Hier, j’ai reçu mon premier message de spam (ou phishing c’est selon) sur la messagerie Signal :

Cela m’a surpris, et surtout déçu de voir ce genre de message arriver sur ce canal. Heureusement, Signal offre la possibilité de bloquer l’émetteur (le numéro émetteur n’est pas dans mes contacts), ce que j’ai aussitôt fait.

Mais tout de même, que se passe-t-il, et dois-je envisager de quitter Signal ?

J’ai d’abord lu cet article qui explique bien la situation. En fait, c’est mon numéro de tél qui a été “récupéré”, Signal n’y est pour rien, et ne peut faire grand chose.

Signal est disons la moins mauvaise solution de messagerie en terme de vie privée à ce jour, mais a ses limites. Tout comme Telegram, on passe toujours par un serveur centralisé, et le code qui tourne sur ces serveurs n’est pas public ; on est dès lors obligé de croire sur parole les affirmations de respect de vie privée… Il faut bien reconnaître que tout cela n’est pas optimal ! :roll:

Jami

Je vais donc commencer à suivre de près une application de messagerie et de téléphonie (il peut aussi remplacer Skype) prometteuse, j’ai nommé Jami : soutenu par la FSF (Free Software Foundation), utilisant un modèle distribué (P2P), et bien sûr chiffré de bout en bout (standard X.509). Et c’est un projet GNU !

Pour l’instant, Jami ne supporte pas encore les groupes (sans serveur central, c’est forcément compliqué), mais le développement est en cours et la fonctionnalité devrait bientôt être disponible (pour des groupes de huit personnes dans un premier temps). Ce sera le moment de quitter Signal.

Voyons un peu tout cela en détail.

Avec Signal, toutes les communications sont chiffrées de bout en bout. Cette confidentialité a un effet de bord : Signal ne peut pas mettre en place de filtre pour lutter contre des messages non sollicités. CQFD !

Et Signal se base sur le numéro de téléphone comme identifiant, afin d’en simplifier l’usage. Et voilà un autre effet de bord : il suffit qu’une personne connaisse votre numéro pour pouvoir vous envoyer un message. :(

Je suis allé voir sur le site Have I Been Pwned ? afin de savoir si mon numéro faisait partie des fuites connues. Bonne nouvelle, ce n’est pas le cas (c’est déjà ça !) :

Un petit mot sur WhatsApp

J’utilise Signal essentiellement pour discuter avec la famille, puisque l’une de mes sœurs fait le tour du monde en bateau. Cela permet les messages via internet, et aussi les appels téléphonique.

La fonctionnalité de groupe est aussi primordiale, car cela permet un canal de communication commun entre mes sœurs et notre maman, ce qui est bien pratique.

Je suis à l’initiative de l’utilisation de Signal pour la famille, car ils avaient tous WhatsApp d’installé… mais je n’en voulais à aucun prix, l’idée que Mark Zuckerberg vienne fouiller dans mon téléphone me déplaisant fortement. :evil:

D’ailleurs, quand voit la fuite chez Facebook publiée récemment : 500 millions de numéros de téléphone (20 millions en France), je ne suis pas surpris de voir que plein de numéros d’amis ou de la famille en font partie.

Cela vaut le coup de lire l’article pour comprendre comment ces numéros ont fuité : Facebook n’avait manifestement pas beaucoup pensé à la sécurité de ses utilisateurs, plus préoccupé par la mise en contact des membres du réseau. C’est même navrant, en terme de sécurité informatique !

Cerise sur le gâteau, Facebook ne prévient pas ses utilisateurs, ce qui serait la moindre des choses s’il les respectait un tant soit peu. Pas plus d’ailleurs qu’il n’a prévenu les autorités au sujet de cette fuite, ce qui pourrait lui coûter cher (affaire en cours).

Jami

Jami est donc à priori le projet à suivre. Développé par les canadiens de “Savoir-faire Linux”, spécialisés dans le logiciel open-source, le but est de développer un système de communication à la fois libre, multiplateforme et sécurisé.

Il permettra à terme de remplacer les outils de messagerie propriétaires comme WhatsApp, Signal ou encore Telegram, mais aussi ceux de visioconférence comme Skype ou Zoom.

Il y a eu une émission (Libre à vous! de l’April diffusé sur la radio Cause Commune) : cela date d’un an maintenant, mais c’est très intéressant puisque les invités sont deux responsables de “Savoir-faire Linux”. Voilà l’extrait où Jami est présenté :

Il est intéressant de noter pourquoi ils sont allé voir Richard Stallman de FSF pour que Jami soit un projet GNU : comme c’est un logiciel qui est sensible politiquement, ils ont le besoin de protection.

Le fait qu’il n’y ait pas de serveur centralisé par où passent toutes les communications complique forcément la notion d’échange, et particulièrement la gestion des groupes. Si votre téléphone est éteint, par exemple, il faut bien stocker les messages et bien d’autres informations pour que lorsque vous vous reconnectez, vous puissiez retrouver toute la conversation sans rien avoir manqué.

Le compte que vous créez reste sur l’appareil, avec un identifiant de votre choix. À vous de le sauvegarder… Il est aussi possible d’importer un compte d’un autre appareil, ainsi vous pouvez avoir une instance sur le téléphone, une autre sur le PC. Et sur ce dernier, vous pourrez même partager votre écran, fonctionnalité qui peut se révéler utile.

Pour cela, Jami va utiliser les Swarms, qui utiliseront le protocole Git (qui est distribué par conception et peut fonctionner sans serveur), ainsi que des connexions TLS peer-to-peer pour la communication. Je n’en sais guère plus, mais vous pouvez lire cet article de leur blog, ou celui-ci pour une explication plus technique sur l’aspect distribué (sans serveur) de Jami.

Affaire à suivre donc ! Une première version gérant des groupes jusqu’à huit personnes est prévue, et cela me conviendrait totalement. Par contre je n’ai aucune idée de la vitesse de leur développement… :???: