Vault utilise trois sortes de clés. Elles sont rangées dans le trousseau de votre Mac, pas dans la bibliothèque : une sauvegarde de la base ne les contient pas. Si vous perdez ce Mac sans les avoir exportées, vous les perdez.
| Clé | À quoi elle sert | Créée | Où l’exporter |
|---|---|---|---|
| Clé de signature d’archives (Ed25519) | Signe chaque archive .obf que vous créez. | À la première archive. | Archives › Clés d’archives… › Exporter la clé de signature… |
| Clé de chiffrement d’archives (AES-256) | Chiffre et déchiffre vos archives chiffrées. | À la première archive chiffrée. | Archives › Clés d’archives… › Exporter la clé de chiffrement… |
| Clé de signature des certificats (Ed25519) | Signe vos certificats de préservation. | Par Créer la clé de signature, dans les réglages des certificats, ou en important sa sauvegarde. | Certificats › Réglages… › Exporter une sauvegarde… |
S’y ajoutent les clés d’accès de vos destinations hors site, gardées elles aussi dans le trousseau (voir Les copies hors site), et la session de votre compte de licence.
Ce qui arrive si une clé est perdue
- Clé de signature d’archives : elle ne sert qu’à signer, et n’ouvre aucune archive. Vos archives ne sont pas abîmées, mais sur un autre Mac qui ne connaît pas cette clé, elles sont non vérifiables et refusées à la restauration ; et personne ne peut plus signer avec la même clé. Gardez une copie de cette clé (ou au moins de sa clé publique) pour la faire reconnaître comme clé de confiance sur un autre Mac.
- Clé de chiffrement d’archives : une archive chiffrée ne peut plus être ouverte, par personne. Il n’existe aucun moyen de la récupérer sans la clé.
- Clé des certificats : vous ne pouvez plus émettre sous cette identité. Les certificats déjà émis restent vérifiables, puisque vérifier ne demande que la clé publique (celle du fichier que vous publiez) ; mais vous ne détenez plus la clé qui les a signés. C’est pourquoi l’émission est bloquée tant qu’une sauvegarde n’a pas été exportée.
Vault ne crée jamais une nouvelle clé à la place d’une clé qu’il n’arrive pas à lire dans le trousseau (trousseau verrouillé, accès refusé, élément abîmé) : il s’arrête et le dit (« Aucune nouvelle clé n’a été créée, pour ne pas rendre vos archives invérifiables » ; pour les certificats, les réglages affichent que la clé n’a pas pu être lue et l’émission est bloquée). Une nouvelle clé n’est créée que lorsqu’il n’y en a vraiment aucune.
Sauvegarder les clés d’archives
- Dans Archives, cliquez sur Clés d’archives….
- La section Cette installation montre l’empreinte de la clé de Signature et si la clé de Chiffrement est présente.
- Cliquez sur Exporter la clé de chiffrement… ou Exporter la clé de signature…, saisissez une phrase de passe d’au moins 12 caractères, confirmez-la, puis Exporter… (fichiers proposés :
obscura-vault-chiffrement.key,obscura-vault-signature.key). - Pour vérifier vos archives sur un autre Mac, la clé publique suffit : Exporter la clé publique…. Ce fichier n’est pas secret.
Tant qu’une clé de cette installation n’a jamais été exportée, l’écran Archives, la feuille Clés d’archives et le tableau de bord le rappellent, une ligne par clé, avec Sauvegarder les clés… :
- la clé de chiffrement, dès qu’elle existe (à la première archive chiffrée), est rappelée en premier et en rouge, car c’est la plus grave : « Sans elle, vos archives chiffrées ne pourront être ouvertes sur aucun autre Mac, par personne. » ;
- la clé de signature ne fait que signer : « Sans export, un autre Mac verra vos archives comme « non vérifiables », et vous ne pourrez plus signer avec la même clé. »
La feuille indique pour chaque clé la date de son dernier export.
Le fichier exporté est chiffré par la phrase de passe et lisible par vous seul sur ce Mac (permissions 0600). Rangez le fichier et la phrase de passe séparément, hors de ce Mac, et jamais à côté des archives qu’ils protègent : ensemble, ils ouvrent vos archives chiffrées ou signent en votre nom.
En clair pour Obscura Flow… écrit la clé sans phrase de passe, dans le format qu’Obscura Flow sait importer, après une confirmation. Quiconque lit ce fichier détient la clé : supprimez-le dès que Flow l’a importé. Les anciennes sauvegardes en clair d’Obscura Flow s’importent toujours dans Vault.
Sauvegarder la clé des certificats
Dans Certificats › Réglages…, section Clé de signature : saisissez une phrase de passe d’au moins 12 caractères, confirmez-la, puis Exporter une sauvegarde…. Ce fichier est chiffré par la phrase de passe. Rangez le fichier et la phrase de passe séparément : ensemble, ils permettent d’émettre en votre nom.
