Signal : un code PIN pour récupérer ses informations de compte en cas de changement de téléphone
Le 20 mai 2020 à 09h34
2 min
Logiciel
Logiciel
Signal est une application de messagerie au sein de laquelle toutes les informations sont chiffrées de bout en bout. Mais ce qui est efficace pour la sécurité se traduit rarement en facilité dans l’utilisation quotidienne.
L’éditeur sait depuis longtemps qu’en cas de perte ou de changement de téléphone, la réinstallation de Signal fait perdre des informations : profil, paramètres, liste de blocage, etc. Il faut tout reconfigurer.
Les serveurs de Signal possèdent en fait ces informations, sous forme chiffrée. La nouvelle version de l’application permet donc de créer un code PIN pour que leur accès reste protégé, tout en autorisant leur récupération en cas de nouveau téléphone.
Le code PIN doit être constitué d’un minimum de quatre chiffres. Au choix de l’utilisateur d’en ajouter, ou même de passer en alphanumérique pour créer un mot de passe.
Attention, en cas d’oubli du PIN, il n’existera aucun moyen de récupérer les informations qu’il protège. Pour éviter ce problème, Signal lancera des rappels pour aider à s’en souvenir. Ils seront progressivement moins fréquents.
Le 20 mai 2020 à 09h34
Commentaires (29)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 20/05/2020 à 10h20
Est-ce-qu’il est possible de récupérer les SMS?
J’utilisais Signal, mais j’ai dû changer…
J’ai perdu plusieurs fois mes SMS en changeant de ROM Android, impossible de restaurer et la passphrase est vraiment trop longue…
Le 20/05/2020 à 11h09
Chiffrement de bout en bout vs récupération des informations sur un serveur chiffré par un PIN…
Il n’y a pas quelque chose de dérangeant et qui aurait pu mettre la puce à l’oreille de NextInpact ?
Une information centralisée et protégée par un PIN (WTF le niveau de sécurité) ça annule complémentement l’intérêt du bout en bout.
Le 20/05/2020 à 11h26
Il faut lire cet article du blog de Signal https://signal.org/blog/secure-value-recovery/ pour comprendre un peu plus le fonctionnement.
Effectivement à première vu un PIN de 4 chiffres ça a l’air plutôt faible, mais associé à une autre clé privée, stockée dans une enclave sécurisée débloquée par ce PIN, qui garantis que seul un certain nombre de tentative maximum pourront être effectué c’est un peu mieux.
Je dois dire que je trouve très ingénieux ce qui est mis en place par Signal pour faire du chiffrement sans (trop) rogner sur la facilité d’utilisation.
Le 20/05/2020 à 11h57
+1
Un code PIN, selon les mécanismes derrière, ça peut être nettement plus fort qu’une passphrase de 30 caractères.
Un HSM se déverrouille à l’aide codes PIN par exemple, mais les mécanismes planqués derrières rendent ça bien plus fort qu’un “simple” mot de passe complexe de 40 caractères. Idem pour les smartcards.
Le 20/05/2020 à 11h57
Le 20/05/2020 à 12h02
Le 20/05/2020 à 12h13
Je ne suis pas là pour te dire si tu as bon ou tord, je dis juste que le PIN est parfois considéré comme faible protection à mauvais titre. Le lien de jchanpemont au dessus de mon message est très intéressant à ce sujet.Après pour ce qui est de faire confiance, il a le code accessible en clair qui permet de se rassurer ou de faire confiance à un audit tiers. De l’intérêt pour moi de n’utiliser que des solutions open source en sécu IT (autant que possible).
Le 20/05/2020 à 12h26
@Ozwel. On est d’accord sur le point open source.
Donc la seule chose que tu sais c’est que tu envoie des données stockées par Signal et déplombables par un PIN.
Le 20/05/2020 à 12h26
Non seulement ça, mais en plus l’enclave sécurisée utilisée permet au client Signal d’avoir la preuve cryptographique que le code qui y tourne correspond bien aux attentes (SGX Remote Attestation).
Le 20/05/2020 à 13h01
Le 20/05/2020 à 14h17
Où as-tu lu que les conversations sont concernées par ce dispositif ?
Le descriptif affiché dans l’app parle uniquement du profil, des paramètres et des contacts.
Le 20/05/2020 à 16h29
😅
Le 20/05/2020 à 17h32
GitHubLes serveurs de Signal sont en licence AGPLv3.
