Trouver ses amis dans une messagerie et préserver la confidentialité de son carnet d’adresses ne sont pas un seul et même problème. L’application doit déterminer quels identifiants appartiennent au service ; mais la méthode utilisée pour effectuer ce rapprochement détermine les informations que reçoit le service. Hacher un numéro de téléphone ne garantit pas, à lui seul, que ce numéro ne puisse pas être identifié.
Pourquoi un numéro haché peut-il être identifié ?
Une fonction de hachage transforme une entrée en une valeur de longueur fixe. Cependant, l’espace des numéros de téléphone est limité et structuré. Un attaquant peut générer des numéros possibles, calculer leurs empreintes et rechercher des correspondances. Il ne s’agit pas de « déchiffrer le hachage », mais de tester des entrées prévisibles.
Signal explique précisément cette limite des identifiants peu diversifiés dans sa présentation du problème de la découverte privée des contacts. Le même article présente une conception fondée sur un environnement d’exécution de confiance. Cet exemple historique ne doit pas être généralisé à toutes les messageries sans vérifier la version et la documentation récente.
Ainsi, « le serveur ne voit que des empreintes » n’est pas une réponse complète à la question de la confidentialité. Il faut savoir qui peut calculer les correspondances, quelles requêtes sont enregistrées et combien de temps les données sont conservées.
Que permet l’autorisation d’accès aux contacts ?
L’autorisation de lire les contacts donne à l’application accès aux données du carnet d’adresses ; elle n’indique pas, à elle seule, si l’application les téléverse. Le nom, le numéro, l’adresse e-mail et les notes d’un contact peuvent être sensibles, surtout lorsqu’ils contiennent des informations sur des personnes qui n’utilisent même pas le service.
La documentation Android de Contacts Provider distingue la lecture étendue du carnet d’adresses de la sélection d’un contact dans l’interface du système. L’étendue de l’accès dépend de l’implémentation et de la version du système d’exploitation.
| Méthode de recherche de contacts | Avantage possible | Point à vérifier |
|---|---|---|
| Partager un nom d’utilisateur ou un lien d’invitation | Peut ne pas nécessiter la lecture de tout le carnet d’adresses | La possibilité de rechercher l’identifiant et, pour autrui, de retrouver le compte |
| Sélectionner quelques contacts | Moins de données sont fournies à l’application | L’application reçoit-elle uniquement les éléments sélectionnés ? |
| Téléverser une liste de numéros ou d’empreintes | Rapprochement plus simple avec les utilisateurs inscrits | Possibilité de deviner les numéros, d’enregistrer les requêtes et de conserver la liste |
| Protocole dédié de découverte privée | Peut réduire l’exposition dans un modèle de menace | Hypothèses de confiance, limites et éléments attestant un examen indépendant |
Que ne prouve pas le chiffrement des messages sur le carnet d’adresses ?
Le chiffrement de bout en bout peut masquer au serveur le contenu d’une conversation, mais ne dit rien, à lui seul, sur les autorisations de contacts, les requêtes de recherche d’utilisateurs ou l’enregistrement des relations. Même sans carnet d’adresses, les informations de routage peuvent révéler une partie des relations de communication.
Sur sa page de sécurité, Livara explique le stockage et le traitement d’informations opérationnelles telles que l’appartenance aux groupes, les données temporelles et le routage. Ce document ne permet pas de conclure que le carnet d’adresses est haché selon une méthode précise, qu’aucun historique n’est conservé ou que le graphe des relations est entièrement caché. De telles affirmations nécessitent une explication distincte sur la découverte des contacts.
Posez ces cinq questions avant d’accorder l’autorisation
- Puis-je discuter par nom d’utilisateur ou invitation directe sans autoriser l’accès aux contacts ?
- Quels champs quittent exactement l’appareil : seulement le numéro, ou aussi le nom et d’autres détails ?
- Comment les informations sur les personnes non inscrites sont-elles utilisées et supprimées ?
- Révoquer l’autorisation coupe-t-il uniquement l’accès futur, ou existe-t-il aussi un moyen de supprimer les données déjà envoyées ?
- L’explication technique et la politique de conservation des données correspondent-elles à la version actuelle de l’application ?
Vérifiez l’autorisation de l’application dans les paramètres du système et limitez les accès inutiles si vous n’avez pas besoin de retrouver automatiquement vos amis. Les noms des options varient selon les téléphones. Ne confondez pas révocation de l’autorisation et suppression des informations déjà téléversées.
La confidentialité des contacts se mesure à la minimisation des données et à la clarté de leur parcours, pas simplement à la présence du mot « hachage » à côté d’un numéro de téléphone.
