Le dirigeant de Tesla, désormais homme le plus riche au monde, avait tweeté hier un message lapidaire : « Use Signal ». Sans plus de détail. Néanmoins, selon The Verge, « s’il n’est pas tout à fait clair que Musk faisait référence à, ni même n’ait eu conscience de, la nouvelle politique de confidentialité de Whatsapp [prévue pour le 8 février prochain], il y a une réaction de plus en plus vive contre l'application de messagerie appartenant à Facebook ».
Quelques heures plus tard, Edward Snowden donnait une raison personnelle d’utiliser Signal : « Je l'utilise tous les jours et je ne suis pas encore mort ». Quoi qu’il en soit, l’application a connu une augmentation si importante de son nombre d’utilisateurs qu’elle a dû prévenir de quelques imprévus. Dans un tweet, l'entreprise a expliqué hier soir que « les codes de vérification sont actuellement retardés chez plusieurs fournisseurs, tellement il y a de nouvelles personnes qui tentent de rejoindre Signal en ce moment ».
Commentaires (50)
#1
En même temps, Whatsapp se base sur signal. Signal fait au moins pareil voir mieux que Whatsapp.
Pourquoi utiliser whatsapp ? Il y a beaucoup plus d’utilisateurs que Signal… Est ce que la politique de facebook changera le regard des utilisateurs lambda ? Non. je ne pense pas.
#1.1
Si tu fais allusion à la récente politique de WhatsApp qui obligera les utilisateurs à partager leurs données avec FB, je n’ai lu aucuns commentaires positives à cette nouvelle sur différents sites où je l’ai lu, de plus, cette MAJ ne s’applique pas à l’UE.
La raison pour laquelle chaque entreprise récolte autant de données est qu’elles ont énormément de valeur grâce au grand nombre de personnes qui y renoncent volontairement, cela dit, le nombre croissant de violations de données fait prendre conscience à de plus en plus de gens que les grandes entreprises technologiques récoltent trop d’informations sur eux, elle rend la publicité plus ciblé, ses prédictions plus précises et les manipulations de masses plus dommageables, en utilisant de meilleurs alternatives comme Signal et en utilisant des services où Google ou Facebook ne peut pas lire tes e-mails, tes messages et tes historiques de recherches, les données deviennent moins précises, ce qui en diminue la valeur, et quand celle-ci atteint un seuil précis, elle devient sans valeur et l’entreprise devra réorienter ses efforts vers quelque chose qui lui rapporte de l’argent, sinon elle meurt. C’est une victoire pour les utilisateurs qui font le choix d’utiliser des services respectueux de la vie privée, mais c’est aussi une victoire pour ceux qui ne peuvent ou ne veulent pas changer parce que l’entreprise abandonne la collecte en raison d’un faible retour sur investissement. Prenons les mesures nécessaires, cela améliore les choses pour nous-mêmes mais également pour les autres.
#1.2
whatsapp se base sur le protocole “signal” à ne pas confondre avec l’application “signal”
#2
J’ai pas vu l’ombre d’un argument valable du coup. C’est vrai que pour les gens installer une app en plus c’est trop dur.
#3
J’ai rapidement jeté un oeil aux autorisations demandées par signal sur le google play et j’en vois plus que telegram avec lequel j’ai comparé.
Photos, microphone, camera, agenda, contacts. Normal me direz vous mais il y a aussi autorisation d’accès aux sms alors que telegram ne demande pas ça.
ça sort d’ou et qu’est ce qui vous permet d’avoir confiance en ce truc, signal?
#3.1
Signal peut remplacer l’appli SMS par défaut d’où l’autorisation Android.
C’est un logiciel libre et open source financée par la Signal Foundation à but non lucratif
Voilà quelques arguments qui permettent d’établir une base de confiance
Pour creuser + ici https://github.com/signalapp/Signal-Android
#3.2
C’est lié à la capacité (optionnelle) d’utiliser Signal également pour les SMS et MMS : https://support.signal.org/hc/fr/articles/360007321171-Puis-je-envoyer-des-textos-ou-des-messages-multim%C3%A9dias-avec-Signal-
C’est permis par Android et utilisé dans de nombreuses applications dont Facebook Messenger d’ailleurs.
