Comment fonctionne Clavenzo

Pourquoi l'enregistrement de l'appel d'aujourd'hui reste illisible

Il existe une attaque courante et réaliste qui consiste à être patient : enregistrer maintenant le trafic chiffré, obtenir la clé plus tard (par réquisition, par vol, en pénétrant un appareil des années après) puis déchiffrer tranquillement.

Les clés éphémères la mettent en échec. La clé qui a réellement chiffré votre appel a existé le temps de l'appel, sur deux appareils, et a été détruite à la fin. Votre clé d'identité durable ne fait que signer l'échange ; elle ne chiffre pas une seconde d'audio. La compromettre demain permet de vous usurper demain. Elle ne permet pas d'ouvrir ce qui a été enregistré hier.

Cette propriété s'appelle la confidentialité persistante, et c'est la chose la plus précieuse qu'un appel chiffré puisse avoir.

Chaque appel renouvelle aussi ses clés avec ML-KEM-768, un algorithme post-quantique, une fraction de seconde après la connexion, quand les deux applications le prennent en charge. Il répond au même attaquant patient muni d'un meilleur outil : un trafic enregistré maintenant et ouvert plus tard par un ordinateur quantique. Pour les messages et les fichiers, c'est différent, pour l'instant. Ils sont scellés avec RSA et ML-KEM-768 ensemble, mais aujourd'hui la clé ML-KEM est dérivée de la clé RSA, donc nous ne les disons pas encore post-quantiques. Et un message qui attend sur le serveur pour un téléphone éteint n'a pas de confidentialité persistante : quelqu'un qui l'aurait enregistré et obtiendrait plus tard la clé d'identité du destinataire pourrait l'ouvrir.

Ce que fait le serveur, et ce qu'il ne peut pas faire

Il y a une tâche qu'une application pair-à-pair ne peut pas accomplir seule : réveiller un téléphone dont l'application est fermée. Un service de rendez-vous existe pour cela, conçu pour en savoir le moins possible tout en le faisant.

• Il ne voit jamais le contenu. Les offres et les messages hors ligne sont scellés avec la clé du destinataire avant de quitter votre téléphone. Le service stocke des octets qu'il ne peut pas ouvrir.
• Il ne connaît pas votre nom. Son annuaire contient l'adresse de chaque appareil, ses clés publiques et sa plateforme, et, pour un téléphone, son jeton de notification. Il n'a ni noms, ni numéros de téléphone, ni adresses e-mail, parce que l'application n'en demande jamais. Quiconque possède une adresse peut demander si elle est enregistrée.
• Ses notifications ne portent ni expéditeur ni contenu. L'avis qui réveille votre téléphone dit seulement s'il s'agit d'un appel ou d'un message. Sur iPhone, une notification de message affiche « New message » et « Tap to read ». Apple et Google voient qu'un avis est parti, et quand ; ils ne voient ni quoi ni de qui.
• Il oublie vite. Une invitation d'appel vit 60 secondes. Un message scellé hors ligne, 72 heures au plus. Un enregistrement d'appareil expire après 30 jours sans renouvellement.
• Il voit qui appelle qui, le temps de l'attente. Une invitation d'appel ou un message hors ligne doit nommer la clé à laquelle il est destiné et celle dont il vient, donc le serveur voit passer les deux. Il ne garde aucune trace de la paire une fois l'invitation ou le message disparu : une invitation est oubliée au bout de 60 secondes et un message au bout de 72 heures au plus. Masquer aussi l'expéditeur (l'expéditeur scellé) figure sur notre liste. Nos serveurs se trouvent derrière Cloudflare, qui voit les mêmes informations, et jamais le contenu.

Quand un appel ne peut pas passer en direct, le plus souvent parce que les deux réseaux le refusent (ce qui arrive chez certains opérateurs mobiles), un relais transmet les paquets chiffrés : notre propre relais en UDP, puis en TCP, puis les relais de Cloudflare. Le relais ne fait que transmettre les données. Il n'a pas de clé et ne peut pas en obtenir. Il voit en revanche les adresses IP des deux appareils. Aucun réglage ne permet aujourd'hui de faire passer chaque appel par un relais, et lors de chaque appel, relayé ou non, chaque appareil apprend l'adresse IP de l'autre.

Quand les choses cassent

Clavenzo a été conçu autour d'une question difficile : qu'est-ce qui fonctionne encore quand tout va mal ? Une tempête met à terre un centre de données. Un pays bride ses connexions. Un hébergeur disparaît. Les antennes tombent et il ne reste qu'un réseau local. Chacun de ces cas a sa réponse ci-dessous.

