Une messagerie peut-elle vraiment être « sûre » ?
En décembre 2023, le Gouvernement français demandait à ses ministres et cabinets d’adopter Olvid. Derrière cette décision, une question reste intéressante : qu’est-ce que nous appelons réellement une messagerie sécurisée ?
À l’époque, la décision avait été présentée comme un signal fort en faveur de la cybersécurité et de la souveraineté numérique.
Mais choisir une application française ne suffit pas, à lui seul, à résoudre toutes les questions de confiance.
La sécurité n’est pas un drapeau. C’est une architecture, des protocoles, des audits et des usages.
Pourquoi le Gouvernement a choisi Olvid.
Le 22 novembre 2023, la Première ministre Élisabeth Borne demande le déploiement d’Olvid sur les téléphones et ordinateurs des membres du Gouvernement et des cabinets ministériels.
L’échéance est fixée au 8 décembre.
Derrière cette décision, plusieurs préoccupations se croisent : protection des communications, maîtrise technologique, réduction de certaines dépendances et confiance dans les outils utilisés.
Une messagerie gouvernementale n’est pas seulement un outil pratique. Elle devient une partie de l’infrastructure de sécurité de l’État.
Une messagerie, ce n’est pas seulement du chiffrement.
Beaucoup d’applications chiffrent aujourd’hui les messages de bout en bout.
Olvid cherche aussi à réduire certaines informations nécessaires à l’établissement des relations entre utilisateurs.
Son architecture repose sur des protocoles cryptographiques spécifiques et n’exige pas nécessairement qu’un numéro de téléphone ou une adresse e-mail serve d’identifiant principal pour établir un contact.
Le chiffrement protège le contenu du message. Il ne résout pas automatiquement tout ce qui se trouve autour.
« Certifié » ne veut pas dire « invulnérable ».
C’est probablement la correction la plus importante à apporter à mon article de 2023.
Olvid a reçu des certifications CSPN de l’ANSSI pour ses applications mobiles.
La CSPN — Certification de sécurité de premier niveau — correspond à une évaluation menée selon un périmètre, une méthodologie et une durée déterminés.
Pour la version Android évaluée en 2021, le périmètre comprenait notamment l’authentification, le chiffrement des messages et pièces jointes, ainsi que les appels VoIP.
Une certification apporte une information précieuse sur un produit et une version évalués. Elle ne constitue pas une garantie éternelle contre toute vulnérabilité, toute mauvaise configuration ou toute compromission du terminal.
Le message peut être chiffré et le téléphone compromis.
C’est là que le mot « sécurisé » devient intéressant.
Le protocole.
Comment les messages, les identités et les clés sont-ils protégés ?
L’application.
Le logiciel lui-même contient-il des vulnérabilités ?
Le système d’exploitation.
Un appareil compromis peut rendre inutile une excellente cryptographie.
L’utilisateur.
Une capture d’écran, un téléphone laissé ouvert ou un mauvais destinataire restent des risques humains.
L’organisation.
Les règles internes, la gestion des appareils et les procédures comptent autant que l’application choisie.
Français ne veut pas dire automatiquement souverain.
Le mot « souveraineté » est souvent utilisé comme s’il suffisait qu’un logiciel soit développé en France.
Mais la souveraineté numérique pose beaucoup plus de questions.
Qui développe le logiciel ?
Qui peut lire son code ?
Où se trouvent les infrastructures ?
De quels fournisseurs dépendent-elles ?
Peut-on changer de prestataire ?
Existe-t-il une documentation et des audits indépendants ?
La souveraineté n’est pas une nationalité. C’est aussi une capacité à comprendre, choisir et reprendre le contrôle.
Depuis, Olvid a aussi ouvert son code.
Les applications iOS et Android d’Olvid sont aujourd’hui open source.
Le code du serveur de distribution est également publié, et les protocoles cryptographiques sont documentés.
Cela ne rend pas automatiquement le logiciel parfait.
Mais cela permet à des tiers d’examiner ce qui, autrement, resterait une boîte noire.
La confiance devient plus intéressante lorsqu’elle peut être vérifiée.
Quitter une grande plateforme ne résout pas automatiquement le problème.
Mon article de 2023 se terminait sur le « revirement » de la France vis-à-vis des services des grandes plateformes américaines.
Aujourd’hui, je poserais autrement la question.
Il ne s’agit pas simplement d’opposer « GAFAM » et « solution française ».
Il faut comparer des architectures, des modèles économiques, des dépendances, des juridictions, des protocoles et des usages.
À quoi accordons-nous réellement notre confiance lorsque nous envoyons un message ?
Il n’est pas nécessaire d’être ministre pour se poser ces questions.
Nos conversations contiennent beaucoup plus que du texte.
Des relations.
Des habitudes.
Des documents.
Des photos.
Des données professionnelles.
Parfois des informations sensibles.
Choisir une messagerie ne devrait donc pas uniquement dépendre du nombre de personnes qui l’utilisent déjà.
Regardez les sources.
Je pensais écrire sur une nouvelle messagerie gouvernementale.
Je me retrouve à écrire sur la confiance.
Confiance dans un protocole.
Dans une application.
Dans une certification.
Dans une entreprise.
Dans un État.
Et parfois dans notre propre manière d’utiliser ces outils.
Une messagerie sécurisée ne supprime pas la nécessité de faire confiance.
Elle devrait surtout nous permettre de savoir à quoi nous faisons confiance.