SIGNAL OU COMMENT WHATSAP CONTROLE LE NUMERIQUE !
Signal est une application gratuite pour Android et iOS, permettant de communiquer (appels vocaux et vidéo, messages texte ou médias) de façon chiffrée et sécurisée et dont le but principal est d'assurer un maximum de confidentialité à ses utilisateurs.
Elle est développée par l’entreprise étasunienne Signal Messenger (en), financée par la Signal Foundation à but non lucratif. Elle est aussi distribuée comme logiciel libre et open source sous la licence GPLv3.
Signal est également disponible sur Windows, macOS et Linux, en tant que complément de l’application mobile.
Signal est conçue pour être la plus sécurisée possible tout en offrant une ergonomie accessible, facilitant l’utilisation de technologies cryptographiques robustes pour chiffrer les conversations, telles que ZRTP pour chiffrer les appels vocaux et vidéos, et le Signal Protocol pour les échanges textuels et médias.
Signal minimise les métadonnées des communications et l'organisation déclare les effacer.
Du fait de la confidentialité apportée par Signal ainsi que la collecte minime des données personnelles de ses utilisateurs, de nombreuses personnalités et institutions promeuvent l'utilisation de Signal.
Le lanceur d'alerte américain Edward Snowden, déclare utiliser Signal chaque jour ; le chiffrement de bout en bout proposé par cette application est selon lui, le meilleur moyen de contrer les programmes de surveillance massive dont il a révélé l'existence en 2013.
Commission européenne recommande l'utilisation de Signal à son personnel pour la communication avec les personnes extérieures à l'institution.
En 2014, l'Electronic Frontier Foundation (EFF) inclut Signal dans son guide d'auto-défense contre la surveillance. En 2019, le magazine américain Fast Company qualifie Signal de « l'application la plus sécurisée et centrée sur la protection de la vie privée jamais développée ». Enfin, en 2020 la Commission européenne recommande l'utilisation de Signal à son personnel pour la communication avec les personnes extérieures à l'institution.
2010–2013: Origines
Signal succède à RedPhone, une application de communication vocale chiffrée, et à TextSecure, une application de messagerie chiffrée. Les versions beta de RedPhone et TextSecure ont été lancées en 2010 par Whisper Systems, une jeune pousse (« startup ») fondée par Moxie Marlinspike et Stuart Anderson. Whisper Systems produit également un système de pare-feu ainsi que des outils de chiffrement de données. Tous ces produits sont des applications mobiles propriétaires uniquement disponible pour Android.
En novembre 2011, Whisper Systems annonce son acquisition par Twitter. L'acquisition a pour objectif « principal de permettre à Moxie Marlinspike d'aider la startup (Twitter) à améliorer sa sécurité ». Peu de temps après l'acquisition, RedPhone est rendue indisponible ; ce choix soulève de nombreuses critiques car, utilisée par des gens vivant sous des régimes autoritaires, cette décision laisse ces personnes en danger, notamment lors des événements de 2011 en Égypte.
Twitter sort TextSecure en décembre 2011 sous la forme d'un logiciel open source sous licence GPLv3. Redphone, quant à elle, sort en juillet 2012 sous la même licence.
Marlinspike quitte ensuite Twitter et fonde Open Whisper Systems sous la forme d'un projet collaboratif open source et continue le développement de TextSecure et Redphone.
2013–2018: Open Whisper Systems
Le site web de Open Whisper Systems est ouvert le 21 janvier 2013.
En février 2014, Open Whisper Systems présente la seconde version du protocole TextSecure (maintenant appelé protocole Signal), qui ajoute le chiffrement de bout en bout des messages de groupes et des capacités de messagerie instantanée.
En juillet 2014, l'entreprise annonce l'unification de Redphone et TextSecure qui prendra le nom de Signal. Ce changement coïncide avec la sortie de Signal sur iOS. En novembre 2015, TextSecure devient Signal sur Android et permet, dès lors, la communication entre les utilisateurs iOS et Android.
