Connexion
Abonnez-vous

La messagerie sécurisée Olvid passe en open source

La messagerie sécurisée Olvid passe en open source

Le 03 janvier 2022 à 09h22

Cet été, l’application indiquait fièrement être « la première » société à avoir reçu deux visas de sécurité de l’ANSSI. En plus des messages, les « appels sécurisés sont aussi certifiés ». Elle revendique sur son site être « la messagerie instantanée la plus sûre du monde ».

Restait un problème de taille pour certains : elle n’était pas open source. C’est désormais le cas, aussi bien pour les applications Android qu’iOS. C’est évidemment dans GitHub que ça se passe.

Pour rappel, « l’application actuelle est et restera gratuite pour le grand public. Cette version gratuite est financée par les fonctionnalités payantes pour les entreprises », explique Olvid.

Le 03 janvier 2022 à 09h22

Commentaires (67)

Vous devez être abonné pour pouvoir commenter.

Abonnez-vous
votre avatar

Je ne connaissais pas, ça a l’air pas mal du tout, reste toujours le soucis de migrer les gens dessus, surtout quand on vient de les faire migrer sur Signal il y a pas longtemps :transpi:

votre avatar

Je pense qu’il ne faut pas non plus vouloir toujours mieux.
J’ai également fait migrer ma famille sur Signal. Je pense que c’est une application avec un niveau de sécurité satisfaisant, ce n’est pas lié à un des GAFAM, mes données sont protégées et ne sont pas exploitées/marchandées et c’est open-source. Perso ça me suffit. Je ne discute pas non plus de secrets d’état avec ma famille.

votre avatar

Utilisant celle-ci et WhatsApp, il y a parfois des petites habitudes à reprendre et des améliorations à attendre.
Il y a du bon boulot de fait dessus.



Le message “la messagerie instantanée la plus sûre du monde” m’a toujours surpris (la description sur le Play Store laisserait penser à une application plutôt malveillante car trop de superlatif). Mais la certification ANSSI est un gros plus et c’est une application française 🙂.

votre avatar

Et le tout avec un modèle économique clair : la version gratuite est un produit d’appel pour les entreprises.

votre avatar

j’utilise avec ma famille, c’est top
gros avantage : pas besoin de l’associer à un numéro de tel

votre avatar

Je suis plutôt d’être passé à la fibre, car difficile d’envoyer des photos (car non compressé) sur une petite connexion ADSL.



J’ai déjà constaté (1 ou 2 fois) que des messages n’avaient pas été reçus par les destinataires, malgrés le fait qu’ils étaient marqué envoyés de mon côté.
Pas eu le même problème ?



Pour les screenshots de 3km de long, l’aperçu ne fonctionne pas bien. Il faut enregistrer le fichier pour l’ouvrir.



Sinon, pas mal 🙂

votre avatar

de mon côté jamais eu de souci pour envoyer des images en 4G ou en wifi, mais c’est sûr que c’est moins ergonomique que des concurrents + populaires

votre avatar

Ok, merci pour ta réponse ;).



Il y a aussi des données partagées entre groupes. Le numéro de téléphone peut devenir un dénominateur commun.
WhatsApp est, semble-t-il, connu pour récupérer les contacts de l’utilisateur. Ce qui permet de justement récupérer le dénominateur commun.



Personnellement, j’ai plus tendance à faire confiance à une autorité comme l’ANSSI que des industriels comme Facebook/Google (et autres) ;). Le code a été audité. Il n’est certainement pas parfait, mais montre qu’il y a un niveau de confiance à avoir, car contrôlé.



Concernant le mot de passe, il n’intervient que pour la sauvegarde sur son téléphone. Oui, si celui-ci est faible, le fichier pourrait certainement être ouvert par n’importe qui.

votre avatar

Je ne vois pas de client pc sauf erreur?



J’avoue avoir du mal à trouver mon choix dans ses messageries.
J’ai bien essayé de créer une instance matrix mais au final arriver à faire basculer les gens dessus c’est la merde. :/



Je me dis que les faire basculer à signal est plus facile car il y a plus de chance qu’il y ait d’autres personnes.
Je veux bien essayer de les faire passer à olvid mais ça semble trop confidentiel.
L’avantage de signal étant que ça gère les sms et le reste donc ça reste transparent pour l’utilisateur.

votre avatar

Bien ! Ca va p-e accélérer l’émergence d’un client desktop win/linux/macos.



