Depuis très récemment, Signal ne dépend plus de Google. C'est l'occasion de s'interroger sur le logiciel à utiliser pour chiffrer mes communications émises/reçues avec mon 06.

Signal

•  + Signal gère les appels vocaux chiffrés, les messages textes chiffrés et les SMS/MMS non chiffrés ;
  
  
•  + Signal est disponible sur IOS et Android ;
  
  
•  +/- Les messages textes et les appels chiffrés sont échangés via les données mobiles. J'ai un forfait Free à 2 € (qui convient très bien à mes usages) avec 50 Mo de données mobiles, qui peut se consommer très vite genre un oubli d'allumer le Wi-Fi pour télécharger une mise à jour ou chercher une info sur des sites web lourds quand je n'ai pas d'autres accès à Internet sous la main. Je fais quoi pour communiquer quand j'ai épuisé mon forfait ? Je paye plus en faisant du hors forfait ? Alors que j'ai des SMS "illimités" en parallèle ? C'est du consumérisme forcené un peu idiot, non ? Je dialogue en clair ? Donc aucun intérêt d'utiliser le chiffrement…
  
  
•  - Toutes les communications de Signal transitent par une même infrastructure technique, celle de l'éditeur de Signal, Open Whisper Systems. On a donc un point central qu'il suffit d'espionner ou de démanteler pour semer la zizanie. Pas top du tout. Sur Internet, on se doit de construire des infrastructures acentrées. Contrairement à SIlence, on ajoute un acteur en plus capable d'espionner, un peu comme utiliser une carte bancaire est pratique mais ajoute une myriade d'acteurs dans la boucle (la banque, le réseau Visa ou MasterCard, etc.), acteurs que l'on n'a pas avec de l'argent liquide. Il faut bien comprendre que, par cette position centrale, Signal peut altérer la communication et notamment l'échange des clés de chiffrement, donc qu'il peut très bien transmettre une clé de chiffrement dont il a le contrôle afin de lire les communications avant de les transmettre au⋅à⋅la destinataire légitime. Certes, on arrive là à une problématique qui dépasse le modèle de menaces de beaucoup de monde, moi y compris ;
  
  
•  - Signal n'est pas disponible sur F-Droid (logithèque alternative à Google Play qui diffuse uniquement des logiciels libres) qui est la seule logithèque que j'utilise donc mises à jour manuelles donc "compliquées" et j'oublierai de le faire, ce qui peut être très compromettant si des failles de sécurité sont corrigées. Il s'agit d'un choix délibéré de l'éditeur : demander à installer des logiciels depuis des sources inconnues (autre que le Store pré-défini), c'est ouvrir une grande porte vers l'installation de logiciels véreux par des utilisateur⋅rice⋅s novices. Cette argumentation se tient, mais je suis un utilisateur conscient de ce qu'il fait donc je m'en moque ;
  
  
•  - Lors de son premier démarrage, Signal me force à m'enregistrer : « Vérifier votre numéro de téléphone pour vous connecter avec Signal. Signal facilite la communication en utilisant votre numéro de téléphone et votre carnet d'adresses. Les amis et les contacts qui savent déjà comment vous contacter par téléphone pourront facilement entrer en contact avec vous via Signal. L'inscription transmet certaines informations de contact au serveur. Ces informations ne sont pas enregistrées. ». Ouais, boarf, balourder mon 06 et mon carnet d'adresses à l'éditeur de Signal ne me botte pas des masses, surtout que le « certaines informations » est flou alors que la loi informatique et libertés (et le futur règlement européen sur les données personnelles) impose un consentement explicite éclairé, chose que je ne peux pas avoir avec si peu d'infos. C'est ce point (cumulé avec infrastructure centralisée et mise à jour manuelle) qui m'a fait reculer et ne pas utiliser Signal.

