Signal : un code PIN pour récupérer ses informations de compte en cas de changement de téléphone

Signal : un code PIN pour récupérer ses informations de compte en cas de changement de téléphone

Par Sébastien Gavois

Le 20 Mai 2020 à 09h34
Logiciel
2 min 29

Signal : un code PIN pour récupérer ses informations de compte en cas de changement de téléphone

Signal est une application de messagerie au sein de laquelle toutes les informations sont chiffrées de bout en bout. Mais ce qui est efficace pour la sécurité se traduit rarement en facilité dans l’utilisation quotidienne.

L’éditeur sait depuis longtemps qu’en cas de perte ou de changement de téléphone, la réinstallation de Signal fait perdre des informations : profil, paramètres, liste de blocage, etc. Il faut tout reconfigurer.

Les serveurs de Signal possèdent en fait ces informations, sous forme chiffrée. La nouvelle version de l’application permet donc de créer un code PIN pour que leur accès reste protégé, tout en autorisant leur récupération en cas de nouveau téléphone.

Le code PIN doit être constitué d’un minimum de quatre chiffres. Au choix de l’utilisateur d’en ajouter, ou même de passer en alphanumérique pour créer un mot de passe. 

Attention, en cas d’oubli du PIN, il n’existera aucun moyen de récupérer les informations qu’il protège. Pour éviter ce problème, Signal lancera des rappels pour aider à s’en souvenir. Ils seront progressivement moins fréquents.

Commentaires (29)


dylem29 Abonné
Le 20/05/2020 à 10h20

Est-ce-qu’il est possible de récupérer les SMS?

J’utilisais Signal, mais j’ai dû changer…



J’ai perdu plusieurs fois mes SMS en changeant de ROM Android, impossible de restaurer et la passphrase est vraiment trop longue…


ekra Abonné
Le 20/05/2020 à 11h09

Chiffrement de bout en bout vs récupération des informations sur un serveur chiffré par un PIN…

Il n’y a pas quelque chose de dérangeant et qui aurait pu mettre la puce à l’oreille de NextInpact ?

Une information centralisée et protégée par un PIN (WTF le niveau de sécurité) ça annule complémentement l’intérêt du bout en bout.


jchampemont
Le 20/05/2020 à 11h26

Il faut lire cet article du blog de Signal https://signal.org/blog/secure-value-recovery/ pour comprendre un peu plus le fonctionnement.



Effectivement à première vu un PIN de 4 chiffres ça a l’air plutôt faible, mais associé à une autre clé privée, stockée dans une enclave sécurisée débloquée par ce PIN, qui garantis que seul un certain nombre de tentative maximum pourront être effectué c’est un peu mieux.



Je dois dire que je trouve très ingénieux ce qui est mis en place par Signal pour faire du chiffrement sans (trop) rogner sur la facilité d’utilisation.


Ozwel Abonné
Le 20/05/2020 à 11h57

+1



Un code PIN, selon les mécanismes derrière, ça peut être nettement plus fort qu’une passphrase de 30 caractères.



Un HSM se déverrouille à l’aide codes PIN par exemple, mais les mécanismes planqués derrières rendent ça bien plus fort qu’un “simple” mot de passe complexe de 40 caractères. Idem pour les smartcards.


ekra Abonné
Le 20/05/2020 à 11h57







jchampemont a écrit :



Effectivement à première vu un PIN de 4 chiffres ça a l’air plutôt faible, mais associé à une autre clé privée, stockée dans une enclave sécurisée débloquée par ce PIN, qui garantis que seul un certain nombre de tentative maximum pourront être effectué c’est un peu mieux.

.







Peu importe la mécanique de dérivation derriere tout cela. Il apparaît désormais que Signal (l’entreprise) peut désormais déchiffrer vos conversations et cela ne tient qu’à un PIN, autrement dit rien du tout.



