Proton Mail vs Tuta Mail

Reprendre le contrôle de ses données numériques commence par sa boîte mail. C'est ici que sont centralisés tous vos comptes, rendez-vous ou encore communications professionnelles. Elle doit non seulement être sécurisée, mais également complète avec toutes les fonctionnalités qui vous sont nécessaires. Ici, nous allons comparer objectivement les deux entreprises les plus réputées pour sécuriser ses mails : Proton et Tuta (anciennement Tutanota).

Proton

Proton est une entreprise semi-open-source (j'en reparlerai après), cofondée en Suisse en 2014 par Andy Yen (CEO), Jason Stockman et Wei Sun, trois scientifiques du CERN, tous engagés dans la confidentialité numérique en misant sur le chiffrement de bout en bout (E2EE). L'idée leur est venue suite aux révélations d'Edward Snowden en 2013 concernant la surveillance globale de la NSA (j'en ferai sûrement un article dédié). L'entreprise est contrôlée principalement par la Proton Foundation, une fondation à but non lucratif permettant de maintenir l'équilibre sur son financement et éviter les dérives comme un rachat hostile puisqu'elle détient la majorité des droits de vote. Proton propose également d'autres services dans son écosystème bien établi depuis ces dernières années, comme un calendrier, un drive, un VPN ou encore un gestionnaire de mot de passe.

Tuta

Tuta est aussi une entreprise semi-open-source (pareil, j'en reparlerai), fondée en Allemagne en 2011 par Matthias Pfau (CEO) et Arne Möhle mais c'est seulement en 2014 que leur messagerie sort pour le grand public, soit dans la même année que Proton. L'entreprise est contrôlée à 100% par les deux seuls actionnaires qui sont les cofondateurs. L'écosystème est un peu plus limité, comparé à celui de Proton, avec comme seul extra pour l'instant, un calendrier chiffré de bout en bout qui suit leur philosophie. Ils travaillent toutefois sur un Tuta Drive, une réponse directe à Proton Drive, à voir ce que ça donnera à sa sortie.

Comparatif

Ce tableau compare les abonnements les moins chers des deux entreprises. Comme vous pouvez facilement le constater, Tuta propose un meilleur rapport stockage / prix sur les offres mail. Proton en revanche, prend vite son avantage de rapport qualité / prix sur son offre Proton Unlimited à 12.99 € comparable au forfait Tuta Legend à 9.60 €. Tous deux incluent 500 Go de stockage, des emails supplémentaires et des calendriers illimités, mais Proton inclut les offres premium de tous ses autres services ; Calendar, Drive, Pass, VPN, pour seulement 3.40 € de plus, ce qui devient vite plus intéressant pour ceux qui les utilisent tous.

Chiffrement de bout en bout (E2EE)

On parle souvent de chiffrement, mais qu'est-ce que c'est exactement ? Il s'agit simplement de transformer du contenu numérique en un autre complètement incompressible et qui permet via une clé d'être remis dans son état d'origine. ATTENTION : tous les chiffrements ne se valent pas et ne garantissent pas forcément une sécurité, c'est pour ça que dans ce domaine, on parle de chiffrement de bout en bout, c'est-à-dire que seul le(s) détenteur(s) de la clé de déchiffrement peut accéder aux contenus. L'idée est donc simple, avoir deux clés, une publique que vous allez fournir aux autres permettant exclusivement de chiffrer leurs messages de leur côté pour vous les envoyer, et une autre que vous gardez précieusement pour les déchiffrer. Et grâce à la magie des maths et des nombres premiers, il est impossible (du moins EXTRÊMEMENT improbable avec le matériel de nos jours) que votre clé privée puisse être devinée ou trouvée par hasard. Proton et Tuta utilisent deux types de chiffrement différent, OpenPGP et TutaCrypt. OpenPGP est un chiffrement ouvert et largement adopté depuis des années, tandis que TutaCrypt est une alternative fait maison de Tuta non adoptée ailleurs, mais qui en revanche, chiffre l'objet des mails et déjà résistant à la quantique, contrairement à OpenPGP. À vous de voir si vous privilégiez la compatibilité ou le chiffrement pur, sachant que OpenPGP et Proton travail déjà pour fournir ces mêmes sécurités sans casser l'interopérabilité qui est un point crucial pour Proton. Mais je vous le rappelle, nous sommes une minorité à s'intéresser à la vie privée sur internet. Au quotidien, vous allez souvent envoyer des mails à des @gmail.com ou @outlook.com... là où le chiffrement n'a d'intérêt que de votre côté, pour stocker vos mails.