Silence

•  - Silence gère uniquement des SMS/MMS chiffrés et des SMS/MMS non chiffrés. Point d'appels vocaux chiffrés. Je n'ai pas besoin de cette fonctionnalité à l'heure actuelle ;
  
  
•  - Silence est uniquement disponible sur Android. Je m'en fiche, je n'ai pas de matos Apple. Je ne ressens de toute façon pas une envie de chiffrer nos communications chez le peu d'utilisateur⋅rice⋅s d'Apple que je connais ;
  
  
•  +/- Les SMS/MMS sont échangés comme tout SMS/MMS donc si t'as un forfait SMS/MMS "illimités", c'est inclus dedans ;
  
  
•  +/- Les communications transitent par les opérateurs télécoms habituels. Seuls les opérateurs de l'émmeteur⋅rice et du⋅de⋅la destinataire savent qui parle avec qui, quand, à quelle fréquence, quelle volumétrie d'échange, etc. On est sur une infrastructure acentrée malheureusement contrôlée à 100 % par de gros acteurs économiques en situation d'oligopole, mais pas de point central. La question est donc de savoir par qui tu as envie d'être possiblement espionné : ton opérateur télécoms avec qui tu as un contrat ou une entité étasunienne avec laquelle tu n'as aucun contrat ? Tu peux supposer qu'Open Whisper Systemes ne lâchera pas facilement face aux autorités (et ça semble être plutôt vrai jusqu'à aujourd'hui), mais tu n'en sais rien. La presse a déjà documenté que les opérateurs télécoms français collaborent sans se poser de questions. D'un autre côté, les opérateurs télécoms sont un poil plus surveillés par la presse et par les associations de défense des consommateur⋅rice⋅s que Open Whisper Systems d'où ça augmente la probabilité d'apprendre qu'un truc crade est fait sur le réseau. Les communications avec l'infrastructure technique de Signal, basée aux USA, sont soumises à la loi française concernant la Surveillance Internationale, qui protège bien moins le⋅a citoyen⋅ne que le reste du cadre légal français. De plus, avec Silence, il n'y a pas de point central qui peut altérer les communications. Certes, on est ici dans un modèle de menaces plus exigeant que ce que la plupart d'entre nous avons besoin ;
  
  
•  + Silence est disponible sur F-Droid ;
  
  
•  + Silence ne demande pas à exporter quoi que ce soit vers une infrastructure centralisée ;
  
  
•  +/- Un des développeurs principaux fréquente les mêmes salons de discussions IRC que moi et parle ma langue natale, donc on peut supposer un contact facilité.

Cumul

Notons qu'il est parfaitement possible d'utiliser plusieurs applications en même temps : Signal + Silence ou Silence + appli SMS/MMS par défaut ou Signal + appli SMS/MMS par défaut. C'est très utile quand on a un nombre similaire de contacts qui utilisent Signal et un nombre de contacts qui utilisent Silence : on peut dialoguer chiffré avec chaque communauté. Pour cela, il suffit de définir l'une des applications comme étant le logiciel par défaut pour la gestion des SMS/MMS et pas l'autre. Ainsi, Signal recevra les messages Signal et Silence les SMS/MMS chiffrés et non chiffrés, par exemple. Ça marche aussi avec Silence + l'appli SMS/MMS par défaut : dans ce cas, les deux logiciels recevront les SMS/MMS entrants (et notifieront l'utilisateur⋅rice) mais seul Silence saura déchiffrer les SMS/MMS chiffrés.

Conclusion

Tu l'as compris : j'utilise désormais un logiciel pour chiffrer mes communications textes et il s'agit de Silence.

Le statut zone fibrée est une saloperie d'initiative parlementaire introduite via la loi Macron (et complétée dans la loi pour une République Numérique). L'ARCEP pourra décerner une sorte de label à un périmètre géographique donné et/ou à un opérateur télécoms donné. Ce label marque le fait que, dans ce périmètre géographique défini, le déploiement des réseaux fibres optiques est suffisamment avancé pour que la fibre devienne le nouveau réseau de référence. Plusieurs obligations ou levées d'obligations pourront être greffées à ce statut. Pour l'instant, la seule qui est définie dans la loi, c'est qu'il n'est plus obligatoire de poser une ligne cuivre dans les nouvelles habitations situées dans une zone fibrée, mais l'ARCEP prévoit déjà l'extinction du réseau cuivre ou la fin des tarifs régulés sur le cuivre. Ce statut peut uniquement être lu comme quelque chose à même de fermer le marché, à évincer les petits opérateurs cuivre de la fibre optique et de cristalliser les positions dominantes.

