Telegram, une sécurité aléatoire?

Parmi les messageries instantanées « open source » et sécurisées, Telegram commence à faire son trou. L’application est créée en 2013 par deux frères russes, Nikolai et Pavel Durov. Ce sont les fondateurs du Facebook russe, Vkontakte, entre-temps repris par les autorités russes. Ils ont quitté leur pays natal suite à des tensions avec les autorités, notamment pour avoir refusé de donner des renseignements sur les manifestants ukrainiens en 2014. Les frères Durov affirment avoir créé Telegram notamment afin d’échapper à la surveillance du gouvernement russe, mais l’application prône aussi la sécurité des données personnelles et de la vie privée de ses utilisateurs. L’option « secret chat », et non un paramètre par défaut, permet aux utilisateurs d’envoyer et de recevoir des messages chiffrés. Les messages peuvent également s’autodétruire. Ces données sont cryptées grâce à un protocole de bout-en-bout, elles ne sont pas sauvegardées sur les serveurs de Telegram, ne laissent donc aucune trace. Seuls l’expéditeur et le destinataire d’un message crypté sont à même de pouvoir le lire. Même Telegram n’y a pas accès. Pavel Durov l’assure, le déchiffrement des messages est impossible tant qu’on n’a pas mis la main sur le téléphone des utilisateurs. Ce fut notamment le cas lors de l’affaire terroriste de l’attentat à Saint-Etienne-du-Rouvray, en juillet 2016. Les enquêteurs ont pu remonter jusqu’aux conversations parce qu’ils avaient accès au GSM. Ceux-ci ont alors pu déterminer qui communiquait avec qui, ainsi que la nature des échanges. Difficulté supplémentaire pour une éventuelle enquête de police : les enquêteurs ne savent pas à qui adresser leurs réquisitions judiciaires. « Chez Telegram, nous ne savons pas à qui adresser nos demandes, il n’y a pas d’identité juridique ou de département des obligations légales comme chez Apple ou Microsoft », explique un enquêteur. L’identification d’un pseudonyme ou d’un compte est donc impossible. Dès lors, la sécurité est bien l’atout majeur de l’application, mais elle peut tout de même être cible d’attaque. Lors de la création du compte Telegram, l’utilisateur reçoit un SMS sur son téléphone. Il doit alors rentrer le code de sécurité qu’il a reçu afin d’activer l’application. Si un hacker accède à ses SMS, il peut activer la copie de l’application à partir du code de quelqu’un d’autre. Et par conséquence recevoir et lire tous les messages envoyés et reçus de la victime. Ce genre d’attaque a été utilisé un certain nombre de fois. Comme le prouve le jeune hacker belge Frédéric Jacobs, sur son blog. Des utilisateurs iraniens se sont vus détourner leurs comptes Telegram. Et plus récemment, Oleg Kozlovsky, un militant de l’opposition et directeur de Vision of Tomorrow Center à Moscou, a vu son compte piraté durant la nuit du 29 avril 2016 par cette méthode de code SMS détourné. Un protocole de chiffrement qui pose question… Telegram permet d’envoyer des messages cryptés mais aussi des messages non-cryptés, des photos ou vidéos, des fichiers à une personne ou jusqu’à un groupe de 5.000 personnes. Ces données sont alors stockées sur un Cloud (serveur). Ce stockage permet aux utilisateurs d’accéder à leurs données et leurs historiques de conversation à partir de n’importe quel appareil et en tout temps. L’application est en effet disponible sur différentes plateformes, via les ordinateurs (PC, Mac et Linux), via un navigateur web ou via les tablettes et smartphones (Android, iOS ou Windows Phone 8). Pour protéger l’ensemble des données échangées par les utilisateurs, Telegram a créé pour l’occasion un protocole, MTProto. Or de nombreux experts en cryptographie estiment que le protocole de chiffrement utilisé par Telegram n’est pas aussi abouti que ses concurrents. La règle première en cryptographie est de ne jamais créer son propre protocole. Telegram a ignoré cette règle et a décidé de créer un protocole de cryptage « fait maison ». Pour Philippe Oechslin, directeur de la société Objectif Sécurité, « l’argument de base est que Telegram n’utilise pas de la cryptographie standard. Certes, ils ont inventé leurs propres algorithmes. Mais à l’heure actuelle, nous n’avons pas assez de recul pour savoir si le protocole n’a pas de défauts. » Réalisé par des mathématiciens et non des cryptographes, il ignore toutes les études de cryptographie importantes publiées ces vingt dernières années. De quoi s’attirer les foudres de certains experts. Dans un article de Gizmodo, Alan Woodward, chercheur en chiffrement et sécurité informatique à l’université du Surrey est perplexe. « Je suis toujours inquiet quand des développeurs d’une application grand public écrivent leur propre chiffrement. Créer un chiffrement robuste est difficile et relève d’une compétence de niche que la plupart des développeurs n’ont pas. » De quoi en inquiéter plus d’un sur leur protection de données stockées et chiffrées grâce à ce protocole. Mais Telegram a trouvé la parade. Pour prouver la fiabilité de son protocole et donc la sécurité des données personnelles, les fondateurs proposent une récompense de 300.000 dollars à quiconque arrivera à trouver une faille dans le déchiffrement des messages. « C’est la mode de faire des concours, même Facebook, Apple et Google en proposent. Mais ces concours sont vides de sens. Car si on regarde bien pour arriver à décrocher les montants, ça prendrait trop de temps pour remplir l’ensemble des conditions. L’autre problématique serait que certains pourraient trouver des failles sans aller le rapporter aux développeurs » , affirme Roland Sako.

Votre compte

Telegram, une sécurité aléatoire?

Découvrez la suite, 1€ pour 1 mois (sans engagement)

Avec cette offre, profitez de :

Le fil info

0 Commentaire

Aussi en Vie privée

Planquez-vous: l’internaute belge est géolocalisé 288 fois par jour

Info « Le Soir » Reconnaissance faciale: une enquête cinglante sur l’usage du logiciel Clearview par la police

Info « Le Soir » La justice a tranché: le CST wallon n’est plus justifié

Vie privée: le stockage de nos données par les services publics sous la loupe des régulateurs européens

Les smartphones chinois présentent «un risque d’espionnage» selon la Belgique

Allez au-delà de l'actualité

À la Une

Roland-Garros: Elise Mertens affronte Coco Gauff pour une place en quart de finale (direct à 14h)

«Héros indiscutable», «performance sublime»: Thibaut Courtois encensé par la presse internationale

Thibaut Courtois ne participera pas à la Nations League avec les Diables

Historique présence belge au palmarès du 75e Festival de Cannes

Guerre en Ukraine: les combats font rage dans le Donbass, Severodonetsk pilonnée sans relâche

Grève du 31 mai: quels seront les services touchés?

Tout savoir sur le pécule de vacances

Plus de 6 travailleurs belges sur 10 se disent capables de trouver un emploi ailleurs assez rapidement

Déclaration d'impôts : 5 erreurs à éviter

Les sections du site

Les services

Groupe Rossel