Avant le boom des applications de messagerie sur Internet, la grande majorité des communications étaient réalisées de façon traditionnelle : par courrier en confiant nos secrets à la Poste ou par SMS en faisant appel aux services des opérateurs téléphoniques.

Avec l'arrivée des réseaux sociaux, bon nombre d'acteurs d'Internet proposent des alternatives aux outils de communication traditionnels. Certains sont clairement une avancée d'un point de vue de la confidentialité, tandis que d'autres consistent simplement à transmettre l'ensemble de votre vie à des agences publicitaires.

Il est important de bien comprendre le fonctionnement de ces applications pour faire les bons choix et utiliser les applications de messagerie les plus adaptées et ce, pour éviter que toutes les conversations finissent sur la place publique, et surtout, pour éviter que des personnes malintentionnées ne nous nuisent.

Appels téléphoniques et SMS

Les appels téléphoniques et les SMS sont encadrés par les lois françaises et européennes pour éviter que quelqu'un ne puisse mettre le nez dans vos discussions.

De nombreuses exceptions existent cependant et il n'est pas rare que la justice demande à ce que le détail de ces communications lui soit transmis.

Un rapport détaillé est alors soumis par l'opérateur, qui a l'obligation légale de conserver un grand nombre d'informations sur toutes les communications de ses abonnés, que ce soit les appels et les SMS :

« Les opérateurs de communications électroniques conservent pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales :
- Les informations permettant d'identifier l'utilisateur ;
- Les données relatives aux équipements terminaux de communication utilisés ;
- Les caractéristiques techniques ainsi que la date, l'horaire et la durée de chaque communication ; [...]
- Les données permettant d'identifier le ou les destinataires. [...]
- Les données [...] permettant d'identifier l'origine et la localisation de la communication.
La durée de conservation des données [...] est d'un an à compter du jour de l'enregistrement. [...] »

Tout est conservé : à qui vous parlez, à quelle heure, pendant combien de temps mais aussi le lieu où vous vous trouvez, et l'équipement que vous utilisez, le tout pendant un an.

Le contenu de vos appels et le contenu de vos SMS peuvent aussi être consultés si un juge le décide ou si l'Administration le souhaite1. Tous vos appels et tous vos échanges SMS peuvent alors être espionnés en temps réel.

Si l'opérateur de l'abonné peut fournir toutes ces informations, c'est parce qu'il a la capacité technique de le faire, car aucun mécanisme de chiffrement n'est utilisé, contrairement à certaines applications de messagerie.

Chiffrement de bout-en-bout

Pour assurer la confidentialité d'une communication, les applications peuvent utiliser ce qu'on appelle un chiffrement de bout-en-bout. Ce mécanisme repose sur des fonctions cryptographiques avancées qui permettent de garantir qu'une personne extérieure à la discussion ne puisse consulter le contenu des messages.

La cryptographie est un domaine compliqué qui nécessite beaucoup de compétences et d'expérience pour s'assurer de la fiabilité d'un système. Beaucoup d'applications font donc appel aux mêmes outils, prouvés pour leur robustesse.

C'est le cas notamment du protocole Signal qui est utilisé par l'application de messagerie du même nom Signal2, ou par l'application WhatsApp3. Ce protocole a notamment l'avantage d'être open-source4, c'est-à-dire que les modalités de son fonctionnement sont publiques et peuvent être lues et étudiées par tous ceux qui le souhaite, notamment les spécialistes.

Logo et copies d'écran de l'application Signal
Exemple de l'application sécurisée Signal sur le Google PlayStore d'Android.

Les applications qui implémentent un chiffrement de bout-en-bout n'ont pas la capacité de déchiffrer les messages de leurs utilisateurs, car la clé permettant d'effectuer cette opération est détenue uniquement par l'utilisateur et stockée dans son appareil. Les utilisateurs ont donc la garantie que personne d'autre qu'eux ne pourra lire leurs conversations, ni même la société elle-même, et ce, même si elle le voulait.

Pour s'en assurer, le meilleur moyen est d'analyser la façon dont les sociétés répondent aux injonctions des tribunaux, car si elles peuvent noyer le poisson auprès des utilisateurs en utilisant des termes techniques compliqués dans les centaines de pages que comportent leurs conditions d'utilisation, elles ne peuvent pas prétendre ne pas savoir quand un juge les oblige.

En 2016, un grand jury aux États-Unis a demandé5 à l'entreprise Open Whisper Systems, créateur du protocole Signal, de fournir les informations qu'elle possédait sur deux utilisateurs de son application de messagerie Signal.