Observations de la FFDN :

• Puisque le déploiement de la fibre est aujourd'hui plus avancé dans les grandes métropoles que dans les campagnes (par choix politique de laisser se faire le business au détriment d'une forme d'intérêt général), ce sont ces grandes métropoles, déjà attractives, qui seront mises en lumière. Cela accentue l'idée que nos terroirs sont dénués d'intérêt au lieu de les mettre en valeur. Il serait peut-être plus utile de valoriser les démarches visant à fibrer la cambrousse… Par là, et par le fait que le statut est facultatif, on accroît la fracture numérique : il y a les bouts de territoires où les droits et obligations liés à l'obtention du statut fibre sont appliqués et le reste de la France. Il n'y a donc plus un même accès à Internet sur l'ensemble du territoire national.
  
  
• Les marchés cuivre et fibre ne sont aujourd'hui pas substituables : il n'y a pas, sur la fibre optique, la même variété d'offres que sur le cuivre et les petits opérateurs (TPE-PME) ne sont aujourd'hui pas assurés de pouvoir opérer sur le réseau fibre. C'est notamment pour cela qu'il faut des offres de gros passives et activées (bitstream), sinon les petits opérateurs seront évincés du marché alors qu'ils apportent souvent des services de proximité indispensables (suivi client⋅e humain, couverture de déserts par des offres adaptées à la topologie du territoire, autres motivations que la recherche du profit à tout prix, etc.).
  
  
• Ce statut favorise la compétition forcenée entre les acteurs alors qu'il y a besoin, pour déployer la fibre optique sur l'ensemble du territoire, de coopération entre une multitude d'acteurs, dont les opérateurs télécoms. Cette compétition forcenée fermera le marché car les réglementations seront suivies a minima et les systèmes d'information seront incomplets. Tout sera fait pour choper du statut zone fibrée, pas pour faire un déploiement sain.
  
  
• Ce statut n'est pas pensé pour être lisible et compréhensible par le plus grand nombre, il est pensé pour satisfaire les opérateurs en position dominante. En effet, dans certaines zones, le statut signifie qu'un opérateur désert la zone, alors que, dans d'autres cela signifie qu'un réseau est posé et que un ou plusieurs opérateurs peuvent venir proposer des services dessus. Le statut devrait, au contraire, être cohérent sur l'ensemble du territoire et signifier partout qu'il reste uniquement à câbler les derniers mètres, entre le "poteau télécoms" et l'habitation et que plusieurs opérateurs sont en capacité de desservir la grande majorité des habitations de la zone dans un délai convenable (qui ne soit pas un frein à un déménagement, par exemple).
  
  
• L'ARCEP ne doit pas dynamiser d'avantage le marché à destination des entreprises en regard de celui à destination des particuliers, mais doit porter la même quantité de son attention sur les deux marchés.
  
  
• Il manque une démarche d'amélioration à ce statut : il n'est pas prévu de révocation du statut si l'opérateur vient à manquer à ses obligations. L'ARCEP collectera semestriellement des indicateurs d'exploitation du réseau mais n'en fera rien…
  
  
• On dirait que l'ARCEP y va au chantage pour faire appliquer ses décisions de régulation : plutôt que de les appliquer fermement sur l'ensemble du territoire comme elle est censée le faire, elle espère que les opérateurs seront gentils et respecteront ses décisions en échange de l'obtention du statut zone fibrée… L'ARCEP doit rester vigilante et ferme sur les zones fibrées comme sur l'ensemble du territoire national. Elle ne doit pas non plus se décharger de son travail sur le cuivre car c'est durant les périodes de transition que les atteintes aux droits sont les plus importantes et les plus ravageuses. Illustration : la difficulté pour contracter des offres d’accès de gros activées sur le marché de l’ADSL des débuts a conduit plusieurs petits FAI établis sur le 56k à cesser leurs activités. Les FAI associatifs, comme FDN, ont vu leur nombre d’adhésions chuter. Parallèlement, le droit de l’utilisateur final à choisir son FAI a été réduit dans la pratique : il a fallu de nombreuses années pour retrouver sur l’ADSL un niveau de concurrence similaire à celui qui existait sur le RTC.

Sur un plan plus personnel, je suis heureux de constater que c'est la première réponse de la Fédération FDN à une consultation qui n'a pas été, in fine, validée par Benjamin Bayart. Si cela perdure, cela signifie que le groupe de travail de la fédération est en bonne santé. Je serai également attentif à ce que Quota Atypique ne devienne pas la nouvelle validatrice en cheffe : le travail au sein du groupe est censé être collaboratif et ça me paraît sain qu'il le soit, nous n'avons nul besoin de remplacer une personne centrale par une autre.