• Whatsapp intègre maintenant un chiffrement de bout en bout grâce au protocole de TextSecure
    http://korben.info/whatsapp-integre-maintenant-chiffrement-bout-en-bout-grace-au-protocole-tex

    Cette annonce donne le vertige et va dans le bon sens concernant la protection de notre vie privée. Vous connaissez tous WhatsApp, ce logiciel de messagerie instantanée utilisé par plus de 600 millions de personnes et accessoirement propriété de Facebook ?

    Et bien ils viennent de frapper un grand coup en adoptant le protocole de TextSecure. Pour ceux qui ne connaitraient pas encore ce protocole sous licence libre GPLv3, sachez qu’il est développé par Whisper Systems et qu’il permet un chiffrement de bout en bout des messages.

    […]

    Et bam, plusieurs milliards de messages indéchiffrables d’un coup… DTC la NSA (ou pas…).

    Annonce déconcertante… mais plutôt bonne je suppose.

    Bon, on peut quand même faire la fine bouche et relever que :

    – l’application n’est pas open source, donc impossible de lui faire confiance (= n’utilisez pas Whatsapp pour des activités subversives !) ;

    – bien que Whatsapp repose sur… la technologie open source Jabber/XMPP augmentée d’un certain nombre de fonctionnalités pratiques mais diminuée d’un certain nombre d’autres pour des raisons exclusivement marketing (je rentre pas dans les détails…), les modifications ne sont pas publiées et surtout la compatibilité avec les autres clients Jabber/XMPP est rompue, sans même parler des clients alternatifs apparus par rétro engineering qui sont sauvagement attaqués par Facebook (cf. le sort subi à OpenWhatsapp et les plaintes DMCA) et probablement pas pour rien quand on voit les autorisations réclamées par l’application officielle ;

    – faut-il y voir une consécration de la supériorité des méta-données sur les contenus aussi en terme d’exploitation commerciale (l’utilisation ne peut se faire sans fournir un numéro de mobile) ? C’est à dire que Whatsapp/Facebook, en plus de collecter des numéros de téléphone par million, peut créer un graph social qui reste très complet et potentiellement attentatoire aux libertés individuelles quand couplé à la géolocalisation par exemple ;

    – ou bien est-ce simplement la consécration comme certains l’annoncent depuis en gros les révélations Snowden de la privacy comme nouvelle killer feature (avec toute l’instrumentalisation qui va avec) ? Contraignant ainsi Whatsapp à garder un coup d’avance devant les alternatives émergentes comme Bleep de BitTorrent, mon cher et très prometteur Tox et bien d’autres ;

    – enfin, sachant que Whatsapp s’est construit uniquement en entretenant un malentendu (“des SMS gratuits partout dans le monde”) et que c’est là son unique savoir faire (pour rappel il n’y a aucune innovation technologique notable) on peut malheureusement s’attendre à ce que ce type d’annonce repousse à loin l’adoption de messageries plus performantes, plus sécurisée et y compris en terme de métadonnées, et autonomes (décentralisée).

    #Chiffrement #Facebook #Liberté_individuelle #Messagerie_instantanée #Métadonnée #Révélations_d'Edward_Snowden #TextSecure #Vie_privée #WhatsApp #Whisper_Systems

    • la technologie open source Jabber/XMPP augmentée d’un certain nombre de fonctionnalités pratiques mais diminuée d’un certain nombre d’autres pour des raisons exclusivement marketing (je rentre pas dans les détails…),

      Les détails m’intéressent en fait (au pire si t’as un lien) :)

      Qu’est-ce que leur chiffrement apporte par rapport à un OTR ?

      Le fait que ça ne soit pas libre pose un gros problème en effet, et aussi qu’ils récupèrent les numéros de tout le monde.

      Il faut aussi se poser la question de leur modèle économique...

