Chiffrer une clé USB en AES-256 : le guide simple pour Windows et Mac

Les chiffres clés

Pourquoi une clé USB non chiffrée est un risque

Les clés USB sont petites, bon marché et faciles à perdre : dans un taxi, à la réception d'un hôtel, dans une veste laissée au pressing. Celui qui en trouve une n'a qu'à la brancher pour tout lire. Pour la plupart d'entre nous, cela signifie des scans de papiers d'identité, des fiches de paie, des contrats, des déclarations d'impôts ou des photos de famille ; pour un professionnel, cela peut être des données de clients, dont la fuite entraîne dans de nombreux pays des obligations légales.

Le chiffrement règle ce problème. Une clé chiffrée ressemble à des données aléatoires pour qui ne connaît pas le mot de passe. Si vous la perdez, vous perdez le matériel, pas votre vie privée.

AES-256 expliqué sans jargon

AES (Advanced Encryption Standard, norme de chiffrement avancé) est l'algorithme qui protège aujourd'hui l'essentiel du monde numérique : réseaux Wi-Fi, sites en HTTPS, smartphones, applications bancaires et chiffrement des disques. Il a été choisi à l'issue d'un concours international ouvert et publié par l'institut américain des normes et de la technologie (NIST) sous le nom de FIPS 197 en 2001.

Le nombre après AES est la longueur de la clé : 128, 192 ou 256 bits. Une clé de 256 bits peut prendre 2^256 valeurs, un nombre de 78 chiffres. Les essayer toutes est impossible avec n'importe quel ordinateur existant, même à raison de milliards d'essais par seconde pendant des milliards d'années.

C'est pourquoi on parle souvent de chiffrement « de niveau militaire » : le comité américain des systèmes de sécurité nationale a approuvé AES avec des clés de 192 ou 256 bits pour protéger les informations TOP SECRET (politique CNSS n° 15). L'expression relève du marketing, mais le fait qui la justifie est réel.

Le piège : personne n'attaque AES lui-même. Les attaquants devinent le mot de passe qui débloque la clé. Une clé « protégée par AES-256 » avec le mot de passe "12345678" n'est pas protégée. Un bon logiciel de chiffrement ralentit volontairement les tentatives (il fait passer le mot de passe des milliers de fois dans une fonction de dérivation de clé), mais une phrase de passe longue et unique reste votre vrai bouclier.

Cinq façons de chiffrer une clé USB

1. BitLocker To Go (Windows)

BitLocker To Go est intégré à Windows 11 et Windows 10 en éditions Pro, Entreprise et Éducation. Windows Famille ne peut pas l'activer, mais peut généralement ouvrir une clé chiffrée sur un PC Pro si vous connaissez le mot de passe.

• 1. Sauvegardez d'abord les fichiers de la clé.
• 2. Dans l'Explorateur de fichiers, faites un clic droit sur la clé USB et choisissez Activer BitLocker (sous « Afficher d'autres options » sur Windows 11 si besoin).
• 3. Choisissez Utiliser un mot de passe et tapez deux fois une longue phrase de passe.
• 4. Enregistrez la clé de récupération de 48 chiffres dans votre compte Microsoft, imprimez-la ou gardez-la sur un autre appareil, jamais sur la clé elle-même.
• 5. Choisissez Chiffrer tout le lecteur, puis le mode compatible si la clé doit servir sur d'anciennes versions de Windows.
• 6. Attendez la fin du chiffrement avant de débrancher la clé.

Conseil d'expert : par défaut, Windows chiffre les lecteurs amovibles avec des clés AES de 128 bits. Sur un PC Pro, on peut imposer des clés de 256 bits dans l'Éditeur de stratégie de groupe locale (Chiffrement de lecteur BitLocker, « Choisir la méthode et la puissance de chiffrement des lecteurs ») avant de chiffrer la clé.

2. APFS chiffré (Mac)

Sur Mac, vous pouvez formater une clé en APFS (chiffré) dans Utilitaire de disque, ou faire un clic droit dessus dans le Finder et choisir Chiffrer. Vous choisissez un mot de passe et un indice ; la clé demande ensuite le mot de passe à chaque branchement.

Deux limites : une clé en APFS chiffré n'est lisible que par des Mac, et le formatage efface la clé, donc sauvegardez-la d'abord. Apple prévient aussi que les volumes Mac OS étendu (HFS+) chiffrés ne fonctionneront plus avec macOS 28 et versions ultérieures ; si vous avez une ancienne clé chiffrée dans ce format, convertissez-la en APFS chiffré ou déchiffrez-la avant de mettre à jour.

3. VeraCrypt (Windows, Mac et Linux)

VeraCrypt est le successeur gratuit et open source de TrueCrypt. Il peut chiffrer une clé USB entière, ou créer un fichier « conteneur » chiffré qui s'ouvre comme un disque virtuel. Il prend en charge AES-256 et d'autres algorithmes et fonctionne sous Windows, macOS et Linux : c'est le meilleur choix si vous passez d'un système à l'autre.

La limite : VeraCrypt doit être installé sur l'ordinateur, et sa documentation précise que le mode portable demande lui aussi des droits d'administrateur. Il est idéal sur vos propres ordinateurs, beaucoup moins dans le centre d'affaires d'un hôtel ou sur un PC de bureau verrouillé.

