Chiffrement de bout en bout dans les messageries modernes

Le protocole Signal est le fondement cryptographique de Signal, de WhatsApp et d’autres messageries sécurisées. Il combine deux algorithmes : X3DH pour établir un secret partagé initial lorsque le destinataire est hors ligne, et le double cliquet pour dériver une nouvelle clé de chiffrement pour chaque message. Le résultat est une forte confidentialité et une confidentialité persistante, de manière transparente pour l’utilisateur.

X3DH permet à deux parties d’établir un secret partagé même lorsque l’une d’elles est hors ligne. Il utilise quatre calculs Diffie-Hellman combinant des clés d’identité à long terme, des préclés signées à moyen terme et des préclés à usage unique. Le serveur stocke les préclés téléversées à l’avance par le destinataire. L’expéditeur exécute X3DH avec ces clés, dérive un secret partagé et envoie un message initial chiffré sans attendre que le destinataire se connecte.

Après l’établissement du secret partagé initial par X3DH, le double cliquet prend le relais pour la conversation qui se poursuit. Il combine un cliquet Diffie-Hellman qui progresse chaque fois que de nouvelles clés DH sont échangées et un cliquet symétrique qui progresse à chaque message. Chaque message est chiffré avec une clé unique immédiatement supprimée après utilisation ; ainsi, la capture d’une clé de message ne compromet aucun autre message.

La confidentialité persistante signifie que, si un attaquant enregistre aujourd’hui du trafic chiffré et compromet ultérieurement votre clé privée à long terme, il ne peut toujours pas déchiffrer les anciens messages. Le double cliquet y parvient parce que les clés propres à chaque message sont éphémères et immédiatement supprimées. Seul un appareil ayant participé à la conversation au moment concerné peut déchiffrer les messages passés, et uniquement s’il ne les a pas supprimés localement.

Le double cliquet fournit également une récupération après compromission, parfois appelée sécurité post-compromission. Si un attaquant compromet momentanément un appareil et lit ses clés actuelles, l’étape suivante du cliquet DH génère de nouvelles clés qu’il ne peut pas prédire. Les messages futurs redeviennent sécurisés sans intervention manuelle, contrairement aux systèmes dans lesquels la compromission d’une seule clé expose tous les messages suivants.

En 2016, WhatsApp a achevé le déploiement complet du chiffrement de bout en bout fondé sur le protocole Signal sur toutes ses plateformes, couvrant alors plus d’un milliard d’utilisateurs. Il s’agissait du plus grand déploiement de chiffrement de bout en bout de l’histoire. L’intégration a été développée en partenariat avec Open Whisper Systems, l’organisation à l’origine de Signal. L’implémentation de WhatsApp a fait l’objet d’un audit indépendant qui a confirmé sa conformité.

Même lorsque le contenu est chiffré, le protocole Signal révélait à l’origine au serveur qui envoyait des messages à qui. L’expéditeur scellé est une extension qui chiffre l’identité de l’expéditeur à l’intérieur de l’enveloppe du message. Le serveur ne connaît que le destinataire, et non l’expéditeur, ce qui réduit les métadonnées accessibles au serveur ou à toute personne qui obtient les relevés du serveur par voie judiciaire. Le destinataire déchiffre l’enveloppe extérieure pour découvrir qui a envoyé le message.

Les messages éphémères ajoutent un minuteur au terme duquel les messages sont supprimés des appareils de l'expéditeur et du destinataire. Associées aux clés éphémères du double cliquet, ces suppressions signifient que même une expertise criminalistique d'un appareil saisi à une date ultérieure peut ne retrouver aucun texte en clair récupérable. La fonction « Note à soi-même » de Signal et les paramètres par défaut des messages éphémères encouragent la conservation minimale des données comme pratique de protection de la vie privée.

iMessage d'Apple utilise le chiffrement de bout en bout lorsque les deux parties ont activé iMessage, et revient au SMS lorsque ce n'est pas le cas pour l'une d'elles. iMessage stocke les clés de message chiffrées dans le trousseau iCloud, ce qui permet un accès depuis plusieurs appareils, mais signifie également qu'Apple peut techniquement accéder aux messages si l'entreprise y est contrainte et si la sauvegarde iCloud est activée. Contrairement à Signal, iMessage n'utilise pas le double cliquet et n'offre donc pas les mêmes garanties de confidentialité persistante.

Dans une conversation entre deux parties, le double cliquet est efficace. Dans un groupe de N membres, chaque message doit être chiffré séparément pour chaque membre, ou une clé de groupe partagée doit être gérée. La gestion sécurisée des clés de groupe est complexe : lorsqu'un membre quitte le groupe, tous les membres restants doivent renouveler leurs clés, ce que l'on appelle la sécurité post-compromission pour les groupes. Le protocole Messaging Layer Security (MLS/RFC 9420) répond à ce problème grâce à des mises à jour de clés de complexité logarithmique.

Signal est entièrement à code source ouvert, recueille un minimum de métadonnées et utilise le protocole Signal partout. WhatsApp utilise le protocole Signal pour les messages, mais appartient à Meta et recueille une quantité importante de métadonnées. Telegram utilise le protocole personnalisé MTProto uniquement dans les conversations secrètes ; les conversations ordinaires ne sont pas chiffrées de bout en bout et sont stockées sur les serveurs de Telegram. Pour une confidentialité maximale, Signal avec les messages éphémères constitue le choix recommandé.

Quelle propriété du double cliquet garantit que la capture de la clé d'un message n'expose pas les autres messages ?

Le protocole Signal associe X3DH pour l'accord de clés hors ligne et le double cliquet pour la dérivation d'une clé par message. La confidentialité persistante protège les messages passés ; la récupération après compromission protège les messages futurs après une compromission. WhatsApp a déployé cette solution à grande échelle en 2016. Les messages de groupe nécessitent des protocoles de gestion des clés plus complexes, comme MLS. La protection des métadonnées nécessite des techniques supplémentaires, comme l'expéditeur scellé.