L’idée étant de n’avoir qu’une appli pour gérer ses textos et ses “tchats”. Perso, je l’utilise ainsi depuis que c’est possible et je me passe ainsi de l’appli Messages (Samsung) ou de l’appli Messages (Google).
C’est transparent sauf pour certains cas où un correspondant a par exemple activé Signal puis arrêté de l’utiliser sans désactiver son compte. Il faut alors penser à spécifier à l’appli qu’il faut utiliser le SMS classique plutôt que le protocole Signal (mémo : appui long sur le bouton d’envoi).
#3.3
Snowden utilise Signal, je pense que cette preuve devrait te convaincre.
#3.4
Signal a besoin de l’accès aux SMS parce que tu peux t’en servir comme appli pour les S/MMS. Dans ce contexte, si l’émetteur et le récipiendaire ont tous les deux signal, le message est chiffré. Que je sache, Telegram et WhatsApp ne font que de l’IP.
#4
Signal peut ête utiliser comme application de SMS. D’ailleurs, si ton interlocuteur n’a pas signal, elle fait des sms, sinon, elle utilisera son protocole.
#5
Si je ne me trompe pas (je n’utilise pas Signal), l’appli permet de se substituer à l’appli SMS (histoire de n’avoir qu’une seul icone sur l’écran d’accueil, quoi).
Bah déjà, Telegram est russe, donc bon…
Mais c’est un demi-argument, puisque Signal est américain. 
Après, moi j’m’en fous, j’utilise Skype.
EDIT: grilled de tous les côtés.
#6
Je lis sur wiki que ça reste basé sur une architecture centralisée à ce que j’ai cru comprendre. Qui plus est la boite est Américaine et donc soumise au cloud act.
J’ai l’impression que c’est plus la solution “la moins pire” qu’autre chose non?
Et telegram, plus souvent installé, est tout aussi moyen voir plus à ce que je lis sur wiki.
#6.1
« Signal cannot decrypt or otherwise access the content of your messages or calls. Signal queues end-to-end encrypted messages on its servers for delivery to devices that are temporarily offline (e.g. a phone whose battery has died). Your message history is stored on your own devices.
Additional technical information is stored on our servers, including randomly generated authentication tokens, keys, push tokens, and other material that is necessary to establish calls and transmit messages. Signal limits this additional technical information to the minimum required to operate the Services. »
cf. https://signal.org/legal/#terms-of-service
Telegram ne chiffre pas de bout en bout les conversations par défaut et il n’est pas possible de chiffrer les conversations de groupe.
cf. https://telegram.org/faq#q-why-not-just-make-all-chats-39secret-39
#6.2
Soumise au CloudAct mais comme tout est chiffré de bout en bout et rien n’est stocké sur les serveurs, ils n’ont pas grand chose à transmettre.
Signal est ce qu’il se fait de mieux dans le domaine des messageries avec un serveur central. Après, il faut passer à Briar ou Matrix, mais là, on perd tout le monde. Donc pour l’instant je recommande Signal.
#7
Mais merci pour vos réponses ; )
#8
Même pas un quart d’argument
Je pense qu’ils sont au chaud là bas 
Si tu veux la confidentialité de tes messages dans TON pays occidental, mieux vait qu’ils soient cassés pas les Russes que par les Américains
#9
Si je ne m’abuse, Signal est une des rares applications de messagerie chiffré à faire auditer son code source ou tout du moins ses algo de chiffrement ce qui n’est pas le cas de TELEGRAM.
#10
Non vraiment : Toute l’architecture de cette messagerie est orientée sécurité by design. C’est très bien décrit par leur blog d’ailleurs. Je te recommande plus particulièrement ce post assez récent:
https://signal.org/blog/looking-back-as-the-world-moves-forward/
Je n’ai guère connaissance d’une application à la fois aussi transparente et mettant la sécurité au coeur de son design. Les seule vraies faiblesses viennent davantage de l’incertitude liée au financement futur comme le fait qu’ils sont à la bourre niveau fonctionnel (ex: L’arrivée très récente des groupes administrables comme du transfert de données entre téléphones).
