Open Whisper Systems, éditeur de la messagerie chiffrée Signal, a reçu il y a plusieurs mois une demande du FBI pour des informations sur deux utilisateurs. Représentée par l’ACLU, la petite entreprise a fini par donner ce qu’elle avait : quelques métadonnées.
La solution de messagerie chiffrée Signal est devenue depuis son arrivée une référence dans le domaine de la sécurité. À tel point d’ailleurs que le protocole du même nom a été repris dans plusieurs solutions largement utilisées : WhatsApp, Viber, Line, Allo ou encore plus récemment Facebook Messenger.
Toutes les métadonnées : deux horodatages
Plus tôt dans l’année, le FBI a approché Open Whisper Systems avec un mandat concernant des informations sur deux individus. Si l’information ne nous parvient que maintenant, c’est que la demande était accompagnée d’un « gag order », ces fameuses instructions de discrétion contre lesquels Microsoft se débat actuellement, épaulé par de nombreuses autres entreprises.
Sur les deux individus, un seul possédait un compte Signal. Représenté par l’ACLU (American Civil Liberties Union), OWS a donc plongé dans ses métadonnées pour donner au FBI ce qu’elle possédait. Or, elle ne retient en fait que très peu d’informations : deux horodatages, le premier pour la création du compte, le second pour la dernière connexion au service.
Un culte du secret devenu une règle
Ces détails sont donnés par l’avocat Brett Max Kaufman de l’ACLU, qui indique dans un billet de blog que le gouvernement a rapidement accepté que ces informations soient publiées, en tout cas partiellement. Selon lui, toute la procédure en dit long sur l’absence de transparence par défaut et le culte du secret, devenu pratiquement une norme dans ce genre de demande. Au vu des données réclamées, une telle chape de plomb n’avait cependant pas de sens, ce dont le FBI a convenu.
L’affaire assure évidemment une visibilité supplémentaire pour Signal, qui prouve par la publication des informations que quelques métadonnées non identifiantes sont gardées dans les logs du service. Les données elles-mêmes sont chiffrées de bout-en-bout entre les appareils, sans stockage sur des serveurs. L’éditeur prouve en plus désormais que même les métadonnées sont réduites au strict minimum.
Edward Snowden applaudit
Ce bonus de projecteurs ne s’arrête pas là puisque Edward Snowden y a ajouté son grain de sel, égratignant d’ailleurs Allo au passage, qu’il avait critiqué pour son absence de chiffrement de bout-en-bout par défaut. Une carence que l’on retrouve d’ailleurs dans Messenger, Facebook ayant fait également le choix des « conversations secrètes ».
The FBI came after #Signal, only to find they log only account creation date & last login time. @Google, take note. https://t.co/njyiqCA2i0
— Edward Snowden (@Snowden) 4 octobre 2016
