Les derniers jours ont vu une attention renouvelée sur la messagerie sécurisée Signal. Le terme « Signal » désigne aussi bien la messagerie que le protocole utilisé. Celui-ci est connu depuis longtemps pour son chiffrement de bout en bout, qui garantit qu’une conversation n’est connue que de l’expéditeur et ses destinataires. Signal, en tant que fournisseur du service, n’a pas accès aux contenus.

Un contexte étonnant

Cette attention est due en partie à une énorme bourde commise par Michael Waltz, conseiller de Donald Trump à la sécurité. L’éminent personnage a invité par erreur le journaliste Jeffrey Goldberg, rédacteur en chef de The Atlantic, dans une conversation de groupe. Ce dernier a accepté et a découvert, à sa grande surprise, une discussion sur les frappes programmées au Yémen contre les Houthis. Le groupe comprenait notamment le vice-président des États-Unis, J.D. Vance, le secrétaire à la Défense, Pete Hegseth, et le chef de la diplomatie américaine, Marco Rubio.

Au sein de la conversation, des hauts responsables du gouvernement partageaient ainsi des plans d’attaque. Jeffrey Goldberg a pris des captures d’écran de toute la conversation et a quitté le groupe. La Maison-Blanche, depuis, a indiqué à plusieurs reprises qu’il ne s’agissait pas d’un problème. The Atlantic a donc demandé s’il était possible de publier le reste des informations. Refus de la Maison-Blanche. Publication des informations par The Atlantic.

Dans ce contexte troublé, les lumières se sont braquées brusquement sur la messagerie. Même si son protocole sert à l’une des messageries les plus utilisées de la planète – WhatsApp a environ 2,3 milliards d’utilisateurs – Signal reste en effet une plateforme peu utilisée, avec 40 à 70 millions d’utilisateurs.

• The Atlantic publie le plan d’attaque divulgué via Signal par l’administration Trump

Signal tient à s'expliquer

L’un des problèmes auxquels fait face Signal est le constat que les membres de la fameuse discussion n’ont pas utilisé une messagerie recommandée par la Maison-Blanche. La plateforme garde son aura de service grand-public. Des accusations sur une sécurité insuffisante sont donc apparues. En outre, il est possible dans Signal de faire disparaitre les messages, manuellement ou automatiquement, contrevenant aux lois américaines sur la conservation des données gouvernementales. Et pour ajouter au trouble, un rapport du Pentagone, datant du 18 mars, a fait surface pour rappeler que Signal avait été la cible de pirates et que la messagerie contenait « une vulnérabilité ».

Pour Signal, c’est une mauvaise compréhension de ce qu’est une messagerie sécurisée. La fondation parle ainsi d’une « information erronée » qu’elle « doit combattre ». Ainsi, l’utilisation du mot « vulnérabilité » ne renvoie pas directement à une faille dans Signal, mais à une mise en garde contre les escroqueries par hameçonnage. Autrement dit du phishing, comme nous l’avons vu en février.

Signal relève que le phishing n’a rien de nouveau et qu’il ne s’appuie pas sur des faiblesses dans la sécurité intrinsèque du produit. La fondation, consciente cependant qu’il était possible d’inciter à l’erreur humaine, a modifié certains aspects dans la gestion des contacts et mis en place un système d’alarme interne, pour prévenir d’erreurs potentielles. « Ces travaux sont terminés depuis un certain temps et n'ont aucun lien avec les événements actuels », ajoute la fondation.

L’éditeur rappelle en outre que Signal est un logiciel libre : « Notre code est régulièrement examiné, en plus des audits formels ». Et la fondation de conclure : « C’est pourquoi Signal reste la référence en matière de communications privées et sécurisées ».

« Le chiffrement ne peut pas vous protéger de la stupidité ».

Tout le problème du phishing repose sur l’erreur humaine. Le niveau de sécurité peut grimper, elle reste le meilleur moyen d’entrer, en incitant une personne à donner un accès malgré elle ou lui faisant cliquer sur un lien menant vers un site capable d’exploiter une faille, par exemple.

Dans le cas de Signal, la technique consistait à faire scanner un code QR à quelqu’un. Ce code sert à lier un appareil au compte, permettant alors l’utilisation de la messagerie sur un ordinateur ou une tablette, en plus du téléphone. Des pirates s’étaient ainsi débrouillés pour piéger des personnes, ce qui aboutissait à l’ajout d’appareils détenus par le groupe malveillant.

Mais, comme la communication de Signal le pointe, il existe une grande différence entre être piégé et ajouter par mégarde une personne dans une conversation. Ainsi que le relève 404 Media, « le chiffrement ne peut pas vous protéger contre l'ajout de la mauvaise personne à un groupe de discussion », l’utilisateur ayant le contrôle de ses discussions. En revanche, nos confrères recommandent chaudement d’utiliser la fonction permettant d’affecter des pseudonymes aux contacts, pour s’assurer que l’on parle aux bonnes personnes.

Le cryptologue Matthew Green a exprimé la même idée, de manière beaucoup plus franche : « Le chiffrement ne peut pas vous protéger de la stupidité ». Il recommande également d’utiliser Signal.

Bisbilles avec WhatsApp

Chez Signal, l’affaire a provoqué au départ un certain amusement. Le 24 mars, Matthew Rosenfeld, créateur de Signal généralement mieux connu par son pseudo Moxie Marlinspike, s’en est amusé sur X : « Il y a tant de bonnes raisons d'être sur Signal. Y compris maintenant la possibilité pour le vice-président des États-Unis d'Amérique de vous ajouter au hasard à un groupe de discussion pour la coordination d'opérations militaires sensibles ». Il s’est cependant trompé, puisque l’invitation est partie du conseiller à la sécurité.

Parallèlement, une guerre de communication s’est installée entre WhatsApp et Signal, presque frères ennemis. Le premier a beau utiliser le protocole du second, il existe des différences nettes dans la collecte des données et ce qui est effectivement chiffré, au-delà du seul contenu des conversations et appels audio/vidéo.

C’est le cœur du message de Meredith Whittaker, présidente de la fondation Signal. Elle a réagi le 25 mars aux propos de Will Cathcart, directeur de WhatsApp, qui avait déclaré à des journalistes néerlandais que la sécurité était la même dans les deux messageries. En outre, il a affirmé que WhatsApp ne gardait pas de trace de qui communique avec qui et quand, et que ni la position géographique ni les informations sur les contacts n’étaient partagées avec d’autres entreprises.

• Meredith Whittaker (Signal) : « L’IA est un outil des puissants contre ceux qui ont moins de pouvoir »

Technique contre marketing

Meredith Whittaker a donc souhaité donner quelques précisions : « WhatsApp dispose d’une licence pour la cryptographie de Signal afin de protéger le contenu des messages pour le grand public. Ce n'est pas le cas de WhatsApp pour les entreprises. Ni WhatsApp grand public ni WhatsApp professionnel ne protègent les métadonnées intimes telles que la liste des contacts, qui envoie des messages à qui, quand, la photo du profil, etc. Et, lorsqu'elles y sont contraintes, comme toutes les entreprises qui collectent des données au départ, elles transmettent ces données importantes et révélatrices ».

Elle invite cependant à ne pas « se méprendre » : « Nous sommes ravis que WhatsApp utilise notre technologie pour améliorer la protection de la vie privée dans son application […]. Mais il s'agit là de différences essentielles en matière de protection de la vie privée et le public mérite de les comprendre, compte tenu des enjeux. Il ne faut pas qu'elles soient obscurcies par le marketing ».