CrypClip et GnuPG implémentent le même standard — OpenPGP — avec les mêmes algorithmes. Un message chiffré dans l'un se déchiffre dans l'autre. La comparaison ne porte donc pas sur la solidité cryptographique ; elle porte sur la gestion des clés, la surface d'attaque et la personne qui se trouve à l'autre bout. GnuPG est l'outil le plus complet, et pour plusieurs usages c'est tout simplement la bonne réponse.
Côte à côte
| CrypClip | GnuPG (CLI) | |
|---|---|---|
| Standard | OpenPGP | OpenPGP |
| Chiffrement symétrique | AES-256 | AES-256 (configurable) |
| Installation | Aucune | Requise |
| Gestion des clés | Aucune | Trousseau complet, modèle de confiance, expiration |
| Signature / vérification | Non | Oui |
| Le destinataire doit s'équiper | Non | Généralement oui |
| Fonctionne hors ligne | Oui, une fois chargé | Oui |
| Code livré à chaque usage | Oui (chargement de la page) | Non (installé une fois) |
| Scriptable / automatisable | Non | Oui |
| Audité | Utilise OpenPGP.js | Oui, largement |
Là où GnuPG est tout simplement meilleur
L'identité dans la durée
PGP a été conçu autour de paires de clés durables, de signatures, d'expiration et d'un modèle de confiance. GnuPG implémente tout cela. CrypClip n'en implémente rien — il n'y a pas de trousseau, et rien ne persiste d'une session à l'autre. Si vous gérez des correspondants sur des années plutôt que d'envoyer un message aujourd'hui, la question ne se pose même pas.
L'authenticité
Le chiffrement prouve que seul le destinataire prévu peut lire un message. Il ne dit rien de son auteur. GnuPG peut signer, de sorte que le destinataire peut vérifier l'expéditeur ; CrypClip ne le peut pas. Si un message falsifié serait aussi dommageable qu'un message intercepté, il vous faut la signature.
La confiance dans la livraison du code
C'est la différence structurelle la plus importante. GnuPG s'installe une fois et peut être vérifié une fois. Un outil web relivre son code à chaque visite, de sorte qu'un hébergeur compromis ou une extension de navigateur malveillante pourrait, en principe, servir du code modifié. Ce risque est réel et il n'existe pas pour un logiciel installé.
L'automatisation
Scripts, pipelines, traitements par lots, jetons matériels. Tout cela, c'est GnuPG ; rien de cela n'est CrypClip.
Là où un outil de navigateur l'emporte
Le destinataire n'a pas GnuPG
C'est tout l'argument, et il pèse plus lourd qu'il n'y paraît. Le chiffrement à clé publique exige que l'autre partie possède une paire de clés. La plupart des gens n'en ont pas, et leur demander d'installer GnuPG et d'en générer une pour que vous puissiez leur envoyer un mot de passe aujourd'hui se termine généralement par un mot de passe envoyé en clair.
Un outil que les deux parties peuvent utiliser dans un navigateur ne rivalise pas avec une installation GnuPG bien tenue. Il rivalise avec l'envoi en clair, qui est l'alternative réaliste.
Rien à configurer, rien à rater
La souplesse de GnuPG est aussi une source d'erreurs de configuration. Il y a une longue histoire de gens qui l'utilisent légèrement de travers. Un outil qui ne fait qu'une chose offre moins de façons d'être mal utilisé.
La vérifiabilité par simple inspection
Vous pouvez vérifier les affirmations d'un outil web en une minute environ : ouvrez l'onglet Réseau et chiffrez quelque chose, ou laissez la page se charger, débranchez le câble réseau et confirmez que cela fonctionne encore. CrypClip est livré non minifié pour que le JavaScript servi puisse réellement être lu. C'est une autre forme d'assurance qu'une version signée — plus faible à certains égards, plus immédiate à d'autres.
Choisissez selon le modèle de menace, pas selon les fonctionnalités
La façon honnête de décider est de se demander de qui vous protégez le message.
Un lecteur passif — le fournisseur de messagerie, la plateforme de chat, une personne ayant accès à une boîte partagée, un attaquant qui pirate un service plus tard. Un outil de navigateur gère bien ce cas. Le message est opaque pour chacun d'eux.
Un adversaire susceptible de vous viser personnellement — quelqu'un capable de compromettre un hébergeur web, de servir du JavaScript modifié ou d'atteindre votre appareil. Ici, la livraison à chaque usage compte, et un logiciel installé et vérifié est la meilleure base. Utilisez GnuPG.
La plupart des gens, la plupart du temps, sont dans le premier cas. Certains sont réellement dans le second, et un tableau comparatif ne devrait pas les en dissuader.
Ils sont interopérables, ce n'est donc pas l'un ou l'autre
Comme les deux parlent OpenPGP, vous pouvez chiffrer dans CrypClip et déchiffrer dans GnuPG, ou l'inverse. Si vous avez déjà une paire de clés, vous pouvez coller la clé publique de votre correspondant dans les Options avancées de CrypClip et chiffrer directement pour elle — sans mot de passe partagé.
Tester cet aller-retour avec GnuPG est aussi la façon la plus convaincante de confirmer que CrypClip fait du vrai OpenPGP et non quelque chose de bricolé. Nous le recommandons : comment le vérifier vous-même.