L’application de messagerie cryptée Signal Private Messenger est populaire auprès des utilisateurs soucieux de leur vie privée, car elle ne stocke aucun enregistrement d’utilisateur, qu’il s’agisse de contacts, de liste de conversation, d’horaire ou de lieu social, d’avatar, de nom de profil ou d’informations de groupe (appartenance, noms ou avatars).

Comme publié sur le blog officiel de Signal, la dernière version de l’application Signal se rapproche de l’objectif de cacher une autre instance de métadonnées, c’est-à-dire à qui et ce qui est signalé. Ses messages sont entièrement cryptés lorsqu’ils sont transmis par l’infrastructure de Signal, et même les serveurs de Signal ne stockent pas les journaux de messages, tels que les informations sur qui envoie des messages à qui et quand.

Avec la fonction Sealed Sender, Signal Message comprend un processus d’authentification qui vérifie l’identité de l’expéditeur afin de prévenir l’usurpation d’identité et d’offrir au destinataire une certaine assurance sur l’expéditeur. Il utilise également l’identité de l’expéditeur pour appliquer les limitations de vitesse et la protection contre les abus. Pour éliminer tout ce travail, Signal a introduit la fonction Sealed Sender.

Signal était initialement autorisé par défaut à envoyer des messages d’expéditeurs scellés entre des comptes qui ont déjà établi une relation de confiance, comme la liste de contacts de chacun.

Il existe également des modifications cryptographiques qui reconnaissent toujours un contact verrouillé, de sorte qu’ils ne peuvent plus envoyer de messages, même s’ils ont utilisé la fonction “expéditeur scellé”. Si le signal est compromis, les attaquants ne verront que les messages cryptés, mais ne pourront pas identifier le point d’envoi.

Lors de l’envoi de courrier physique régulier, il y a un paquet externe qui comprend les adresses du destinataire et de l’expéditeur. Le message contient les mêmes éléments de base. Le service ne peut pas visualiser le contenu des messages cryptés, mais utilise les informations disponibles en dehors du paquet pour faciliter la transmission asynchrone des messages entre les utilisateurs.

Il serait bon que le service puisse traiter les paquets dont l’adresse est écrite à l’extérieur, avec l’espace vide où l’adresse était auparavant “de”.

Pour mettre fin à l’usurpation d’identité, les clients retirent périodiquement le certificat de l’expéditeur du service pour prouver leur identité. Ce certificat comprend la clé d’identification publique du client, son numéro de téléphone et l’heure d’expiration. Les utilisateurs peuvent utiliser le certificat de l’expéditeur lorsqu’ils envoient un message, et le destinataire peut facilement vérifier la validité du certificat.

Pour éviter les abus, les utilisateurs extraient un jeton de livraison de 96 bits de leur clé de profil et l’enregistrent auprès du service. Le service a besoin d’une confirmation du client afin d’envoyer un message “expéditeur scellé” à cet utilisateur.

Tout dans Signal est crypté du début à la fin, tandis que les clés de profil sont transmises en utilisant le protocole de signalisation normal. Les profils sont accessibles aux contacts des utilisateurs, aux autres personnes ou groupes qu’ils ont approuvés, et dans les conversations qu’ils ont créées. Sur la base de cette base existante, les jetons de livraison peuvent être facilement échangés en coulisses.

Comme la connaissance de la clé de profil de l’utilisateur est nécessaire pour obtenir le jeton de livraison de cet utilisateur, cela limite les messages “expéditeur scellé” aux contacts qui sont moins susceptibles de nécessiter des limitations de vitesse et d’autres protections contre les abus. En outre, le blocage d’un utilisateur qui a accès à une clé de profil entraînera le blocage ou le renvoi de la clé de profil.

Il existe une option facultative qui permet aux utilisateurs de recevoir des messages “scellés” entrants provenant d’utilisateurs sans contact et de personnes à qui ils n’ont pas partagé leur profil ou leur jeton de livraison. Toutefois, cette option peut augmenter le risque d’abus et permettra également d’envoyer chaque message entrant avec un “expéditeur scellé” sans avoir à passer par le trafic normal de messages pour la première fois où la clé de profil est trouvée.

La procédure d’envoi d’un message “expéditeur scellé” est la suivante :

Le message est crypté à l’aide du protocole Signal:

• Le certificat est lié.
• L'”enveloppe” est codée pour recevoir
• Une enveloppe chiffrée et non authentifiée est envoyée au service, accompagnée d’un jeton de livraison pour le destinataire.

Le destinataire du message peut alors décrypter l’enveloppe, vérifier que la clé d’identification utilisée pour crypter l’enveloppe correspond au certificat de l’expéditeur et poursuivre le traitement normalement.

Une fois pour toutes, “Sealed Sender” dans Signal a donné à une application connue pour ses messages cryptés un important coup de pouce en matière de sécurité en cachant les métadonnées sur l’expéditeur du message.

Alors, procurez-vous l’application Signal dès maintenant !