Ce que Crypto protège. Et ce qu’il ne protège pas.

A1 · Quelqu’un qui écoute la ligne

Fournisseur d’accès, opérateur télécom, sonde posée sur un câble.

Il ne lit rien. Le contenu de vos messages est chiffré de bout en bout, et cela fonctionne dès aujourd’hui. Les messages voyagent dans des paquets tous de la même taille, ce qui masque leur longueur réelle. Ce qu’il voit encore : que vous vous connectez à un serveur Crypto, et à quels moments. Effacer cette trace demande un réseau de relais plus large, que nous n’avons pas encore (limite L1).

A2 · Le serveur qui garde vos messages en attente

Y compris s’il est saisi par la justice ou piraté.

Vos messages y patientent sous forme de blocs chiffrés de taille identique, rangés sous un identifiant qui ne dit rien de vous. Sans la clé privée du destinataire, celui qui tient ce serveur ne peut ni les lire, ni les effacer. Ce qu’il voit malgré tout aujourd’hui : les adresses IP qui déposent et qui relèvent, donc qui échange avec qui. C’est la limite L1, la plus importante de cette page.

A3 · Quelques serveurs du réseau tenus par un adversaire

Des machines du réseau de mélange contrôlées par un attaquant.

Un serveur ne connaît que d’où arrive un paquet et où il repart, jamais l’expéditeur ni le destinataire. Il ne peut pas non plus y glisser une marque pour le reconnaître plus loin. Deux serveurs d’un même trajet ne peuvent appartenir ni au même opérateur, ni au même bloc d’adresses. Enfin, l’inscription d’un nouveau serveur doit être validée par plusieurs autorités indépendantes, ce qui empêche un acteur de noyer l’annuaire sous de faux relais. Ces défenses sont écrites et testées. Elles ne produiront leur effet que le jour où le réseau comptera assez de serveurs indépendants pour construire un trajet.

A4 · Quelqu’un qui s’interpose et modifie

Interception, renvoi d’un ancien message, substitution de clés.

La liste officielle des serveurs est signée, mémorisée par votre application, et une version plus ancienne est refusée. L’inscription d’un serveur est liée à l’échange complet qui l’a produite : impossible de la rejouer ailleurs. Les accès aux serveurs d’appel sont signés et vérifiés. Et si la clé d’un contact change, l’application vous le signale en affichant un nouveau numéro de sécurité, que vous pouvez comparer avec lui par un autre canal.

A5 · Vol ou saisie de votre appareil

Quelqu’un a le disque en main, hors session ouverte.

Tout ce que l’application garde sur le disque est chiffré. La clé est dérivée de votre mot de passe par une fonction volontairement lente et gourmande en mémoire, ce qui rend les essais en masse très coûteux. L’effacement détruit la base, les journaux, les copies de travail, la clé de récupération et l’identité réseau. Vos anciens messages restent illisibles même si votre clé actuelle est volée, et après une intrusion ponctuelle les échanges suivants redeviennent protégés. Tout cela suppose un appareil verrouillé ou éteint, et un mot de passe solide.

A6 · Une pression exercée sur l’éditeur

Injonction judiciaire, rachat, pression commerciale.

En version auto-hébergée, vous installez tout chez vous : l’annuaire, les relais, les boîtes aux lettres et les serveurs d’appel. Aucune donnée ne passe par nous, il n’y a donc rien à nous réclamer. Le code étant public, vous pouvez comparer ce que vous exécutez avec ce que nous publions. Attention : si vous utilisez les serveurs que nous opérons plutôt que les vôtres, cette protection ne joue pas, et les limites L1 et L2 s’appliquent.

État actuel du déploiement. Le réseau de mélange, celui qui doit rendre impossible de savoir qui écrit à qui, ne route pas encore. Il lui faut des relais tenus par des acteurs différents, répartis sur au moins trois plages d’adresses distinctes ; il n’y en a que deux à ce jour. En attendant, vos messages passent par une boîte aux lettres, et celui qui exploite ce serveur peut voir quelles adresses IP échangent, et à quel moment. L’application l’affiche telle quelle, avec la mention « Boîte aux lettres seule ». Le contenu, lui, reste chiffré de bout en bout et illisible pour cet opérateur. Cette protection ne se mettra en place qu’à mesure que des relais indépendants rejoindront le réseau.

Limite permanente. La voix ne passe pas par le réseau de mélange et n’y passera pas : elle supporte mal le moindre retard. Un appel transite par un serveur relais, le nôtre par défaut, le vôtre si vous l’hébergez. Ce relais cache votre adresse IP à votre correspondant, mais celui qui l’exploite connaît les deux adresses, l’heure et la durée de l’appel. C’est le modèle des autres messageries chiffrées. La conversation elle-même reste chiffrée de bout en bout : ce qui n’est pas protégé, c’est le fait que vous vous soyez parlé.

Logiciel espion, enregistreur de frappe, capture d’écran, accès administrateur : sur une machine compromise, ce qui s’affiche et ce qui se tape sont lisibles avant même d’être chiffrés. Aucune messagerie ne corrige cela. Le fait que vos anciens messages restent protégés limite les dégâts dans le temps, il ne les annule pas. La sécurité des postes reste votre périmètre.

Capture d’écran, transfert, témoignage : le destinataire légitime d’un message peut toujours le diffuser. Aucun protocole ne rattrape une confiance mal placée.

Le jour où le réseau routera, une menace restera : si un même acteur contrôle l’entrée, la sortie et assez d’étapes intermédiaires, il peut recouper les horaires et deviner qui parle à qui. Les règles de diversité rendent ce contrôle coûteux ; seul un grand nombre de relais tenus par des gens différents le rend improbable. L’anonymat croît avec la taille du réseau : un déploiement minuscule protège moins qu’un réseau fédéré.

Observer très longtemps quelqu’un dont les habitudes sont singulières finit par livrer des indices, même sans lire un seul message : on élimine peu à peu les autres explications possibles. Le trafic de couverture, ces faux messages émis en permanence pour noyer les vrais, rend ce travail beaucoup plus coûteux. Il ne le rend pas impossible. Nous préférons l’écrire ici que vous le laisser découvrir.

Agendas partagés, réservations de salle, courriels en parallèle, badges d’accès : si la réunion est visible ailleurs, son secret ne dépend plus de nous. Notre périmètre s’arrête aux messages et aux appels transportés par le réseau Gotham.

Un adversaire peut enregistrer aujourd’hui du trafic chiffré en espérant le déchiffrer dans dix ans, quand les ordinateurs quantiques existeront. Le contenu de vos messages est déjà protégé contre cela par une couche de chiffrement supplémentaire, conçue pour y résister. Le transport, lui, repose encore sur la cryptographie classique à chaque étape. Cette migration est engagée, elle n’est pas terminée.

Chaque surface exposée est bornée : mémoire plafonnée, débit limité, rejet des messages déjà vus, et le moindre plantage accessible est traité comme un défaut à corriger. Un attaquant disposant d’une puissance réseau écrasante peut malgré tout rendre le service indisponible. Il ne peut pas pour autant lire quoi que ce soit.

État actuel. Les versions macOS et Windows ne portent pas encore de signature d’éditeur. Votre système affiche donc un avertissement au premier lancement, et il ne peut pas vous confirmer que le fichier vient bien de nous. En attendant que ce soit corrigé, ne téléchargez l’application que depuis nos pages officielles.

Nous publions nos limites parce que vous les trouveriez de toute façon.

Votre équipe sécurité auditera ce produit avant de l’acheter, c’est son travail. Ce document lui fait gagner du temps. L’audit contradictoire et le code source font le reste.