Contrairement aux opérateurs téléphoniques traditionnels, les appels et messages échangés sont chiffrés de bout-en-bout. Signal n'a donc pas la capacité de fournir le contenu des échanges de ses utilisateurs. Les deux seules informations qui ont été fournies à la justice étaient la date de création du compte et le date de dernière connexion de l'utilisateur, c'est-à-dire rien de bien utile.

Une demande similaire6 a été faite en 2021 et, de la même manière, seules la date de création du compte et la date de dernière connexion de l'utilisateur ont été communiquées.

Avantages et inconvénients d'une communication sécurisée

Pour garantir la confidentialité des échanges, l'entreprise en charge d'une application de messagerie ne doit pas être en mesure de consulter le contenu des échanges de sa plateforme. Cela à l'avantage de :

  • protéger l'utilisateur qui a la certitude que ses communications ne sont pas écoutées à son insu ;
  • protéger l'entreprise elle-même qui ne peut pas, de sa propre volonté ou sous la contrainte, espionner ses utilisateurs.

Étant dans l'incapacité d'espionner les communications, certains pays prennent la décision de bloquer l'accès à ce mode de communication sécurisée, tout comme cela avait été fait pour le protocole sécurisé HTTPS7. L'application Signal a par exemple été bloquée, ou est encore bloquée, dans un bon nombre de pays8.

Le fait pour une entreprise de ne pas être en mesure de connaître le contenu des messages peut aussi avoir quelques inconvénients pour l'utilisateur.

Dans le cas où l'utilisateur perd ou casse son appareil, il n'aura aucun moyen de récupérer l'historique de ses messages, car seul son appareil était en mesure de déchiffrer les messages. L'entreprise ne peut pas lui les redonner.

Certaines applications de messagerie comme iMessages de Apple proposent néanmoins la possibilité de synchroniser les messages sur leurs serveurs en utilisant iCloud. Cette option a pour conséquence de communiquer tous vos messages à l'entreprise, et réduit donc la confidentialité à zéro9.

Copie d'écran d'un iPhone avec l'option « Sauvegarde iCloud » désactivée
Les messages et iMessages sauvegardés vers iCloud ne sont pas chiffrées de bout-en-bout

C'est également le cas pour l'application WhatsApp de Facebook, si la sauvegarde des messages sur Google Drive est activée.

Copie d'écran de l'application WhatsApp qui propose de sauvegarder les discussions
Les messages WhatsApp sauvegardés vers GoogleDrive ne sont pas chiffrés de bout-en-bout

Métadonnées et financement

Si l'application Signal n'est pas en mesure de communiquer d'autres informations que la date de création de l'utilisateur et la date de dernière connexion, c'est parce qu'elle stocke uniquement ces données sur ses serveurs.

D'autres informations techniques, qu'on appelle métadonnées, transitent cependant par ses serveurs pour assurer l'acheminement des messages et des appels.

Les créateurs de Signal ont fait le choix de ne pas conserver ces métadonnées pour le bien de ses utilisateurs et parce que son statut de fondation à but non lucratif10, financée par les dons11, ne les obligent pas à devoir tirer profit de leurs opérations. Tout le monde peut d'ailleurs utiliser gratuitement l'application, que ce soit à titre personnel ou professionnel.

D'autres applications éditées par des entreprises commerciales, comme WhatsApp ont fait un choix différent.

À ses débuts, WhatsApp demandait une contribution annuelle de $1 à ses utilisateurs, pour se financer et payer les infrastructures. L'application est ensuite devenue gratuite12, suite à son rachat par Facebook en 2016 pour la coquette somme de 19 milliards de dollars.

Si Facebook a réalisé l'opération qui reste encore à ce jour l'acquisition la plus chère de son histoire, c'est que son intérêt est ailleurs.

Avec les années, nous savons maintenant tous que l'objectif de Facebook est de collecter le maximum d'informations sur ses utilisateurs en leur proposant des services gratuits comme Messenger ou Instagram. WhatsApp est simplement une brique supplémentaire à son empire lui permettant d'accroître encore davantage sa domination.

On ne peut donc que se soucier, lorsque Facebook annonce vouloir échanger davantage d'informations entre son application Whatsapp et sa maison mère Facebook, ou avec des entreprises désireuses d'intégrer l'écosystème.

Pour connaître le type de métadonnées que WhatsApp/Facebook collecte, le règlement européen RGPD nous permet de demander les informations personnelles qu'une entreprise possède.