#11
Ok ok je commence à être convaincu
Même si le fait de savoir que la fondation gérant signal est sur le sol du pays qui a sans doute le service de renseignement le plus moderne et intrusif au monde me laisse un doute.
Mais en admettons (un peu naïvement) que c’est ok du côté de l’appli, qu’en est il de la partie OS? Androïd et IOS peuvent se réserver le droit d’enregistrer ce qui passe par le micro, le haut parleur et le clavier et fournir ça à google, au constructeur ou à apple. D’ailleurs j’avais même cru comprendre que c’était effectivement marqué dans les CGU de certains fabriquants de smartphone (samsung si je me souviens bien).
#11.1
Concrètement, tant que tu ne feras pas tourner un logiciel Open Source sur un matériel Open source, le tout audité par de multiples experts indépendants, tu ne pourras pas être certain qu’il n’y a pas la moindre backdoor intentionnelle.
Mais à choisir entre un logiciel fermé, appartenant à l’un des plus gros aspirateurs à données personnelles au monde, ou un logiciel open source et audité, moi je dis la question elle est vite répondue.
#12
Surtout qu’il y a eu plusieurs cas de grosse vulnérabilité exploitée dans WhatsApp. Demande à Jeff Bezos ce qu’il en pense ;)
#13
Et sinon, pour ceux qui n’apprécient pas le fait que Signal soit hébergé aux USA, les français Skred ou Olvid, c’est bien ?
#13.1
Le code de Sked n’est pas Open Source. En tout cas rien trouvé en ce sens via leur site. Pas vu de FAQ/Blog/Papier détaillant le fonctionnement de l’application.
« Skred a pour origine le groupe Skyrock […] » (cf. https://skred.mobi/fr/skred/) pas spécialement un point pour la confiance pour moi.
NXI en avait parlé en 2017 : https://www.nextinpact.com/article/27318/105277-skred-skyrock-lance-sa-messagerie-libre-et-securisee-mais-peu-trop-fermee
Le code d’Olvid n’est pas non plus Open Source pour le moment mais il le deviendra, cependant pas de date annoncée (cf. https://olvid.io/faq/le-code-d-olvid-est-il-open-source/). La technologie d’Olvid est par contre documentée et l’application iOS a été auditée et a reçu une Certification de Sécurité de Premier Niveau (CSPN) de la part de l’ANSSI (cf. https://olvid.io/faq/la-technologie-d-olvid-est-elle-open-source/).
Contrairement à Signal, pas besoin de numéro de téléphone pour utiliser Olvid.
Après je ne m’y connais pas assez en cryptographie pour comparer en détail Signal et Olvid.
#14
Perso, j’aimerais bien que elements.io décolle. Pour moi c’est une solution bien plus proche de whatsapp. mais open et avec une version webapp
#14.1
Pareil, je préfère de loin Element.
https://twitter.com/joepie91/status/1347580384905723906
On a le choix de l’application, c’est décentralisé (on peut donc avoir son propre serveur), on a pas besoin de filer son numéro de téléphone…
#15
A part installer un serveur XMPP (par exemple ejabberd qui tiens sur un raspberry ou un VPS couplé à un nom de domaine et mutualisables entres plusieurs personnes - ou encore une instance Mastodonte), on ne saura jamais qui a réellement accès aux données
#16
Le problème faut que l’utilisateur en face ai la meme app, le nombre d’utilisateur de signal augmente, donc vu que tous est chiffré, ca pourrais etre stocké n’importe ou on s’en fiche car ils n’ont accès a rien.
#17
Oui et non. Avec whatsapp aussi c’est chiffré, et pourtant la souveraineté des données (et des méta-données) pose problème.