4. Une archive 7-Zip chiffrée

Si vous voulez seulement protéger quelques fichiers, l'outil gratuit 7-Zip peut créer une archive .7z chiffrée en AES-256. Cochez « Chiffrer les noms de fichiers » pour que personne ne voie même ce qu'elle contient. C'est une solution rapide pour envoyer des documents, mais pas pour travailler confortablement sur toute une clé : il faut extraire les fichiers pour les modifier, ce qui laisse des copies non chiffrées sur l'ordinateur.

5. Une clé chiffrée matériellement, avec clavier

Les clés à clavier chiffrent les données à l'intérieur même de la clé et se déverrouillent avec un code tapé sur la clé : elles fonctionnent sans logiciel sous Windows, Mac, Linux, Chromebook et même sur certains téléviseurs ou imprimantes. Par exemple, l'IronKey Keypad 200 de Kingston utilise un chiffrement matériel XTS-AES 256 bits, se bloque après dix codes utilisateur erronés et s'efface par effacement cryptographique après dix codes administrateur erronés.

Elles coûtent plusieurs fois le prix d'une clé ordinaire, mais ce sont les plus simples pour les professionnels qui manipulent des données sensibles ou qui ne peuvent pas installer de logiciel sur les ordinateurs qu'ils utilisent. Pour des données réglementées, vérifiez la validation FIPS 140-2 ou FIPS 140-3.

Les bonnes habitudes qui font fonctionner le chiffrement

• Utilisez une phrase de passe, pas un simple mot de passe : quatre ou cinq mots sans rapport, au moins 15 caractères, utilisés nulle part ailleurs.
• Rangez la clé de récupération à part : dans un gestionnaire de mots de passe, sur papier chez vous, ou dans votre compte Microsoft pour BitLocker. Sans elle, un mot de passe oublié signifie des fichiers perdus.
• Gardez une sauvegarde ailleurs. Le chiffrement protège la confidentialité, pas les données elles-mêmes : une clé cassée ou perdue reste perdue.
• Éjectez la clé proprement avant de la débrancher, surtout pendant le chiffrement.
• Ne déverrouillez la clé que sur des ordinateurs de confiance. Une fois la clé ouverte, un logiciel malveillant présent sur l'ordinateur peut la lire.
• Mettez votre système à jour et utilisez un antivirus, surtout si vous branchez la clé sur de nombreux PC.
• Chiffrez toute la clé, pas seulement un dossier, si elle voyage avec vous.

Les erreurs qui rendent le chiffrement inutile

• 1. Écrire le mot de passe sur une étiquette collée sur la clé, ou le garder dans un fichier texte sur la même clé.
• 2. Enregistrer la clé de récupération BitLocker sur la clé chiffrée.
• 3. Copier des fichiers de la clé chiffrée sur le bureau d'un ordinateur partagé et les y oublier.
• 4. Choisir un mot de passe court ou déjà utilisé : les attaquants essaient d'abord les mots de passe qui ont fuité.
• 5. Supposer qu'une clé « sécurisée » achetée en ligne est chiffrée : vérifiez que le chiffrement est bien activé et, pour un usage professionnel, que le modèle est certifié.

Questions fréquentes

AES-256 peut-il être cassé ? Pas en essayant toutes les clés. Les attaques réelles visent les mots de passe faibles, les logiciels malveillants sur l'ordinateur ou une clé de récupération mal rangée.

AES-256 est-il meilleur qu'AES-128 ? Les deux sont considérés comme sûrs aujourd'hui. AES-256 offre une marge de sécurité plus grande, y compris face aux futurs ordinateurs quantiques : c'est pourquoi il est recommandé pour les secrets à long terme.

Puis-je ouvrir ma clé chiffrée sur l'ordinateur de quelqu'un d'autre ? Avec BitLocker, sur la plupart des PC Windows, oui. Avec l'APFS chiffré, seulement sur un Mac. Avec VeraCrypt, seulement s'il est installé et que vous avez les droits d'administrateur. Avec une clé à clavier, sur presque tous les appareils.

Le chiffrement ralentit-il la clé ? Un peu avec un chiffrement logiciel sur un vieil ordinateur ; les processeurs récents accélèrent AES, donc la différence est généralement faible.

Que se passe-t-il si j'oublie le mot de passe ? Sans la clé de récupération, les données sont perdues. C'est le prix d'une vraie sécurité.

Notre verdict

AES-256 n'est pas le maillon faible : bien utilisé, il rend une clé USB perdue illisible. La bonne méthode dépend de vos ordinateurs. BitLocker To Go est le choix évident sous Windows Pro, l'APFS chiffré pour les utilisateurs 100 % Mac, VeraCrypt pour ceux qui passent d'un système à l'autre, et une clé matérielle à clavier pour les professionnels qui ont besoin d'une protection sans logiciel. Quel que soit votre choix, l'essentiel ne change pas : une longue phrase de passe, une clé de récupération rangée en lieu sûr et une sauvegarde. Pour d'autres conseils de sécurité au quotidien, lisez notre guide des gestionnaires de mots de passe.

Ce guide s'appuie sur la documentation officielle du NIST, d'Apple, de VeraCrypt et de Kingston, ainsi que sur des guides consacrés à Windows, cités dans nos sources. RealDigitalTech ne vend aucun des produits mentionnés.