Air-gapped file encryption as self-decrypting HTML page

À propos de Air-gapped file encryption as self-decrypting HTML page

Air-gapped file encryption as self-decrypting HTML page est un projet logiciel libre hébergé sur GitHub sous le compte de l’auteur derhuerst. Son objectif est de générer une page HTML autonome capable de déchiffrer localement, dans le navigateur, un fichier préalablement chiffré. La particularité de cette approche est qu’elle ne requiert aucune connexion réseau, aucun serveur applicatif et aucun service cloud : le fichier HTML contient en lui-même le mécanisme de déchiffrement, le tout exécuté côté client. Le terme « air-gapped » dans l’intitulé indique que la solution est conçue pour des environnements isolés, où l’échange de données avec l’extérieur est interdit ou fortement restreint. Bien que le projet soit avant tout un démonstrateur technique et qu’aucune documentation commerciale officielle ne soit largement diffusée, son concept repose sur des standards éprouvés de chiffrement symétrique (AES-256) et de gestion locale des clés. Il s’adresse donc aux utilisateurs techniques qui souhaitent distribuer des fichiers chiffrés de manière simple, sans infrastructure supplémentaire, tout en conservant un contrôle strict sur les données.

L’outil se présente sous la forme d’un générateur (ou d’un script) qui, à partir d’un fichier source et d’une clé de déchiffrement, produit une page HTML unique. Lorsqu’un destinataire ouvre cette page dans un navigateur compatible, elle lui demande la clé (ou le mot de passe) ; si celle-ci est correcte, le contenu original est reconstitué et affiché ou téléchargé localement. Aucune donnée ne transite vers un serveur, ce qui en fait une solution adaptée aux contextes les plus sensibles.

Fonctionnalités principales

Le projet self-decrypting-html-page repose sur un ensemble de caractéristiques techniques clairement identifiables, même si la documentation officielle reste succincte. Les fonctionnalités suivantes sont déduites du code source et des principes généraux des solutions de chiffrement client-side :

• Chiffrement et déchiffrement local : L’intégralité des opérations cryptographiques s’effectue dans le navigateur, à l’aide de l’API Web Crypto (AES-256-GCM). Aucune information n’est transmise à un serveur.
• Page HTML autonome : Le fichier généré contient à la fois le texte chiffré, le code JavaScript de déchiffrement et l’interface utilisateur. Il peut être stocké, transmis par courriel ou copié sur une clé USB sans aucune dépendance externe.
• Fonctionnement hors ligne : Puisque tout le traitement est inclus dans la page, aucun accès à Internet ni à une infrastructure réseau n’est nécessaire. Le fichier s’ouvre dans n’importe quel navigateur moderne, même dans une machine en « air gap ».
• Aucune dépendance serveur : Il n’y a pas de base de données, d’API, de certificat ou de service cloud à configurer. La distribution se résume à un simple transfert de fichier.
• Protection du contenu en transit : Le fichier HTML chiffré peut être envoyé par tout canal non sécurisé (courriel, FTP, messagerie instantanée) sans exposer le contenu original, puisque le secret reste la clé partagée par un autre canal.
• Interface minimaliste : La page générée présente habituellement un champ de saisie pour la clé et un bouton de déchiffrement. Une fois le contenu déchiffré, il peut être affiché dans la page ou proposé en téléchargement.
• Adapté aux environnements isolés : La conception « air-gapped » garantit qu’aucune donnée ne quitte l’environnement local, ce qui satisfait les politiques de sécurité les plus strictes (militaire, défense, infrastructures critiques).

Ces fonctionnalités sont cohérentes avec les projets similaires du même créneau, bien que le niveau de polish et d’options avancées (choix de l’algorithme, gestion de multiples fichiers, authentification, etc.) soit limité.

Tarification

Le projet self-decrypting-html-page est distribué sous forme de code source libre sur GitHub. Aucune page tarifaire, aucun abonnement ou licence commerciale n’est proposé officiellement. Dans l’état actuel des informations disponibles, l’outil est gratuit (≈ 0 $ CA). Il s’agit d’un démonstrateur ou d’un projet développé à des fins éducatives et techniques.