Depuis son lancement en mai 2010 et jusqu'à mars 2015, TextSecure (la version Android de Signal) incluait la possibilité d'envoyer des SMS/MMS chiffrés. A partir de la version 2.7.0 seul l'envoi de messages chiffrés via le réseau est possible, les raisons principales étant le manque de sécurité du système SMS et des problèmes dans le processus d'échange des clés.
En mai 2016, le développeur principal de Signal a demandé à LibreSignal, un fork qui avait enlevé les dépendances à Google Cloud Messaging, de ne pas utiliser les serveurs de Signal en son nom. À la suite de ça, le fork a été « abandonné ».
La version Android de Signal nécessitait les services propriétaires Google Play car l'application utilise Google Cloud Messaging afin de notifier les utilisateurs des nouveaux messages reçus.
Un fonctionnement alternatif basé sur les WebSockets a commencé à être développé en 2017 afin de rendre les services Google optionnels.
2018–présent: Signal Messenger
Le 21 février 2018, Moxie Marlinspike et Brian Acton (en), co-fondateur de WhatsApp, annoncent la création de la Signal Foundation, un organisme à but non lucratif dont la mission est de « soutenir, accélérer et élargir la mission de Signal, de rendre la communication privée accessible et ubiquitaire ».
La fondation a été créée grâce à un financement initial de cinquante millions de dollars d'Acton, qui a quitté la société-mère de WhatsApp, Facebook, en septembre 2017. Acton était en effet en désaccord avec le changement de modèle économique pratiqué par Facebook avec sa filiale, reposant sur la monétisation des données personnelles des utilisateurs de WhatsApp. Signal lui semble mieux incarner les principes initiaux de WhatsApp.
Selon l'annonce, Acton est le président exécutif de la fondation et Marlinspike est toujours le PDG de Signal Messenger (en).
La création de la Signal Foundation marque un tournant dans l'histoire de Signal. Moxie Marlinspike rapporte ainsi que le choix de ne pas asseoir le développement économique de Signal sur le recours au capital-risque a longtemps limité les moyens de l'équipe : jamais plus de sept personnes n'ont été employées pour le développement logiciel de l'application, avec une moyenne de 2,3 équivalents temps plein sur l'ensemble de la vie du projet. Il espère que le nouveau modèle économique permettra de pérenniser le projet et de nouveaux recrutements.
En avril 2020, la Signal Foundation annonce qu'il ne serait plus possible pour une organisation comme la sienne d'opérer aux États-Unis si la proposition de loi EARN IT était promulguée en l'état. En effet, EARN IT prévoit que les sociétés de télécommunication, jusqu'ici protégées par la section 230 de la loi Communications Decency Act, pourraient être tenues responsables des échanges entre leurs utilisateurs à moins de renoncer au chiffrement de bout-en-bout, ce qui est un principe fondamental du protocole de communication de Signal.
Fonctionnement
Plateformes et environnement
Signal est une application disponible sur Android et iOS, via les magasins d'applications officiels Google Play et App Store.
Comme il s'agit d'un logiciel libre, il est aussi possible de compiler ou de télécharger le logiciel directement sur le site [archive] sous forme d'APK, mais les développeurs de Signal le déconseillent.
En effet, les applications distribuées via Google Play ou l'App Store sont signées par le développeur de l'application, et le système d'exploitation, Android ou iOS, vérifie que les mises à jour sont signées avec la même clé, empêchant les autres de distribuer des mises à jour que le développeur lui-même n'a pas signées. Cela permet également de faciliter le processus de mise à jour vers la version la plus récente.
Une application pour ordinateurs existe en complément de l’application mobile sur le site web de la fondation. Elle nécessite de scanner un QR code avec l’application mobile pour se synchroniser et fonctionner. Elle est disponible pour Windows, macOS et des distributions Linux comme Debian, Ubuntu ou encore Arch. Cette version pour ordinateur de bureau est basée sur Electron.
