Quelle messagerie sécurisée choisir ?

Une messagerie sécurisée doit proposer a minima le chiffrement de bout en bout. Comme son nom l’indique, ce procédé fait en sorte que seuls l’expéditeur et le destinataire du message ont accès au contenu des messages. Ni votre opérateur téléphonique, ni un tiers, ni même le fournisseur de service (Meta pour WhatsApp par exemple) ne peuvent lire vos messages ou écouter vos conversations.

C’est à ce moment-là que vous nous dites : WhatsApp, qui propose le chiffrement de bout en bout, me suffit largement, alors pourquoi m’enquiquiner avec d’autres applications ? Protéger vos données c’est bien, mais qu’en est-il de vos métadonnées ? WhatsApp, et donc le groupe Meta, récolte un tas d’informations lors de chacune de vos communications : numéros de téléphone entrants et sortants, statuts des messages (envoyé, reçu, lu), date de la dernière utilisation de l’application ou encore comptes Facebook et Instagram liés au numéro. Certaines applications s’engagent à limiter la récolte de données. Signal, par exemple, affirme n’en récolter qu’une : votre numéro.

Enfin une messagerie sécurisée, c’est aussi et surtout une messagerie que vous allez utiliser pour communiquer avec vos contacts qui eux aussi utilisent la même messagerie. Et c’est là que pêchent certaines applications. Wire, Skred, Threema ou Briar sont des applications très sécurisées mais est-ce que leur nom vous dit quelque chose ? Si la réponse est non, vous comprenez le problème.

D’autres facteurs permettent de renforcer la fiabilité d’une messagerie sécurisée. Côté technique, c’est l’accès au code : préférez les applications open source. Si vous n’allez peut-être pas auditer le code, le fait que celui-ci soit ouvert laisse la possibilité à des experts de le faire assez simplement. Côté fonctionnalités, il y a par exemple les messages éphémères qui s’effacent après un délai déterminé.

Faisons maintenant le point sur quelques applications :

• Signal. C’est la messagerie sécurisée la plus utilisée. Il n’y a pas de failles techniques connues à ce jour. Elle propose aussi un numéro de sécurité unique qui permet de confirmer la sécurité de vos messages et appels avec un contact spécifique.
• Olvid reste encore très méconnue du grand public. L’application est française et a commencé à sortir de l’ombre quand Elisabeth Borne (to be alive) a exigé de ses ministres qu’ils l’utilisent à partir de fin 2023. Le Raid l’utilise aussi depuis 2022. Olvid ne récolte aucune donnée ou métadonnées, pas même votre numéro de téléphone. Le gros bémol, c’est qu’il y a une version gratuite et une version payante. La version gratuite ne permet par exemple pas de passer des appels ou utiliser Olvid sur plusieurs appareils (téléphone et ordinateur).
• Telegram ne propose par défaut aucun chiffrement des conversations. C’est une fonctionnalité qu’il est possible d’activer. Mais l’avez-vous fait ? L’autre problème de Telegram est que son système est très opaque : on ne sait pas comment fonctionne la couche de chiffrement des messages. Si vous devez vraiment utiliser Telegram, assurez-vous de prendre quelques précautions de base pour sécuriser au maximum votre usage de cette application un peu trouée.
• Element : une très bonne application de communication sécurisée qui s’appuie sur le réseau décentralisé Matrix. Aucun numéro de téléphone n’est nécessaire pour l’utiliser, un simple pseudo suffit. Malheureusement, le nombre d’utilisateurs de l’application à ce jour est encore marginal. Si vous voulez l’essayer vous pouvez rejoindre le salon public de Nothing2Hide sur Matrix !

Vous utilisez une autre application et vous voulez vérifier à quel point celle-ci est sécurisée ? Vous trouverez toutes les infos qu’il vous faut dans ce tableau.

Précédemment dans Nothing2Hide

• Nous avons animé une formation de quatre jours auprès de journalistes mauritaniens à Nouakchott : ceux-ci font parties de cellules de fact-checking de quatre médias.
• C’est l’événement de ce début d’année. Les bureaux de Nothing2Hide sont désormais dotés d’une machine à café. Nous avons mis huit mois à sauter le pas, mais sachez que cet investissement (en reconditionné s’il vous plait) a changé le quotidien des membres de l’équipe.

Revue de presse

• 33 millions de Français sont concernés par une fuite de leur numéro de sécurité sociale. Ce vol de données a eu lieu après une cyberattaque qui a touché deux gestionnaires de tiers payant, Viamedis et Almerys. Ces données, cumulées à d’autres en vente sur le dark web, font craindre des campagnes de hameçonnage de plus en plus efficaces. Le point avec la CNIL.
• Une autre fuite de données…qui concerne cette fois-ci Facebook, ou plus précisément son Marketplace. Le vol de données a eu lieu en octobre 2023 mais la base de données n’a été rendue publique que le dimanche 11 février 2024. Elle concerne le vol d’environ 200 000 informations personnelles. Le piratage visait un entrepreneur responsable de la gestion des services cloud pour Facebook, explique Hack Read (en anglais).
• 10$ et 43 secondes sont nécessaires pour casser la protection BitLocker, la solution de chiffrement de données de Microsoft. La faille de sécurité est connue depuis un moment, le faible coût du matériel et le temps record sont quand à eux nouveaux. Il vous suffit d’un Rasperry Pi Pico ! Voilà la démo du Youtubeur a l’origine de ce nouveau record.