Il est important de noter que cette gratuité ne s’accompagne d’aucun support technique, d’aucune garantie ni d’aucune mise à jour garantie. L’utilisateur doit compter sur ses propres compétences pour intégrer l’outil, le modifier ou le déployer. Aucune version commerciale « entreprise » n’est connue à ce jour. Si une telle version existait, elle serait probablement facturée sur devis, mais aucun chiffre ou devise n’est documenté. En l’absence de données fiables, nous ne pouvons que confirmer que le modèle économique est celui de l’open source gratuit.

Cas d’utilisation

Ce type de solution trouve sa place dans des contextes où la sécurité des données et l’isolement réseau sont primordiaux. Voici quelques scénarios typiques :

• Distribution de documents classifiés : Dans les secteurs de la défense ou du renseignement, un agent peut recevoir un fichier HTML chiffré par messagerie et le déchiffrer sur une machine complètement isolée, sans jamais exposer la clé ou le contenu à un réseau.
• Partage de fichiers sensibles en environnement air-gapped : Dans les infrastructures critiques (centrales nucléaires, transport, énergie), les équipes techniques échangent des instructions ou des rapports via des supports physiques. La page HTML auto-déchiffrante évite d’avoir à installer un logiciel de déchiffrement sur chaque poste.
• Audit et conformité : Un auditeur externe peut recevoir un fichier chiffré contenant des données confidentielles, le déchiffrer localement sans jamais le transférer vers un service cloud, et respecter ainsi les politiques de souveraineté des données.
• Formation et démonstrations : Les formateurs peuvent distribuer des exercices ou des réponses chiffrées, que les participants déchiffrent eux-mêmes dans leur navigateur, sans infrastructure centralisée.
• Sauvegarde privée : Un utilisateur avancé peut chiffrer un fichier localement, générer la page HTML, et l’archiver sur une clé USB ou un serveur interne. En cas de besoin, il lui suffit d’ouvrir la page et de fournir la clé pour retrouver ses données.

Tous ces cas d’usage partagent la même exigence : un contrôle strict sur le déchiffrement, une distribution simple et aucune dépendance à un service tiers.

Notre avis

Air-gapped file encryption as self-decrypting HTML page remplit bien son objectif technique : il permet de chiffrer un fichier et de le distribuer sous forme d’une page qui se déchiffre elle-même dans le navigateur, le tout sans aucune connexion réseau. Pour un usage ponctuel ou dans un environnement maîtrisé, c’est une solution élégante et légère. La simplicité d’utilisation (un seul fichier, pas d’installation) en fait un outil de choix pour les professionnels de la sécurité ou les utilisateurs techniques qui veulent éviter les solutions cloud.

Cependant, plusieurs limites doivent être soulignées. La gestion des clés repose entièrement sur l’utilisateur : il faut transmettre la clé via un canal séparé, ce qui peut être complexe dans des environnements très cloisonnés. De plus, l’absence de support officiel, de documentation complète et de mise à jour régulière constitue un risque pour une utilisation en production. Le code source n’est pas audité par un tiers indépendant, ce qui peut poser problème dans des organisations soumises à des certifications de sécurité. Enfin, la page HTML étant statique, elle n’offre ni versionnage, ni gestion des accès, ni journalisation ; tout est laissé à la discrétion de l’utilisateur.

En comparaison avec des solutions commerciales comme Google Distributed Cloud (facturée sur devis) ou des plateformes IA air-gapped complètes (sur devis également), cet outil gratuit ne peut rivaliser en termes de fonctionnalités avancées, de support ou de gouvernance. Il est davantage un bloc de construction technique qu’un produit clé en main. Pour un besoin ponctuel de partage de fichiers chiffrés en air gap, il reste une option valable ; pour une utilisation récurrente au sein d’une équipe, nous recommandons de se tourner vers des logiciels spécialisés offrant une gestion des clés intégrée et un support commercial.

Résultat : un outil technique gratuit, utile mais limité, dont la valeur dépend fortement du contexte et des compétences de l’utilisateur.