Tchap risque-t-il de faire “pschitt” ?

tchap-messagerie-securisee.jpg

Tchap, la nouvelle application de messagerie sécurisée de l’État français, a été lancée le 17 avril 2019. Deux jours plus tard, le 19 avril, une faille a été découverte par Baptiste Robert (alias Elliot Alderson).

En dehors de la faille dévoilée, liée à l’un des outils libres exploités par l’application (le module Python email.utils), il aurait été opportun que l’accès aux groupes de discussions et aux informations personnelles soit verrouillé jusqu’à l’approbation d’un administrateur du groupe. Il s’agit d’un sérieux problème de confidentialité et de conception.

Les bonnes pratiques de l’ANSSI oubliées par les développeurs ?

En effet, même si une personne dispose d’une adresse e-mail en @gouv.fr ou @elysee.fr ou autre, en aucun cas les bonnes pratiques de la sécurité ne devraient lui permettre d’accéder aux discussions ni aux informations concernant les membres de ce groupe.

On peut également se demander pourquoi ne pas avoir lié l’application à une authentification ou à un annuaire existant. En tout état de cause, il semblerait que les bonnes pratiques de l’ANSSI — qui a pourtant participé au projet — n’aient pas été appliquées…

Des choix techniques discutables

Par ailleurs, à l’instar de WhatsApp ou de Telegram, il aurait été judicieux qu’un membre nouvellement inscrit ne puisse disposer que de la visibilité des contacts présents dans son appareil mobile (via les numéros de téléphone présents dans son répertoire par exemple) pour permettre les échanges en direct avec les interlocuteurs.

Sur la partie technique, il est peu prudent de la part de la DINSIC (direction interministérielle du numérique et du système d'information et de communication de l'État) d’autoriser tous les appareils mobiles à se connecter. On pense aux terminaux mobiles personnels par exemple, qui ne sont pas considérés comme “solides”.

En effet, même si l’application Tchap était sécurisée, une fois installée sur un smartphone non sécurisé, les informations délivrées par l’application pourraient être interceptées.

Un positionnement ambigu et une utilité incertaine

D’ailleurs les messages échangés, même chiffrés lors de leur envoi, apparaissent en clair sur les terminaux de l’expéditeur et des destinataires. Dès lors, même sans être “en diffusion restreinte”, ils peuvent être utilisés à d’autres fins. On se souvient par exemple des menaces de révélation des “fameux messages Telegram” du feuilleton Benalla.

Alors bien sûr, l’application n’est pas destinée à l’échange de messages en diffusion restreinte. Mais la mesure mise en place pour le rappeler semble bien discrète : un rappel lors de l’ouverture de chaque nouvelle conservation serait sans doute une bien meilleure idée.

Bref, messagerie sécurisée mais pas destinée à l’échange de messages véritablement confidentiels, Tchap risque d’avoir du mal à remplir son objectif initial : offrir aux agents de la fonction publique une alternative souveraine aux solutions des GAFAM.

Six semaines après son lancement, sans autre mise à jour que celle ayant corrigé le fameux bug initial, et avec des retours disons mitigés sur iOS comme sur Android, le potentiel d'adhésion de l’application semble difficile à trouver.

De quoi douter sérieusement des chances de succès de Tchap, qui pourrait bien finir par faire “pschitt”...