Copie d'écran de la fonctionnalité permettant d'exporter un rapport d'information dans l'application WhatsApp
Exporter les informations personnelles que l'application WhatsApp collecte.

Après avoir fait la demande personnellement, un document contenant l'ensemble de ces données est envoyé après trois jours. Ce document contient : la date et heure de la dernière connexion, la dernière adresse IP utilisée, le type d'appareil utilisé (fabriquant et modèle de l'appareil), la photo de profil, la liste des numéros de téléphone des contacts, le nom des groupes auxquels l'utilisateur appartient, le nom de l'opérateur, et d'autres informations plus techniques.

Si on peut se réjouir que les messages ne soient pas inclus, il est important de noter que l'adresse IP est conservée et permet de localiser précisément une personne, et que le nom des groupes n'est pas une information chiffrée.

Nul n'est parfait

L'application Signal n'est pas parfaite, et tout comme WhatsApp, qui avait de bonnes intentions à ses débuts pour finalement vendre son âme au diable, rien ne nous garantie que Signal prenne une tel virage dans le futur.

La nécessité de posséder un numéro de téléphone peut aussi être un frein pour certaines personnes soucieuses d'être entièrement anonymes.

Aussi, les puristes lui reprocheront le fait que son mode de fonctionnement ne soit pas fédéré mais centralisé, c'est-à-dire que l'ensemble des opérations transitent par les serveurs de Signal. L'inconvénient principal est que le fonctionnement du système repose uniquement sur le fonctionnement des serveurs de Signal et s'ils s'avéraient être indisponibles, l'ensemble des communications seraient interrompues. D'autres solutions sont en cours d'élaboration comme les applications utilisant la solution fédérée Matrix13, sur laquelle le gouvernement français a misée mais ces solutions nécessitent encore un peu de maturité pour être utilisable facilement par le grand public.

L'application Signal reste cependant la meilleure option à ce jour. Elle est d'ailleurs plébiscitée par la commission européenne qui a conseillé à son personnel de l'utiliser pour communiquer14.

La popularité de Signal

Un des freins majeurs de l'adoption d'une application de messagerie par le grand public est sa popularité, car il y peu d'intérêt à utiliser une application que ses amis ou collègues n'utilisent pas.

Les récentes annoncent de Facebook concernant le changement des conditions d'utilisation de son application WhatsApp et son intention de l'ouvrir à des tiers a cependant fait le bonheur de Signal qui a vu son utilisation exploser15.

Les tweets du très populaire Elon Musk16 a aussi contribué à cet engouement, comme celui du célèbre lanceur d'alerte Edward Snowden17 qui a indiqué avec humour que la raison qui prouve que Signal permet réellement de communiquer de façon confidentielle est qu'il est encore en vie.

Facebook, soucieux de conserver sa mine d'or WhatsApp et d'arrêter l'hémorragie, s'est empressée d'acheter le mot clé Signal sur l'AppStore18, pour qu'une publicité de son application soit affichée en premier, preuve que les choses changent.

Copie d'écran d'une recherche du terme « signal » dans le playstore avec une publicité pour l'application Facebook Messenger en premier
Facebook achète le mot clé « signal » sur le PlayStore d'Android. Source @signalapp

Pour y voir plus clair

Les applications de messagerie suivantes sont sécurisées :

  • Signal ? Oui, et encore mieux si les messages sont éphémères (1 jour ou 1 semaine par exemple).
  • WhatsApp ? Oui, si la sauvegarde des messages sur Google Drive n'est pas activée par les deux personnes (et si l'utilisateur accepte de donner davantage de pouvoir à Facebook).
  • iMessage ? Oui, si iCloud est désactivé par les deux personnes, et si les deux personnes possèdent un appareil Apple.

Les applications de messagerie suivantes ne sont pas sécurisées :

  • les SMS ;
  • Facebook Messenger19, sauf les conversations secrètes ;
  • les messages sur Instagram19 ;
  • Telegram, sauf les conversations secrètes entre deux individus ;
  • les DMs sur Twitter ;
  • Skype.

Le cas de l'application Olvid

Une application française appelée Olvid a vu le jour récemment. Elle se différencie en chiffrant non seulement les communications, mais également les métadonnées, chose que le protocole Signal ne propose pas.

Étant donné la jeunesse de cette implémentation et bien que le protocole a reçu une accréditation de l'ANSSI20, il est probablement plus sage d'attendre que l'implémentation prenne un peu de maturité et que l'ensemble des acteurs ait pris le temps de l'analyser de près.

