Signal est-il sécurisé ? (Oui !)

Signal est une plateforme de messagerie sécurisée et chiffrée, largement utilisée par des militant·es, des journalistes, des avocat·es des droits humains et même des membres du gouvernement, pour communiquer en tête-à-tête ou en groupe, par texte, appel vocal ou vidéo.

Signal est géré par une association à but non lucratif

L'appli Signal appartient à la Signal Technology Foundation, une organisation à but non lucratif basée aux États-Unis, financée par des dons individuels et des subventions.

Tu peux consulter les déclarations fiscales de la Signal Technology Foundation, qui détaillent ses recettes et ses dépenses, ici.

Les communications sur Signal sont privées

Quand tu communiques sur Signal, tes messages restent privés. Cette confidentialité repose sur la technologie de bout en bout : pendant que tes conversations transitent sur Internet, elles sont indéchiffrables, c'est-à-dire que seulement toi et la ou les personne(s) avec qui tu communiques pouvez lire ou écouter le contenu de vos échanges.

Si une agence gouvernementale envoie à Signal une réquisition judiciaire pour obtenir des données sur un compte Signal à partir de ton numéro de téléphone, Signal ne peut fournir que les informations suivantes : l'identifiant du compte, un hachage cryptographique de ton nom d'utilisateur, la date de création du compte et la date de sa dernière utilisation. Si la réquisition se base sur ton nom d'utilisateur, Signal peut relier ce nom d'utilisateur à un numéro de téléphone et fournir une réponse qui inclut ce numéro. C'est l'une des raisons pour lesquelles Signal a conçu les noms d'utilisateur pour être éphémères, et permet de les changer selon les besoins. À part ça, Signal ne sait rien d'autre sur toi.

L'application Signal est open source

Si les applis étaient des gâteaux, l'open source, ce serait avoir accès à la recette complète : tu sais comment le gâteau est fait et quels ingrédients sont utilisés. Tu peux même proposer des modifications qui, selon toi, pourraient améliorer le gâteau. De la même façon, le code de Signal est accessible à tout le monde : chacun·e peut le consulter, l'examiner et proposer des modifications. D'ailleurs, tu peux consulter le code de Signal ici. La façon dont Signal protège les millions de messages qui passent par l'appli est aussi rendue publique.

Ce niveau de transparence nous permet de faire confiance à Signal, parce qu'on peut vérifier par nous-mêmes que l'appli fonctionne comme elle le prétend, au lieu de simplement la croire sur parole.

Le mythe

Attention : une rumeur qui revient souvent sur les réseaux sociaux prétend que Signal est financé par le gouvernement américain ou par la Central Intelligence Agency (CIA), sous-entendant que Signal serait en fait une opération gouvernementale et qu'il ne faudrait donc pas lui faire confiance.

Cette rumeur repose sur le fait que Signal a reçu des financements de l'Open Technology Fund (OTF) entre 2012 et 2016. Signal a toujours reconnu ouvertement ces financements. L'OTF est une organisation à but non lucratif qui reçoit l'essentiel de son argent de l'US Agency for Global Media (USAGM), une agence gouvernementale américaine indépendante chargée de superviser des médias internationaux comme Voice of America. L'OTF a financé un large éventail de projets open source pour aider les gens à contrer la surveillance et la censure. L'USAGM n'est pas une agence de renseignement, même si elle s'inscrit dans la politique étrangère américaine au sens large.

C'est toujours une bonne idée de s'interroger sur les sources de financement, surtout dans les milieux militants, et en particulier quand on examine la gouvernance d'une organisation et la confiance qu'on peut lui accorder. Mais passer de « Signal a reçu une subvention d'une organisation financée par l'USAGM » à « Signal est une opération de la CIA », c'est un sacré raccourci logique. Avec ce raisonnement, on pourrait accuser n'importe quel·le journaliste ou n'importe quelle ONG ayant reçu une subvention financée par l'USAGM d'être un agent de la CIA.

Cela dit, le financement peut influencer beaucoup d'aspects d'une organisation, mais il ne détermine pas en soi la sécurité d'une application de messagerie. La sécurité d'une appli dépend de la conception de son chiffrement, du fait que son code soit public et que tout le monde puisse l'examiner, et du fait que des chercheur·euses en sécurité indépendant·es l'aient testée et jugée solide. Signal coche ces trois cases, et au final, c'est ça qui compte pour la sécurité.

Tu dois sécuriser ton appareil

Signal est largement considéré comme l'une des plateformes de messagerie grand public les plus sécurisées, parce qu'il est développé de manière transparente et que sa sécurité est auditée publiquement.

Cela dit, Signal n'est sécurisé que si ton appareil l'est aussi. Si ton appareil est saisi, s'il a un code d'accès faible, si le déverrouillage par reconnaissance faciale ou empreinte digitale est activé, ou si tu ajoutes par erreur quelqu'un en qui tu n'as pas confiance à ton groupe Signal, tes communications seront compromises, même si l'appli elle-même fonctionne parfaitement comme prévu.

Sur les iPhone récents, Apple Intelligence (et les résumés de notifications) est une question distincte de la solidité du chiffrement de Signal. Voir Apple Intelligence lit-elle mes messages Signal ?.

On te recommande de suivre notre Checklist de sécurité Signal et notre Checklist des essentiels pour protéger tes messages Signal une fois qu'ils sont arrivés sur ton appareil.