Jusqu’à présent, l’accès depuis un desktop nécessite un smartphone (idem whatsapp).

votre avatar

Le client est Libre (AGPL 3.0) mais quid du serveur?? Peut-on installer son propre serveur?



L’application n’est pas encore dans la boutique d’applications Libre F-Droid

votre avatar

.


Non, le code du serveur est fermé. Mais la spécification est publique. Avec le code du client ca va faciliter le reverse-eng du serveur :)



De plus, le principe du client Olvid c’est de ne pas faire confiance au serveur. Donc coté sécurité des données, c’est pas bien grave. Par contre, pour la disponibilité, ca serait mieux d’avoir d’autres implémentations du serveur.

votre avatar

Merci de retour

votre avatar

On dirait un scam cette app.




jano31coa a dit:


j’utilise avec ma famille, c’est top gros avantage : pas besoin de l’associer à un numéro de tel


Et du coup, ça permet d’utiliser des mdp complètement à chier, et donc ça baisse ta sécurité.

votre avatar

euh affirmations gratuites là ?
j’ai plusieurs amis qui bossent à l’ANSSI qui m’ont recommandé Olvid, et qui m’ont expliqué que justement le fait de ne pas être associé à ton numéro de téléphone permet davantage de sécurité

votre avatar

(quote:1920546:127.0.0.1)



De plus, le principe du client Olvid c’est de ne pas faire confiance au serveur. Donc coté sécurité des données, c’est pas bien grave. Par contre, pour la disponibilité, ca serait mieux d’avoir d’autres implémentations du serveur.


quid des métadonnées ? Ça m’étonnerait fort qu’elle soient aussi sécurisées que sur Signal vu l’architecture de cette messagerie.

votre avatar

Je préfère Threema, qui est certe payant pour les particuliers (en 1 fois) mais a le mérite d’avoir ses propres serveurs en Suisse quand Olvid passe par AWS.



Aussi Threema existe depuis plus longtemps et étant une entreprise suisse est soumis à une législation + stricte que le droit français

votre avatar
votre avatar

fate1 a dit:


Je ne discute pas non plus de secrets d’état avec ma famille.


Il faut arrêter avec ce genre d’affirmation. Tout le monde a droit à une vie privée, peut importe de quoi tu parles ou à qui. Et pour les messageries c’est un problème collectif et pas individuel. Évidemment que si Facebook ou le gouvernement avait accès qu’à tes conversations à toi, ça aurait pas grande valeur. En revanche le fait qu’ils aient accès à celles de tout le monde leur donne énormément de pouvoir : manipulation de l’opinion (faire élire qui ils veulent par exemple), prédiction d’une révolution (si la population ne peux plus se révolter, est-on encore libre ?), etc.

votre avatar

Je n’aurais pas mieux dit. :yes: :bravo:

votre avatar

Si tu me cites, cite tout le message et pas seulement un bout sorti du contexte ;-) .
J’utilise Signal pour discuter avec ma famille, ma vie privée et celle de ma famille est donc respectée. Et comme je ne discute pas de secret d’état avec ma famille le niveau de sécurité apporté par Signal me convient et ne me pousse pas à chercher des solutions encore plus sécurisées du style de Olvid.
Mais ça ne me pousse pas à utiliser des appli type whatsapp ou messenger.

votre avatar

marba a dit:


quid des métadonnées ? Ça m’étonnerait fort qu’elle soient aussi sécurisées que sur Signal vu l’architecture de cette messagerie.


Vu que c’est un système client/serveur, le serveur a forcément accès aux métadata pour faire correctement la distribution des messages :)

votre avatar

la messagerie instantanée la plus sûre du monde


J’ai tendance à m’écarter des produits qui s’estampillent ainsi sur leurs page d’accueil (+ la “french tech” qui ne veut rien dire).



Actuellement, je ne vois pas l’intérêt de quitter Signal pour une alternative.

votre avatar

fate1 a dit:


Si tu me cites, cite tout le message et pas seulement un bout sorti du contexte ;-) . J’utilise Signal pour discuter avec ma famille, ma vie privée et celle de ma famille est donc respectée. Et comme je ne discute pas de secret d’état avec ma famille le niveau de sécurité apporté par Signal me convient et ne me pousse pas à chercher des solutions encore plus sécurisées du style de Olvid. Mais ça ne me pousse pas à utiliser des appli type whatsapp ou messenger.