    • Je connais pas précisément la technologie de TextSecure/Whisper Systems, mais en effet, je lis qu’il sont partis de OTR et ajoutant quelques fonctions :
      http://en.wikipedia.org/wiki/TextSecure

      En fait, toute l’idée de Whatsapp (qui n’est rien d’autre qu’un chat XMPP) c’est de simplifier à l’extrême l’expérience utilisateur en commençant par supprimer (du point de vue de l’utilisateur) toute la partie authentification. Donc pas de login et pas de mot de passe. C’est le téléphone lui-même qui sert à s’identifier et s’authentifier. Je n’ai pas de compte Whatsapp, mais je suppose qu’à l’inscription il suffit de donner son numéro de téléphone. On reçoit alors un (vrai) SMS avec un PIN code, on l’entre dans l’app et on garanti donc être propriétaire de ce numéro. Là un mot de passe aléatoire est généré et stocké sur le mobile, mais inconnu de l’utilisateur. S’il change de mobile, il recommence l’opération qui vise à obtenir un nouveau mot de passe. Mais impossible d’avoir (sauf en bidouillant) un même compte Whatsapp sur des terminaux différents (une fonctionnalité pourtant offerte par XMPP) et encore moins sur un ordinateur. Et s’il change de numéro, il doit prévenir ses contacts ! Mais il suffit appeler ça du « SMS gratuit »...

      De leur côté, Whatsapp fabrique donc une base de donnée de ses utilisateurs avec un identifiant unique et universel : leur numéro de mobile. Ils aspirent le carnet d’adresse de l’utilisateur et sont en mesure de lui dire avec qui il peut utiliser Whatsapp. Et si son correspondant n’a plus Whatsapp parce qu’il a déterré son Nokia 3310, et bien le message n’arrive jamais... Même problème qu’avec iMessage je suppose : http://www.nextinpact.com/news/90848-apple-fournit-enfin-moyen-se-desinscrire-directement-dimessage.htm

      Parmi les fonctionnalités ajoutées ou en tous cas revues, il y a les pièces jointes simplifiées, les notification PUSH ou les accusés d’envoi, de réception et de lecture. Et donc aussi maintenant le chiffrement de bout en bout, mais probablement d’autres aussi.

      Tout ça c’est pas idiot et le coup du « SMS gratuit » prouve qu’ils ont vu juste.

      D’ailleurs c’est incroyable, 100% des gens qui utilisent Whatsapp le voit en effet comme du SMS gratuit. Je leur dit comme le sont souvent les SMS aujourd’hui. Ils répondent « mais là c’est dans le monde entier ». « Et les emails, le chat facebook, Skype... c’est gratuit et c’est dans le monde entier. » "Euh oui, mais non, là c’est du SMS tu comprends". « Oui oui, je comprends, du SMS où t’as besoin d’être connecté à Internet... »

      Franchement ça me dépasse. Mais c’est très intéressant de voir à quel point ce qui compte vraiment c’est la simplicité d’installation, d’usage et de fonctionnalités, associés à un bon marketing. C’est un bon enseignement pour les autres applications.

      Enfin, pour bien comprendre comment fonctionne Whatsapp, il faut aller voir du côté d’OpenWhatsapp justement :
      http://openwhatsapp.org
      https://github.com/tgalal/yowsup ("whatsapp" sur github donne pas mal de résultats)

      On apprend aussi ici qu’ils ont forké ejabberd :
      https://chatsecure.org/blog/fixing-the-xmpp-push-problem

      Et pas mal de détails par ici aussi :
      http://highscalability.com/blog/2014/2/26/the-whatsapp-architecture-facebook-bought-for-19-billion.html

    • oki, merci pour ces précisions intéressantes.

      Le « push » est de base dans XMPP, je ne comprends pas pourquoi tu dis que c’est quelque chose en plus. À moins que ça soit sur tél : je ne me suis pas encore attaqué au développement android, mais je crois que c’est difficile de réveiller le téléphone sans passer par google.

      Accusé de réception existe aussi déjà (de lecture faut que je vérifie), et chiffrement de bout en bout y’a plusieurs options plus ou moins bancales (ça parle de standardiser l’usage d’OTR dans XMPP en moment, ce qui serait une très bonne chose, car tous les clients font plus ou mois à leur sauce).