Le fichier commence par quelques lignes lisibles qui indiquent l’empreinte de la clé ; le reste est chiffré.
Réinstaller la clé des certificats (nouveau Mac)
- Dans Certificats › Réglages…, section Clé de signature, cliquez sur Importer une sauvegarde de clé… et choisissez le fichier de sauvegarde.
- Vault affiche l’empreinte de la clé qu’il contient : vérifiez que c’est celle de vos certificats (elle est imprimée sur chacun, « Empreinte complète de la clé »).
- Saisissez la phrase de passe de la sauvegarde, puis Réinstaller la clé.
La clé redevient la clé de signature de ce Mac, avec la même empreinte : les certificats qu’elle a signés lui sont de nouveau attribués et se vérifient ici comme « clé reconnue ». La sauvegarde que vous venez d’ouvrir compte comme sauvegarde confirmée.
Vault refuse :
- une phrase de passe incorrecte, ou un fichier qui n’est pas une sauvegarde de clé de certificats ;
- une clé que cette bibliothèque a retirée ou déclarée compromise : elle ne signera plus ;
- de remplacer une clé actuelle qui a signé des certificats et n’a jamais été sauvegardée : exportez-en d’abord une sauvegarde, sinon elle serait perdue. Une clé actuelle différente, sauvegardée, est retirée (elle reste publiée) ;
- d’écrire quoi que ce soit si la clé actuelle n’a pas pu être lue dans le trousseau.
Ensuite, exportez le fichier de clé publique par-dessus celui que vous publiez déjà (voir Certificats de préservation) : les clés qu’il contenait y restent.
Pour retirer une clé de certificats ou la déclarer compromise (Mac volé, sauvegarde divulguée), voir Certificats de préservation › Retirer ou déclarer compromise la clé de signature.
Vérifier et restaurer les archives d’Obscura Flow
Vault vérifie une signature avec la clé de cette installation et avec ses clés de signature de confiance. Pour vérifier et restaurer des archives créées par Obscura Flow, importez les clés de Flow une fois :
- Dans Obscura Flow, ouvrez les réglages, onglet Archive, section Chiffrement, et exportez :
- la clé de signature avec Sauvegarder la clé de signature… ;
- si vos archives Flow sont chiffrées, la clé de chiffrement avec Sauvegarder la clé….
- Dans Vault, ouvrez Archives › Clés d’archives….
- Cliquez sur Importer une clé de signature… et choisissez la sauvegarde de clé de signature. Vault n’en garde que la partie publique : il pourra vérifier les signatures de Flow, pas signer en son nom. La clé apparaît dans Clés de signature de confiance (« Clé de confiance ajoutée »).
- Si nécessaire, cliquez sur Importer une clé de chiffrement… et choisissez la sauvegarde de clé de chiffrement de Flow. Elle s’ajoute aux clés essayées pour ouvrir une archive chiffrée ; elle ne remplace jamais la clé de chiffrement de Vault.
Le bouton d’import de clé de signature accepte aussi une sauvegarde de clé de signature de Vault (celle d’une autre installation) ou une clé publique Ed25519.
Ces clés servent partout où Vault vérifie ou restaure une archive : l’écran Archives, la restauration depuis le Hors site.
Pour ne plus faire confiance à une clé importée, cliquez sur Retirer… sur sa ligne et confirmez. Les archives qu’elle a signées redeviennent non vérifiables ; vous pourrez réimporter la clé plus tard. La clé de signature de cette installation ne peut pas être retirée. Le retrait est noté au journal.
Restaurer vos archives sur un nouveau Mac
- Installez Vault sur le nouveau Mac.
- Dans Archives › Clés d’archives…, importez votre sauvegarde de clé de signature avec Importer une clé de signature… (le bouton accepte une sauvegarde de Vault, et demande alors sa phrase de passe) : vos anciennes archives redeviennent vérifiables.
- Importez votre sauvegarde de clé de chiffrement avec Importer une clé de chiffrement… : vos anciennes archives chiffrées redeviennent restaurables.
- Vérifiez et restaurez vos archives (Vérifier…, Restaurer…, ou depuis le Hors site).
Le nouveau Mac créera sa propre clé de signature à sa première archive.
Bonnes pratiques
- Exportez les clés dès leur création : après votre première archive, votre première archive chiffrée, la création de la clé des certificats.
- Gardez au moins deux copies des fichiers de clé, en deux lieux, et aucune dans le même dossier que les archives ou leur copie hors site.
- N’envoyez jamais un fichier de clé par e-mail.
- Testez une restauration de temps en temps, sur un autre dossier, pour vous assurer que vous avez bien les clés qu’il faut.