Test & Avis Expert
Tomb est un script en ligne de commande qui crée et gère des conteneurs chiffrés sur GNU/Linux, publié sous licence GPL-3.0 par la fondation Dyne.org, enregistrée à Amsterdam aux Pays-Bas depuis 2005. Il fonctionne également sous WSL2 à partir de Windows 11. Le dépôt recevait son dernier envoi en décembre 2025.
Comment ça marche
Un « tombeau » est un fichier-volume chiffré avec LUKS, via cryptsetup et dm-crypt — la même mécanique que le chiffrement de disque standard sous Linux. L’originalité est ailleurs : la clé n’est pas la phrase de passe. C’est un fichier distinct, lui-même chiffré avec GnuPG, que l’on garde séparément du volume. Le volume et sa clé peuvent donc voyager séparément : le fichier chiffré sur l’ordinateur, la clé sur une clé USB gardée sur soi. Un adversaire qui saisit l’un sans l’autre n’a rien.
Tomb pousse cette séparation plus loin avec des options rarement présentes ailleurs : dissimuler la clé dans une image par stéganographie, ou l’imprimer en code QR pour une sauvegarde sur papier. Ouvrir un tombeau demande les droits administrateur, puisqu’il s’agit de monter un périphérique de blocs.
Ce que ça ne protège pas
La séparation clé/volume est une protection contre la saisie, pas contre l’observation. Si la machine est déjà compromise, un enregistreur de frappe capte la phrase de passe de la clé GPG, et le contenu monté est lisible comme n’importe quel dossier. Un tombeau ouvert est un dossier ordinaire.
La stéganographie est une couche de dissimulation, pas de sécurité : elle rend une clé moins visible pour un examen superficiel, elle ne résiste pas à une analyse dédiée. Il ne faut pas confondre « difficile à remarquer » et « impossible à extraire ».
Les exigences pratiques sont réelles : un système GNU/Linux, les droits administrateur, une chaîne GnuPG opérationnelle, et l’acceptation de la ligne de commande. La perte du fichier-clé — ou de la phrase qui le protège — rend le tombeau définitivement illisible, sans recours. Enfin, le projet est maintenu par une petite équipe et son rythme de publication est lent ; ce n’est pas un abandon, mais ce n’est pas non plus un logiciel qui suit de près les évolutions du système.
Face aux alternatives
LUKS fournit la même base sans la séparation de clé ni les outils d’aide : c’est le choix par défaut pour chiffrer un disque entier plutôt que des conteneurs transportables. VeraCrypt couvre les mêmes conteneurs sur Windows, macOS et Linux, avec une interface graphique et des volumes cachés, mais sans le modèle clé-séparée-chiffrée-par-GPG. Cryptomator vise le chiffrement de dossiers destinés à être synchronisés vers un service de stockage, ce que Tomb ne fait pas.