      Edit : à la lecture du lien chatsecure (que j’avais déjà lu), c’est bien du problème lié aux téléphones dont on parle.

    • @sandburg et entre temps ça s’est beaucoup développé côté XMPP, notamment avec OX (OpenPGP moderne), et OMEMO (basé sur le protocole de signal), des notifications utilisable avec téléphone, la gestion des fichiers attachés qui a bien évolué, etc.

  • RFC 7395 : An XMPP Sub-protocol for WebSocket

    Le protocole #XMPP (surtout connu par son utilisation dans la #messagerie_instantanée) peut fonctionner directement au dessus de TCP. Mais pas mal de middleboxes se permettent de bloquer les protocoles inconnus et leur liste de protocoles connus est bien courte. XMPP a donc une adaptation à HTTP, lui permettant de tourner sur ce protocole. Mais la sémantique de HTTP, requête/réponse, ne convient guère à XMPP et les performances ne sont donc pas géniales. D’où ce nouveau #RFC, qui adapte XMPP à #WebSocket, lui permettant de tourner sur un protocole peu filtré, avec des meilleurs résultats que HTTP. La technique date de plusieurs années mais elle est maintenant normalisée.

    http://www.bortzmeyer.org/7395.html

  • NXTTY - Crypto messaging for the masses !
    http://nxtty.com

    Nxtty is a crypto messenger which allows you to send encrypted messages to one or more users at a time.

    […]

    Nxtty is built on the Nxt decentralized peer to peer cryptographic platform. Once a Nxtty user has added you to their contact list an unbreakable link is established between you. This link is almost like a physical phone line that NO ONE can cut or wiretap. Thru this secure crypto link you can send each other message & images which no other person, organization or government can intercept.

    Ça vient de sortir (avec pas mal de comm et sans white paper (ou en tout cas j’ai pas trouvé)).

    Le dépot Git : https://bitbucket.org/JeanLucPicard/nxt/src
    L’appli’ Android : https://play.google.com/store/apps/details?id=com.nxtty.main

    Qu’en pensez-vous ?

    #Application_mobile #Blockchain #Chiffrement #Messagerie_instantanée #NXT #NXTTY #P2P #Pair_à_pair #VoIP

  • Corée du Sud : la surveillance provoque un exode de Kakao vers Telegram
    http://www.nextinpact.com/news/90298-coree-sud-surveillance-provoque-exode-kakao-vers-telegram.htm

    En Corée du Sud, l’annonce de mesures répressives contre le réseau Kakao Talk pour en extirper des messages agressifs à l’encontre de la présidente du pays, Park Geun-hye, a eu d’intéressantes conséquences. Moins d’un mois plus tard, une partie des utilisateurs de cette application a littéralement fui pour adopter une concurrence proposant des sessions protégées de messagerie : Telegram.

    […]

    Il est particulièrement intéressant de constater à quel point le contexte a changé autour des utilisateurs. Ce type de fonctionnalité passait pratiquement inaperçu il y a plusieurs années, alors qu’elles peuvent devenir de véritables leviers aujourd’hui pour faire basculer les utilisateurs d’un produit vers un autre. C’est un jeu du chat et de la souris qui inquiète jusqu’aux forces de l’ordre, car plus le chiffrement se répand, moins la surveillance peut s’exercer. Récemment, le directeur du FBI, James Comey, a ainsi exprimé ses craintes : « Ce qui m’ennuie avec tout ceci est que des entreprises fassent expressément la promotion de quelque chose qui permettra aux gens de se placer hors de portée de la loi ».

    La conclusion est juste, mais je reste encore sceptique… Ce qui est sûr et que je trouve assez rassurant, c’est de voir que finalement les utilisateurs de messageries sont prêts à migrer facilement et rapidement quand ils sont convaincus. C’est de bonne augure pour des solutions prometteuses comme Tox.