Je ne parle pas des attaques de tiers même si désormais on leur ouvre en grand la porte, peu importe les garanties (blocage en nombre d’essais).



Je trouve plutôt que Signal s’est couché devant les gouvernements et qu’il ne présente plus aucune garantie en terme de privacy.



ekra Abonné
Le 20/05/2020 à 12h02







Ozwel a écrit :



Un code PIN, selon les mécanismes derrière, ça peut être nettement plus fort qu’une passphrase de 30 caractères.







Et bien moi je préfère une enceinte protégée par une passphrase 30 caractères plutôt qu’un tiers (non digne de confiance) qui bloque des accès erronés sur des données chiffrées par un PIN de 6 caractères.



Ozwel Abonné
Le 20/05/2020 à 12h13

Je ne suis pas là pour te dire si tu as bon ou tord, je dis juste que le PIN est parfois considéré comme faible protection à mauvais titre. Le lien de  jchanpemont au dessus de mon message est très intéressant à ce sujet.Après pour ce qui est de faire confiance, il a le code accessible en clair qui permet de se rassurer ou de faire confiance à un audit tiers. De l’intérêt pour moi de n’utiliser que des solutions open source en sécu IT (autant que possible).


ekra Abonné
Le 20/05/2020 à 12h26

@Ozwel. On est d’accord sur le point open source. 



  Ceci permettait de s'assurait que Signal (l'entreprise) ne pouvait d'aucune manière accéder à tes données, puisque RIEN n'était envoyé par l'application sans être chiffré de bout en bout.      


  Avec cette mise à jour, tu pourras seulement constater dans le code que tes données sont envoyées pour être stockées par Signal (l'entreprise) certes au travers d'une clé qui peut être facilement casser (via brute force sur le PIN dans le cas d'une attaque par Signal elle-même). L'open source ne te garantie pas la privacy, mais seulement le fait que l'application fait bien ce qu'elle décrit.        


  De plus je pousse le bouchon un peu plus loin : strictement RIEN ne te permet d'affirmer que tes données seront stockées dans une enceinte sécurisée.  Le code des serveur n'est pas disponible et de toute manière.


Donc la seule chose que tu sais c’est que tu envoie des données stockées par Signal et déplombables par un PIN.


jchampemont
Le 20/05/2020 à 12h26

Non seulement ça, mais en plus l’enclave sécurisée utilisée permet au client Signal d’avoir la preuve cryptographique que le code qui y tourne correspond bien aux attentes (SGX Remote Attestation).


mouton_enragé
Le 20/05/2020 à 13h01







Ozwel a écrit :



Je ne suis pas là pour te dire si tu as bon ou tord, je dis juste que le PIN est parfois considéré comme faible protection à mauvais titre. Le lien de  jchanpemont au dessus de mon message est très intéressant à ce sujet.Après pour ce qui est de faire confiance, il a le code accessible en clair qui permet de se rassurer ou de faire confiance à un audit tiers. De l’intérêt pour moi de n’utiliser que des solutions open source en sécu IT (autant que possible).







Faut-il écrire « avoir tort » ou « avoir tord » ?

On écrit toujours « avoir tort » avec un « t » : « tort » désigne tout ce qui s’oppose à la raison, à la vérité ou à ce qui est juste (dimension morale). Par exemple, faire du tort à quelqu’un est le fait de faire du mal à une personne, ce qui est contraire à ce qui est considéré juste. « À tort et à travers » désigne l’action sans discernement. On écrira donc « avoir tort » avec un « t » car l’expression est utilisée pour les personnes qui ne détiennent pas la vérité ou qui ont une attitude contraire à ce qui est jugé juste. Exemples : « Il a fait du tort à sa femme en l’humiliant en public » (il a fait quelque chose qui n’est pas juste) ; « Il a tort de ne pas venir avec nous » (il n’a pas pris la bonne décision) ; « Ceux qui gaspillent leur sensibilité à tort et à travers n’en ont plus quand il faut en avoir. » (Milan Kundera). 



