Chiffrement de bout en bout et messagerie privée

Qu’est-ce que le chiffrement de bout en bout ?

Le chiffrement de bout en bout est un processus qui consiste à chiffrer les messages aux deux extrémités. Il garantit que seules les parties communicantes peuvent lire la conversation. De nos jours, la plupart de nos relations sociales se sont déplacées vers l’espace Internet. Au lieu d’uniquement engager des conversations en face à face, nous investissons pleinement dans des discussions via des applications de messagerie instantanée.

L’E2EE fait référence à la technologie qui chiffre les données jusqu’à ce qu’elles atteignent leur destination finale. Aucun lieu intermédiaire ne possède la clé pour déchiffrer ces messages. Par conséquent, vos communications restent à l’abri des regards indiscrets, y compris des fournisseurs de services spécifiques et des FAI.

Comment fonctionne le chiffrement de bout en bout ?

Le chiffrement de bout en bout brouille les messages pour empêcher les sources externes de les lire. Les informations échangées ne sont disponibles en clair que pour l’expéditeur et le destinataire. Ce processus inclut essentiellement le cryptage des messages sur l’appareil de l’expéditeur. Ensuite, l’appareil du destinataire utilise une clé spéciale pour décrypter les informations.
Lors d’un chiffrement standard pendant le transport des données, votre fournisseur de service de messagerie crypte les messages mais conserve l’accès aux versions en clair. C’est la raison pour laquelle beaucoup d’applications de messagerie n’offrent pas de chiffrement de bout en bout. Leur modèle économique repose sur l’accès et la monétisation à certaines données que vous échangez dans le privé.
Bien qu’étant une option sûre pour la vie privée des utilisateurs, le chiffrement de bout en bout suscite de nombreux débats d’un point de vue sécuritaire et législatif. En effet, certains pays ont tenté de réglementer ces messageries chiffrées. À titre d’exemple, l’Online Safety Act (2023) au Royaume-Uni impose aux plateformes de scanner les contenus suspects, ce qui entre en conflit avec le chiffrement de bout en bout.

Les limites du chiffrement de bout en bout

Le chiffrement de bout en bout protège le contenu de vos messages, mais pas tout le reste :

Les métadonnées restent visibles : Qui parle à qui, à quelle heure, combien de fois, depuis quel appareil, quelle est la taille des messages. Ces informations peuvent en dire long sur vous, même sans lire vos messages. Les services de renseignement s’intéressent souvent davantage aux métadonnées qu’au contenu lui-même.
Accès physique à votre téléphone : Si quelqu’un déverrouille votre appareil (code PIN faible, vol, réquisition judiciaire), il accède à tous vos messages déchiffrés. Le chiffrement de bout en bout ne protège pas contre cette menace.
Sauvegardes non-chiffrées : Beaucoup d’applications proposent E2EE pour les messages en transit, mais pas pour les sauvegardes stockées sur iCloud ou Google Drive. Vérifiez vos paramètres pour activer le chiffrement des sauvegardes si l’option existe.
Backdoors légales : Certains pays imposent aux messageries de fournir des accès aux autorités, ce qui peut affaiblir le chiffrement. D’autres menacent d’interdire les services qui refusent de coopérer.
Compromission des endpoints : Si votre appareil est infecté par un malware, un keylogger ou un spyware (type Pegasus), le chiffrement de bout en bout ne sert à rien. L’attaquant peut capturer vos messages avant qu’ils ne soient chiffrés ou après qu’ils aient été déchiffrés.
Le chiffrement de bout en bout est une protection solide, mais il ne vous rend pas invisible ni invulnérable.

Le chiffrement de bout en bout n’est pas toujours automatique

Cette technique de transmission des données de manière confidentielle est une option très demandée. Cependant, certaines applications de messagerie ne rendent pas, par défaut, le processus automatique. Il faut que les utilisateurs lancent des chats séparés pour activer le chiffrement de bout en bout.

Par exemple, WhatsApp dote automatiquement toutes les discussions d’un chiffrement de bout en bout. Cependant, pour obtenir le même niveau de confidentialité sur Facebook Messenger, vous devez entamer une conversation secrète. De même, Telegram ne chiffre pas les conversations par défaut : vous devez activer manuellement les « conversations secrètes » pour bénéficier de l’E2EE. Vous devrez donc vérifier correctement vos paramètres.

Parmi les applications de messageries cryptées les plus populaires, on peut citer Signal, Telegram ou encore Olvid.

Mesures à prendre pour sécuriser vos comptes

Changez régulièrement de mots de passe.

Utilisez un mot de passe unique pour chaque compte. Si la gestion devient complexe, un gestionnaire de mots de passe, de préférence Open Source, stocke toutes vos combinaisons de manière sécurisée.

Authentification à deux facteurs pour tous vos comptes

L’authentification à deux facteurs va au-delà des mots de passe et des noms d’utilisateur. Cette étape supplémentaire garantit que des tiers ne pourront pas détourner votre compte. Même s’ils parviennent à voler vos informations d’identification, les fournisseurs de services refuseront tout accès sans vérification appropriée.
Pour une sécurité maximale, privilégiez l’authentification par clé matérielle (YubiKey, Titan) ou par application d’authentification plutôt que par SMS, qui peut être intercepté.

Vérifiez les clés de chiffrement

Signal, WhatsApp et d’autres applications permettent de comparer un « Safety Number » ou un QR code avec votre interlocuteur. Cette vérification confirme que personne n’intercepte votre conversation (attaque « man-in-the-middle »). Cette étape est particulièrement importante pour les échanges sensibles.

Des possibilités limitées d’utiliser E2EE

Si vous le pouviez, vous activeriez le chiffrement de bout en bout pour toutes vos transactions et échanges de données en ligne. Cependant, si cette option est disponible dans une certaine mesure, elle n’est pas aussi répandue que vous pourriez le penser. Les emails standards, par exemple, ne bénéficient généralement pas d’E2EE.

Un chiffrement pour les données de sauvegarde

En général, les données de sauvegarde ne bénéficient pas de chiffrement de bout en bout. Bien que les fournisseurs de services les chiffrent, le chiffrement de bout en bout n’est pas systématique.
Par exemple, WhatsApp propose depuis 2021 le chiffrement de bout en bout des sauvegardes, mais cette option est désactivée par défaut. Sans activation manuelle dans les paramètres, Google (Android) ou Apple (iOS) ont techniquement accès à vos messages sauvegardés. Faites attention à ce que les services appliquent le cryptage de manière cohérente, sans laisser de failles exploitables.

Et les VPN dans tout ça ?

Un VPN et le chiffrement de bout en bout ne protègent pas la même chose. Le VPN chiffre votre connexion Internet (entre votre appareil et le serveur VPN), ce qui masque votre activité à votre fournisseur d’accès et sécurise vos données sur les réseaux publics. Mais il ne protège pas le contenu de vos messages une fois qu’ils arrivent sur les serveurs de l’application de messagerie.
Pour en savoir plus consultez notre rubrique : Qu’est-ce qu’un VPN ?

Pour une confidentialité maximale : E2EE pour vos messages + VPN pour votre navigation. Les deux sont complémentaires, pas interchangeables. Le VPN protège votre trafic réseau, l’E2EE protège le contenu de vos communications applicatives.