Il faut néanmoins garder à l'esprit que Olvid est éditée par une entreprise commerciale, dont l'objectif est, par définition, de générer un profit, contrairement à Signal. Son utilisation est d'ailleurs payante pour les entreprises, et pour les particuliers désireux de passer des appels audios21.

Aussi, pour démarrer une conversation avec quelqu'un, il est nécessaire de créer un QRCode, qui doit être communiqué à son interlocuteur d'une façon ou d'une autre. Une fois cette étape passée, les deux interlocuteurs devront s'échanger des codes à 4 chiffres pour s'assurer que le QRCode envoyé précédemment n'a pas été altéré par un tiers. Ces codes doivent être, eux, communiqués par un média sécurisé (en face-à-face ou par Signal ?!).

Tout ce processus est d'autant plus laborieux qu'il faudra le répéter pour tous vos contacts.

Copie d'écran de l'application Olvid où il est demandé de partager son code avec son interlocuteur et de saisir celui qu'il nous donne en retour
Exemple d'un échange de code sous l'application Olvid. Contrairement à ce qu'ils conseillent, n'échangez pas vos codes par un appel téléphonique.

Il est très difficile de modifier les habitudes des utilisateurs, surtout si la technologie utilisée est compliquée. Il est donc très peu probable que les néophytes adoptent une telle solution. Et si les utilisateurs finissent par s'échanger leurs codes par SMS, l'intérêt est totalement nul.

Enfin, tout semble indiquer que l'architecture d'Olvid soit centralisée, ce qui n'est pas donc pas une avancée par rapport à Signal.

Utilisez Signal.

MAJ du 06/05/2021 : ajout de la réponse de Signal à la demande du grand jury de Californie et ajout d'un post de Facebook indiquant que Messenger ne sera pas chiffré de bout-en-bout avant, au moins, 2022.

Notes et références

  1. L'Administation française peut réaliser des écoutes téléphoniques (source).
  2. L'application Signal est téléchargeable gratuitement sur iOS et Android.
  3. L'application WhatsApp utilise le protocole Signal (source) et propose proposer le chiffrement de bout-en-bout à ses utilisateurs (source).
  4. Le code source des applications éditées par Signal est consultable sur github.com/signalapp.
  5. Un grand jury aux États-Unis demande à Signal en 2016 de lui communiquer les données qu'il possède sur un de ses utilisateurs (source).
  6. Un grand jury de Californie, aux États-Unis, demande à Signal en 2021 de lui communiquer les données qu'il possède sur un de ses utilisateurs (source).
  7. Le fonctionnement du protocole sécurisé HTTPS et son blocage est évoqué dans la vidéo « Comment espionner ou pirater les internautes qui visitent des sites Internet non sécurisés ».
  8. Amazon demande à l'application Signal de ne plus utiliser ses services AWS pour contourner les mesures de blocages de certains pays (source).
  9. Les sauvegardes iCloud ne sont pas chiffrées de bout-en-bout (source). Les iMessages inclus dans les sauvegardes iCloud ne sont pas non plus chiffrés de bout-en-bout (source).
  10. Signal est une fondation à but non lucratif (source).
  11. La fondation Signal est financée principalement par un don, déguisé sous un prêt à taux-zéro et à échance lointaine de $105 millions, effectué par Brian Acton, créateur de WhatsApp ET de Signal.
  12. WhatsApp annonce en juin 2016 que son application est désormais gratuite (source).
  13. La France mise sur la technologie Matrix (source).
  14. La commission européenne recommande l'utilisation de l'application Signal à son personnel (source).
  15. Signal annonce sur Twitter que les téléchargements de son application explosent (source).
  16. Elon Musk incite les utilisateurs à utiliser l'application Signal (source).
  17. Edward Snowden dit que le fait qu'il soit encore vivant est une bonne preuve de l'efficacité de l'application Signal (source).
  18. Facebook achète le mot clé Signal sur l'AppStore de Apple pour qu'une publicité soit affichée lorsque les utilisateurs cherchent l'application Signal (source).
  19. Facebook annonce ne pas être en mesure de proposer un chiffrement de bout-en-bout à ses utilisateurs avant 2022, au plus tôt (source).
  20. L'application Olvid est certifiée par l'ANSSI (source).
  21. L'application Olvid propose des offres payantes pour les entreprises et pour les particuliers souhaitant passer des appels audios (source).