Vous avez peut-être entendu parler de Signal, l’application de chat crypté que le gouvernement américain a utilisée l’année dernière pour discuter des plans de guerre. (Ouais.) Mais même si l’application n’est pas une alternative à un SCIF dédié, elle est une bonne option pour le reste d’entre nous afin de communiquer de manière plus sécurisée. Signal utilise le cryptage de bout en bout (E2EE), ce qui signifie très simplement que les messages sont « brouillés » pendant leur transit et ne peuvent être « déchiffrés » que par l’expéditeur et le ou les destinataires. Si vous êtes dans un chat Signal, vous pourrez lire les messages entrants comme vous le feriez avec n’importe quelle autre application de chat : si vous êtes un attaquant et interceptez ce message, tout ce que vous trouverez est un fouillis de code.
E2EE rend difficile la lecture de votre message Signal pour toute personne sans votre appareil déverrouillé (ou votre application Signal déverrouillée) – difficile, pas impossible. C’est en partie la raison pour laquelle l’application de chat n’est pas une option pour les représentants du gouvernement (bien qu’aucune application de chat tierce ne puisse l’être). Mais c’est aussi un bon rappel que peu importe qui vous êtes, vos discussions sécurisées ne sont pas imperméables aux forces extérieures. Si quelqu’un souhaite s’introduire dans vos discussions, il trouvera peut-être un moyen de le faire.
Le FBI a récemment récupéré les messages Signal supprimés d’un iPhone
Exemple concret : comme le rapporte 404 Media, le FBI a récemment extrait les messages Signal entrants de l’iPhone d’un accusé. L’utilisateur avait même supprimé l’application de son appareil, ce qui n’a fait qu’ajouter un obstacle supplémentaire aux objectifs des enquêteurs. On pourrait penser qu’en supprimant l’application elle-même, vos messages cryptés seraient protégés. Il s’avère cependant que le FBI n’avait pas du tout besoin d’accéder à l’application Signal. Bien qu’ils n’aient pas pu récupérer les messages sortants de l’accusé, ils ont pu extraire les messages entrants de la base de données de notifications push de l’iPhone. (Je m’intéresse aux iPhones depuis près d’une décennie et je ne savais même pas qu’iOS avait une base de données de notifications push (même si je suppose que cela a du sens, étant donné que les alertes existent dans le Centre de notifications jusqu’à ce que vous les ouvriez ou les rejetiez manuellement.)
Cette révélation fait suite à une affaire impliquant un groupe qui aurait vandalisé des biens et déclenché des feux d’artifice au centre de détention ICE Prairieland. Un policier impliqué dans l’altercation a reçu une balle dans le cou. Selon un partisan des accusés dans cette affaire qui a pris des notes pendant le procès, le tribunal a appris que toute application autorisée à afficher des aperçus et des alertes sur l’écran de verrouillage enregistrera ces aperçus dans la mémoire interne de l’iPhone de l’utilisateur. Ainsi, le FBI a pu obtenir les messages que l’accusé avait reçus, même si ces messages devaient disparaître de l’application et que l’application avait été supprimée de l’appareil.
Encore une fois, il ne s’agit pas d’une faille de sécurité exclusive à Signal : N’importe lequel L’application qui affiche une alerte sur votre écran de verrouillage présente cette vulnérabilité. Le FBI avait probablement également de nombreuses autres notifications à examiner, provenant de n’importe quelle application que l’accusé utilisait sur son iPhone. Pensez aux alertes que vous pourriez recevoir actuellement dans le Centre de notifications : SMS, rappels, bulletins d’information, achats, DM, etc. Tout cela pourrait être une source d’alimentation pour toute personne disposant de la technologie de surveillance nécessaire pour accéder à votre iPhone, verrouillé ou non.
Comment empêcher que cela vous arrive
Si vous utilisez Signal, vous avez en fait un avantage ici, maintenant que vous connaissez cette vulnérabilité. Signal dispose d’un paramètre qui empêche le contenu des messages d’apparaître dans leurs notifications. De cette façon, même si quelqu’un accède à vos alertes, tout ce qu’il verra, c’est que vous avez reçu un message Signal, et non pas qui l’a envoyé ni ce qu’il contient.
Pour l’activer, ouvrez Signal, appuyez sur votre profil dans le coin supérieur gauche, puis appuyez sur « Paramètres ». Sous Contenu des notificationschoisissez « Aucun nom ni contenu » pour bloquer toutes les données de l’alerte. Vous pouvez faire des compromis ici et choisir « Nom uniquement » si vous souhaitez savoir de qui provient un message avant de l’ouvrir. N’oubliez pas qu’un intrus peut également voir que vous avez reçu un message de cette personne s’il supprime les notifications de votre iPhone.