Je comprends ce que tu veux dire, mais avoir une sécurité maximum par défaut c’est normal (secret d’état ou pas). Pas sur que Olvid soit plus sécurisé que Signal en revanche.

votre avatar

(quote:1920609:127.0.0.1)
Vu que c’est un système client/serveur, le serveur a forcément accès aux métadata pour faire correctement la distribution des messages :)


Ben justement, Signal arrive à les minimiser, ce qui est vraiment cool.

votre avatar

marba a dit:


Il faut arrêter avec ce genre d’affirmation. Tout le monde a droit à une vie privée, peut importe de quoi tu parles ou à qui. Et pour les messageries c’est un problème collectif et pas individuel. Évidemment que si Facebook ou le gouvernement avait accès qu’à tes conversations à toi, ça aurait pas grande valeur. En revanche le fait qu’ils aient accès à celles de tout le monde leur donne énormément de pouvoir : manipulation de l’opinion (faire élire qui ils veulent par exemple), prédiction d’une révolution (si la population ne peux plus se révolter, est-on encore libre ?), etc.


 Lorsque vous dites « le droit à la vie privée ne me préoccupe pas, parce que je n'ai rien à cacher », cela ne fait aucune différence avec le fait de dire « Je me moque du droit à la liberté d'expression parce que je n'ai rien à dire », ou « de la liberté de la presse parce que je n'ai rien à écrire ».


E. Snowden

votre avatar

marba a dit:


Pas sur que Olvid soit plus sécurisé que Signal en revanche.


Surtout que le protocole Signal, en plus de minimiser au maximum les métadonnées, est largement éprouvé par la communauté crypto. Un “state of the art” du chiffrement et de l’échange des messages.

votre avatar
votre avatar
votre avatar

Tout est une question de modèle de menace.
Par contre je ne savais pas qu’Olvid utilisait AWS, mais s’ils ont une certification ANSSI c’est sans aucun doute qu’AWS ne voit rien passer qui soit pertinent en terme d’informations.



j’utilise Olvid pour ma part pour des besoins particuliers, et beaucoup plus largement Signal.
et franchement je me vois pas refaire sh!3r tout le monde autour de moi une 2e fois en leur disant “hey les mecs vous allez rire, en fait Signal c’est pourri, faut utiliser Olvid maintenant! haha!”

votre avatar

Opinion possiblement impopulaire : https://xkcd.com/927/

votre avatar

Je préfère la messagerie Riot (Ou Element) elle est Open-Source, décentralisée et elle permet les appels audio & vidéos.

votre avatar

Les appels ne font pas partie de l’offre gratuite.
On se doute bien que ca coute.

votre avatar

abriotde a dit:


Je préfère la messagerie Riot (Ou Element) elle est Open-Source, décentralisée et elle permet les appels audio & vidéos.


Oui, Matrix, c’est vraiment sympa. Il manque surtout les utilisateurs pour le coup.
Avec la V2 qui arrive (Dendrite: https://github.com/matrix-org/dendrite ), ça va être d’autant plus facile d’héberger son propre serveur.

votre avatar

marba a dit:


Ben justement, Signal arrive à les minimiser, ce qui est vraiment cool.


Il y a à peu près le même “leak” de metadata dans Olvid et Signal au niveau de l’infrastructure:




  1. les appels aux API d’upload/download de messages.

  2. l’identifiant du destinataire de chaque message.



Toute la gestion des messages est faite par le client => les autres metadata sont dans le payload du message (donc chiffrées).



En gros, l’infrastructure c’est un gros partage de fichiers où chaque utilisateur à son répertoire perso: le propriétaire peut lister, lire, effacer les fichiers (messages) dans son répertoire perso. Les autres utilisateurs peuvent seulement ajouter un nouveau fichier (poster un message) dans le répertoire du propriétaire.

votre avatar

jano31coa a dit:


euh affirmations gratuites là ? j’ai plusieurs amis qui bossent à l’ANSSI qui m’ont recommandé Olvid, et qui m’ont expliqué que justement le fait de ne pas être associé à ton numéro de téléphone permet davantage de sécurité


En quoi ne pas associer ton numéro améliore ta sécurité ? Et bon les arguments d’autorité tu peux les garder.

votre avatar

Bonjour, je suis vraiment triste du ton très agressif de tes réponses. Je viens sur NXI pour me détendre pas pour recevoir des commentaires méchants gratuitement comme les tiens. C’est la 2e fois que ça m’arrive et c’est franchement désagréable. Du coup, désolé pour le site, mais tes commentaires me font prendre la décision de supprimer mon compte abonné (jusqu’en 2023), et de limiter mes visites sur le site. Bonne continuation.

votre avatar

(quote:1920815:127.0.0.1)
Bah… on ne peut pas te tracker via des applis/services tiers (qui connaissent ton n° de tel).



