Le chiffrement de bout en bout est le meilleur modèle de sécurité pour les communications ou le stockage de documents en ligne, mais le terme est un peu long et pas toujours clair (“ les extrémités, c'est moi et le serveur, n'est-ce pas ? ” — faux !). Essayons donc d'utiliser un nouveau terme — Chiffrement direct — sens : les seules personnes qui peuvent déchiffrer et lire les messages sont celles directement impliquées dans une conversation ou un projet privé. De manière cruciale, ce sont également les seules personnes qui contrôlent les clés de chiffrement. Le chiffrement direct est à la base de plusieurs de nos recommandations : PGP/GPG (Thunderbird+Enigmail), Fil, Signal, et Cryptpad.

(Nous avons choisi ce terme en partie à cause de parallèles philosophiques avec Action directe, dans lesquels les groupes travaillent souvent pour atteindre leurs objectifs en croyant que des entités puissantes, comme l'État ou les grandes entreprises, ne peuvent pas être fiables. De plus, une bonne culture de sécurité implique que les informations sont traitées selon le principe du besoin d'en connaître.

Voici quelques images pour illustrer l'importance du chiffrement direct dans la messagerie privée. Marcos (gauche) essaie de faire parvenir un message (Les Dépossédés d'Ursula K. Le Guin) à Ernesto (à droite) à l'aide d'ordinateurs portables et d'Internet :

Mais le fantôme de le vieux et méchant J. Edgar Hoover hante l'infrastructure. L'homme du milieu est ici capable d'intercepter, de lire et de modifier tout message non protégé envoyé entre nos deux héros. Comme ceci :

(Edgar pourrait également simplement lire et transmettre le message tel quel). Pour aggraver les choses, dire qu'une application utilise le “ chiffrement ” (sans préciser qui détient les clés) ne garantit pas que les messages restent privés et authentiques. Par exemple, si un serveur entre les deux camarades gère les clés de chiffrement, quiconque a accès au serveur pourrait lire et modifier tous les messages échangés entre eux :

Si le chiffrement direct (chiffrement de bout en bout où seuls les camarades détiennent les clés) est utilisé, il n'y a aucun moyen pour un adversaire de voir ou de modifier le message. Hourra ! Comme suit :

Comment savoir si une application utilise le chiffrement direct ? Il y aura un moyen de vérifier manuellement les clés de chiffrement — Signal rend cela super facile avec des numéros de sécurité et Le fil utilise des empreintes digitales traditionnelles cela sera familier à quiconque a utilisé GPG. Wire utilise une clé unique pour chacun de vos appareils, donc la vérification des empreintes peut devenir fastidieuse si vos amis utilisent chacun plusieurs appareils. L'avantage, cependant, est qu'avec Wire ou GPG, il est facile de publier vos empreintes dans plusieurs endroits publics — comme les réseaux sociaux ou le site web de votre organisation — et de demander à vos amis de copier/coller/trouver pour les vérifier. De plus, si un appareil est perdu ou volé vous pouvez révoquer sa clé à distance, de sorte que l'appareil compromis ne puisse plus être utilisé pour lire ou envoyer des messages chiffrés.

N'oubliez pas qu'il est essentiel que toute application de chiffrement direct soit open source, afin que ses fonctionnalités de sécurité puissent être vérifiées, et que sa sécurité et son utilisabilité puissent être critiquées publiquement puis améliorées.

Une autre façon de réduire l'exposition à un interlocuteur malveillant est la messagerie de pair à pair, où l'on dit couramment qu'aucun “ serveur ” n'est utilisé pour relayer vos messages. Cette approche peut certainement aider, surtout si elle implique de s'éloigner de Google ou de Facebook en tant que serveur de discussion. D'un autre côté, l'argument selon lequel il faut supprimer “ le serveur ” de vos conversations peut être trompeur : il existe une tonne d'infrastructures Internet entre vous et vos amis, elle est simplement invisible pour la plupart des utilisateurs et des applications. Mais cette infrastructure est précisément ce que l'État exploite pour mener une surveillance de masse sans suspicion.

Restez en sécurité !