon ordinateur et à mon réseau domestique ? Eh bien, quand je les envoie. Vous voyez que le courrier électronique est envoyé de la source à la destination via de nombreux serveurs, nœuds et infrastructures réseau, et la norme ouverte et équitable est un fichier texte brut lisible par n'importe qui. Mais nous utilisons sûrement HTTPS ces jours-ci. Oui, mon e-mail est facilement lisible par n'importe qui, mais ma communication est cryptée de la maison au destinataire. N'est-ce pas?

HTTPS n'est pas synonyme de confidentialité

Oui, nous utilisons HTTPS pour tout de nos jours. Je compose mon e-mail dans mon client de messagerie et je suis le seul à y avoir accès jusqu'à présent, puis je l'envoie à mon fournisseur de messagerie en utilisant HTTPS. Cela signifie que quel que soit le nombre de sauts effectués par mon e-mail, seule la destination peut le lire. Malheureusement, la destination n'est pas le destinataire . La destination est le fournisseur de messagerie, c'est là que tous les e-mails sont stockés.

Si j'envoie un e-mail à un compte Gmail, l'e-mail termine son parcours sur un serveur Gmail. Si je l'envoie à un compte Outlook, c'est un serveur Outlook. C'est là que se termine le cryptage fourni par HTTPS. Une connexion HTTPS n'est pas entre vous et l'autre personne avec qui vous essayez de parler, c'est entre vous et le serveur que vous utilisez tous les deux pour parler. Une fois que vos e-mails arrivent sur le serveur de messagerie, le cryptage HTTPS prend fin et tout administrateur travaillant sur le serveur peut accéder, scanner, voir, interpréter et utiliser les e-mails qui y sont stockés.

En fait, tous les fournisseurs de messagerie publics le font déjà avec tous vos messages lorsqu'ils sont vérifiés pour le spam. D'autres fournisseurs de messagerie tels que Google et Microsoft analysent vos e-mails pour trouver des informations de planification afin qu'elles soient automatiquement ajoutées à votre calendrier, ou effectuent de nombreuses autres tâches pour fournir toutes sortes d'automatisation. Tout cela est possible car le courrier électronique est stocké dans une norme ouverte, libre et équitable, et la norme ne concerne pas la confidentialité (et elle ne devrait pas). Que s'ensuit-il alors ? Bien sûr, nous pouvons crypter l'e-mail lui-même, réalisant un cryptage de bout en bout. Peut être?

Le cryptage n'est pas synonyme de confidentialité

Si nous ne sommes pas satisfaits de chiffrer uniquement le canal de transmission avec HTTPS, nous pouvons être intéressés par le chiffrement de l'intégralité du message électronique à l'aide de PGP ou d'autres outils de chiffrement de courrier électronique. Cela fonctionne pour sécuriser le contenu textuel réel de l'e-mail, mais en ce qui concerne l'expéditeur, le destinataire, le sujet, les adresses IP et toutes les autres métadonnées que nous avons pour chaque e-mail, non. Et parfois, c'est encore plus important que le message lui-même.

Par exemple, en créant une liste de toutes les personnes avec lesquelles je correspond par e-mail, l'administrateur du serveur de messagerie peut essentiellement recréer ma liste de contacts. C'est exactement ce que j'essayais d'éviter en ayant mon propre serveur de contacts sur mon réseau domestique au lieu de le stocker chez Google. Et attention, un serveur de messagerie ne peut pas fonctionner sans connaître l'expéditeur et le destinataire de l'e-mail. Ces informations doivent être non cryptées, publiques. Alors, quoi, dois-je aussi héberger mon propre serveur de messagerie ? Non, car j'enverrai toujours des e-mails aux adresses Gmail et Outlook, à moins que je ne convainque tout le monde de passer à mon serveur de messagerie, mais hélas, je suis cet administrateur capable de lire les e-mails de tout le monde .

Que reste-t-il alors de la vie privée ? Beaucoup. Je sais que c'est une conversation inconfortable et je sais que nous courons tous derrière Linux et chaque standard ouvert précisément parce que nous voulons échapper aux structures d'entreprise cupides et motivées par les intérêts. C'est bien et nous devrions continuer à le faire. Mais ce n'est pas parce que nous utilisons Linux que l'administrateur d'un serveur de messagerie Linux à l'autre bout de la planète, qui reçoit et gère des e-mails du monde entier, ne peut pas simplement voir tous sudo ls -l /var/opt/maildir/radumes e-mails, cryptés ou non.

Nous devons juste en être conscients. Nous devons juste comprendre que Linux, les normes et l'open-source ne peuvent pas garantir la confidentialité. Les normes n'ont pas été conçues pour la confidentialité, mais pour un accès ouvert, afin que je puisse utiliser n'importe quelle application avec un certain format de fichier. Ou que je puisse même créer ma propre application pour ce format de fichier. L'open-source n'a pas été conçu pour la confidentialité, mais pour l'application des normes, l'accès complet au code source, la liberté de choix et l'absence de suppression par les intérêts des entreprises.

La confidentialité ne se trouve pas dans les logiciels, mais elle est davantage liée à la discipline personnelle en ligne, une sorte d'hygiène en ligne. C'est plus fait d'habitudes que de logiciels et ça m'est égal que j'utilise Linux ou quoi que ce soit d'autre. Oui, Linux facilite beaucoup la protection de la vie privée simplement parce qu'il ne s'intéresse pas à mes données personnelles pour créer toutes sortes d'hypothèses à mon sujet et me proposer du contenu et des publicités dont il pense avoir besoin. Mais ce n'est pas une couverture pour la vie privée. Dans un prochain article, nous parlerons un peu des habitudes générales qui créent et maintiennent la confidentialité en ligne. En attendant, merci d'avoir lu et à la prochaine !