Examinez séparément la connexion au compte, les autorisations d’accès aux données et la récupération des clés de discussion : un seul bouton ne répond pas aux trois questions.
« Se connecter avec Google » ne signifie pas automatiquement que Google accède au texte en clair des discussions, et ce n’est pas non plus une option sans coût en matière de confiance. Elle introduit un fournisseur d’identité dans la connexion ; les informations transférées et la dépendance au compte doivent être examinées à partir des autorisations et de la conception réelles du service.
Pour décider, distinguez la connexion au compte de l’autorisation d’accéder aux données Google et des clés de chiffrement des conversations. Un bouton de connexion ne répond pas aux trois questions.
Quelle différence entre OAuth et OpenID Connect ?
OAuth est un cadre d’autorisation d’accès aux ressources. OpenID Connect y ajoute une couche d’authentification. La documentation de connexion Google décrit un parcours fondé sur OpenID Connect pour identifier l’utilisateur.
Affirmer qu’« OAuth donne le mot de passe Google à la messagerie » est donc incorrect. Le service doit valider correctement le jeton concerné et sécuriser sa propre session. Une autorisation pour Gmail, Drive ou d’autres données est également distincte de la simple connexion. Explication des autorisations et des scopes.
Quelles informations peuvent être échangées ?
La connexion fournit généralement au service un identifiant et, selon les autorisations, des informations telles que l’adresse e-mail ou des détails du profil. Le fournisseur d’identité intervient aussi dans les demandes d’authentification. Mais le nom de la méthode de connexion ne permet pas de déduire que chaque ouverture de l’application, chaque message ou tout l’historique d’utilisation lui est envoyé.
| Question | Ce qu’il faut vérifier |
|---|---|
| Quelles informations du compte la messagerie reçoit-elle ? | L’écran de consentement, les scopes et la politique de confidentialité |
| Une autorisation sur des données supplémentaires est-elle demandée ? | La différence entre connexion et accès aux e-mails, fichiers ou contacts |
| Quand le fournisseur d’identité intervient-il de nouveau ? | Les politiques de session et de renouvellement des jetons de l’implémentation |
| Les clés de discussion dépendent-elles de cette connexion ? | La documentation de stockage et de récupération des clés, pas seulement le bouton de connexion |
Évitez d’accorder une autorisation qui ne s’explique pas par vos besoins. Toutefois, n’interprétez pas une demande précise comme « lire tous les messages » sans l’examiner.
Quels risques présente la dépendance à un compte central ?
Si votre seul moyen de vous connecter à une messagerie est un compte devenu inaccessible, les nouvelles connexions peuvent être perturbées. L’effet sur les sessions existantes, les données locales et la récupération dépend de la conception du service. Il n’est donc pas juste de conclure qu’« un blocage Google détruit forcément toutes les discussions ».
Avant une urgence, vérifiez si le service propose une méthode de connexion alternative ou un processus de récupération, et quel effet leur ajout a sur la sécurité du compte. La voie alternative ne doit pas devenir une voie plus facile pour un attaquant. Ne modifiez ni ne supprimez non plus une association de compte sans vous assurer de pouvoir vous connecter ensuite.
La connexion directe avec SRP élimine-t-elle tous ces risques ?
La connexion directe peut réduire la dépendance à un fournisseur d’identité tiers. Correctement mis en œuvre, SRP prouve également la connaissance du mot de passe sans envoyer celui-ci dans les messages du protocole. Mais la messagerie traite toujours le nom du compte, les événements de connexion et les informations opérationnelles associées : « sans trace numérique » n’est pas une description juste.
Le vérificateur SRP stocké doit lui aussi être protégé. Le RFC 5054 décrit le risque de deviner le mot de passe après divulgation du vérificateur. La sécurité de la page de connexion, de la session, de la récupération et de l’appareil reste essentielle.
Aucun principe technique ne dit que SRP est la seule méthode de connexion confidentielle, ni que toute connexion fédérée est intrinsèquement peu sûre. La qualité de l’implémentation et le modèle de menace doivent être déterminants.
Les limites des affirmations de Livara
La page de sécurité de Livara décrit SRP pour l’authentification et indique explicitement la conservation de certaines données opérationnelles. Cela ne signifie pas que l’identité du compte est cachée au service lui-même. Cette même page distingue la récupération de l’identité cryptographique de l’historique des discussions.
Pour une comparaison pratique, demandez à chaque service de répondre aux mêmes questions : quelles données reçoit-il, quels tiers interviennent, comment ferme-t-il les sessions et comment les clés de discussion sont-elles récupérées ? Des réponses documentées sont plus utiles que les slogans « à connaissance nulle ».
Avant de choisir une méthode de connexion
Sécurisez le compte principal et les voies de récupération, lisez les autorisations demandées, examinez les appareils connectés et connaissez votre plan en cas de perte d’accès au compte. Choisissez ensuite une méthode adaptée à vos besoins et à votre capacité de gestion : commodité et indépendance ont toutes deux de la valeur, mais aucune ne garantit à elle seule la sécurité.
