WhatsApp ne protègerait pas bien les messages de ses utilisateurs

Le chiffrement des communications est l'une des fonctionnalités star de WhatsApp. L'application de messagerie, propriété de Facebook, est pourtant accusée d'avoir laissé une faille de sécurité dans son système. Le journal britannique The Guardian affirme que Facebook est capable de lire certaines missives dans des circonstances particulières, alors que le chiffrement rend en théorie illisibles les messages pour toute personne n'étant pas l'expéditeur ou le destinataire.

  Le chiffrement de messages est permis grâce à l'échange de «clés» entre deux utilisateurs. Elles servent à crypter puis décrypter les contenus envoyés ou reçus. Une personne qui se déconnecte puis se reconnecte à WhatsApp (par exemple en changeant de téléphone) se voit attribuer une nouvelle clé. C'est là que se situe le problème. Si un utilisateur veut envoyer un message à cette personne, WhatsApp le chiffrera grâce à cette nouvelle clé puis le transmettra, mais sans avertir l'expéditeur de ce changement. Ce processus permet en théorie à l'application d'intercepter et de lire les messages avant qu'ils soient de nouveau chiffrés. «Si un gouvernement ordonne à WhatsApp d'avoir accès à des messages archivés, c'est possible grâce à ce changement de clés», estime Tobias Boelter, chercheur de l'Université de Californie, à l'origine de cette découverte. Ce genre d'attaque, qui permet d'intercepter les communications entre deux parties, est qualifiée de «man in the middle».

Une option de sécurité à activer
WhatsApp utilise un protocole de chiffrement développé par l'organisation Open Whisper Systems, qui développe l'application de messagerie sécurisée Signal. Ce service est notamment recommandé par Edward Snowden, le lanceur d'alerte à l'origine du scandale de surveillance de la NSA. Le Guardian affirme néanmoins que Signal n'est pas affecté par la faille repérée dans WhatsApp. «Si la clé d'un destinataire change lorsqu'il est hors-ligne, le contenu ne sera pas transmis et l'expéditeur sera informé du changement dans les clés de sécurité, sans que son message ne soit automatiquement envoyé», précise le journal anglais. Les utilisateurs doivent alors vérifier eux-même que la nouvelle clé appartient effectivement à son destinataire.

  Le Guardian qualifie cette situation de «backdoor»: le terme, qu'on peut traduire par «porte dérobée», désigne une faille de sécurité laissée volontairement ouverte afin de pouvoir l'exploiter. Facebook plaide, lui, un choix fait pour faciliter la vie de ses utilisateurs. «Ce cas de figure arrive généralement car quelqu'un a changé de téléphone, de carte SIM ou a réinstallé WhatsApp», précise le réseau social. «Nous voulons être sûrs que les messages arrivent effectivement à bon port, et ne soient pas perdus.» WhatsApp dispose d'une option pour recevoir une notification en cas de changement de clé de son interlocuteur, comme sur Signal, mais qui doit être activée par l'utilisateur. Cette dernière se trouve dans les paramètres, catégorie «mon compte» puis «sécurité».

  L'application chiffre totalement ses messages depuis avril 2016. Cette annonce avait été très remarquée: WhatsApp est utilisé par plus d'un milliard de personnes dans le monde. Le chiffrement, qui permet de protéger ses communications de toute surveillance, y compris de celles des autorités, est un sujet sensible mais majeur dans le monde des nouvelles technologies. Le cofondateur de WhatsApp, Jan Koum, qui a grandi en Ukraine du temps de l'Union Soviétique, a toujours exprimé son attachement à la protection de la vie privée et des communications. «Dans de nombreux pays, il n'y a pas les mêmes garde-fous qu'aux États-Unis. Vous ne savez pas ce qui peut se passer à l'avenir», avait-il déclaré au moment de l'annonce du chiffrement sur WhatsApp.

Manque de clarté

Ces révélations du Guardian ont provoqué des débats en ligne. «Il est ridicule que cela soit considéré comme une porte dérobée», a tweeté Frederic Jacobs, ancien développeur chez Open Whisper Systems. «Une attaque possible est de modifier la clé [d'une personne] sans qu'elle ne le sache, et du coup intercepter le message. C'est pour cela qu'il y a un réglage dans l'application pour obtenir des notifications lorsque la clé des destinataires change. Dans Signal, c'est activité par défaut. Dans WhatsApp pas (...) C'est la seule différence.» D'autres répondent que Facebook aurait du être sur l'option de sécurité à activer, plutôt que de laisser entendre que WhatsApp était inviolable. L'efficacité d'un protocole de chiffrement repose sur les clés utilisées dans l'échange protégé: il convient toujours de vérifier qu'elles appartiennent au destinataire souhaité.