Plusieurs reportages sur l'arrestation de Pavel Durov présentent Telegram comme étant une «application de messagerie chiffrée»

Mais qu'en est-il réellement ? Telegram dispose-t-il d'un système de chiffrement ?

Les analystes de la désinformation affirment qu'en jouant la carte de la modération, Telegram est devenue un vecteur important de diffusion de la propagande terroriste et de l'extrémisme de droite. Comment ? En se servant d'une application que presque tous les reportages sur l'arrestation de Pavel Durov présentent comme étant une « application de messagerie chiffrée ». Pourtant, de nombreux experts en sécurité ont déclaré que Telegram n'était pas suffisamment chiffré. Qu'en est-il réellement ? Telegram dispose-t-il ou non d'un système de chiffrement ?

Le PDG de Telegram, Pavel Durov, a été arrêté par la police française à l’aéroport du Bourget, au nord de Paris. Cette arrestation fait suite à un mandat d’arrêt pour des infractions liées à l’application de messagerie populaire.

Les autorités françaises estiment que Telegram, sous la direction de Durov, est devenu une plateforme majeure pour le crime organisé en raison de ses services de messagerie chiffrée, qui auraient facilité les activités illégales. Les enquêteurs ont placé Durov en garde à vue et il devrait bientôt être présenté à un juge. TF1 et BFM ont toutes deux indiqué que l'enquête portait sur le manque de modérateurs sur Telegram, et que la police considérait que cette situation permettait à des activités criminelles de se poursuivre sans entrave sur l'application de messagerie. La gravité des accusations pourrait entraîner une peine pouvant aller jusqu'à 20 ans de prison.

Presque tous les reportages sur l'arrestation font référence à Telegram comme à une « application de messagerie chiffrée ». Mais Telegram dispose-t-il ou non d'un système de chiffrement ?

Telegram est-il sûr ?

Telegram est une application de messagerie populaire qui est largement reconnue comme un canal sûr pour les communications en ligne. L'application crée un tunnel chiffré pour les messages en transit, ce qui réduit les risques d'interception non autorisée. Vos messages restent chiffrés même lorsqu'ils atteignent les serveurs de Telegram. Telegram ne peut donc pas lire le contenu des messages, qui ne sont déchiffrés que lorsqu'ils parviennent au destinataire. Le processus de déchiffrement se déroule localement sur l'appareil du destinataire : Pour déchiffrer le message, l'appareil du destinataire utilise une clé spéciale qui a son équivalent sur le serveur de Telegram. Lorsque les deux clés correspondent, le destinataire peut lire le contenu du message.

D'autre part, le fait que Telegram détienne la clé de déchiffrement sur son serveur signifie techniquement que Telegram pourrait déchiffrer et lire le contenu chiffré. Cela présente un certain risque, car si quelqu'un s'introduit dans les serveurs de Telegram, vos messages et vos informations personnelles peuvent tomber entre les mains de cybercriminels.

En réaction, Telegram a introduit une fonctionnalité supplémentaire pour ceux qui veulent être encore plus prudents en matière de communication en ligne : les discussions secrètes (ou « Secret Chats »).

Telegram et le chiffrement

De nombreux systèmes utilisent le chiffrement d'une manière ou d'une autre. Cependant, lorsque nous parlons de chiffrement dans le contexte des services de messagerie privée modernes, le mot a généralement une signification très spécifique : il fait référence à l'utilisation du chiffrement de bout en bout par défaut pour protéger le contenu des messages des utilisateurs. Lorsqu'elle est utilisée selon les normes du secteur, cette fonction garantit que chaque message sera crypté à l'aide de clés de cryptage qui ne sont connues que des parties en communication, et non du fournisseur de services.

Du point de vue de l'utilisateur, un « messager chiffré » garantit qu'à chaque fois que vous entamez une conversation, vos messages ne seront lisibles que par les personnes avec lesquelles vous avez l'intention de parler. Si l'opérateur d'un service de messagerie tente de consulter le contenu de vos messages, il ne verra qu'un fatras crypté inutile. Cette même garantie s'applique à toute personne susceptible de pirater les serveurs du fournisseur, ainsi que, pour le meilleur ou pour le pire, aux organismes chargés de l'application de la loi qui adressent une citation à comparaître aux fournisseurs.

Telegram ne répond pas à cette définition plus stricte pour une raison simple : il ne chiffre pas les conversations de bout en bout par défaut. Si vous souhaitez utiliser le chiffrement de bout en bout dans Telegram, vous devez activer manuellement une fonction optionnelle de chiffrement de bout en bout appelée « Secret Chats » pour chaque conversation privée que vous souhaitez avoir. La fonction n'est explicitement pas activée pour la grande majorité des conversations, et n'est disponible que pour les conversations en tête-à-tête, et jamais pour les discussions de groupe avec plus de deux personnes.

En prime, l'activation du chiffrement de bout en bout dans Telegram est étrangement difficile à réaliser pour les utilisateurs non experts.

