La sécurité des logiciels de messagerie auscultée par l'EFF
L'ONG américaine EFF vient d'achever l'analyse de plusieurs logiciels de messagerie instantanée afin d'ausculter leur niveau de sécurité et la qualité de la confidentialité qu'ils proposent pour les communications. Bilan, les outils les plus appréciés par les internautes pour discuter offrent une protection minimale... voire inexistante.
Suite aux révélations d'Edward Snowden sur la surveillance des réseaux de télécommunications par les agences de renseignement occidentales, les internautes sont nombreux à vouloir renforcer la confidentialité de leurs activités sur Internet.
C'est pourquoi des initiatives comme PRISM Break sont très vite apparues pour aider les usagers à s'orienter en fonction de leurs besoins. S'il est sans doute impossible d'échapper complètement à l'espionnage électronique, surtout s'il est ciblé, les solutions proposées sur PRISM Break permettent au moins de limiter la surveillance de masse, qui a tendance à suivre tout et n'importe quoi.
Ce travail vient aussi d'être mené par l'Electronic Frontier Foundation (EFF), une ONG américaine spécialisée dans la défense de la liberté d'expression sur la toile. Mais à la différence de PRISM Break qui ne prend en compte que les logiciels libres, l'EFF a fait le choix de sélectionner aussi les programmes propriétaires, pour que les usagers aient bien conscience de leurs limites.
La sélection de l'EFF ne prétend pas être exhaustive. Plusieurs logiciels listés par PRISM Break ne figurent pas dans la sélection de l'ONG américaine, et inversement.
L'analyse de l'EFF a porté sur sept critères :
Le message est-il chiffré lorsqu'il circule ?
Le message est-il chiffré de sorte qu'il ne peut pas être lu par le fournisseur du service ?
L'usager peut-il vérifier l'identité de ses correspondants ?
Les anciennes conversations sont-elles protégées si les clés de chiffrement sont volées ?
Le code source est-il accessible pour un audit indépendant ?
Les mesures de sécurité sont-elles correctement documentées ?
Le code source a-t-il été ausculté ?
Résultat des courses, six logiciels ont remporté la note maximale. Il s'agit de ChatSecure + Orbot, CryptoCat, Signal / RedPhone, Silent Phone, Silent Text, TextSecure. En revanche, deux autres ratent complètement l'examen en n'ayant pas le moindre point. Il s'agit de QQ, un service de messagerie instantanée propriétaire développée par une firme chinoise, et de Mxit, un logiciel sud-africain.
Et concernant les outils massivement utilisés par les internautes, comme Facebook Chat, FaceTime, Google Hangouts, iMessage, Skype, Snapchat, Viber, WhatsApp ou Yahoo Messenger ? Les notes sont globalement très mauvaises (une ou deux étoiles). Étonnamment, les services d'Apple se distinguent positivement avec une note de cinq étoiles.
Que conclure de cette étude ?
Qu'il vaut évidemment mieux opter pour des services ayant récolté beaucoup d'étoiles dans l'examen de l'EFF si l'on est soucieux de la confidentialité de ses discussions plutôt que de choisir les autres applications, même si celles-ci sont très appréciées par les utilisateurs. Reste que ces dernières n'ont guère de souci à se faire, car leurs usagers se maintiennent mutuellement en captivité.
Si des usagers optent pour des programmes plus sécurisés et confidentiels, ils devront bien comprendre qu'il ne s'agit-là que d'une étape. S'ils veulent vraiment protéger leur vie privée, il faudra aussi réfléchir de façon plus globale à la "chaîne de sécurité". Utiliser un bon service de messagerie, c'est bien ; le faire tourner sur un système d'exploitation fiable, c'est mieux.