    À préciser que pour une fois le client de Telegram est open source, bien que le protocole soit propriétaire. La partie serveur ne l’est pas. Je ne sais pas si, en terme strictement cryptographique (car il faudrait aussi auditer le code sur des aspects plus triviaux), c’est une garantie d’inviolabilité des échanges, et en supposant bien sûr qu’il s’agisse d’un procédé cryptographique connu, documenté et éprouvé.

    #Censure #Chiffrement #Corée_du_Sud #KakaoTalk #Liberté_d'expression #Messagerie_instantanée #Telegram

  • Salut à Toi v0.5.1
    http://www.goffi.org/post/2014/09/18/Salut-%C3%A0-Toi-v0.5.1

    Salut à vous,nous avons le plaisir de vous annoncer la version 0.5.1 de Salut à Toi, petite mise à jour de la version 0.5 dont je vous mets l’annonce ci-dessous. Nous avançons bien, et même si nous avons un peu de retard sur nos prévisions (nous avions prévue une version grand publique pour la rentrée, nous pensons maintenant plus à la fin d’année), les choses vont dans le bon sens. Vous trouverez également un récit de notre passage à Berlin pour le « XMPP Summit », une rencontre entre développeurs XMPP, sur DLFP : https://linuxfr.org/users/goffi/journaux/retour-de-berlin

    Nous sommes heureux de vous annoncer la sortie de Salut à Toi, version 0.5. Nous nous sommes cette fois-ci concentrés sur la sécurité et le ré-usinage de certains mécanismes qui vont faciliter l’ajout de futures fonctionnalités et la (...)

    #GNU-Linux #jabber-xmpp #Libre #planet-libre #projet #SàT #XMPP #logiciel_libre #réseaux_sociaux #messagerie_instantanée

    • salut @fil, je serais bien évidemment intéressé par une méthode pour récupérer facilement les données de seenthis, une passerelle XMPP ne servirait d’ailleurs pas qu’à SàT, mais aussi à Movim et Jappix (voire Buddycloud).

      Ce qu’il faudrait, plus qu’un format d’achivage, c’est un truc genre une API qui permette de s’authentifier, d’avoir les messages et leurs commentaires avec les métadonnées séparées (en particulier les tags dans un champ à part), de publier, et une méthode de notification qui éviterait d’avoir à chercher les messages (pull) régulièrement. Bref la possibilité d’automatiser facilement tout ce qu’on fait, pour pouvoir faire une transcription avec le PubSub de XMPP.

      Un format connu et donc où on peut avoir un parseur facilement serait le top (json, XML, etc).

    • Hmmm, je vois, mais ça ne risque pas d’arriver de si tôt… pour être clair je n’ai aucune envie de passer mon temps à chercher à comprendre des API où il faut s’authentifier etc, alors que les données sont déjà là, disponibles et dans un format ouvert.

    • le problème c’est que ça demande à aller les chercher, alors qu’une notification est plus efficace (je sais quand j’ai des données à chercher). Enfin de toute façon c’est à réfléchir tranquillement : nous avons pas mal de choses à faire avant de s’intéresser aux passerelles, on a probablement plusieurs mois et nous pourrons sûrement nous débrouiller sans API (le flux RSS est déjà un point de départ, mais encore une fois ça demande à aller chercher l’info, ce qui n’est pas super).

    • pour la question du push/pull, on peut imaginer un système où on ferait un ping chez toi, à partir duquel tu viendrais puller

  • BitTorrent Bleep Alpha Goes Public, Introduces Mac and Android apps
    http://blog.bittorrent.com/2014/09/17/bittorrent-bleep-alpha-goes-public-introduces-mac-and-android-apps

    Private Voice Private Voice & Text App Opens Test Community to All Interested Parties

    Communicating with friends, family and coworkers is easier than ever, but at what cost? The Internet promotes the free exchange of information, but we often sacrifice privacy for the sake of convenience. Cloud-based services store personal information and private moments on servers, making them vulnerable to attacks.

    Here at BitTorrent, we’re working on a way to change that.

