Signer/Chiffrer ou Chiffrer/Signer ? Telle est la question
5 réponses
Jaster
Hello
Question métaphysique au sujet de l'ordre des choses, dont
j'ai un peu de mal à trouver des explications claires sur la toile.
Quelle est la "bonne" méthode d'implémentation d'un client de messagerie ?
Doit on toujours signer le message avant de le chiffrer (le tout ?)
ou l'inverse ?
Quelles peuvent être les implications/conséquences dues a un choix ou
l'autre ?
L'utilisateur peut-il avoir la responsabilité du choix ?
De plus, avec le concept de triple enveloppe S/MIME
(Signer/Chiffrer/Signer : par exemple le client signe et chiffre, puis le
serveur "sur-signe"),
pourrait-on Chiffrer/Signer/Signer ?
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire
Veuillez sélectionner un problème
Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Xavier Roche
Jaster wrote:
Doit on toujours signer le message avant de le chiffrer (le tout ?) ou l'inverse ?
La signature a pour interêt de démontrer qu'un message a été certifié (signé) par X. Le chiffrement, de le rentre inintelligible pour un tiers ne possédant pas la clé.
Dès lors, cela dépend de ce que vous souhaitez faire ; comme permettre à n'importe qui de vérifier que le message chiffré vient bien de vous (chiffrement puis signature), ou prouver au seul détenteur de la clé qu'il provient de vous (signature et chiffrement)
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Je ne vois pas vraiment l'interêt. Au la limite signer (avec une identité X)/chiffrer/signer (avec une identité Y)
Jaster wrote:
Doit on toujours signer le message avant de le chiffrer (le tout ?)
ou l'inverse ?
La signature a pour interêt de démontrer qu'un message a été certifié
(signé) par X. Le chiffrement, de le rentre inintelligible pour un tiers
ne possédant pas la clé.
Dès lors, cela dépend de ce que vous souhaitez faire ; comme permettre à
n'importe qui de vérifier que le message chiffré vient bien de vous
(chiffrement puis signature), ou prouver au seul détenteur de la clé
qu'il provient de vous (signature et chiffrement)
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Je ne vois pas vraiment l'interêt. Au la limite signer (avec une
identité X)/chiffrer/signer (avec une identité Y)
Doit on toujours signer le message avant de le chiffrer (le tout ?) ou l'inverse ?
La signature a pour interêt de démontrer qu'un message a été certifié (signé) par X. Le chiffrement, de le rentre inintelligible pour un tiers ne possédant pas la clé.
Dès lors, cela dépend de ce que vous souhaitez faire ; comme permettre à n'importe qui de vérifier que le message chiffré vient bien de vous (chiffrement puis signature), ou prouver au seul détenteur de la clé qu'il provient de vous (signature et chiffrement)
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Je ne vois pas vraiment l'interêt. Au la limite signer (avec une identité X)/chiffrer/signer (avec une identité Y)
Jaster
Dès lors, cela dépend de ce que vous souhaitez faire ; comme permettre à n'importe qui de vérifier que le message chiffré vient bien de vous (chiffrement puis signature), ou prouver au seul détenteur de la clé qu'il provient de vous (signature et chiffrement)
Je comprends bien les différences des 2 modes mais ma question porte sur l'implémentation habituelles des clients de messagerie (a moins que ce soit l'utilisateur qui impose l'ordre, mais je ne vois pas comment) et sur ce qu'il conviendrait mieux de faire si on le code soi-même.
néanmoins j'ai réussi a trouver ce lien pas trop mal http://world.std.com/~dtd/sign_encrypt/sign_encrypt7.html
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Je ne vois pas vraiment l'interêt. Au la limite signer (avec une identité X)/chiffrer/signer (avec une identité Y)
Dès lors, cela dépend de ce que vous souhaitez faire ; comme permettre à
n'importe qui de vérifier que le message chiffré vient bien de vous
(chiffrement puis signature), ou prouver au seul détenteur de la clé qu'il
provient de vous (signature et chiffrement)
Je comprends bien les différences des 2 modes mais
ma question porte sur l'implémentation habituelles des clients de messagerie
(a moins que ce soit l'utilisateur qui impose l'ordre, mais je ne vois pas
comment)
et sur ce qu'il conviendrait mieux de faire si on le code soi-même.
néanmoins j'ai réussi a trouver ce lien pas trop mal
http://world.std.com/~dtd/sign_encrypt/sign_encrypt7.html
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Je ne vois pas vraiment l'interêt. Au la limite signer (avec une identité
X)/chiffrer/signer (avec une identité Y)
Dès lors, cela dépend de ce que vous souhaitez faire ; comme permettre à n'importe qui de vérifier que le message chiffré vient bien de vous (chiffrement puis signature), ou prouver au seul détenteur de la clé qu'il provient de vous (signature et chiffrement)
Je comprends bien les différences des 2 modes mais ma question porte sur l'implémentation habituelles des clients de messagerie (a moins que ce soit l'utilisateur qui impose l'ordre, mais je ne vois pas comment) et sur ce qu'il conviendrait mieux de faire si on le code soi-même.
néanmoins j'ai réussi a trouver ce lien pas trop mal http://world.std.com/~dtd/sign_encrypt/sign_encrypt7.html
Peut-on trouver un intêret à Chiffrer/Signer/Chiffrer ?
