Comparez qui peut accéder au texte en clair et influer sur les mises à jour, pas seulement les noms des algorithmes de chiffrement.
Une messagerie web chiffrée n’est pas automatiquement dangereuse, et une application Android native n’est pas automatiquement sûre. Toutes deux peuvent mettre en œuvre le chiffrement de bout en bout ; toutes deux doivent traiter du texte en clair sur l’appareil de l’utilisateur. La comparaison pertinente consiste à déterminer qui peut agir sur le client, lire le contenu affiché ou accéder à ses clés.
L’emploi d’algorithmes portant les mêmes noms ne prouve pas que deux clients ont une implémentation ou une sécurité identiques. Pour Livara, l’architecture de sécurité publiée décrit la protection prévue. Cet article compare les frontières de confiance des plateformes ; il ne présente pas les résultats d’un audit indépendant de l’un ou l’autre client.
Les différences à examiner
| Surface | Client web | Client Android |
|---|---|---|
| Distribution du code | Code du site, dépendances, cache du navigateur et fonctionnement des mises à jour | Paquet installé et son canal de mise à jour |
| Logiciels supplémentaires | Extensions disposant des autorisations pertinentes, code injecté dans le site | Services d’accessibilité, claviers et autres logiciels privilégiés |
| Stockage | Profil du navigateur et stockage limité à l’origine | Stockage de l’application, contrôles du système et configuration des sauvegardes |
| Accès physique | Session du navigateur déverrouillée et ordinateur partagé | Téléphone déverrouillé et session active de l’application |
| Vérifications d’intégrité | Confiance dans la distribution du site et la sécurité du navigateur | Signatures des paquets et, lorsqu’elles sont disponibles, empreintes de versions provenant d’une source fiable |
Il s’agit de surfaces d’attaque différentes, pas d’un classement universel. Un navigateur dédié et bien entretenu peut être préférable à un téléphone obsolète sur lequel des logiciels malveillants sont installés.
Les extensions peuvent-elles lire les messages chiffrés ?
Une extension disposant de l’accès approprié au site peut utiliser un script de contenu pour lire ou modifier le contenu d’une page. La documentation de Chrome sur les scripts de contenu explique que ces scripts interagissent avec le DOM de la page. Si un message y est affiché sous forme de texte lisible, un script autorisé peut éventuellement y accéder sans casser le chiffrement du message.
Les extensions disposent généralement d’un environnement JavaScript isolé, mais cela ne leur rend pas inaccessible le DOM visible de la page. À l’inverse, il est faux d’affirmer que n’importe quel site sans rapport, ouvert dans le même profil de navigateur, peut automatiquement lire les conversations d’un autre site. Les frontières entre origines du navigateur restent importantes ; les franchir nécessite une interaction autorisée, une vulnérabilité ou un autre accès.
Examinez l’accès des extensions aux sites et supprimez les extensions inutiles. Un profil distinct comportant un minimum d’extensions peut réduire l’exposition, mais ne remédie ni à un système d’exploitation compromis ni à un code de site dangereux.
Ce que WebCrypto fournit — et ne fournit pas
La spécification Web Cryptography du W3C met des opérations cryptographiques à la disposition des applications web. Elle ne certifie pas le protocole construit à partir de ces opérations et ne rend pas inoffensif un script malveillant.
Une clé non extractible limite l’exportation ordinaire du matériau de la clé par l’API. Un code disposant de l’accès approprié peut néanmoins utiliser cette clé pour les opérations autorisées ou lire le texte en clair qui en résulte. La non-extractibilité ne constitue donc pas une protection complète contre un environnement applicatif compromis. La disponibilité des algorithmes dépend aussi de l’implémentation du navigateur ; il faut vérifier leur prise en charge plutôt que la déduire du nom d’une spécification.
Pour les utilisateurs, les questions pratiques sont les suivantes : le navigateur et le système sont-ils à jour, l’origine est-elle la bonne, quelles extensions peuvent accéder au site, et comment l’application gère-t-elle les clés persistantes et la déconnexion ?
Un code web récent contient-il toujours le dernier correctif ?
Non. La distribution par le web peut accélérer les mises à jour, mais la mise en cache, les service workers et les onglets ouverts longtemps peuvent influer sur le code exécuté. Elle suppose aussi de faire confiance au processus de distribution du code du site. Une application installée présente ses propres risques : mises à jour retardées, processus de signature ou de distribution compromis et versions du système qui ne sont plus prises en charge.
Maintenez les deux types de clients à jour par leurs canaux officiels. Ne supposez pas que recharger une page prouve l’application d’un correctif de sécurité, ni qu’une signature de paquet prouve l’absence de vulnérabilités dans l’application.
Comment vérifier un téléchargement Android
Les signatures de paquets Android et une empreinte de fichier publiée répondent à des questions différentes. La documentation officielle d’apksigner décrit la vérification des signatures. Une comparaison SHA-256 peut indiquer si un fichier téléchargé correspond à une référence donnée, mais cette référence doit elle-même être digne de confiance.
Si un attaquant contrôle à la fois l’APK et la somme de contrôle affichée, leur concordance n’établit pas l’authenticité. Calculer l’empreinte d’un fichier ne prouve pas non plus la reproductibilité des compilations, l’absence de comportement malveillant ou la correction de sa cryptographie. Le modèle de menace de Livara reconnaît cette limite liée à la nécessité d’une référence fiable.
N’installez pas une version de remplacement hors des canaux habituels simplement parce qu’un blog présente les applications natives comme plus sûres. Confirmez le canal de distribution officiel et la version exacte que vous comptez installer.
Une liste de vérification pour choisir sa plateforme
- Ordinateur partagé ? Évitez de laisser une session de conversation privée ouverte ; vérifiez les sessions enregistrées et le fonctionnement de la déconnexion.
- Beaucoup d’extensions ? Réduisez leur accès aux sites ou utilisez un profil vierge pour les tâches sensibles.
- Appareil géré ? Comprenez la politique de gestion et de surveillance de l’organisation avant d’utiliser des comptes personnels.
- Services Android non fiables ? Examinez les accès liés à l’accessibilité, aux notifications, au clavier et à l’assistance à distance, sans désactiver indistinctement les outils d’assistance dont vous avez besoin.
- Historique conservé longtemps ? Avant toute suppression, comprenez comment les clés et les sauvegardes sont conservées après un nettoyage du stockage du navigateur ou une réinstallation de l’application.
- Conversation à haut risque ? Vérifiez l’identité du contact par une voie indépendante et fiable, et prenez en compte la sécurité des appareils des deux participants.
Pour une décision plus globale, utilisez la liste de vérification d’une messagerie sécurisée. Aucune des deux plateformes ne supprime la copie des contenus par le destinataire, l’accès par un appareil malveillant ou les métadonnées conservées par un service.
Questions fréquentes
Une extension de navigateur doit-elle casser le chiffrement ?
Pas si elle a accès au texte en clair déjà affiché dans la page. Les autorisations pertinentes et les protections du navigateur déterminent cet accès.
L’application Android est-elle toujours le choix le plus sûr ?
Non. L’état de l’appareil, la prise en charge des mises à jour, la source d’installation et les logiciels privilégiés comptent. Comparez l’environnement dont vous disposez réellement.
Une somme de contrôle identique prouve-t-elle qu’une compilation est sûre ?
Elle prouve l’égalité avec l’empreinte de référence sous les hypothèses de la fonction de hachage. Elle n’établit ni l’authenticité de la référence ni la sûreté du code.
