La messagerie Olvid se présente comme la « messagerie la plus sécurisée du monde ». Nous avons voulu en savoir plus en interrogeant Jacques-André Bondy, co-fondateur d’Olvid.
Les offres de messageries sécurisées ou présentées comme telles sont de plus en plus nombreuses : Signal, Telegram, Element, Briar, Session, Threema, Skred, Wickr, Wire, Treebal etc. Toutes ces offres sont porteuses de promesses de sécurité et de vie privée.
Olvid a gagné le prix de la startup FIC (Forum International de la Cybersécurité) en 2020 auquel il faut ajouter l’obtention de deux certificats CSPN (Certification de Sécurité de Premier Niveau) de l’ANSSI (Agence Nationale de Sécurité des Systèmes d’Information) pour les versions Android et IOS, ce qui est une belle reconnaissance de leur travail.
A l’heure où nous écrivons ces lignes, la messagerie a fait son bonhomme de chemin puisqu’elle cumule 100 000 téléchargements. Elle est désormais open-source du côté « client » et sa version premium permet notamment de passer des appels audios et bientôt vidéos.
Un modèle sans annuaire axé sur la sécurité
La majorité des messageries utilisent un serveur tiers de confiance, soit un serveur annuaire qui enregistre tous les numéros de téléphone des utilisateurs pour les connecter entre eux. Dans le cas de Whatsapp par exemple, le serveur est installé aux États-Unis, donc sous législation américaine qui fait le lien entre les numéros. Bien que les messages soient chiffrés de bout en bout, ce serveur annuaire créé une faiblesse dans le système. Si le serveur est piraté, le message peut être compromis.
Les fondateurs d’Olvid veulent justement se passer de ce serveur pour ne garder que le serveur de distribution. Ce serveur est hébergé chez AWS (Amazon) en raison des facilités que cela procure pour le développement de l’application. En déléguant l’hébergement à AWS, l’équipe d’Olvid peut se concentrer sur son cœur de métier. Néanmoins, l’équipe d’Olvid est consciente des problèmes que cela peut poser en matière de souveraineté numérique et de traçage de l’adresse IP. Si les données en transit sur les serveur d’AWS sont bien chiffrées, l’adresse IP, elle, est visible. Consciente que cela peut poser problème, Olvid travaille à développer son propre hébergement.
Contrairement à d’autres messageries, Olvid utilise bien un serveur par lequel le message transite. L’existence de ce serveur permet de notifier instantanément le destinataire de l’arrivée d’un message. Pour Olvid, le fait de se passer de ce serveur de distribution fait perdre en qualité de service. Olvid insiste sur la nécessité d’être sûr d’entrer en contact avec la bonne personne. Les messageries décentralisées offrent un modèle intéressant de leur point de vue mais sans garantie concernant l’identité de l’émetteur et du destinataire.
En pratique
La sécurité de l’application a un coût en matière de praticité. Pour échanger avec une personne, vous devrez échanger un code pin par un canal sûr : de vive voix, en présentiel de préférence. Vous avez aussi a possibilité de « flasher » un code QR sur l’écran de la personne. La sécurité complète de votre échange est à ce prix mais vous assure une sécurité de l’échange à toute épreuve.
Les points d’amélioration
Nous avons aussi voulu en savoir plus sur les notifications « push » de l’application qui sont actuellement fournies par Google. L’équipe insiste sur l’aspect pratique de ces notifications qui permettent d’avertir l’utilisateur en temps réel des nouveaux messages. L’équipe d’Olvid est bien consciente des problèmes que cela peut poser aux utilisateurs désireux de se tenir éloigner des services de Google pas franchement réputés pour leur attachement à la vie privée et aux données de leurs utilisateurs. Au mois de juin 2021, une mise à jour a été publiée qui permet aux utilisateurs de désactiver les notifications push de Google et, si l’on veut garder un système de notification, la possibilité de « maintenir une connexion Websocket permanente » : Paramètres/Vie Privée. Certes, la connexion WebSocket est plus gourmande en batterie mais elle a le mérite d’exister en lieu et place des services Google.
Nous avons aussi abordé le sujet de la télémétrie dans les applications. Lors de nos essais, nous avons remarqué que le projet « Exodus Privacy » notifiait un pisteur (« OpenTelemetry ») dans l’application Olvid, ce qui est très gênant pour une application de messagerie sécurisée.
Jacques-André Bondy a été clair : « Olvid ne remonte aucune télémétrie, il s’agit d’une dépendance de librairie « OpenCensus » (outil de télémétrie) utilisée pour les communications avec Google Drive. En effet, la messagerie permet, si vous le souhaitez, de sauvegarder, vos échanges dans Google Drive de façon sécurisée. Tant que cette possibilité est offerte à l’utilisateur, il est impossible de supprimer cette dépendance. Si l’utilisateur n’active pas cette sauvegarde, aucune ligne de code de cette librairie « OpenCensus » ne sera exécutée au sein d’Olvid ». Et même en cas d’utilisation, il n’y a aucune remontée de données de télémétrie.
En conclusion
Olvid offre un haut niveau de sécurité et de confiance. Son modèle devrait encore beaucoup évoluer à l’avenir. L’équipe d’Olvid travaille actuellement sur un modèle de mise en relation facilité au sein des entreprises.
En tant qu’utilisateur soucieux de notre vie privée en ligne, on attend des serveurs de distribution basés et gérés en France en remplacement des services d’AWS. Concernant l’adresse IP visible par les serveurs d’AWS, nous recommandons de coupler l’application à un VPN pour ne laisser aucun identifiant sur le serveur de distribution.
Bien qu’elle s’adresse à des professionnels et à des particuliers, son modèle de mise en contact sans annuaire assure un haut niveau de sécurité mais rend aussi la prise de contact plus complexe qu’une messagerie « classique » avec annuaire. La sécurité est à ce prix. A notre sens, elle peut donc difficilement devenir une application de messagerie instantanée du quotidien. En revanche, elle répond clairement à des besoins forts en sécurité et correspond parfaitement à des besoins professionnels pour de l’échange de données sensibles et stratégiques.