Une autorité ne peut pas demander à google/FB/Twitter “Hey, vous n’auriez pas un utilisateur qui utilise ce numéro de tel comme id / 2nd facteur / récupération ?”


Alors oui je vois bien le principe, mais non :
Ils ont juste à traquer ton ip, et ça revient au même avec les applications etc… Et je pense que de manière détournée ils peuvent aussi traquer ton numéro unique de ton phone.



En revanche, un compte à la Olvid, ça veut dire mot de passe à la main, ça veut dire mot de passe de merde, ça veut dire que tes contacts sont potentiellement déjà piratés et que tes conversations ne sont pas sécurisées…



Tu utilises un argument d’autorité sans arguments réels, ne t’étonne pas que je le souligne. En quoi c’est agressif ? Si tu ne supportes pas le débat, évite de faire des commentaires de ce genre oui.

votre avatar

En bon lecteur de NXI, il fallait ne pas manquer le dossier sur la gestion des mots de passe : https://www.nextinpact.com/article/46273/passbolt-gestionnaire-mots-passe-pour-ceux-qui-travaillent-en-equipe (dernier article, les autres sont dedans, je n’ai pas trouvé comment avoir un lien vers le dossier complet).



L’inconvénient d’une sécurité par le numéro de téléphone, c’est qu’on ne la maîtrise pas. C’est un identité unique, difficile à révoquer sans tout perdre.
Un compte avec mot de passe, on fait ce qu’on veut. On peut faire de la merde, mais beaucoup de fournisseur demande une certaine qualité de mot de passe (comme une bonne entropie à l’aide d’outil tel que zxcvbn). Et c’est révocable. On peut changer de mot de passe. On peut à la rigueur fermer son compte en ne perdant que sa messagerie, et pas la totalité de ses moyens de communication.



En plus, ne pas pouvoir l’utiliser sur autre chose qu’un smartphone, c’est à l’encontre même du principe d’interopérabilité. Olvid travaille dessus (et donc c’est toujours pas possible sans téléphone), et je sais que Signal aussi, mais pour l’instant, ce sera ni l’un ni l’autre pour moi :)

votre avatar

L’avantage d’une sécurité minimum par numéro de téléphone, c’est que tu as pas à faire confiance à tes contacts pour utiliser des bons mot de passe + ça facilite l’échange de «comptes» qui ne sont pas vérolés. Et on contrôle quand même un minimum son numéro de téléphone, c’est la sécurité minimum. Après il faut «vérifier» ses contacts physiquement avec l’application, là tu es tranquille.



Signal est plus fiable par design de ce côté là. Et Signal fonctionne sur PC, c’est juste que son design fait qu’il y a une seule application maître, et elle est sur ton (ou un de tes) smartphone. C’est tout.




Xandr0s a dit:


Il y a aussi des données partagées entre groupes. Le numéro de téléphone peut devenir un dénominateur commun.


Un dénominateur commun pour qui ? Signal ne peut pas savoir avec qui tu communiques, même en groupe, parce que c’est bien pensé.




Personnellement, j’ai plus tendance à faire confiance à une autorité comme l’ANSSI que des industriels comme Facebook/Google (et autres) ;). Le code a été audité. Il n’est certainement pas parfait, mais montre qu’il y a un niveau de confiance à avoir, car contrôlé.


Le code de Signal a été audité également, et plus largement et depuis plus longtemps. Donc à ce niveau là, c’est plus fiable.




Concernant le mot de passe, il n’intervient que pour la sauvegarde sur son téléphone. Oui, si celui-ci est faible, le fichier pourrait certainement être ouvert par n’importe qui.


