L'Electronic Frontier Foundation (EFF) annonce le lancement de STARTTLS Everywhere, un dispositif visant à améliorer la sécurité de l'écosystème du courrier électronique.

L'EFF est déjà à l'origine de l'initiative de Let's Encrypt, dont le succès est énorme. Ce dont la fondation se félicite : "Grâce aux efforts antérieurs de EFF comme Let's Encrypt et Certbot, ainsi qu'à l'aide des principaux navigateurs Web, nous avons constaté des gains significatifs dans le cryptage du Web."

Avec l'initiative STARTTLS Everywhere, l'EFF veut faire la même chose pour le courriel, afin que celui-ci ne soit pas vulnérable à la surveillance de masse.

Le protocole SMTP n'a pas été développé avec le cryptage ou l'authentification, car le modèle de confiance sur Internet est aujourd'hui radicalement différent de ce qu'il était dans les années 70, souligne l'EFF, qui continue : STARTTLS est un ajout au protocole SMTP, qui permet à un serveur de messagerie de dire à l'autre: «Je veux vous envoyer cet e-mail via un canal de communication crypté.» Le serveur de messagerie du destinataire peut alors dire «Bien sûr! Négocions un canal de communication crypté. » Les deux serveurs configurent alors le canal et l'e-mail est livré de manière sécurisée, de sorte que toute personne écoutant leur trafic ne voit que des données cryptées. En d'autres termes, les observateurs du réseau à partir des points d'accès backbone Internet (comme la NSA ou d'autres gouvernements) ne seront pas en mesure de voir le contenu des messages pendant leur transit.

Le problème de STARTTLS est que de nombreux serveurs de messagerie, s'ils le supportent, ont des certificats auto-signés, donc non validés, ce qui permet des attaques de type homme du milieu (man-in-the-middle) pour interposer un certificat 'customisé' et ainsi pourvoir décfrypter le trafic.

Par ailleurs, même si vous configurez parfaitement STARTTLS et que vous utilisez un certificat valide, il n'y a aucune garantie que votre communication sera cryptée. En effet, lorsqu'un serveur de messagerie envoie un message "Je souhaite vous envoyer cet e-mail via un canal de communication crypté", ce message n'est pas crypté. Cela signifie que les attaquants du réseau peuvent intervenir et bloquer cette partie du message, de sorte que le serveur destinataire ne la voit jamais. Par conséquent, chacun des deux serveurs pense que l'autre ne prend pas en charge STARTTLS, et ils communiquent en clair.  EFF souligne qu'en 2014, plusieurs chercheurs ont découvert que le cryptage STARTTLS sur les e-mails sortants de plusieurs pays était régulièrement supprimé.

C'est ici qu'intervient STARTTLS Everywhere. STARTTLS Everywhere fournit un logiciel qu'un sysadmin peut exécuter sur un serveur de messagerie pour obtenir automatiquement un certificat validé par Let's Encrypt . Ce logiciel peut également configurer le serveur de messagerie pour qu'il utilise STARTTLS et présente le certificat valide à d'autres serveurs de messagerie. Enfin, STARTTLS Everywhere comprend une liste des serveurs de messagerie qui ont promis de prendre en charge STARTTLS, ce qui peut aider à détecter les attaques de rétrogradation. 

Le code de STARTTLS Everywhere est sur GitHub.