L’application de messagerie mobile WhatsApp revendique être utilisée par plus d’un milliard de personnes sur la Terre. Suite au combat qui a opposé le FBI à Apple, l’entreprise de Facebook a décidé de proposer à ses utilisateurs le chiffrement de bout en bout dans la dernière version de son logiciel. Pour Jan Koum, l’un des cofondateurs de WhatsApp, « nous vivons dans un monde où nous avons de plus en plus nos données numérisées ». « Tous les jours, nous lisons des histoires sur des enregistrements sensibles auxquels des intrus ont eu accès ou se sont emparés. Si rien n’est fait, nous retrouverons plus d’informations numériques et de communications de personnes qui seront vulnérables aux attaques pendant les années à venir. Heureusement, le chiffrement de bout en bout nous protège contre de telles vulnérabilités ».
« Le chiffrement de bout en bout de WhatsApp est disponible lorsque les personnes avec qui vous communiquez et vous, utilisez les dernières versions de notre application. Beaucoup d'applications de messagerie chiffrent seulement les messages entre elles et leurs utilisateurs alors que le chiffrement de bout en bout de WhatsApp garantit que seule la personne avec qui vous communiquez et vous pouvez lire ce qui est envoyé et il n'y a pas d'intermédiaires, pas même WhatsApp. C'est parce que vos messages sont protégés avec un cadenas, et seuls le destinataire et vous avez la clé spéciale qui permet de les déverrouiller et de les lire. Afin d'assurer une protection supplémentaire, chaque message que vous envoyez a son propre cadenas unique et sa clé unique. Tout cela est automatique : vous n'avez pas besoin de quelconques paramètres ni de créer des discussions secrètes pour protéger vos messages », a indiqué l’entreprise dans un billet de blog.
Pour son chiffrement de bout en bout, WhatsApp se sert du Signal Protocol (aussi connu sous le nom Axolotl) conçu par Open Whisper Systems, un protocole de chiffrement de bout en bout qui a été « pensé pour éviter que les parties tierces ainsi que WhatsApp puissent avoir accès au texte en clair, aux messages ainsi qu’aux appels ». WhatsApp assure que même s’il arrivait que les clés de chiffrement d’un utilisateur soient compromises, elles ne sauraient être utilisées pour déchiffrer les messages qui ont été envoyés précédemment.
WhatsApp précise également que ses serveurs n’ont pas accès aux clés privées des utilisateurs et que les utilisateurs ont la possibilité de vérifier les clés pour s’assurer de l’intégrité de leurs communications.
En novembre 2014, WhatsApp avait annoncé qu’il se servait du même protocole de chiffrement dans sa version sur la plateforme Android. Pendant les deux années suivantes, l’entreprise a travaillé pour l’étendre sur iOS et d’autres plateformes mobiles puis l’apporter également aux conversations de groupes, aux appels vocaux ainsi qu’aux médias échangés par les utilisateurs.
La bibliothèque Signal Protocol utilisée par WhatsApp est open source et un dépôt est disponible sur github.
bibliothèque Signal Protocol (sur github)Source : blog WhatsApp (sécurité), papier blanc (application approfondie au format PDF)