Signal Private Messenger : une faille de sécurité dans l’app préférée de Snowden

Signal Private Messenger vient de faire face à sa première faille de sécurité. Ce sont deux chercheurs qui l’ont découverte, alors qu’il s’agit de l’application de messagerie préférée d’Edward Snowden.

Signal Private Messenger est une application de messagerie instantanée et un client SMS. Elle a la particularité d’être open source et de chiffrer de bout en bout tous les messages et SMS échangés entre utilisateurs, des fonctionnalités qui lui ont longtemps valu d’être la messagerie préférée d’Edward Snowden. Cependant, deux chercheurs ont découvert une faille de sécurité dans la version Android de l’application.

Une faille de sécurité…

Les deux chercheurs, Jean-Philippe Aumasson et Markus Vervier, ont découvert qu’il était possible d’ajouter des données pseudo-aléatoires lorsqu’une pièce jointe liée à un message dépasse les 4 Go. En effet, l’application ne vérifie dans ce cas que les 4 premiers gigaoctets et un pirate peut alors y ajouter des données échappant à la détection du Message Authentication Code. Ce dernier permet de s’assurer de l’intégrité de données, lorsqu’elles ont été modifiées ou transmises par exemple.

… finalement mineure

Finalement, il s’agit ici d’une faille très minime ne pouvant être exploitée que dans un cas bien particulier. Il est effectivement rare de recevoir une pièce jointe de 4 Go sur Android. C’était d’ailleurs étonnant que le protocole de chiffrement d’Open Whisper Systems n’ait toujours pas eu de failles. Un correctif est déjà disponible sur le GitHub de Signal et est en attente de déploiement sur le Play Store.

Une messagerie toujours digne de confiance

Signal reste ainsi encore la solution de messagerie instantanée la plus sûre actuellement. D’autant plus que la plupart des autres messageries s’appuient sur son protocole de sécurité, comme WhatsApp ou Google Allo en mode incognito, qui devrait arriver le 21 septembre.

Signal

Télécharger gratuitement