Et un autre point que ne résout pas signal (en dehors du fait que le service est centralisé) est que l’identifiant est le numéro de téléphone…
il fallait lire element.io, sans s, évidemment
#18
sauf que signal réduit les métadonée lisible au maximum, par exemple avec “sealed sender” une de leur technologie récente, il ne savent même plus (si on omet l’adresse ip), l’utilisateur de qui viens le message (car le nom de l’utilisateur ou il faut répondre est chiffré avec la clef du destinataire)
#19
Le chiffrement de Whatsapp ne vaut rien car pas opensource, pas auditable, pas vérifiable. Ils n’ont pas implémenté le NIP, et on probablement une fonctionnalité pour contourner le chiffrement (facebook).
Le numéro de téléphone c’est à la fois un problème, et une sécurité minimum très utile et appréciable. Ça permet d’initialiser l’application automatiquement avec un niveau de sécurité bien plus élevé qu’avec des applications avec login/password (parce que le pégu lambda sécurise pas ses identifiants), ça permet l’échange de clés facilité (avec le numéro de téléphone) et donc moins facilement compromises, et c’est en plus verrouillable facilement avec le NIP.
Quasiment personne ne vérifie physiquement les clés, donc ceux qui veulent Signal sans numéro de téléphone n’ont rien compris… Ça ferait juste baisser la sécurité de tout le monde. C’est encore aujourd’hui, une très bonne solution.
Aujourd’hui je peux dire à ma grand mère qui est technophobe d’installer et d’utiliser Signal, je suis sur qu’il n’y aura pas de problème de sécurité. En revanche avec d’autres applications avec login/mdp clairement pas.
#20
Très utile ce thread, au passage j’aimerais remercier la communauté de NI pour la qualité d’échange dans les commentaires, c’est toujours intéressant à lire.
#21
Il y a une chié d’appli orienté “privacy” et compagnie.
Briar en décentralisé (par Tor ou même Bluetooth) mais limité (pas de backup/restore sur un autre phone, scan physique des contacts et limité à du texte pour le dialogue).
Tu as Threema en centralisé mais en Suisse avec scan physique des contacts et en E2E avec backup Restore.
Tu as le français Olvid.
Tu as Element
Tu as Session
Évidemment tu as Signal
Tu as aussi Silence qui a une autre approche, il utilise le SMS et le chiffre (bon après toujours les métadata chez l’opérateur.
Delta Chat lui se base sur le réseau pré-existant des serveurs mails (j’ai l’impression qu’ils font une surcouche de chat pour l’e-mail, pas forcément des plus sécure).
Perso j’aimerais une qui fonctionne en décentralisé à la Briar, avec les fonctionnalités de backup/restore (vu que je test des ROMs et compagnie sur mon phone) et avec les fonctionnalités de la plupart (message, media, appel ?) tout en gardant ça en local avec scan physique des contacts.
Je test un peu le tout en utilisant ma mère comme cobaye
#21.1
Très instructive cette liste.
Après la plupart des projets sont très récents et doivent être audités. Le fait qu’ils soient open source n’est pas une garantie de qualité comme l’a montré cette info Malwares en opensource.
Une info d’ailleurs très peu commentée alors qu’elle est d’une importance capitale. Elle montre que la naïveté de la population vis à vis de l’opensource est bien exploitée par des personnes malveillantes.
Du coup on va dire que l’opensource est un gage “d’étudiabilité”, rien de plus. Tant que le code est pas disséqué par un expert indépendant ça ne vaut rien. Et à chaque nouvelle version sortie normalement.
Element.io il faut m’expliquer. C’est une boite derrière (Et ça se voit avec leur page web particulièrement pompeuse). C’est quoi leur buiseness model? A un moment il faut bien qu’ils se fassent de l’argent.
#21.2
La plupart des solutions n’ont clairement pas le niveau de confidentialité de Signal, qui est aujourd’hui la meilleure solution grand public pour garantir la confidentialité.
Signal a mis le curseur sur la confidentialité, et donc fait le choix d’une solution centralisée, qui est la meilleure solution pour garantir la confidentialité de ses utilisateurs. En revanche ça implique d’autres problèmes (single point of failure).
#21.3
J’utilise Silence et Signal depuis un moment et ai même réussi à “convertir” une partie des proches sur Signal.
