WhatsApp

Une porte dérobée permet de passer outre le chiffrement des messages de WhatsApp

[Mise à jour 23.01.2017

Pour certains spécialistes de la sécurité, il est incorrect de parler de porte dérobée, et l’on devrait plutôt caractériser le phénomène décrit ci dessous comme choix d’implémentation. Deux choix s’offraient à WhatsApp et Signal, et les deux entreprises ont fait le choix opposé.

Contrairement aux signataires de la lettre ouverte au Guardian, nous continuons de penser que WhatsApp a fait le mauvais choix, que WhatsApp n’est pas la meilleure appli pour des communications confidentielles, et nous notons, comme Bruce Schneier, que l’implémentation de WhatsApp est une vulnérabilité pour quiconque craint qu’un gouvernement fasse pression sur Facebook pour exploiter ce « choix d’implémentation ». ]

Tobias Boelter, un cryptographe et chercheur en sécurité de l’Université de Californie, Berkeley, a découvert une porte dérobée dans WhatsApp, qui permet à Facebook ou WhatsApp de lire tous les messages chiffrés de bout à bout.

WhatsApp n’avait déjà pas tenu sa promesse de ne jamais fournir les données de ses utilisateurs à Facebook.

WhatsApp ne tient donc pas non plus sa promesse de protection de la confidentialité des messages transitant sur le service, et chiffrés de bout en bout. WhatsApp avait promis que personne ne pourrait intercepter les messages, mais elle peut le faire, tout comme Facebook, et probablement les pirates et les gouvernements.

Le chiffrement de WhatsApp est basé sur les librairies de code d’Open Whisper Systems. Mais comme la faille n’est pas présente dans Signal, l’application d’OWS, on peut supposer que la faille de sécurité a été intentionnellement implémentée par WhatsApp.

WhatsApp rétorque que cette ‘fonctionnalité’ est nécessaire pour la distribution de messages dans certaines parties du monde où ses utilisateurs changent souvent de téléphones et de cartes SIM. Un argument qui n’a convaincu personne.

Le chiffrement de WhatsApp s’effectue à l’aide des clés de l’expéditeur et du récepteur.

Toutefois, WhatsApp peut forcer la génération d’une nouvelle clé de chiffrement pour les utilisateurs déconnectés, sans que ni l’expéditeur, ni le récepteur n’en soient informés, et forcer l’expéditeur à utiliser cette nouvelle clé pour chiffrer le message qui va être envoyé une nouvelle fois au récepteur. Et ce, tant que le message n’a pas été marqué comme reçu.

Ce nouveau chiffrement et ce nouvel envoi permettent de facto à WhatsApp d’intercepter et de lire tout message transitant par son service.

Boelter a informé Facebook en avril 2016 de cette porte dérobée, mais s’est vu répondre que c’était ‘le comportement attendu’. La porte dérobée est toujours présente à ce jour.

Avec cette porte dérobée, WhatsApp trompe plus d’un milliard d’utilisateurs, à qui elle fait croire que la confidentialité des messages est garantie.