On écrit « tord » avec un « d » lorsqu’on conjugue le verbe « tordre » : « tord » est la forme conjuguée du verbe tordre à la troisième personne du présent de l’indicatif. Pour ne pas confondre avec « tort », essayez de le conjuguer à l’imparfait. Si vous pouvez remplacer « tord » par « tordait », alors vous avez bien affaire au verbe « tordre » et non à « tort ». Exemple : Il tord sa chemise (on peut dire « il tordait sa chemise »). On tord la roue du vélo pour faire du tort à notre camarade (on peut dire « on tordait la roue… » mais pas « pour faire du tordait à… »).







Gorom Abonné
Le 20/05/2020 à 14h17

Où as-tu lu que les conversations sont concernées par ce dispositif ?



Le descriptif affiché dans l’app parle uniquement du profil, des paramètres et des contacts.


Ozwel Abonné
Le 20/05/2020 à 16h29

😅


marba
Le 20/05/2020 à 17h32

https://github.com/signalapp/Signal-Server



Les serveurs de Signal sont en licence AGPLv3.



Et avant de dire n’importe quoi sur la sécurité de Signal, je t’invite d’abord à regarder comment ça fonctionne. Tout ce que tu dis es faux.



Déjà ça ne sync pas les conversations ! Et encore heureux ! Ensuite on ne peux avoir qu’un seul téléphone à la fois de sync, donc un «piratage» est instantanément repéré.



Bref c’est pas le bon endroit pour affirmer des conneries merci.


Patch Abonné
Le 20/05/2020 à 17h38







mouton_enragé a écrit :



Faut-il écrire « avoir tort » ou « avoir tord » ?

On écrit toujours « avoir tort » avec un « t » : « tort » désigne tout ce qui s’oppose à la raison, à la vérité ou à ce qui est juste (dimension morale). Par exemple, faire du tort à quelqu’un est le fait de faire du mal à une personne, ce qui est contraire à ce qui est considéré juste. « À tort et à travers » désigne l’action sans discernement. On écrira donc « avoir tort » avec un « t » car l’expression est utilisée pour les personnes qui ne détiennent pas la vérité ou qui ont une attitude contraire à ce qui est jugé juste. Exemples : « Il a fait du tort à sa femme en l’humiliant en public » (il a fait quelque chose qui n’est pas juste) ; « Il a tort de ne pas venir avec nous » (il n’a pas pris la bonne décision) ; « Ceux qui gaspillent leur sensibilité à tort et à travers n’en ont plus quand il faut en avoir. » (Milan Kundera). 



On écrit « tord » avec un « d » lorsqu’on conjugue le verbe « tordre » : « tord » est la forme conjuguée du verbe tordre à la troisième personne du présent de l’indicatif. Pour ne pas confondre avec « tort », essayez de le conjuguer à l’imparfait. Si vous pouvez remplacer « tord » par « tordait », alors vous avez bien affaire au verbe « tordre » et non à « tort ». Exemple : Il tord sa chemise (on peut dire « il tordait sa chemise »). On tord la roue du vélo pour faire du tort à notre camarade (on peut dire « on tordait la roue… » mais pas « pour faire du tordait à… »).




Tu t’emmerdes vraiment la vie, alors qu’il y a un moyen mnémotechnique simple pour retenir la bonne ortho : le torT Tue.



marba
Le 20/05/2020 à 17h39

Il n’est dit à aucun endroit que ça synchronisera les conversations. Seulement le «profil».


Ricard
Le 20/05/2020 à 17h50

Zut. Moi ils m’ont demandé un code NIP, et pas un code PIN….. <img data-src=" />


dylem29 Abonné
Le 20/05/2020 à 18h14

C’est ce que j’avais compris. :/


marba
Le 20/05/2020 à 18h23

Pourquoi parles-tu des SMS alors ? Ça n’a rien à voir avec le sujet.


dylem29 Abonné
Le 20/05/2020 à 18h25

C’est juste une question.

