Dans le monde numérique d’aujourd’hui, la sécurité des applications de messagerie est une préoccupation majeure pour les utilisateurs. Récemment, une lutte acharnée pour la suprématie en matière de sécurité a éclaté entre deux géants de la messagerie chiffrée : Telegram et Signal. Cette bataille a pris une tournure intense lorsque Telegram a lancé une campagne agressive pour discréditer Signal, le présentant comme une application peu sûre.La controverse a été alimentée par des commentaires de personnalités influentes telles qu’Elon Musk, qui a remis en question la sécurité de Signal, une application qu’il avait autrefois soutenue. En évoquant publiquement ses doutes, il a semé la confusion parmi les utilisateurs et a propulsé cette « guerre du chiffrement » au premier plan du débat public. Les critiques de Signal ont été exacerbées par des activistes conservateurs et par Telegram lui-même, qui a mis en doute les capacités de chiffrement de Signal.
Pavel Durov, PDG de Telegram, a ouvertement critiqué les capacités de chiffrement de Signal dans une publication sur sa propre plateforme, affirmant que « le gouvernement américain a dépensé 3 millions de dollars pour construire le chiffrement de Signal » et accusant Signal d’être un choix peu sûr pour la messagerie privée.
« Un nombre alarmant de personnalités importantes à qui j'ai parlé m'ont fait remarquer que leurs messages Signal "privés" avaient été exploités contre eux dans les tribunaux ou les médias américains », a écrit Durov. Bien que Durov n'ait pas détaillé ses allégations, l'ancien animateur de Fox News, Tucker Carlson, a déjà affirmé dans un épisode du « Full Send Podcast », sans preuve, que la NSA s'était introduite dans son compte Signal avant son voyage à Moscou pour interviewer le président russe Vladimir Poutine.
« Mais chaque fois que quelqu'un émet des doutes sur leur chiffrement, la réponse typique de Signal est "nous sommes une source ouverte, donc n'importe qui peut vérifier que tout va bien" », se poursuit le message de Durov. « Il s'agit toutefois d'une ruse ».
Il faut toutefois noter que la messagerie sur Telegram n'est pas chiffrée de bout en bout par défaut, comme c'est le cas sur Signal.
Dans son billet, Durov cite un article écrit par l'activiste conservateur Christopher Rufo qui s'en prend à l'actuelle présidente du conseil d'administration de la Signal Foundation, Katherine Maher.
Dans son article, Rufo décrit Maher comme « un agent du changement de régime soutenu par les États-Unis » et affirme qu'elle a collaboré avec le gouvernement pour censurer les points de vue conservateurs lorsqu'elle travaillait pour Wikipédia. Selon Rufo, l'idéologie de Maher signifie que les utilisateurs de Signal devraient se méfier de sa fiabilité, bien qu'il n'ait fourni aucune preuve que Maher ait modifié la technologie de chiffrement de Signal ou changé la mission de l'organisation depuis qu'elle a rejoint le conseil d'administration.
La guerre du chiffrement que se livrent les applications de messagerie Telegram et Signal a suscité les commentaires d'un critique de premier plan : Elon Musk
En 2021, Musk s'est fait le champion de Signal pour ses protections de la vie privée, faisant grimper en flèche les téléchargements de l'application après avoir exhorté les gens à « utiliser Signal » dans un message sur Twitter. À l'époque, il avait été rejoint par d'autres défenseurs de la vie privée très en vue, comme Edward Snowden, pour soutenir l'application.
Mais à la suite de l'article de Rufo, les commentaires publics de Musk sur l'application ont changé radicalement. En réponse à l'article de Rufo, Musk a écrit de manière énigmatique : « Signal présente des vulnérabilités connues qui ne sont pas corrigées. Cela semble étrange... »
[TWITTER]<blockquote class="twitter-tweet"><p lang="en" dir="ltr">There are known vulnerabilities with Signal that are not being addressed. Seems odd …</p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1787589564917490059?ref_src=twsrc%5Etfw">May 6, 2024</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script> [/TWITTER]
Compte tenu de son influence dans la sphère technologique, le revirement remarquable de Musk sur Signal est devenu un élément central de la conversation actuelle sur le chiffrement et, selon un expert en cryptographie, pousse les utilisateurs vers des solutions moins sûres.
