Dans les temps d’inquiétude, les gens se tournent souvent, à juste titre, vers l’application de messagerie cryptée Signal. Que ce soit pour protéger des conversations sensibles en pleine agitation sociale ou pour garder vos communications privées après la chute de Roe v. Wade, Signal représente pour la plupart des gens le meilleur moyen de communiquer en toute sécurité. Et grâce en partie à une injection de 50 millions de dollars en 2018 de la part de Brian Acton, l’ancien PDG de WhatsApp et actuel PDG par intérim de la Fondation Signal, l’application autrefois de niche est plus accessible que jamais.

La popularité de Signal connaît souvent des pics en période de conflit ou lorsque les alternatives semblent plus précaires. En mai 2020, alors que les manifestations contre la brutalité policière ont balayé les villes américaines, les téléchargements quotidiens de Signal ont presque triplé par rapport à leur moyenne, selon la société d’analyse Apptopia. Le nombre de téléchargements de Signal a encore augmenté en janvier 2021 après que WhatsApp, qui crypte de bout en bout les conversations personnelles à l’aide du protocole Signal, a bâclé la diffusion d’une mise à jour de sa politique de confidentialité.

Apptopia estime désormais que Signal compte plus de 600 millions d’utilisateurs mensuels actifs. Toutes ces personnes peuvent bénéficier du cryptage de bout en bout, ce qui signifie que personne – ni le gouvernement, ni leur opérateur téléphonique, ni Signal elle-même – ne peut lire le contenu des messages lorsqu’ils passent d’un appareil à l’autre.

Signal n’est pas la seule application de messagerie à offrir un chiffrement de bout en bout ; iMessage en dispose, tout comme des applications autonomes telles que Telegram. Mais Signal se distingue des autres applications par la richesse de ses fonctionnalités et par le fait que son code est ouvert depuis des années, ce qui signifie que les cryptographes ont eu de nombreuses occasions d’en rechercher les failles.

Mise à jour le 20 août 2022 : Signal a ajouté quelques nouvelles fonctionnalités depuis que nous avons publié cette histoire, qui sont maintenant reflétées ci-dessous.

Connaître ses limites

Pour ceux qui découvrent la messagerie cryptée, la chose la plus importante à retenir est que ce n’est pas magique. Avoir Signal sur son téléphone ne rend pas invincible. Près de 2 000 utilisateurs l’ont appris à leurs dépens ce mois-ci. Signal utilise la société de communication Twilio pour vérifier les numéros de téléphone des utilisateurs et envoyer les codes d’enregistrement des appareils par SMS. Ainsi, lorsque des attaquants ont réussi à pénétrer dans Twilio par le biais d’une récente campagne de phishing, ils ont pu accéder à ces codes SMS pour quelque 1 900 comptes Signal et potentiellement enregistrer le numéro de téléphone d’une victime sur son propre appareil.

Signal indique que tous les utilisateurs concernés « peuvent être assurés que l’historique de leurs messages, leurs listes de contacts, leurs informations de profil, les personnes qu’ils avaient bloquées et d’autres données personnelles restent privés et sécurisés et n’ont pas été affectés. » Mais les attaquants ont pu prendre le contrôle d’au moins un compte et se faire passer pour cette personne sur Signal. Il s’agit d’un rappel puissant que même une application conçue autour de la sécurité peut avoir des points faibles.

Surtout, n’oubliez pas que si vous envoyez des messages à quelqu’un qui n’a pas installé Signal, rien n’est crypté. Le cryptage ne fonctionne que pour les communications de Signal à Signal. Et assurez-vous d’avoir un mot de passe fort sur votre téléphone, car toute personne ayant un accès physique à votre appareil peut toujours lire vos messages.

Signal dispose également d’une application de bureau, qui devrait être suffisamment sécurisée pour la grande majorité des gens ; sachez simplement que les environnements de bureau sont confrontés à une litanie de menaces. Et l’utilisation de Signal sur plusieurs appareils signifie qu’il y a plus d’endroits où vos messages peuvent être compromis ou volés.

S’installer en toute sécurité

Lorsque vous vous inscrivez, Signal vous demande de fournir un numéro de téléphone qui sert essentiellement de nom d’utilisateur. Cela ne signifie pas pour autant que vous devez utiliser votre numéro de téléphone réel. Pour éviter de le donner, utilisez plutôt un numéro Google Voice.

Pour ce faire, rendez-vous sur Google Voice dans votre navigateur, connectez-vous avec un compte Google et sélectionnez un nouveau numéro de téléphone. Google vous demandera de le vérifier en fournissant votre numéro de téléphone réel, où il vous enverra un code qui vous permettra de terminer votre inscription. Vous pouvez désormais utiliser ce numéro Google Voice pour votre compte Signal, en le séparant de votre ligne principale. (Attention : Si vous ne passez pas un appel ou ne recevez pas un seul SMS vers votre numéro Google Voice tous les six mois, Google récupérera ce numéro. Dans ce cas, vous pouvez le récupérer dans un délai de 45 jours. Veillez donc à envoyer un SMS à votre numéro Google Voice au moins une fois tous les deux mois).