    Bleep (aka BitTorrent Chat) est disponible en alpha pour tous (Windows, Mac OS et Android). BitTorrent est une technologie qui a fait ses preuves, donc c’est à tester, même si c’est quand même très problématique que ce soit pas open source...
    De mon côté je cherche l’APK...

    #BitTorrent_(protocole) #Bleep #Communication #Messagerie_instantanée #Open_source #Pair_à_pair #Peer-to-peer #Version_alpha #VoIP #Voix_sur_IP

  • ChatSecure
    https://chatsecure.org

    ChatSecure is a free and open source encrypted chat client for iPhone and Android that supports OTR encryption over XMPP.

    ChatSecure est un client XMPP open source pour mobile avec support du chiffrement OTR (Off-the-Record Messaging), c’est à dire de bout en bout et très simplement (pas de clefs à gérer par l’utilisateur). Je ne sais par contre pas ce que vaut cet algorithme.

    Il se distingue par une interface très à la mode, l’échange de fichiers, photos, sons, etc. par sa disponibilité sur iOS et Android et insiste sur le support de Hangouts/Google Talk et Facebook messenger (XMPP). Il permet aussi de créer un compte sur Jabber.org ou autre.

    Le client est encore jeune mais me semble être une alternative séduisante pour le grand public aux Whatsapp, Telegram, etc. qui rappelons le enferment les utilisateurs dans un réseau propriétaire et n’offrent pas de garantie de respect de la vie privée. ChatSecure à ceci d’intéressant qu’il permet de réunir en son sein des messageries déjà très utilisées, la transition vers des communications chiffrées pour les utilisateurs peut donc être douce et transparente, en incitant ses correspondants à passer à un client compatible OTR.

    À noter qu’existe un fork, moins abouti mais avec le support de PGP/GnuPG, Conversations :
    https://github.com/siacs/Conversations

    ChatSecure est developpé par The Guardian Project :
    https://guardianproject.info

    #Android #Chiffrement #Cypherpunk #Facebook_Messenger #Google_Hangouts #IOS_(Apple) #Messagerie_instantanée #OTR #Vie_privée #XMPP

  • #SàT aux JDLL à Lyon ce week-end
    http://www.goffi.org/post/2014/04/09/S%C3%A0T-aux-JDLL-%C3%A0-Lyon-ce-week-end

    Salut à vous,

    un petit billet pour vous rappeler que nous serons présents aux JDLL ce week-end à Lyon à la Maison pour Tous (Salle des Rancy, 249 rue Vendôme). J’y donnerai une conférence samedi à 12:30 pour expliquer un peu les dernières nouveautés et l’avenir du #projet. N’hésitez à venir nous rencontrer et poser vos questions :)

    #GNU-Linux #ici_et_maintenant #jabber-xmpp #Libre #XMPP #messagerie_instantanée

  • Le rachat de #WhatsApp par Facebook a suscité beaucoup d’intérêt pour les solutions les plus directement concurrentes de WhatsApp notamment #Telegram.

    Telegram a été fortement critiqué comme ayant exactement les mêmes défauts que WhatsApp (centralisé, aucun respect de la vie privée, sécurité à peine meilleure).

    Voici un texte de défense de Telegram : http://paulmillr.com/posts/the-story-of-telegram

    Et un texte contre : http://blog.tincho.org/posts/Telegram

    #messagerie_instantanée

  • RFC 6121 : Extensible Messaging and Presence Protocol (XMPP) : Instant Messaging and Presence

    Le protocole #XMPP, normalisé dans le RFC 6120, est souvent cité comme protocole de #messagerie_instantanée. Mais c’est en fait plus compliqué que cela : XMPP lui-même ne fournit qu’un service minimum de routage d’éléments XML, les vrais services devant être développés au dessus de XMPP. C’est ainsi que les services de messagerie instantanée et de présence sont normalisé dans ce RFC, le 6121. Il succède au premier RFC sur ces services, le RFC 3921.

    http://www.bortzmeyer.org/6121.html