J’ai entendu parler de Briar il y a quelques temps et aurais bien voulu tester…
Tu as pu tester pendant un certain temps ? Qu’en est-il de l’utilisation de la batterie ?
#21.4
J’ai pas eu de problème sur l’utilisation de la batterie avec.
#22
La vente de services d’hébergement pour leur solution.
#23
La décentralisation est un énorme problème pour la confidentialité. Les méta-données ne peuvent pas et ne sont pas protégées.
La raison de la centralisation de Signal qui explique pourquoi c’est la meilleure solution pour garantir la confidentialité :
https://signal.org/blog/the-ecosystem-is-moving/
#24
Les métadonnées c’est quoi à part la liste des contacts et les heures d’envoi des messages ?
#24.1
Sur Signal ? IP, heure d’envoi + expéditeur (numero) des messages. C’est le minimum technique, mais ça permet quand même de tracer énormément de chose si c’est réceptionné par de mauvaises personnes.
#25
Ok ya pas de “dernière présence à xx heure” comme sur whatsapp ? Après avoir regardé dans les options de Signal je vois un “indicateur de saisie” et un “clavier prédictif” qui nécessitent tous deux une surveillance très forte du téléphone visé par la société Signal. Ces options sont fort heureusement décochées par défaut.
Mais comment savoir si Signal ne récupère pas la totalité de notre liste de contact ?
#25.1
Non elle n’intercepte pas la liste des contacts.
L’entreprise peut voir et conserver (si elle en avait l’intention) les heures de connexions oui. C’est le principe des méta-données
L’application est opensource. Donc les dev peuvent vérifier que Signal n’intercepte pas n’importe quoi. Et Signal n’intercepte pas n’importe quoi, juste le nécessaire, ce que déclare la société. Et non, Signal n’intercepte pas la liste de contacts.
#25.2
https://support.signal.org/hc/fr/articles/360007061452-Signal-envoie-t-elle-mon-num%C3%A9ro-%C3%A0-mes-contacts-
#26
Je pense qu’elle le fait, puisqu’elle est capable de savoir qui a installé l’appli ou pas, à partir des numéros de téléphones enregistrés… dans ta liste de contacts.
#26.1
https://fr.wikipedia.org/wiki/Signal_(application)#Secure_Value_Recovery
#27
Moui je vois bien les intentions et je comprends qu’à moins d’un échange irl de clé de cryptage il restera longtemps des failles de confidentialité impossibles à résoudre.
Pour la liste de contact je comprends que l’appli rappatrie les numéros des utilisateurs sur un serveur pour savoir qui utilise l’appli et renvoyer une info cohérente. Cette fonction n’est pas paramétrable. Le fait est que la donnée est traitée en clair même si elle rapidement effacée (l’intention de ne pas faire de suivi des contacts est explicite). L’exécution du programme sur les serveurs est-elle opensource et auditable ?
Par ailleurs pour l’appli Signal tu peux vraiment lire le code et le compiler pour en faire un apk android ? Quel est la valeur d’un code opensource pour une appli dl directement sur un store ?
#27.1
Lisez donc ce qu’on vous explique et les sources que l’on vous donne !
Les contacts ne sont jamais envoyés en clair aux serveurs de Signal !
#28
Oui chacun peut le compiler. On peut également aller chercher l’apk directement sur le site de Signal.
#29
Oui je suis un peu fainéant dans ma pensée. Quand je lis “Signal envoie périodiquement des morceaux de numéros de téléphone hachés cryptographiquement pour découvrir des contacts. Les noms ne sont jamais transmis et les renseignements ne sont pas stockés sur les serveurs. Le serveur retourne les contacts qui sont des utilisateurs de Signal, puis supprime immédiatement ces renseignements” je me dis que quand même Signal ou son serveur doit bien savoir quelles informations m’envoyer. Nan ? Il n’a pas à connaître les noms mais il doit bien connaître la sélection de numéros qui m’intéressent ?
#29.1
Non. Les serveurs de Signal n’ont pas et ne peuvent pas avoir accès aux contacts.