Open source, pourquoi c'est si important ?

L'open source n'est pas qu'une philosophie, c'est de la transparence sur ce qui est utilisé, comment c'est fait, et pourquoi. Comme cela garantit que le code est public, tout le monde peut y avoir accès et l'auditer afin de chercher des vulnérabilités ou juste par curiosité technique. Alors qu'est-ce que ça veut dire quand c'est "semi-open-source" ? Tout simplement qu'une partie du code est gardée privée. Dans le cas de ces deux entreprises, le code public concerne les clients, c'est-à-dire les applications mobiles et de bureau ainsi que les interfaces web. C'est le plus important pour nous, consommateurs, car c'est ici que sont chiffrés nos emails. Ce qui n'est pas open-source cependant, c'est le backend, le code utilisé sur leurs serveurs. Cela concerne par exemple les filtres, le stockage, ou encore la gestion du compte. C'est un choix controversé par les puristes de l'open-source, mais justifié comme étant inutile, et moins sécurisé, car tout le monde pourrait comprendre leurs algorithmes de détection de spam ou de botting par exemple. Proton affirme cependant que des audits privés sont réalisés par des professionnels sur leur backend et publie régulièrement les rapports sur leur site.

Suisse VS Allemagne, une distinction anodine ?

Aujourd'hui, le choix de la juridiction pour ses données n'est plus qu'un simple choix arbitraire. Certaines lois commencent à changer sur la façon dont sont stockées les données des utilisateurs et les entreprises n'ont pas le choix de s'y aligner. Je pense notamment à Chat Control dans l'Union européenne ou à la révision de l'OSCPT en Suisse. L'Allemagne, en plus de faire partie de l'UE, fait partie de l'alliance 14-eyes. Une alliance permettant aux 14 pays membres de se partager n'importe quelles données possédées par les entreprises de leur pays dans la plus grande discrétion (spoiler, la France en fait partie). L'Union européenne possède néanmoins le RGPD qui est censé réguler la protection des données (j'insiste sur le "censé"). La Suisse possède ses propres lois et n'a pas d'alliances connues. La Suisse était réputée pour avoir des lois très strictes sur la protection des données, mais une révision de l'OSCPT (qui gère toute la télécommunication) a mis en danger le chiffrement. Proton menace de quitter le pays si elle passait pour ; la Norvège et... l'Allemagne. Certains serveurs ont même déjà été physiquement déplacés dans les deux pays. Dans tous les cas, le plus important reste l'incapacité de l'accès aux données via le chiffrement de bout en bout. Si Proton ou Tuta ne sait rien, alors personne d'autre ne peut savoir quoi que ce soit sauf celui qui est détenteur de la clé de déchiffrement, c'est-à-dire, vous !

Comment choisir ?

Le choix n'est pas si évident que ça pour tout le monde. Si votre but est juste de remplacer Google Workspace pour une suite plus éthique et respectueuse de vos données personnelles, Proton serait idéalement plus simple via l'écosystème déjà avancé. Maintenant, supposons que vous auto-hébergez votre propre drive, gestionnaire de mot de passe, VPN, ou alors que vous faites confiance à une autre entreprise pour ces services, dans ce cas, alors Tuta devient vite plus intéressant vu son prix réduit.