Signal nécessite un numéro de téléphone pour la création d'un compte. Il ne doit pas être nécessairement le même que celui de la carte SIM de l'appareil, l'utilisateur peut utiliser un numéro VoIP ou un téléphone fixe tant qu'il peut recevoir le code de vérification sur le numéro de téléphone avec lequel il s'enregistre.
Principes et fonctionnalités
Signal est conçu pour permettre des communications assurant une confidentialité maximum, en étant chiffrées et sécurisées, tout en offrant une ergonomie accessible et amenant l’utilisateur à des comportements améliorant sa confidentialité et facilitant l’utilisation d’outils cryptographiques robustes.
Signal permet aux utilisateurs d'envoyer, via Internet, des messages écrits, vocaux et vidéos à d'autres utilisateurs Signal. Il est également possible d'effectuer des appels vocaux et vidéos avec d'autres utilisateurs.
Les appels vocaux sont chiffrés par ZRTP et les échanges textuels sont chiffrés par le protocole cryptographique libre nommé Signal Protocol.
Toutes les communications entre les utilisateurs de Signal sont chiffrées de bout en bout et les clés de chiffrement sont générées et stockées par les applications de chaque utilisateurs.
Il est possible de programmer la destruction automatique des messages après un intervalle de temps choisi par l'utilisateur, entre cinq secondes et une semaine.
Signal a un mécanisme intégré qui permet de vérifier qu'aucune attaque de l'homme du milieu n'a été effectuée. Lors d'un appel téléphonique, deux mots sont affichés sur l'écran. Si les deux utilisateurs ont les mêmes mots, l'appel est sûr.
Concernant les messages, les utilisateurs peuvent comparer les numéros de sécurité ou scanner les codes QR. L'application notifie l'utilisateur si la clé du correspondant change.
Sur Android, les utilisateurs peuvent utiliser Signal comme application par défaut pour les SMS et MMS afin d'envoyer et recevoir des SMS non chiffrés.
La base de données locale des applications mobiles est chiffrée par le système d'exploitation si l'utilisateur a une phrase de passe sur l'écran de verrouillage.
Il est possible de programmer la destruction automatique des messages après un intervalle de temps choisi par l'utilisateur, entre cinq secondes et une semaine. Le compte à rebours commence une fois le message lu, et les messages sont alors supprimés sur tous les dispositifs synchronisés.
En réaction à la mort de George Floyd et aux manifestations qui s'en suivent, Signal propose une fonctionnalité pour flouter les visages d'une photo, dans le but d'anonymiser les membres d'une manifestation.
Sécurité et confidentialité
Protocoles de chiffrement utilisés
Articles connexes : Signal Protocol et ZRTP.
Les appels vocaux sont chiffrés par ZRTP et les échanges textuels sont chiffrés de bout en bout par le protocole cryptographique libre Signal Protocol.
Le Signal Protocol était anciennement connu sous le nom de TextSecure* Protocole, qui est un protocole cryptographique non fédéré pouvant être utilisé pour chiffrer de bout en bout des appels vocaux et vidéo ainsi que des conversations par messagerie instantanée. Après avoir été conçu et développé par open Whisper Systems en 2013, il a été introduit pour la première fois dans l'application Signal. Depuis lors, il a été mis en place dans d'autres applications telles que WhatsApp et Facebook Messenger (« conversation secrète ») et Google Allô (« mode incognito »). TextSecure a été le seul logiciel de messagerie instantanée avec Cryptocat, en novembre 2014, à être capable de remplir tous les critères de sécurité d'un test effectué par l'Electronic Frontier Foundation.
La sécurité de ces algorithmes a été testée au cours de nombreuses années d'utilisation dans des centaines d'applications différentes.
Blocages étatiques et domain fronting
Pays où "domain fronting" de Signal est activé par défaut
Pays où Signal est bloqué (Janvier 2018)
En décembre 2016, l'Égypte a bloqué l'accès à Signal. En réponse, les développeurs de Signal ont ajouté le domain fronting à leur service. Cela permet aux utilisateurs de Signal dans un pays spécifique de contourner la censure en donnant l'impression qu'ils se connectent à un autre service Internet. Depuis octobre 2017, le domain fronting de Signal est activé par défaut en Égypte, aux Émirats arabes unis, à Oman et au Qatar.
