Whispersystem est un éditeur de logiciels de communication sécurisée pour Android sous licence GPL : Redphone (VOIP chiffrée) et TextSecure (SMS chiffrés).
Cependant, je n’ai pas confiance en ces applications.
En effet, on peut se méfier d’être espionné de 2 façons :
- Espionnage massif type étatique, publicitaire, etc… Dans ce cas, les menaces sont Google/Microsoft et les Etats qui contrôlent respectivement votre OS(Android/WindowsPhone), vos applications(Hangout/Skype) et le réseau de communications(DPI).
- Espionnage discret type écoute d’un suspect, phising de VIP, etc…
Or Whispersystem ne distribue ses applications que par GooglePlay :
- Cela veut dire que lorsque vous l’installez, Google le sait et vous met dans une liste (des gens à espionner?).
- Cela vous oblige à installer les GoogleApps sur son smartphone pour profiter des logiciels (ce qui est optionnel si on utilise Cyanogen par exemple). Cela revient à donner les commandes de son smartphone à Google (Google peut installer/désintaller n’importe quelle application silencieusement).
- La version binaire publiée sur le GooglePlay est impossible de comparer aux sources. Qu’est ce qui me garantit que l’application que je télécharge sur le GooglePlay correspond au dépot GitHub? Absolument rien.
- L’ application envoie des données à l’éditeur qui sont indéchiffrables par l’utilisateur.
Ce qui est fait classiquement dans le monde des distributions linux est de recompiler le logiciel à partir des sources sur un bot automatisé. C’est ce que fait Fdroid. Mais apparemment, Whispersystem ne l’entend pas de cet avis et préfère garder le contrôle sur l’installation de leurs logiciels.
Une alternative a conseiller ?
En même temps, vu le passé du créateur de WhisperSystems, genre parano anti état, y a pas mieux.
Son argument principal est que le play store l’aide bien plus à ne pas avoir 20000 rapports de bugs sur des versions obsolètes, et de plus, même sans le playstore et les gapps installés sur un android, le téléphone envoie quand même des données à google (call home). Donc au final, il semblerait que ne pas installer les gapps sur un android, c’est un pansement sur une jambe de bois.
(Et RMS dira qu’utiliser un téléphone mobile est déjà mauvais vis à vis de la vie privée…)
@16aR : tu es sûr que même sur Cyanogen, Google a un accès à ton téléphone?
@plop : J’ai cherché, j’ai rien trouvé de pratique à utiliser pour avoir des communications chiffrées (d’autant plus que si l’attaquant a un root access sur le téléphone de votre correspondant, toute mesure sera inutile :-/ )
En fait, j’ai relu le post, et il semblerait que le call home s’effectue quand le GSF est installé, or tu peux installer cyanogenmod sans le GSF je pense, et donc il ne semblerait pas qu’il y ait de call home. Mais bon, je n’ai jamais lancé de tcpdump… Je ne pourrais pas vérifier
( https://github.com/WhisperSystems/TextSecure/issues/122 )
Comme dit, si tu n’as pas confiance en la release binaire, tu peux toujours le compiler toi même, ça fonctionne.
Le pourquoi de m0xie qui ne voulait pas que f-droid release leur binaire est que ça rajoutait un paquet de bug report complètement hors sujet car sur une version obsolète depuis plusieurs mois dispo sur f-droid car il n’avaient pas été assez réactif sur ce coup. Après c’est monté en guerre d’égo et ça a dérapé. Personnellement, je fais assez confiance à M0xie, même si derrière la proportion du débat était un peu trop grande…
C est un grand plaisir de vous lire avec cette article, je vous en remercie enormement !!!