La France a longtemps eu l'une des réglementations les plus strictes au monde sur la cryptographie — non pas seulement à l'export comme aux États-Unis, mais aussi sur son simple usage domestique. La loi du 29 décembre 1990 imposait une déclaration, voire une autorisation préalable du SCSSI, pour utiliser un moyen de chiffrement en France, un régime assoupli seulement en 1996 puis largement libéralisé par la LCEN de 2004.
Une paire de clés : publique et privée
Contrairement au chiffrement symétrique (comme AES), où une seule clé chiffre et déchiffre les données, PGP utilise une paire de clés mathématiquement liées. La clé publique circule librement — n'importe qui peut l'utiliser pour chiffrer un message qui vous est destiné — et seule la clé privée correspondante, qui ne quitte jamais votre machine, peut le déchiffrer.
Pourquoi un simple logiciel devait être déclaré
Avant 2004, faire tourner un outil comme PGP en France sans déclaration préalable exposait, en théorie, à des sanctions : la loi assimilait le chiffrement à une arme de guerre de seconde catégorie. L'assouplissement progressif reflète un changement de doctrine — la cryptographie forte est passée du statut de menace à celui d'outil de sécurité informatique ordinaire, désormais recommandé par l'ANSSI elle-même.
La signature numérique : la même idée à l'envers
Pour signer un message, l'auteur le hache puis chiffre ce hachage avec sa clé privée. N'importe qui peut vérifier la signature avec la clé publique de l'auteur — une vérification réussie confirme que le message a bien été créé par le propriétaire de la clé privée et qu'il n'a pas été modifié depuis.
Pourquoi c'est utile
- Chiffrer des messages confidentiels pour un destinataire sans échange préalable de secrets.
- Signer des versions de logiciels ou des commits pour prouver la paternité.
- Vérifier l'authenticité d'e-mails ou de fichiers signés reçus de l'extérieur.
Web of Trust au lieu d'une autorité déclarée
Le régime français d'avant 2004 reposait sur une autorisation administrative centrale. PGP fonctionne à l'inverse avec la « toile de confiance » (Web of Trust) : les utilisateurs signent eux-mêmes les clés publiques les uns des autres, confirmant qu'ils ont personnellement vérifié à qui appartient chaque clé. La confiance envers une clé inconnue se construit par une chaîne de signatures entre personnes, jamais par une déclaration auprès d'une autorité unique.