Stockage chiffré de données personnelles sur les serveurs
La fonctionnalité Secure Value Recovery est introduite le 19 mai 2020. Elle permet de sauvegarder des données de l'utilisateur sur les serveurs de Signal de manière sécurisée à l'aide de la technologie Software Guard eXtensions (SGX) d'Intel, et implique pour l'utilisateur de créer un code PIN de quatre chiffres au minimum. Par construction, SGX rend impossible aux développeurs de Signal d'accéder à ces données.
La sauvegarde de données se limite pour l'instant aux contacts de l'utilisateur mais le professeur en cryptologie Matthew Green fait l'hypothèse qu'une infrastructure logicielle si lourde n'a pu être mise en place qu'en vue de l'étendre à d'autres données dans le futur, comme peut-être les messages échangés sur Signal eux-mêmes.
Organisation et financement
La Signal Foundation
Signal est développé par Signal Messenger (en), une organisation développant des logiciels fondée par Moxie Marlinspike et Brian Acton (en) en 2018 pour reprendre le rôle du projet Open Whisper Systems que Marlinspike a fondé en 2013. Une entité sans but lucratif, la Signal Foundation, est créée en 2018 avec un financement initial de 50 millions de dollars provenant de Brian Acton, cofondateur de Whatsapp, « pour soutenir, accélérer et élargir la mission de Signal de rendre les communications privées accessibles et omniprésentes ».
Avant la création de la Signal Foundation, le développement de Signal était financé par des dons et des subventions. Entre 2013 et 2016, le projet a reçu des subventions de la Fondation Knight, de la Shuttleworth Foundation et du Open Technology Fund. La Freedom of the Press Foundation était auparavant la principale organisation donatrice de Signal et avait accepté de continuer à récolter des dons en leur nom pendant que le statut d’organisation sans but lucratif de la Signal Foundation était en suspens. La Signal Foundation est officiellement exonérée d'impôt (aux États-Unis) depuis février 2019.
Tous les produits de l'organisation sont publiés sous forme de logiciels libres et open source.
Recommandations
Edward Snowden a été l'invité de France Inter le 16 septembre 2019. À la suite de leurs discussions concernant la surveillance de masse aux États-Unis, les journalistes l'ont questionné sur l'application de messagerie instantanée qu'il utilise. Edward Snowden a répondu, en parlant de l'application Signal : « N'importe lequel de ces programmes vaut mieux que des SMS ou des téléphones sans codages [...] N'utilisez pas WhatsApp ou Telegram, à moins de ne pas avoir d'alternative. Vous devriez plutôt utiliser Signal ou l'application Wire. Elles sont disponibles gratuitement. »
L'une des journalistes qui a contribué aux révélations de l'affaire Edward Snowden, Laura Poitras déclare également utiliser l'application : « Signal est l’outil de chiffrement le plus évolutif que nous ayons. Il est gratuit et examiné par des pairs. J’encourage tout le monde à l’utiliser tous les jours. »
En octobre 2014, l'Electronic Frontier Foundation (EFF) inclut Signal dans son guide d'auto-défense contre la surveillance.
En avril 2019, le magazine américain Fast Company qualifie Signal de « l'application la plus sécurisée et centrée sur la protection de la vie privée jamais développée ».
Depuis février 2020, la Commission européenne recommande l'utilisation de Signal à son personnel pour la communication avec les personnes extérieures à l'institution.
En 2020 la Mozilla Foundation dans un comparatif d'applications de messagerie, décrit Signal comme « probablement l'application de communication la plus sécurisée » pour des conversations vidéos avec une personne.
L'industriel Elon Musk recommande à son tour « Utilisez Signal » par un tweet le 7 janvier 2021, dans un contexte de défiance envers la messagerie WhatsApp suite à la modification de ses conditions générales d'utilisation. Le succès de cet appel aurait contribué à un engorgement de la procédure d'inscription de Signal. (source wikipédia)
Comments