La correspondance des clés est un contrôle important, pas une garantie de sécurité de l’appareil ni de véracité de tous les messages de votre contact.
Un numéro de sécurité ou une empreinte de clé vous aide à comparer avec votre contact les clés utilisées pour la communication chiffrée. Cette vérification réduit le risque de substitution de clé, mais ne certifie pas que « personne ne peut lire le message » : un appareil infecté, un destinataire peu fiable ou une copie enregistrée peuvent toujours exposer le contenu.
L’affichage et le calcul des empreintes varient selon les messageries. Suivez les instructions de l’application concernée : certaines affichent un numéro commun à la conversation, d’autres les empreintes de chaque appareil ou identité.
Que ne prouve pas un numéro de sécurité ?
| Vérification | Résultat attendu | Ce qui n’est pas prouvé |
|---|---|---|
| Comparaison correcte de la clé avec une personne connue | La clé observée correspond à la clé attendue | Que son appareil n’est pas compromis |
| Vérification d’un numéro ou d’un code QR | Un contrôle d’authentification de clé a été effectué | Que toute affirmation ou demande d’argent est légitime |
| Absence d’avertissement | L’application n’affiche aucun changement signalé | L’absence de toute écoute ou de tout logiciel malveillant |
Si vous ignorez qui est votre interlocuteur, une comparaison avec cette même personne inconnue ne révèle pas sa véritable identité. Pour découvrir les autres couches de protection, consultez le modèle de menace pour la messagerie.
Comment comparer la clé avec votre contact ?
- Depuis la conversation, ouvrez la page de vérification des clés ou du numéro de sécurité en suivant les instructions de la messagerie.
- Comparez avec une personne que vous connaissez, de préférence en personne ou par une voie indépendante à laquelle vous faisiez déjà confiance.
- Vérifiez toutes les parties nécessaires, pas seulement les premiers chiffres. Si l’application propose une procédure officielle par code QR, utilisez-la.
- Si les données correspondent et que l’application permet d’enregistrer la vérification, faites-le.
- Si elles ne correspondent pas, cessez d’envoyer du contenu sensible et recherchez la cause.
Illustration conceptuelle : les chiffres sont fictifs et ne représentent ni une correspondance de vérification valide ni l’interface réelle d’une messagerie.
Envoyer une capture du numéro dans la conversation même dont vous doutez de l’authentification n’est pas une vérification indépendante. Un appel ou un second compte n’est utile que si vous faites réellement confiance à l’identité et à la sécurité de cette voie ; un nouveau numéro fourni par l’expéditeur ne suffit pas.
Que faire si le numéro change ?
Un changement d’appareil, une réinstallation ou un changement de clé peut déclencher un avertissement. Le comportement exact dépend de l’application et du mode de récupération de l’identité : changer de téléphone ne modifie pas forcément la clé, et un avertissement ne signifie pas toujours une attaque.
Demandez à votre contact, par une voie indépendante, ce qui a changé, mettez les applications à jour, puis comparez de nouveau le numéro actuel. Pour les conversations sensibles, une explication orale concernant un changement de téléphone ne remplace pas la comparaison des clés. Si la différence persiste, demandez l’aide de l’assistance officielle sans supprimer vos données à la hâte.
Une nouvelle vérification ne peut pas récupérer les messages potentiellement exposés. La sécurité après compromission exige également de supprimer l’accès de l’attaquant et d’introduire un nouvel apport cryptographique ; chaque étape d’une chaîne de clés ne signifie pas que la compromission est terminée.
En quoi la transparence des clés diffère-t-elle de la comparaison manuelle ?
La transparence des clés vise à révéler les incohérences dans les correspondances entre identifiants et clés. Il ne faut ni la décrire comme le simple fait de « faire de nouveau confiance au même serveur », ni en déduire la confirmation d’une identité humaine ou du bon état d’un appareil.
Selon le guide officiel de Signal sur la vérification automatique des clés, cette fonctionnalité apporte un contrôle supplémentaire au numéro de sécurité, et sa disponibilité dépend de conditions telles que la présence du numéro de téléphone parmi les contacts connus. Son absence ou un changement de statut ne constitue pas, à lui seul, un signe de piratage. Si elle n’est pas disponible, Signal recommande de comparer le numéro ou le code QR par une voie de confiance.
Affirmer que « la comparaison manuelle est la seule défense possible » est donc inexact. Les outils automatiques et les vérifications de l’utilisateur peuvent se compléter ; renseignez-vous sur la couverture réelle de chaque produit.
Que vérifier dans Livara ?
La documentation de sécurité de Livara explique la comparaison des empreintes de clés par un autre canal. Dans la version installée, vérifiez l’emplacement de la commande, les données comparées et la réaction de l’application à un changement de clé. Ce guide ne confirme ni un parcours d’interface ni la présence de codes QR dans toutes les versions de Livara.
La comparaison des clés de conversation ne remplace pas non plus la vérification de la source d’installation de l’application. Le fichier APK et l’empreinte de référence doivent provenir d’une voie de confiance ; une empreinte identique montre uniquement que le fichier correspond à la référence.
Questions fréquentes
Un code QR est-il toujours plus sûr que la lecture des chiffres ?
Un code QR peut réduire les erreurs de comparaison manuelle, mais il doit appartenir à la procédure officielle de l’application concernée. La sécurité dépend des données comparées et de la confiance accordée au contact et à la voie utilisée, pas seulement du format QR.
Si le numéro correspond, une demande d’argent est-elle légitime ?
Non. La vérification des clés ne prouve pas la véracité d’une affirmation commerciale ou financière. Vérifiez les demandes sensibles de manière indépendante.
Un avertissement de changement signifie-t-il que la conversation a déjà été interceptée ?
Pas nécessairement. Un avertissement justifie une vérification, mais ne prouve pas une exposition passée. Clarifiez la raison du changement et la situation actuelle sans envoyer d’informations sensibles.