J’aimerais + de détails parce que je n’utilise pas Olvid. Comment tu fais pour te connecter à ton compte ? Comment tu fais pour récupérer ton compte et tes contacts ? Il faut forcément un mot de passe, donc c’est à chier.

votre avatar

Concernant la sécurité par numéro de téléphone n’est pas exempt de problème. Il y a certaines personnes qui changent pas mal de numéro. Qui te dit que le numéro que tu avais à un moment donné pour ton super pote de jeunesse est toujours le même pour cette même personne ? Et il y a des vecteurs d’attaques.



Il y a rarement une bonne solution.




Un dénominateur commun pour qui ? Signal ne peut pas savoir avec qui tu communiques, même en groupe, parce que c’est bien pensé.
Un dénominateur pour tout système qui peut te tracer. WhatsApp, semble-t-il, récupère les contacts du téléphone et se sert du numéro comme dénominateur (et il n’y a pas que cette application).



Le code de Signal a été audité également, et plus largement et depuis plus longtemps. Donc à ce niveau-là, c’est plus fiable.
Peut-être qu’il a été audité, je n’ai pas regardé, mais ce n’est pas parce que cela a été fait il y a longtemps permet d’affirmer que c’est mieux.


L’ANSSI évoque dans les documents d’audit, les versions concernées. Au-delà, rien ne prouve que le niveau de sécurité est toujours identique à celui audité.




J’aimerais + de détails parce que je n’utilise pas Olvid. Comment tu fais pour te connecter à ton compte ? Comment tu fais pour récupérer ton compte et tes contacts ? Il faut forcément un mot de passe, donc c’est à chier.


Je n’ai pas eu besoin de le faire pour le moment, je pense que tu restaures ta sauvegarde. L’aide d’Olvid pourra t’éclairer à ce sujet. Sinon, tout dépend qui met le mot de passe, et comme évoqué, il n’y a pas “bonne solution”.

votre avatar

marba a dit:


En quoi ne pas associer ton numéro améliore ta sécurité ?


Bah… on ne peut pas te tracker via des applis/services tiers (qui connaissent ton n° de tel).



Une autorité ne peut pas demander à google/FB/Twitter “Hey, vous n’auriez pas un utilisateur qui utilise ce numéro de tel comme id / 2nd facteur / récupération ?”

votre avatar

Xandr0s a dit:


Concernant la sécurité par numéro de téléphone n’est pas exempt de problème. Il y a certaines personnes qui changent pas mal de numéro. Qui te dit que le numéro que tu avais à un moment donné pour ton super pote de jeunesse est toujours le même pour cette même personne ? Et il y a des vecteurs d’attaques.


Il y a le NIP activé par défaut depuis un bon moment qui empêche que l’on puisse t’usurper ton numéro. Et de toute façon c’est la sécurité minimum, si tu veux pas de problèmes, il faut vérifier physiquement tes contacts.




Il y a rarement une bonne solution.


Dans le cas présent je trouve que les solutions utilisées par Signal sont bien meilleurs par design.




Je n’ai pas eu besoin de le faire pour le moment, je pense que tu restaures ta sauvegarde. L’aide d’Olvid pourra t’éclairer à ce sujet. Sinon, tout dépend qui met le mot de passe, et comme évoqué, il n’y a pas “bonne solution”.


Qu’est ce qui me garantie que c’est toi derrière ton compte ? Qu’est ce qui me garantie que il n’y a que toi qui lis les messages ? Signal apporte des solutions pour ça. Le mot de passe n’est pas une bonne solution.

votre avatar

C’est ce que fait Matrix avec les sessions vérifiées. Par défaut, une nouvelle session (donc sur un nouveau périphérique/navigateur) n’est pas vérifiée, et tous tes contacts verront un bouclier rouge. Il est possible de vérifier la nouvelle session à l’aide d’une session précédente ou bien d’une clé de sécurité, qui est différente du mot de passe du compte.
Avec Matrix, j’ai donc la possibilité de :




  • me connecter sans smartphone

  • vérifier une nouvelle session à l’aide d’une autre qui doit être disponible juste à ce moment là

  • être connecté à plusieurs compte à la fois sur le même périphérique. Car oui, j’ai une vie privée et une vie professionnelle, distinctes. Et je ne vais pas avoir 50 appareils pour ça, puisqu’un ordinateur sait tout faire.



Signal, c’est très bien fait, d’ailleurs, toutes les messageries chiffrées utilise sa cryptographie, ou faiblement dérivée. Mais je ne peux pas l’utiliser, puisque je souhaite avoir plusieurs identités. Et je n’ai pas de smartphone. Et Signal refuse les clients alternatifs.



