[Crypto-fun] PB de conception pour stockage d'adresses mail

[Le Barde]

Bonjour,

Dans le cadre de mon projet web, je stocke des adresses mail. Il s'agit du coeur du service, et donc les moyens importent peu. Ces adresses mail ont une péremption dans le temps.
Comme il s'agit d'un service permettant de protéger l'anonymat des personnes, il est impératif :

* Que le système puisse retrouver l'adresse mail (pour pouvoir lui envoyer des mails) ;
* Qu'une personne humaine ne puisse pas retrouver les adresses mail.

Vous voyez le dilemme : le système informatique doit pouvoir envoyer des mails à des adresses que je (en tant que webmaster) ne dois pas pouvoir connaître.

Déjà, il est possible de crypter l'adresse mail avec une clef de chiffrement asymétrique (par ex. gpg), et de révoquer la clef, une fois que l'adresse mail est périmée. Cela rend alors impossible de retrouver cette adresse mail.

Mais comment faire pour qu'on ne puisse "jamais" retrouver cette clef ?

Je pense éventuellement à distribuer les rôles avec chiffrement par deux clefs distantes, ou à publier le service comme un service caché sur TOR, par exemple... Mais je ne sais pas si cela résoudrait vraiment mon problème, ni si cela est réalisable pour des performances correctes.

Je prévois une charge minimale de 5000 nouvelles adresses chaque jour, et de 10000 mails / j.

Si vous avez des idées, j'en serais friand

Cdlt,
Le Barde.
_________________
War does not decide who's right, but who's left.

[guilc]

Juste sur le principe, là j'ai pas réfléchi à une solution mais :

1) ce que tu demandes n'existe pas, si la machine peut le faire, un humain peut le faire, même si tu stockes une clé de chiffrement dans un boîtier HSM, elle est humainement récupérable. Ce qui se pratique au niveau des HSM (avec les plus fortes normes de sécurité) c'est de répartir la clé privée (qui permet de "dévérouiller" le boîtier) entre plusieurs porteurs physiques via des cartes à puce. Ainsi, une seule personne ne peut pas violer le système, il faut soit voler toutes les puces (et codes pins qui vont avec), soit agir collégialement. L'inviolabilité, ça n'existe pas. C'est juste un ratio entre la difficulté à obtenir la donnée et la valeur de la donnée. Les normes "d'inviolabilité" sont juste une façon de placer la barre à un endroit.

2) la plupart du temps, c'est à dire tout le temps sauf lorsque tu parles d'authentification forte, ce n'est pas souhaitable pour des raisons pratique : en cas d'incident du système, plantage, perte de données, etc... Le jour ou cela arrivera, tu seras bien content de pouvoir récupérer les donner "à la main" sans y passer 150 ans.
D'ailleurs, dans la vraie vie des boîtes du réel, c'est à peu près toujours le cas : il existe une ou plusieurs personnes "de confiance" qui ont accès à ces données "confidentielle"... Dans la vraie vie, la confidentialité n'engage que celui qui y croit...

[EDIT]
Ah oui, et pour des mails... Tu es bien conscient que les adresses vont se retrouver placardées partout dans les logs du serveur hein ?
_________________
Merci de respecter les règles du forum.

Mon site perso : https://www.xwing.info
Mon PORTDIR_OVERLAY : https://gentoo.xwing.info ou layman -a xwing