Je ne vois pas vraiment l'interêt. Au la limite signer (avec une identité X)/chiffrer/signer (avec une identité Y)
Julien Enocq
"Jaster" <fabjunk.pipo at free.fr> disait le 11/15/05 que :
Je comprends bien les différences des 2 modes mais ma question porte sur l'implémentation habituelles des clients de messagerie (a moins que ce soit l'utilisateur qui impose l'ordre, mais je ne vois pas comment) et sur ce qu'il conviendrait mieux de faire si on le code soi-même.
AMHA, d'abord on chiffre le message, et ensuite on signe le message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer le message.
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
"Jaster" <fabjunk.pipo at free.fr> disait le 11/15/05 que :
Je comprends bien les différences des 2 modes mais
ma question porte sur l'implémentation habituelles des clients de messagerie
(a moins que ce soit l'utilisateur qui impose l'ordre, mais je ne vois
pas comment)
et sur ce qu'il conviendrait mieux de faire si on le code soi-même.
AMHA, d'abord on chiffre le message, et ensuite on signe le
message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer
le message.
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
"Jaster" <fabjunk.pipo at free.fr> disait le 11/15/05 que :
Je comprends bien les différences des 2 modes mais ma question porte sur l'implémentation habituelles des clients de messagerie (a moins que ce soit l'utilisateur qui impose l'ordre, mais je ne vois pas comment) et sur ce qu'il conviendrait mieux de faire si on le code soi-même.
AMHA, d'abord on chiffre le message, et ensuite on signe le message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer le message.
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
Sylvain
Julien Enocq wrote on 16/11/2005 01:04:
AMHA, d'abord on chiffre le message, et ensuite on signe le message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer le message.
et ça fait quoi de savoir que Untel a envoyé on-sait-pas-quoi ?
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
les mailers font généralement le contraire, laissant la possibilité de conserver le clair et sa signature (valide) dans l'archive mail.
une signature sur le chiffré n'a de sens que de host à host pour par exemple identifier un serveur SMTP dépositaire ou relais (ceci peut permettre de ne pas relayer les spams, et n'est utilisé par personne).
Sylvain.
Julien Enocq wrote on 16/11/2005 01:04:
AMHA, d'abord on chiffre le message, et ensuite on signe le
message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer
le message.
et ça fait quoi de savoir que Untel a envoyé on-sait-pas-quoi ?
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
les mailers font généralement le contraire, laissant la possibilité de
conserver le clair et sa signature (valide) dans l'archive mail.
une signature sur le chiffré n'a de sens que de host à host pour par
exemple identifier un serveur SMTP dépositaire ou relais (ceci peut
permettre de ne pas relayer les spams, et n'est utilisé par personne).
AMHA, d'abord on chiffre le message, et ensuite on signe le message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer le message.
et ça fait quoi de savoir que Untel a envoyé on-sait-pas-quoi ?
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
les mailers font généralement le contraire, laissant la possibilité de conserver le clair et sa signature (valide) dans l'archive mail.
une signature sur le chiffré n'a de sens que de host à host pour par exemple identifier un serveur SMTP dépositaire ou relais (ceci peut permettre de ne pas relayer les spams, et n'est utilisé par personne).
Sylvain.
Julien Enocq
Sylvain disait le 11/16/05 que :
Julien Enocq wrote on 16/11/2005 01:04:
AMHA, d'abord on chiffre le message, et ensuite on signe le message chiffré pour dire "Ce message chiffré est bien de moi" Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer le message.
et ça fait quoi de savoir que Untel a envoyé on-sait-pas-quoi ?
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
les mailers font généralement le contraire, laissant la possibilité de conserver le clair et sa signature (valide) dans l'archive mail.
une signature sur le chiffré n'a de sens que de host à host pour par exemple identifier un serveur SMTP dépositaire ou relais (ceci peut permettre de ne pas relayer les spams, et n'est utilisé par personne).
Sylvain.
Effectivement je viens de tester et si on peux pas le déchiffrer, on ne peux pas vérifier la signature...
Sylvain <noSpam@mail.net> disait le 11/16/05 que :
Julien Enocq wrote on 16/11/2005 01:04:
AMHA, d'abord on chiffre le message, et ensuite on signe le
message chiffré pour dire "Ce message chiffré est bien de moi"
Ça permet de vérifier l'expéditeur même si l'on ne peux pas
déchiffrer
le message.
et ça fait quoi de savoir que Untel a envoyé on-sait-pas-quoi ?
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
les mailers font généralement le contraire, laissant la possibilité de
conserver le clair et sa signature (valide) dans l'archive mail.
une signature sur le chiffré n'a de sens que de host à host pour par
exemple identifier un serveur SMTP dépositaire ou relais (ceci peut
permettre de ne pas relayer les spams, et n'est utilisé par personne).
Sylvain.
Effectivement je viens de tester et si on peux pas le déchiffrer, on ne
peux pas vérifier la signature...
AMHA, d'abord on chiffre le message, et ensuite on signe le message chiffré pour dire "Ce message chiffré est bien de moi" Ça permet de vérifier l'expéditeur même si l'on ne peux pas déchiffrer le message.
et ça fait quoi de savoir que Untel a envoyé on-sait-pas-quoi ?
C'est juste la manière dont je vois ça, j'ai pas d'expérience là dedans.
les mailers font généralement le contraire, laissant la possibilité de conserver le clair et sa signature (valide) dans l'archive mail.
une signature sur le chiffré n'a de sens que de host à host pour par exemple identifier un serveur SMTP dépositaire ou relais (ceci peut permettre de ne pas relayer les spams, et n'est utilisé par personne).
Sylvain.
Effectivement je viens de tester et si on peux pas le déchiffrer, on ne peux pas vérifier la signature...