Musk n'a pas donné de détails sur les prétendues vulnérabilités, mais son message a suscité une réponse de Meredith Whittaker, présidente de Signal, qui a expliqué le code source ouvert de l'application et l'engagement de l'entreprise en faveur de la protection de la vie privée des utilisateurs, en déclarant que les développeurs de l'application « ont beaucoup réfléchi pour s'assurer que notre structure et nos pratiques de développement permettent aux gens de valider nos affirmations, au lieu de nous croire sur parole ».
« Nous utilisons la cryptographie pour empêcher que les données ne tombent entre les mains d'autres personnes que celles à qui elles sont destinées (ce qui inclut de les protéger contre nous) », a écrit Whittaker. « Le protocole Signal est l'étalon-or du secteur pour une bonne raison : il a été martelé et attaqué pendant plus d'une décennie, et il continue de résister à l'épreuve du temps. »
[TWITTER]<blockquote class="twitter-tweet"><p lang="en" dir="ltr">Hi, hello, we don’t have evidence of extant vulnerabilities, and haven’t been notified of anything. We follow responsible disclosure practices, and closely monitor security@signal.org + respond & fix any valid issues quickly. So if you do have more info hit us up! But beyond… <a href="https://t.co/IbXREWVaPL">https://t.co/IbXREWVaPL</a></p>— Meredith Whittaker (@mer__edith) <a href="https://twitter.com/mer__edith/status/1787958712595784166?ref_src=twsrc%5Etfw">May 7, 2024</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script> [/TWITTER]
Un chercheur en sécurité s'en mêle
Matthew Green, professeur de cryptographie à l'université Johns Hopkins, a exprimé ses inquiétudes quant à la sécurité de Telegram par rapport à celle de Signal :
« Telegram a lancé une campagne assez intense pour dénigrer Signal en le qualifiant d'insécurisé, avec l'aide d'Elon Musk. L'objectif semble être d'inciter les activistes à abandonner le chiffrement de Signal au profit de Telegram, qui est en grande partie non chiffré. J'aimerais en parler un peu.
« Tout d'abord, le protocole Signal, la cryptographie qui sous-tend Signal (également utilisée dans WhatsApp et plusieurs autres messageries) est une source ouverte et a fait l'objet d'un examen approfondi de la part de cryptographes. En matière de cryptographie, il s'agit en quelque sorte de l'étalon-or. Telegram, en revanche, ne chiffre pas les conversations de bout en bout par défaut. À moins que vous ne lanciez manuellement une « conversation secrète » chiffrée, toutes vos données sont visibles sur le serveur de Telegram. Compte tenu des utilisateurs de Telegram, ce serveur est probablement un aimant pour les services de renseignement.
« Le code client de Signal est également libre. Vous pouvez le télécharger dès maintenant et examiner le code et les bibliothèques cryptographiques. Même si vous ne souhaitez pas le faire, de nombreux experts l'ont fait. Cela ne signifie pas qu'il n'y aura jamais de bogue, mais cela signifie qu'il y a beaucoup d'yeux.
[TWITTER]<blockquote class="twitter-tweet"><p lang="en" dir="ltr">Telegram has launched a pretty intense campaign to malign Signal as insecure, with assistance from Elon Musk. The goal seems to be to get activists to switch away from encrypted Signal to mostly-unencrypted Telegram. I want to talk about this a bit. 1/</p>— Matthew Green (@matthew_d_green) <a href="https://twitter.com/matthew_d_green/status/1789687898863792453?ref_src=twsrc%5Etfw">May 12, 2024</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script> [/TWITTER]
« Pavel Durov, le PDG de Telegram, a récemment fait un grand effort de conspiration pour promouvoir Telegram comme étant plus sûr que Signal. C'est comme si l'on disait que le ketchup est meilleur pour votre voiture que l'huile de moteur synthétique. Telegram n'est pas une messagerie sécurisée, point final. C'est un choix que Durov a fait.
