About backdoors in Signal and other apps

Mais Signal est opensource !!! Comment peut-il y avoir des backdoors dans un logiciel open-source (≠ libre).
Ça réveille ma paranoïa de l’opensource noyauté.

Une présentation faite sur l’#autodéfense_numérique à #lille.
La page 25 montre et compare les offres de messageries instantanées chiffrées.
▻https://speakerdeck.com/dunglas/petite-introduction-a-lauto-defense-numerique

@sandburg l’article que j’ai publié sur LinuxFR résume cet article ►https://blogs.fsfe.org/larma/2017/signal-backdoors il y a toutes les réponses à tes questions.

La présentation que t’indique est assez inquiétante sur l’efficacité du pot de miel qu’est Signal auprès de certains milieux. Pourquoi ne proposent-il pas #Silence ▻https://silence.im & ▻https://linuxfr.org/news/silence-xmpp-chiffrement-et-meta-donnees ?

Ils ne citent même pas Conversations ►http://conversations.im et #XMPP

@apichat Dans la prez, ile parle quand même de Silence en 2ème position. Cette présentation était complétée à l’oral et distinguait bien le masquage de l’information auprès de quel écoutant : GAFAM ou Service de renseignement.
Donc il n’y a pas de mauvaise presse à ille faire, la seule nouveauté c’est que Silence utilise une partie tiers privatrice.
J’ai fait remonter l’info, btw.
#chiffrement (pas cryptage)

Oui c’est vrai, désolé pour le ton alarmiste. Merci d’avoir remonté l’info.

Sinon, c’est Signal (on s’y perd) qui utilise une partie tierce privatrice, les googles services pour android, qui sont une faille importante pour la confidentialité des échanges et les métadonnées. Les conversations sont exposées au risque d’interception par Google et par les services secrets américains (penser notamment au programme Prisme révélé par Snowden). Sachant que les services de renseignement s’échangent les informations, notamment pour contourner certaines interdictions nationales sur l’écoute des personnes sur le territoire, cela expose potentiellement aux services de renseignement français.

Concrètement je pense que les plateformes Android et iOS sont bien trop agressives en terme de surveillance (notamment dans la gestion du carnet d’adresse) pour espérer les utiliser en y échappant. Seuls les distributions Linux pour PC sont fiables.

Dans l’article de la FSFE il y a ce paragraphe que je trouve particulièrement intéressant parce qu’il met au clair les failles liées à une technique qui est souvent présentée comme hyper-sécurisée voire magique :

But Signal is Forward secret, You can’t read old messages
The forward secrecy feature is only on the transport level. At both ends (in groupchats, all ends) the messages are available in plain text in form of a history. If you or the other(s) don’t wipe your chat history regularly, your history is still attackable. But this is how users want it, because it’s more user-friendly.
►https://blogs.fsfe.org/larma/2017/signal-backdoors

Sur la confidentialité persistante : ▻https://fr.wikipedia.org/wiki/Confidentialit%C3%A9_persistante