Le mot de passe n’est pas “à chier”. Ils ont des inconvénients, mais leurs avantages font qu’ils existeront toujours. Un secret est révocable, partageable et difficile à soutirer sans être vu (contrairement aux empreintes digitales par exemple)

votre avatar

Matrix répond pas au même besoin. Et c’est plus adapté pour une utilisation à la Slack/Discord en effet. En revanche ça reste beaucoup moins sécurisé et assure moins ta confidentialité que Signal, en particulier pour les méta-données.



Bien sûr que si le mot de passe est à chier par design. Aujourd’hui il n’est pas possible d’avoir des bons mots de passe sans passer par un gestionnaire de mot de passe, donc ça ne fait que déplacer le problème.

votre avatar

marba a dit:


Et du coup, ça permet d’utiliser des mdp complètement à chier, et donc ça baisse ta sécurité.


En quoi un numéro de téléphone serait un élément de sécurité ? Je me demande même si il vaut pas mieux un mauvais mot de passe qu’une sécurité basé sur un numéro de téléphone.

votre avatar

TheGuit a dit:


En quoi un numéro de téléphone serait un élément de sécurité ? Je me demande même si il vaut pas mieux un mauvais mot de passe qu’une sécurité basé sur un numéro de téléphone.


Parce que ça dépend pas du bon vouloir de tes contacts à mettre un bon mot de passe (ce que 99% des gens ne font pas). Alors certes l’opérateur peut se faire pirater, mais uniquement à la création/première connexion à ton compte Signal, après c’est protégé.



Alors pour Olvid je viens de vérifier, ça fonctionne plus ou moins comme Signal sur le principe, et je crois qu’il n’y a pas de mot de passe. Sauf que :




  • Pour partager son contact, il faut passer par un tiers, et c’est potentiellement là que tu peux te faire pirater. Un numéro de téléphone a l’avantage d’apporter une sécurité à ce niveau là.

  • On peut copier son compte sur plusieurs téléphone, donc si ton téléphone est piraté, on peut dupliquer ton identité et lire tes messages sur d’autres devices (à voir comment c’est géré dans l’application, et si les devices connectés sont signalés comme c’est le cas pour Signal)



Sinon sur le principe, l’application à l’air de reposer sur des bons principes et de fonctionner de manière similaire à Signal, donc ça parait être plutôt bon. À voir comment ils gèrent les conversations de groupe.

votre avatar

Je viens de vérifier et, le mot de passe est fixe : 8 groupes de 4 caractères alphanumériques.



Le mot de passe parrait robuste par sa longueur.



Exemple : TZRG KA66 9KD0 UF7K B2J4 Z934 7NLC H0DR



Impossible donc que l’utilisateur en choisisse un mauvais.

votre avatar

marba a dit:



Qu’est ce qui me garantie que c’est toi derrière ton compte ? Qu’est ce qui me garantie que il n’y a que toi qui lis les messages ? Signal apporte des solutions pour ça. Le mot de passe n’est pas une bonne solution.


Pour s’ajouter en tant que contact, tu dois échanger des codes. L’audit de l’ANSSI met en avant un risque possible, mais si tu le fais en face de la personne, tu sais que c’est bien elle.
Seul la sauvegarde pourrait être un risque (récupération et ouverture sur un autre téléphone si mot de passe connus). Un mot de passe correct est la sécurité.

votre avatar

Xandr0s a dit:


Pour s’ajouter en tant que contact, tu dois échanger des codes. L’audit de l’ANSSI met en avant un risque possible, mais si tu le fais en face de la personne, tu sais que c’est bien elle. Seul la sauvegarde pourrait être un risque (récupération et ouverture sur un autre téléphone si mot de passe connus). Un mot de passe correct est la sécurité.


Ben du coup s’ajouter en tant que contact c’est pas terrible, donc Signal est mieux sur ce point.

votre avatar

marba a dit:


Ben du coup s’ajouter en tant que contact c’est pas terrible, donc Signal est mieux sur ce point.


Pour s’ajouter les un les autres ;).

votre avatar

marba a dit:


En revanche, un compte à la Olvid, ça veut dire mot de passe à la main, ça veut dire mot de passe de merde, ça veut dire que tes contacts sont potentiellement déjà piratés et que tes conversations ne sont pas sécurisées…


Il n’y a pas de “compte Olvid” au sens d’un “user+password” qui permettrait à n’importe qui de se connecter au service d’accéder aux messages.