« Lors de son lancement, Telegram disposait d'une cryptographie terrible et peu sûre. Pire : il n'était disponible que si vous l'activiez manuellement pour chaque discussion. J'ai supposé (naïvement) qu'il s'agissait d'une difficulté croissante et qu'ils finiraient par suivre tout le monde et par ajouter le chiffrement de bout en bout par défaut. Ils ne l'ont pas fait.
« Je voudrais m'éloigner de ce sujet et aborder brièvement un point spécifique soulevé par Durov dans son billet. Il prétend que Signal n'a pas de versions reproductibles et que Telegram en a. Comme je l'ai dit, c'est extrêmement stupide car Telegram n'est pas chiffré de toute façon, mais cela vaut la peine d'être abordé.
« L'un des problèmes posés par le code source ouvert est que, même si vous l'examinez, vous ne savez pas s'il a été utilisé pour créer l'application que vous avez téléchargée sur l'App Store. Les "constructions reproductibles" vous permettent de construire le code sur votre propre ordinateur et de le comparer au code téléchargé.
« Signal en propose pour Android, et c'est un processus relativement simple. Parce qu'Android est favorable à cela. Pour diverses raisons propres à Apple, il est extrêmement difficile de le faire sur iOS. Principalement parce que les applications sont chiffrées. (Apple devrait y remédier).
« Je veux donner du crédit à Telegram parce qu'ils ont essayé de "hacker" une solution pour les builds de repro sur iOS. Mais la lecture de cette solution montre à quel point elle est mauvaise : il faut un (vieil) iPhone jailbreaké. Et à la fin, on ne peut toujours pas vérifier toute l'application. Certains fichiers restent chiffrés. core.telegram.org/reproducible-b...
« Il n'est pas étrange pour un PDG de dire "mon produit est meilleur que le vôtre". Mais lorsque l'affirmation porte sur la sécurité et que, de manière critique, vous avez pris la décision délibérée de ne pas ajouter de sécurité pour la plupart des utilisateurs, cela sort du domaine de la concurrence et commence à ressembler à de la malveillance.
« Je ne me soucie pas vraiment de la messagerie que vous utilisez. Je veux juste que vous compreniez les enjeux. Si vous utilisez Telegram, nous, les experts, ne pouvons même pas commencer à garantir la confidentialité de vos communications. En fait, à ce stade, je suppose qu'elles ne le sont pas, même en mode "Secret Chats" ».
Conclusion
Cette campagne contre Signal soulève des questions importantes sur la fiabilité des applications de messagerie et sur la manière dont les entreprises peuvent influencer la perception publique de la sécurité. Alors que la bataille entre Telegram et Signal continue de faire rage, les utilisateurs sont laissés à se demander quelle application offre réellement la meilleure protection pour leurs communications privées.
Cette lutte pour la sécurité des applications de messagerie met en lumière la complexité du choix d’une plateforme de communication dans un monde où la vie privée est de plus en plus menacée. Il est essentiel pour les utilisateurs de rester informés et de comprendre les enjeux de sécurité qui se cachent derrière chaque application.
Sources : billet PDG de Telegram
Et vous ?
Quelle importance accordez-vous à la sécurité de vos communications sur les applications de messagerie ? Avez-vous déjà eu des doutes sur la confidentialité de vos messages sur des plateformes comme Telegram ou Signal ? Comment évaluez-vous les affirmations d’une entreprise lorsqu’elle critique la sécurité d’une application concurrente ? Pensez-vous que les déclarations publiques d’individus influents comme Elon Musk ont un impact significatif sur votre perception de la sécurité des applications ? Quelles mesures prenez-vous pour vérifier l’intégrité du chiffrement et la protection de la vie privée offerts par une application de messagerie ? La récente campagne de Telegram contre Signal a-t-elle influencé votre choix d’application de messagerie ? Pourquoi ou pourquoi pas ? Selon vous, quel est le rôle des médias et des personnalités publiques dans la formation de l’opinion publique sur la sécurité des applications de messagerie ? 
