Un bon modèle de menaces relie un risque précis à une mesure vérifiable, pas à la plus longue liste de fonctionnalités.
Établir un modèle de menaces pour une messagerie, c'est préciser quelles informations comptent pour vous, qui pourrait y accéder et quelles mesures conviennent à vos risques et à votre situation. Une famille, un journaliste et une personne utilisant un téléphone professionnel ne sont pas nécessairement exposés aux mêmes menaces. Ce guide propose un cadre simple pour rédiger votre propre plan, et non un classement définitif des messageries.
L'essentiel à retenir
- Un modèle de menaces tient en trois ou quatre phrases : ce n'est pas un produit. Notez ce que vous voulez protéger, contre qui et au prix de quels efforts. Sans ces phrases, choisir une messagerie revient simplement à collectionner des fonctionnalités.
- Votre discussion comporte quatre maillons : votre appareil, le réseau, le serveur de la messagerie et l'appareil de votre interlocuteur. Ces quatre niveaux sont un point de départ ; examinez aussi séparément les sauvegardes, les comptes et les services connectés.
- Le chiffrement de bout en bout protège le contenu des intermédiaires ; la sécurité des appareils, les clés, les sauvegardes et le comportement du destinataire restent importants.
- Évaluez les menaces selon votre situation : accès physique, aperçu des notifications, hameçonnage, sauvegardes et appareils associés sont des exemples à examiner, pas un classement statistique.
- Les métadonnées sont distinctes du texte. L'identité de vos interlocuteurs et les moments de vos échanges peuvent rester visibles même si le texte est entièrement chiffré. Vous devez traiter cette question séparément.
Qu'est-ce qu'un modèle de menaces, et pourquoi est-il important pour choisir une messagerie ?
Un modèle de menaces décrit brièvement « ce que vous voulez protéger, contre qui et avec quels efforts ». Tant que ces trois éléments ne sont pas clairs, comparer des messageries ne fait qu'allonger la liste de leurs fonctionnalités, sans jamais vous dire lesquelles vous sont utiles.
L'Electronic Frontier Foundation (EFF) le rappelle dans son guide Planification de la sécurité (modélisation des menaces) : chercher à se protéger en permanence contre toutes les menaces possibles mène à la frustration, car la sécurité est un processus, pas un achat. Pour les équipes techniques, le projet de modélisation des menaces de l'OWASP propose un cadre similaire. La bibliothèque de modèles de menaces du guide de développement de l'OWASP contient de nombreux exemples prêts à servir de point de départ.
Un conseil pratique : un modèle de menaces n'est pas un document figé. Un changement d'emploi, un déplacement professionnel ou l'arrivée d'une personne dans le groupe familial peut le modifier complètement. Chaque fois que cela se produit, réécrivez ces quatre phrases.
Qui peut lire mes messages ? Décomposez la chaîne en quatre maillons
La réponse courte : chaque message passe par quatre maillons — votre appareil, le réseau, le serveur de la messagerie et l'appareil de votre contact — et les copies ou les comptes associés peuvent créer d'autres voies d'accès. La bonne question n'est donc pas « Quelle messagerie est la plus sûre ? », mais « Quel maillon est le plus faible dans ma situation ? »
Premier maillon : votre propre appareil
Tout ce qui apparaît sur l'écran de votre téléphone a déjà été déchiffré. Si le téléphone est déverrouillé, si l'aperçu des notifications est activé sur l'écran verrouillé ou si quelqu'un connaît votre code à quatre chiffres, le chiffrement du message pendant son acheminement n'empêchera pas de lire le contenu accessible sur cet appareil.
Deuxième maillon : le réseau
Un observateur du réseau peut voir la destination de la connexion, les horaires et le volume du trafic ; un service DNS ne voit pas nécessairement tout le trajet ni tous les paquets des messages. Avec le chiffrement de bout en bout, ce qui est visible est constitué de données chiffrées, pas de texte. En revanche, l'existence des échanges et leur volume ne sont généralement pas masqués.
Troisième maillon : le serveur de la messagerie
Le serveur est le point de synchronisation des appareils. Avec le chiffrement de bout en bout, il ne lit pas le texte, mais voit toujours les métadonnées de routage et peut les conserver. C'est là que la différence entre « chiffré » et « privé » devient claire.
