Signal fait parler de lui en ce moment pour de mauvaises raisons. Voici ce qu’il faut savoir à son sujet et pourquoi il reste un choix de premier ordre pour protéger les conversations.

L’application de messagerie Signal fait parler d’elle, et pas pour quelque chose de positif. La polémique vient des Etats-Unis. Pete Hegseth, le secrétaire à la défense, a récemment montré comment ne pas utiliser un canal de communication sécurisé pour partager des informations sensibles et classifiées.

Un journaliste de la publication The Atlantic s’est retrouvé par inadvertance inclus dans une conversation avec des hauts fonctionnaires de l’administration américaine, qui discutaient entre eux des plans de frappes militaires au Yémen. La situation pose un problème majeur pour quelques raisons essentielles, comme le décrit BBC News.

Toutefois, Signal n’est pas à blâmer. La responsabilité incombe plutôt aux fonctionnaires qui n’ont pas pris les précautions nécessaires. Entre de bonnes mains, Signal peut être un outil efficace pour préserver la confidentialité et la sécurité de vos conversations. Qu’est-ce que Signal et pourquoi devriez-vous l’utiliser plutôt qu’une autre application de messagerie ? Voici sept raisons. (...)

Lire aussi :

– (Numerama)
L’app Signal invite le Pentagone à ne pas dire n’importe quoi sur sa sécurité

L’application Signal est abondamment citée dans la presse depuis deux jours, car elle a servi d’espace de discussion à des officiels américains — et des échanges sensibles ont eu lieu. Aujourd’hui, la messagerie instantanée prend la parole pour apporter des nuances, notamment vis-à-vis d’un mémo discutable du Pentagone.

Elle est depuis deux jours au cœur de l’actualité : l’application de messagerie instantanée Signal n’a sans doute jamais été autant dans la lumière. La raison ? Elle a servi de lieu d’échange aux plus hauts responsables du gouvernement américain et des principaux patrons des services de renseignement.

Cela aurait pu rester confidentiel, mais cette discussion avait un « passager clandestin » : un journaliste de The Atlantic, visiblement ajouté dans la boucle par erreur. Il a constaté que des conversations sensibles avaient lieu hors des canaux sécurisés du gouvernement. Depuis, c’est le scandale aux États-Unis, les officiels impliqués étant accusés d’incompétence. (...)

Dans ce contexte, la sécurité de l’application Signal a aussi été mise sur la table : est-elle assez sûre pour accueillir des débats stratégiques sur des frappes militaires, c’est-à-dire des échanges pouvant relever du secret défense ? Selon un mail du Pentagone daté du 18 mars, et obtenu par la radio publique américaine NPR, la réponse est plutôt non.

Le courrier indique « qu’une vulnérabilité a été identifiée dans l’application de messagerie instantanée Signal. L’utilisation de Signal par les cibles habituelles des activités de surveillance et d’espionnage a fait de cette application une cible de grande valeur pour l’interception d’informations sensibles. »

Le mémo ajoute que des « groupes de pirates professionnels russes utilisent les fonctions ‘appareils associés’ pour espionner les conversations chiffrées ». Ce sujet renvoie directement à une découverte faite par Google montrant qu’il existe un stratagème pour compromettre Signal, via la diffusion de QR Codes malveillants. (...)

Signal dénonce une formulation hasardeuse du Pentagone

C’est justement sur ce mémo que Signal vient de rebondir, le 25 mars, dans un message publié sur Twitter. Les responsables de l’application l’assurent : il est inexact de parler de « vulnérabilité dans Signal » compte tenu du mode opératoire décrit par Google. Celui-ci est effectivement un problème, mais qui n’implique pas les fondamentaux techniques de Signal.

« Cela n’a rien à voir avec la technologie au cœur de Signal. Il s’agissait d’une mise en garde contre les escroqueries par hameçonnage visant les utilisateurs de Signal », écrit la messagerie. « L’hameçonnage n’est pas nouveau, et il ne s’agit pas d’une faille dans notre cryptographie ou dans l’une des technologies sous-jacentes de Signal. » (...)

Activé par défaut dans Signal, ce chiffrement de bout en bout est par ailleurs open source, de manière à ce que tout le monde puisse vérifier qu’il n’y a pas de vice caché dans le code informatique. Cette preuve par la transparence est la plus efficace pour la confiance. Et à cela s’ajoutent les audits auxquels l’app se soumet régulièrement.

« Les attaques de phishing sont une menace constante pour les applications et les sites web populaires », ajoute Signal. C’est en quelque sorte le revers de la médaille du succès croissant que la messagerie rencontre. Plus elle attire du monde, plus elle devient une cible pour des actions malveillantes, à l’image de celle remontée par Google.
La sécurité est aussi l’affaire des internautes

Il s’avère que certaines attaques tentent plutôt de profiter de l’inattention ou bien du manque d’hygiène informatique des internautes pour advenir, au lieu de s’attaquer à l’efficacité du chiffrement de Signal. C’est typiquement le cas des opérations reposant sur des QR Codes vérolés à des fins de phishing. En somme, l’objectif est de pousser l’internaute à la faute, pour qu’il fasse entrer le loup dans la bergerie. (...)

Tant que le niveau général en hygiène informatique ne sera pas assez élevé, les opérations reposant sur l’ignorance, la crédulité et l’imprudence des internautes perdureront. Exactement comme l’affaire The Atlantic, où un journaliste a été ajouté par mégarde dans un groupe secret dans lequel il n’aurait jamais dû être.