La création de compte est en réalité la création d’un point d’accès = un numero random qui sert d’identité. C’est équivalent à créer un thread random sur un forum de discussion public et de dire à tes contacts d’y poster seulement des messages chiffrés avec ta clé publique.

votre avatar

Oui oui j’ai vue, c’est comme Signal. Sauf que pour partager un compte, on doit passer par un tiers et pas seulement avoir le numéro de téléphone de son contact.

votre avatar

marba a dit:


Oui oui j’ai vue, c’est comme Signal. Sauf que pour partager un compte, on doit passer par un tiers et pas seulement avoir le numéro de téléphone de son contact.


Il n’y a pas d’annuaire sur Olvid donc tu dois donner ‘manuellement’ ton numéro random à tous tes contacts.



Heureusement le client permet d’envoyer ta liste de contacts par message chiffré. Donc tu as juste a saisir le nom d’un seul contact (le chef de meute) et lui demander de t’envoyer sa liste :)

votre avatar

Ya pas non plus d’annuaire sur Signal ;) En revanche on peut utiliser son numéro de téléphone, c’est plus pratique. Et pour ceux qui veulent pas partager leurs numéros dans les groupes, ça arrive.

votre avatar

.


Moi qui utilise les smartphones sans carte SIM (=en mode mini-tablette wifi), je plébiscite tous les services qui ne nécessitent pas d’avoir un numéro de tel.

votre avatar

Si tu as pas de téléphone mobile ok. Si tu en as un, tu peux activer ton compte Signal avec un autre téléphone. Je comprends l’idée hein, j’ai un phone complètement sans Google avec un android nu, et seulement des applications opensource provenant de F-droid. Mais bon Signal vraiment aucun risque, ils ne font rien de ton numéro, c’est juste pour lier ton compte.

votre avatar

Ya pas non plus d’annuaire sur Signal ;) En revanche on peut utiliser son numéro de téléphone, c’est plus pratique.



Y a forcément un annuaire quelque part si on est obligé de communiquer son numéro dès l’installation pour pouvoir commencer à s’en servir. Ce qui n’était pas le cas de son ancêtre TextSecure qui chiffrait les SMS. Donc s’ils ont un annuaire des utilisateurs, ou s’ils le peuvent, alors ils peuvent impersonnifier tout utilisateur et donc tout déchiffrer. CQFD. Et donc c’est pas du tout plus pratique. C’est juste une énorme faille de sécurité possible puisqu’on reste contraints de faire confiance aux opérateurs de ces messageries ou en la sécurité de leurs systèmes. C’est chaud. Je préfère un système qui ne force personne à lui faire confiance et qui déploie des preuves et technologies pour arriver à ce que ça se passe entre nous les utilisateurs et uniquement entre nous et que personne d’autre n’ait quelconque pouvoir de connaitre nos échanges ou pire.

votre avatar

Elle ne permet pas d’appeler dans sa version gratuite :(

votre avatar

Exact. Et quelques précisions trouvées dans leur Aide-FAQ https://olvid.io/faq/fr/ qu’il faut lire. Mais c’est fourni. Donc…
Il n’y a pas de compte sur Olvid.
Source : https://olvid.io/faq/creez-votre-identite-Olvid/#il-nexiste-pas-de-compte-olvid



Ce n’est pas un mot de passe de compte mais une clé de chiffrement générée sur demande de l’utilisateur et dans l’app uniquement, pour la sauvegarde de son “identité Olvid et de ses contacts, groupes, paramètres et licence” en vue de les transférer sur un nouvel appareil. Les messages eux ne sont pas sauvegardés. Et cette sauvegarde est à activer par chaque utilisateur (opt-in) et il la stocke où il veut. Et Olvid ne connait pas cette clé puisqu’elle ne reste affichable qu’à l’utilisateur.
Source : https://olvid.io/faq/a-propos-de-la-sauvegarde/



L’entropie de cette clé est de 160 bits.
Source : https://olvid.io/faq/a-propos-de-la-sauvegarde/#la-sauvegarde-est-elle-s%C3%A9curis%C3%A9e. Mais un simple calcul le démontre.
En d’autres termes, sa robustesse ne serait brisé de façon certaine qu’après 2 puissance 160 tentatives lors d’une attaque par force brute. Je vous laisse calculer combien ça fait. Puisque “l’ajout d’un bit d’entropie à un mot de passe double le nombre de tentatives requises, ce qui rend la tâche de l’attaquant deux fois plus difficile.” Selon wikipedia : fr.wikipedia.org Wikipedia