D'une part, le bouton qui active la fonction de chiffrement de Telegram n'est pas visible dans le volet de conversation principal, ni sur l'écran d'accueil. Par exemple, un expert note que pour le trouver dans l'application iOS, il a dû cliquer au moins quatre fois (une fois pour accéder au profil de l'utilisateur, une fois pour faire apparaître un menu caché lui présentant les options, et une dernière fois pour « confirmer » qu'il voulait utiliser le chiffrement) et même après cela, il n'a pas pu avoir de conversation chiffrée, car Secret Chats ne fonctionne que si votre interlocuteur est en ligne au moment où vous le faites.

Dans l'ensemble, cette expérience est très différente de celle qui consiste à démarrer une nouvelle discussion chiffrée dans une application de messagerie moderne standard, qui nécessite simplement l'ouverture d'une nouvelle fenêtre de discussion.

La différence d'adoption entre le chiffrement de bout en bout par défaut et cette expérience est probablement très importante. L'impact pratique est que la grande majorité des conversations individuelles sur Telegram - et littéralement toutes les discussions de groupe - sont probablement visibles sur les serveurs de Telegram, qui peuvent voir et enregistrer le contenu de tous les messages envoyés entre les utilisateurs. Cela peut ou non être un problème pour chaque utilisateur de Telegram, mais ce n'est certainement pas quelque chose que nous annoncerions comme étant particulièrement bien chiffré.

Telegram sait que son chiffrement est difficile à activer, et ils continuent à promouvoir leur produit comme un messager sécurisé

Le chiffrement de Telegram fait l'objet de vives critiques depuis au moins 2016 (et peut-être même avant) pour de nombreuses raisons. En fait, bon nombre de ces critiques ont été formulées par des experts, dans des conversations vieilles de plusieurs années avec Pavel Durov sur Twitter.

Au lieu d'améliorer la convivialité du chiffrement de bout en bout de Telegram, les propriétaires de Telegram ont plus ou moins gardé leur expérience de chiffrement inchangée depuis 2016. Bien qu'il y ait eu quelques mises à jour des algorithmes de chiffrement sous-jacents utilisés par la plateforme, l'expérience des conversations secrètes en 2024 est presque identique à celle que vous auriez vue il y a huit ans. Et ce, bien que le nombre d'utilisateurs de Telegram ait été multiplié par 7 à 9 au cours de la même période.

Parallèlement, le PDG de Telegram, Pavel Durov, a continué à commercialiser agressivement Telegram en tant que « messagerie sécurisée ». Plus récemment, il a émis une critique cinglante de Signal et WhatsApp sur son canal personnel Telegram, laissant entendre que ces systèmes avaient été piratés par le gouvernement américain et que seuls les protocoles de chiffrement indépendants de Telegram étaient réellement dignes de confiance.


Cet argument pourrait être raisonnable s'il s'agissait d'un débat entre deux plateformes qui proposent toutes deux un chiffrement de bout en bout par défaut, mais Telegram n'a vraiment pas les coudées franches dans cette discussion. Aussi, il peut être surprenant de voir l'organisation de Telegram inciter les gens à se détourner des messageries chiffrées par défaut, tout en refusant d'implémenter des fonctionnalités essentielles qui permettraient de chiffrer largement les messages de leurs propres utilisateurs. Cela pourrait commencer à ressembler à de la malveillance.

Conclusion

En résumé, bien qu'en théorie il soit possible de communiquer en toute sécurité sur Telegram par le biais de discussions secrètes, en pratique les choses ne sont pas si simples. Comme la plupart des gens préfèrent toujours la voie de la moindre résistance, ils finissent par utiliser des chats ordinaires sans chiffrement de bout en bout. Beaucoup ne se rendent probablement même pas compte qu'ils utilisent un canal non protégé. Mais même s'ils s'en rendent compte, ils ne voient probablement pas l'intérêt de souffrir au nom de la vie privée et traitent les tentatives de sécurisation des communications avec scepticisme.

Encore une fois : protéger toutes vos communications sur Telegram n'est pas une tâche facile. Cela demande relativement beaucoup d'efforts de votre part, sans garantie de succès. Et même si, à force de sang, de sueur et de larmes, vous parvenez à rendre vos dialogues secrets, vos discussions de groupe resteront en clair quoi qu'il arrive.

Sources : Kaspersky, Matthew Green, NordVPN

Et vous ?

Quelle est votre opinion sur le chiffrement de bout en bout ? Utilisez-vous les « Secret Chats » de Telegram et considérez-vous cela comme un élément essentiel pour protéger leur vie privée ?
Pensez-vous que la localisation de Telegram à Dubaï est un avantage ou un inconvénient ? Êtes-vous préoccupés par le fait que l’entreprise soit basée dans un pays où les lois sur la confidentialité peuvent différer ?
Quelles mesures supplémentaires prenez-vous pour protéger vos conversations sur Telegram ? Partagez vos meilleures pratiques en matière de sécurité en ligne.