Et avant de dire n’importe quoi sur la sécurité de Signal, je t’invite d’abord à regarder comment ça fonctionne. Tout ce que tu dis es faux.
Déjà ça ne sync pas les conversations ! Et encore heureux ! Ensuite on ne peux avoir qu’un seul téléphone à la fois de sync, donc un «piratage» est instantanément repéré.
Bref c’est pas le bon endroit pour affirmer des conneries merci.
Le 20/05/2020 à 17h38
Le 20/05/2020 à 17h39
Il n’est dit à aucun endroit que ça synchronisera les conversations. Seulement le «profil».
Le 20/05/2020 à 17h50
Zut. Moi ils m’ont demandé un code NIP, et pas un code PIN….. " />
Le 20/05/2020 à 18h14
C’est ce que j’avais compris. :/
Le 20/05/2020 à 18h23
Pourquoi parles-tu des SMS alors ? Ça n’a rien à voir avec le sujet.
Le 20/05/2020 à 18h25
C’est juste une question.
Signal sert aux SMS pour info…
Le 20/05/2020 à 18h28
J’avais cru comprendre que tu voulais sync tes conversations + sms avec le serveur, autant pour moi.
Sinon le backup Signal fonctionne bien, tu enregistres la passphrase dans un keepass et c’est bon ou tu l’écris quelque part et c’est top.
Le 20/05/2020 à 18h29
J’ai eu des soucis avec ce système, pour ça que j’ai arrêté d’utiliser l’appli.
Le 20/05/2020 à 18h39
J’ai eu des problèmes aussi il y a quelques années, le backup ne pouvais plus être restauré via l’appli, très chiant.
J’avais trouvé un soft pour «rebuild» le backup pour le restaurer :
GitHubMais ce bug très chiant a été corrigé depuis
Le 20/05/2020 à 18h47
Merci. " />
C’était pas ça mon souci, la sauvegarde n’était pas détectée, j’ai abandonné y’a 2 mois.
Le 20/05/2020 à 23h58
Ça fait des mois que le PIN est dispo, j’ai même eu des déboires avec (perte d’accès à mon compte).
Le 21/05/2020 à 08h56
Je ne sais pas jusqu’où tu es allé mais la sauvegarde doit être présente dans un dossier bien précis sur la mémoire interne du téléphone. La restauration n’est possible qu’à la première ouverture de l’application.
Le 21/05/2020 à 09h12
Yep, seulement, quand tu formate ton tel, que ta sauvegarde et dans ta carte SD, que tu restaure avec Titanium Backup, bah le dossier n’existe plus. " />
Le 21/05/2020 à 10h24
Il faut bien mettre le backup dans le dossier ~/Signal/Backups/
Suffit juste de créer les nouveaux dossiers.
Le 21/05/2020 à 11h55
Argh, mon (long) commentaire n’est pas passé. Bon, je le fais “court” alors :
Merci marba d’avoir recadré les gens qui jugent la sécurité d’un produit sans savoir comment ça fonctionne
Backup / restore avec Signal : simple, efficace et sécurisé (contrairement à WhatsApp, qui fait tout pour balancer ça en clair sur Google Drive)
Avec le code PIN /NIP possibilité d’activer une fonction anti SIM jacking, particulièrement bien pensée (évite à un SIM jacker de prendre le contrôle du mobile, et sécurité qui se débloque au bout de 7 jours au cas où on ait oublié le PIN, car de toute façon entretemps on aura eu le temps d’appeler son opérateur pour résoudre le pb)
Possibilité de mettre un code PIN/NIP alphanumérique, il suffit de cliquer sur l’option (non cachée) qui va bien
Ma conclusion perso, c’est que Signal est probablement la messagerie qui fait le meilleur compromis sécu/acceptabilité, de telle sorte que tout le monde puisse s’en servir aussi bien que WhatsApp and co. Parce que si seulement 10% des gens n’installent autre chose que WhatsApp parce que c’est pas aussi pratique, alors on se sentira bien seuls sur les messageries concurrentes… et en ce sens Signal est vraiment le moyen d’arriver à sensibiliser à la sécu sans passer pour l’emmerdeur de service
Le 22/05/2020 à 06h02
Très énervant que ce ne soit pas une option. Ceux que j’étais parvenus à convaincre d’installer Signal comme app de sms par défaut me demandent Qu’est ce que c’est ce NIP? Pourquoi il me met tout le temps un message ? Encore un code à retenir ? Enlève moi ça !