Quatrième maillon : l'appareil de votre interlocuteur
Le dernier maillon échappe à votre contrôle. Votre contact peut faire une capture d'écran, transférer le message ou avoir un téléphone infecté. Le chiffrement de bout en bout ramène ce maillon à la « confiance dans votre contact », sans aller au-delà.
En résumé, le chiffrement de bout en bout limite l'accès au contenu, mais les appareils, la gestion des clés et les destinataires autorisés restent partie intégrante du modèle de menaces.
Quelles menaces examiner dans votre situation ?
Un téléphone déverrouillé, l'accès au compte, l'aperçu des notifications et les sauvegardes sont des exemples à examiner. Pour une personne visée par des attaques professionnelles ciblées, des logiciels malveillants sophistiqués ou la contrainte physique peuvent également compter. Ne minimisez pas le risque sans connaître la situation.
Les sauvegardes constituent une voie d'accès distincte. Si une messagerie conserve une sauvegarde dans le cloud sans la chiffrer de bout en bout, le chiffrement sur le téléphone ne vous protège que jusqu'aux portes du cloud : vous avez verrouillé la bonne porte, mais laissé la clé à côté. Le guide sur la sauvegarde sécurisée des discussions chiffrées aide à examiner cette voie d'accès.
Une deuxième menace vient des personnes proches : un collègue, un colocataire ou quelqu'un qui emprunte votre téléphone « juste un instant ». Une troisième concerne le compte utilisé pour se connecter : si la connexion passe par une adresse e-mail mal protégée, toute la chaîne s'ouvre au niveau de son maillon le plus faible. Un chiffrement plus puissant ne résout aucun de ces problèmes.
Protéger ses discussions des pirates : quelles attaques se produisent réellement ?
La réponse courte : les attaques courantes contre les discussions ne cassent pas les mathématiques du chiffrement. Elles passent par l'hameçonnage, les logiciels malveillants, le vol de codes de connexion et les attaques contre l'appareil lui-même. En pratique, l'attaquant cherche la clé plutôt que de forcer la serrure.
C'est pourquoi les habitudes de connexion comptent autant que la longueur de la clé. Livara utilise SRP, une preuve de connaissance du mot de passe à divulgation nulle, pour l'authentification : votre appareil prouve qu'il connaît le mot de passe sans envoyer celui-ci sur le réseau. Concrètement, enregistrer le trafic de connexion ne révèle pas le mot de passe. La limite doit aussi être explicite : SRP n'empêche pas une personne de saisir elle-même son mot de passe sur une fausse page. Il ne s'agit alors plus de mathématiques, mais de vigilance.
La deuxième surface d'attaque est l'application elle-même. Un APK modifié peut contourner toutes les protections du chiffrement. Livara publie la somme de contrôle SHA-256 de chaque version pour vous permettre de comparer le fichier téléchargé à une référence de confiance ; le laboratoire de vérification effectue cette opération dans le navigateur. Pour savoir quelles questions poser à propos de toute autre messagerie, la liste des questions à se poser avant de choisir une messagerie sécurisée est un bon point de départ.
Que couvre le chiffrement de bout en bout, et que ne couvre-t-il pas ?
La réponse courte : le chiffrement de bout en bout verrouille le contenu du message de votre appareil jusqu'à celui de votre contact, de sorte que le serveur ne voit que des données chiffrées. Mais le nom de cette fonction ne permet pas de tirer de conclusions sur l'ensemble des métadonnées, des sauvegardes, des captures d'écran ou des canaux publics : chacun nécessite des mesures distinctes.
Pour un produit donné, lisez le tableau de couverture des fonctionnalités au lieu de déduire ses protections du nom d'un algorithme. La page de sécurité de Livara et son modèle de menaces expliquent les discussions, les canaux, les appels, les métadonnées et la récupération. Il s'agit d'affirmations publiées par le fabricant, pas d'un substitut à des tests indépendants. Examinez notamment, séparément, les exceptions liées à l'enregistrement des appels et la différence entre la récupération de l'identité et celle de l'historique des discussions.
Que révèlent les métadonnées, même lorsque le texte est chiffré ?
La réponse courte : les métadonnées indiquent qui a parlé à qui, quand et avec quel volume de données. Chiffrer le texte ne fait pas disparaître ces informations.
Dans Livara, les métadonnées de routage standard (expéditeur, destination, heure de remise) sont conservées pour assurer la synchronisation fluide des appareils. C'est une limite explicite, pas un détail que l'on peut ignorer. Même sans lire le texte, le graphe « qui parle à qui » peut être sensible : un médecin et son patient, un avocat et son client ou les deux parties d'une négociation professionnelle. L'article Ce que révèlent les métadonnées de messagerie donne une explication plus complète.