Avec cette app, on est très très loin d’une sécurité par mot de passe ou par détention d’un numéro de téléphone qui est toujours connu de l’opérateur mobile déjà, des annuaires et de tous ceux qui l’ont aussi dans leur carnet d’adresse et le divulguent allègrement en y donnant accès à des apps. Et donc aussi connu des opérateurs de ces apps, et donc aussi dépendant de la vulnérabilité de leurs serveurs par des attaquants. Sans parler des possibilités d’usurper un numéro mobile mais c’est une autre histoire, ou pire, de simplement connaitre son existence et pire encore, son détenteur. Voir Pegasus. Et d’ailleurs ils en parlent aussi : https://olvid.io/news/fr/pegasus.html

votre avatar

J’ai vérifié. L’utilisateur ne choisit pas du tout, jamais, un mot de passe, ni même sa clé de sauvegarde. Elle est générée aléatoirement par l’app sur son appareil et uniquement là. Et l’app l’affiche une fois et une seule fois et il doit la noter. Sinon il devra en générer une autre pour les prochaines sauvegardes et pour pouvoir restaurer la plus récente. Il n’y a donc aucune erreur possible de la part de l’utilisateur. Sauf d’ensuite copier cette clé sur un support numérique connecté ou subtilisable, ou pire dans le cloud. Ce serait sa seule “erreur”. Mais c’est indépendant de l’app. qui en prévient et n’y peut rien. On fait tellement pire ailleurs. Et le mieux est donc de la noter sur un papier une fois pour toute. D’autant que cette clé est valable aussi longtemps qu’on ne la change pas. A travers les restaurations de ces sauvegardes chiffrées qui ne seront déchiffrables qu’avec cette clé.
Ils semblent donc avoir fait très fort et très propre sur ce point aussi.
Après, on peut toujours aller discuter des courbes elliptiques choisies pour ces tirages aléatoires dans la génération de cette clé par l’app. Mais ça tombe bien encore car c’est super documenté dans leurs specs techniques publiées dans leur page sur leur techno et ça semble aussi avoir été revu et validé pas un ponte reconnu de l’association internationale de la recherche en cryptographie. Reste à lire tout ça…

votre avatar

yes comme Signal, sauf que du coup c’est moins fiable d’échanger un identifiant via une messagerie tierce (l’utilisateur ne verra pas forcément un man in the middle avec un identifiant qu’il n’est pas habitué à reconnaitre comme un numéro de téléphone)



Signal ne stock ni ne scan ton annuaire. Et le fait d’avoir les contacts d’un utilisateur ne permet pas de déchiffrer ses messages, ça n’a aucun rapport. Nous ne sommes pas contraint de faire confiance aux opérateurs, comme pour Olvid, les utilisateurs doivent vérifier leurs numéros/certificat, manuellement, et physiquement de préférence.

votre avatar

Si l’ajout de contact se fait en physique, pas d’attaque Mitm.



Rien n’empêche de transmettre l’URL dans un fichier texte, de le chiffrer, le transmetre. Appeler la personne et lui donner le code.



Wait, qu’est ce qui prouve que c’est la bonne personne ? :D

votre avatar

Xandr0s a dit:


Rien n’empêche de transmettre l’URL dans un fichier texte, de le chiffrer, le transmetre. Appeler la personne et lui donner le code.


Ce que personne ne fera parce que c’est chiant et pas user friendly, d’où l’intérêt de Signal

votre avatar

Pour transmettre le code d’Olvid ? :D



C’était tellement tentant ! 😁

votre avatar

Xandr0s a dit:


Pour transmettre le code d’Olvid ? :D



C’était tellement tentant ! 😁


pas bête ! Après les deux applications ont l’air kiff kiff sur la sécurité, mais Signal est 100% gratuit

votre avatar

Oui, je pense aussi niveau secu.



C’est normal qu’il y ait du financement, car cela reste une entreprise avec des charges.



Le modèle est clairement annoncé. Nous ne sommes pas obligé de payer en tant que simple utilisateur. Sauf si besoin de fonctionnalités supplémentaires (les appels par exemple).

La messagerie sécurisée Olvid passe en open source

Fermer