• Aucun internet. Les téléphones sur le même Wi-Fi ou point d'accès peuvent s'appeler directement, dans les limites décrites plus haut. Pas de serveur, rien hors de la pièce.
• Les serveurs sont petits, et il y en a plusieurs. Ils ne font que présenter deux téléphones et garder des messages scellés. L'audio et la vidéo ne les traversent jamais sauf si un relais est nécessaire, si bien que tout le service tourne sur une poignée de petites machines chez des hébergeurs différents, à des endroits différents.
• Aucun d'eux n'est indispensable. Votre téléphone s'inscrit auprès de chaque serveur et relève le courrier de chacun. Si l'un tombe, les autres continuent, et un appel est décroché via le serveur qui l'a livré.
• La liste des serveurs est signée. Les téléphones la récupèrent auprès des serveurs eux-mêmes et la vérifient avec une clé qui ne touche jamais un serveur. De nouveaux serveurs peuvent s'ajouter sans mise à jour de l'application, et une ancienne liste ne peut jamais être rejouée pour envoyer les téléphones là où ils ne devraient pas aller.
• Pas de DNS, pas de problème. La liste contient des adresses réseau brutes avec certificats épinglés, si bien que les téléphones peuvent joindre un serveur quand un serveur de noms est en panne ou ment, ou qu'un réseau de diffusion de contenu tombe, sans faire confiance à aucune autorité de certification.
• Deux relais, une échelle. Quand deux réseaux refusent un chemin direct, un relais transporte l'appel chiffré : notre propre relais en UDP, puis en TCP, puis les relais de Cloudflare. Si l'un tombe en panne, vous perdez un barreau, pas l'appel.
• Liens maigres et instables. La voix demande 13,2 kbit/s. Le tampon de gigue mesure le réseau et s'y adapte, les paquets perdus sont masqués au lieu de claquer, et les gros fichiers se mettent en pause et reprennent tout seuls.
• Réseaux qui s'en mêlent. Les proxys SOCKS5 et HTTP CONNECT sont intégrés, pour les réseaux qui en imposent un ou dont le résolveur local est bloqué ou falsifié.

Changer de téléphone

Deux exports distincts, délibérément séparés, parce qu'ils transportent des choses différentes.

Une sauvegarde chiffrée contient vos conversations, photos, historique d'appels et contacts dans un fichier unique que vous rangez où vous voulez. Il ne s'ouvre qu'avec un code affiché une seule fois à l'export et stocké nulle part. L'import ajoute ce qui manque et n'écrase jamais ce qui est déjà là.

Un export d'identité déplace la clé qui est votre adresse. Il est scellé par son propre code de transfert à usage unique, se tient derrière le verrouillage d'écran de votre téléphone, et c'est la seule façon dont cette clé quitte un appareil. L'importer fait répondre le nouveau téléphone sous cette identité.

Là où cette conception s'arrête

Toute conception a ses limites. Voici les nôtres.

• Qui parle à qui. Une invitation d'appel ou un message hors ligne nomme les deux adresses entre lesquelles il passe, donc le serveur, et Cloudflare devant lui, voient cette paire tant qu'il est conservé. La poignée de main d'ouverture d'un appel direct transporte aussi les deux clés d'identité en clair, si bien que quelqu'un qui observe ce réseau peut savoir quelles deux identités se parlent. Aucune des deux ne révèle un mot de ce qui se dit. Ce sont des métadonnées, et les deux sont sur la liste des choses à corriger.
• Horodatage et métadonnées. Le serveur voit nécessairement quand votre appareil se signale. Le rythme des paquets pendant un appel peut révéler quand quelqu'un parle, même si rien de ce qui est dit n'échappe au chiffrement.
• Votre adresse IP. Lors de chaque appel, même s'il finit par passer par un relais, l'application de l'autre personne apprend votre adresse IP, car les deux appareils échangent leurs adresses réseau pour chercher un chemin direct. Elle peut indiquer approximativement où vous vous trouvez. Un relais voit aussi les deux adresses IP.
• Votre appareil est le point faible. Qui tient votre téléphone déverrouillé tient vos messages. Un logiciel malveillant sur le téléphone lit ce que vous tapez avant tout chiffrement. C'est vrai de toutes les messageries jamais écrites.
• Il n'a pas été audité indépendamment. Il est construit avec soin et testé abondamment. Ce n'est pas la même chose et nous ne ferons pas semblant du contraire.

Si votre modèle de menace inclut un adversaire capable de surveiller un réseau entier, comprenez ces limites, utilisez la prise en charge du proxy, et ne misez sur aucun outil unique (celui-ci compris) rien que vous ne puissiez vous permettre de perdre.