Si votre modèle de menaces inclut « quelqu'un qui voit mes habitudes de communication », aucune messagerie chiffrée de bout en bout ne suffit à elle seule pour répondre à cet aspect. Vous devez aussi réfléchir aux personnes avec qui vous communiquez et aux lieux depuis lesquels vous le faites.
Rédigez votre modèle de menaces en cinq minutes
La réponse courte : répondez à quatre questions — qui est-ce que je crains, que veut cette personne, de quels moyens dispose-t-elle et que se passerait-il si un message était divulgué ? Choisissez ensuite la mesure efficace la moins contraignante, et non l'inverse.
- Qui est à l'origine de la menace ? Nommez la personne ou l'entité : un collègue, un ex-partenaire, un voleur, une entreprise, un État.
- Que faut-il protéger ? Le texte des échanges, les fichiers ou les habitudes de communication elles-mêmes.
- De quels moyens dispose cette personne ou entité ? Un accès physique au téléphone ? Un accès au compte ? Des ressources importantes ?
- Que se passerait-il en cas de divulgation ? Une atteinte à votre réputation, à votre emploi, à votre sécurité physique ou simplement de l'embarras ?
- À partir de ces réponses, choisissez la mesure efficace la moins coûteuse en efforts.
Si la menace vient d'un observateur du même réseau Wi-Fi, une connexion TLS correctement validée et un chiffrement de bout en bout authentifié sont importants ; face à un accès physique, le verrouillage de l'appareil répond à une autre priorité. Le guide Comment vérifier une discussion à l'aide des numéros de sécurité montre comment procéder. Et pour savoir qui peut voir quoi dans une messagerie donnée, le modèle de menaces publié par Livara l'explique sans slogans.
Un exemple court de modèle de menaces
« Les fichiers professionnels sur mon téléphone sont sensibles. Le principal risque actuel est qu'un collègue accède à mon téléphone déverrouillé et aux copies enregistrées dans la galerie. Cette semaine, je vais réduire le délai de verrouillage automatique, limiter l'aperçu des notifications et examiner les dossiers de sauvegarde. J'évaluerai ensuite le résultat avec un fichier de test. »
Ce n'est qu'un exemple. Si une personne qui exerce un contrôle sur vous a accès à votre appareil, des changements soudains de paramètres peuvent attirer son attention. Pour préparer votre plan, utilisez un appareil sûr et l'aide d'une personne de confiance, et donnez la priorité à votre sécurité physique.
Questions fréquentes
Comment définir un « modèle de menaces » en une phrase ?
Il s'agit de préciser ce que vous voulez protéger, contre qui et au prix de quels efforts. Cette phrase détermine quelles fonctions de sécurité justifient leur coût et lesquelles ajoutent seulement de la complexité.
Avec le chiffrement de bout en bout, dois-je encore craindre les pirates ?
Oui, mais pas forcément comme vous l'imaginez : au lieu de forcer la serrure, l'attaquant vise l'appareil, l'hameçonnage et les codes de connexion. Les bonnes questions sont donc : mon téléphone est-il verrouillé ? Ma sauvegarde dans le cloud est-elle chiffrée ? Mon compte e-mail est-il protégé ?
Les canaux publics sont-ils aussi chiffrés de bout en bout ?
Non. Un canal est un espace de diffusion public et lisible, afin de permettre le traitement des signalements et la suppression des contenus abusifs. Selon la documentation de Livara, les discussions directes et les groupes privés compatibles dont le statut E2EE est actif sont chiffrés de bout en bout. Un ancien groupe incompatible peut rester visiblement hors E2EE. Vérifiez le statut de la conversation concernée. Le contrôle des adhésions au groupe reste également du ressort du serveur.
Comment savoir si la version Android que j'ai installée a été modifiée ?
Comparez l'empreinte du fichier APK téléchargé à la somme de contrôle de la même version, obtenue auprès d'une source de confiance ; le laboratoire de vérification est conçu pour examiner les fichiers dans le navigateur. Une empreinte identique établit seulement l'égalité avec la référence. Si un attaquant remplace à la fois le fichier et l'empreinte de référence, cette correspondance ne suffit pas. Un APK modifié peut contourner le chiffrement : vérifier l'intégrité de l'application compte donc autant que le chiffrement lui-même.