Signal sert aux SMS pour info…


marba
Le 20/05/2020 à 18h28

J’avais cru comprendre que tu voulais sync tes conversations + sms avec le serveur, autant pour moi.



Sinon le backup Signal fonctionne bien, tu enregistres la passphrase dans un keepass et c’est bon ou tu l’écris quelque part et c’est top.


dylem29 Abonné
Le 20/05/2020 à 18h29

J’ai eu des soucis avec ce système, pour ça que j’ai arrêté d’utiliser l’appli.


marba
Le 20/05/2020 à 18h39

J’ai eu des problèmes aussi il y a quelques années, le backup ne pouvais plus être restauré via l’appli, très chiant.

J’avais trouvé un soft pour «rebuild» le backup pour le restaurer :

https://github.com/bepaald/signalbackup-tools



Mais ce bug très chiant a été corrigé depuis


dylem29 Abonné
Le 20/05/2020 à 18h47

Merci. <img data-src=" />



C’était pas ça mon souci, la sauvegarde n’était pas détectée, j’ai abandonné y’a 2 mois.


Salamandar
Le 20/05/2020 à 23h58

Ça fait des mois que le PIN est dispo, j’ai même eu des déboires avec (perte d’accès à mon compte).


Gorom Abonné
Le 21/05/2020 à 08h56

Je ne sais pas jusqu’où tu es allé mais la sauvegarde doit être présente dans un dossier bien précis sur la mémoire interne du téléphone. La restauration n’est possible qu’à la première ouverture de l’application.


dylem29 Abonné
Le 21/05/2020 à 09h12

Yep, seulement, quand tu formate ton tel, que ta sauvegarde et dans ta carte SD, que tu restaure avec Titanium Backup, bah le dossier n’existe plus. <img data-src=" />


marba
Le 21/05/2020 à 10h24

Il faut bien mettre le backup dans le dossier ~/Signal/Backups/



Suffit juste de créer les nouveaux dossiers.


grego_ry Abonné
Le 21/05/2020 à 11h55

Argh, mon (long) commentaire n’est pas passé. Bon, je le fais “court” alors :



Merci marba d’avoir recadré les gens qui jugent la sécurité d’un produit sans savoir comment ça fonctionne



Backup / restore avec Signal : simple, efficace et sécurisé (contrairement à WhatsApp, qui fait tout pour balancer ça en clair sur Google Drive)



Avec le code PIN /NIP possibilité d’activer une fonction anti SIM jacking, particulièrement bien pensée (évite à un SIM jacker de prendre le contrôle du mobile, et sécurité qui se débloque au bout de 7 jours au cas où on ait oublié le PIN, car de toute façon entretemps on aura eu le temps d’appeler son opérateur pour résoudre le pb)



Possibilité de mettre un code PIN/NIP alphanumérique, il suffit de cliquer sur l’option (non cachée) qui va bien





Ma conclusion perso, c’est que Signal est probablement la messagerie qui fait le meilleur compromis sécu/acceptabilité, de telle sorte que tout le monde puisse s’en servir aussi bien que WhatsApp and co. Parce que si seulement 10% des gens n’installent autre chose que WhatsApp parce que c’est pas aussi pratique, alors on se sentira bien seuls sur les messageries concurrentes… et en ce sens Signal est vraiment le moyen d’arriver à sensibiliser à la sécu sans passer pour l’emmerdeur de service


Squiggle Abonné
Le 22/05/2020 à 06h02

Très énervant que ce ne soit pas une option. Ceux que j’étais parvenus à convaincre d’installer Signal comme app de sms par défaut me demandent Qu’est ce que c’est ce NIP? Pourquoi il me met tout le temps un message ? Encore un code à retenir ? Enlève moi ça !


Fermer