Tchap, une messagerie sécurisée gouvernementale

Alors que le gouvernement apprécie particulièrement la messagerie chiffrée de bout en bout Telegram, il a eu l’idée de lancer sa propre application de messagerie sécurité : Tchap.

L’État français vient de déployer sa propre messagerie instantanée souveraine sur le Google Play Store pour Android et sur l’App Store d’Apple pour iOS : Tchap (en référence à Claude Chappe, l’inventeur du télégraphe optique lors de la Révolution). Attention, pour s’en servir une adresse mail en .gouv est requise, ou alors, il faut être invité par quelqu’un l’utilisant déjà.

L’usage de Telegram par l’actuel gouvernement français avait fortement interpellé plusieurs spécialistes en cybersécurité :

« Beaucoup de chercheurs reprochent à Telegram d’avoir un chiffrement plus que douteux. Difficile de savoir qui peut véritablement peut accéder aux données, les serveurs étant en Russie« , explique le chercheur en sécurité français x0rz sur BFM Tech.

« Telegram n’effectue aucun chiffrement pour les messages de groupe, même s’il se présente sous la forme d’une messagerie chiffrée  », dénonçait début 2018 Moxie Marlinspike, un hacktiviste.

Tchap permet d’envoyer du texte, des photos, des fichiers, des liens et des vidéos. Il est possible de discuter avec une seule personne ou plusieurs (via un salon), comme c’est le cas sur de nombreuses messageries comme Messenger, WhatsApp, Telegram, Signal et autres. Néanmoins, l’application ne dispose pas encore des appels audio ou vidéo, des fonctionnalités qui devraient être ajoutées très bientôt, précise Nadi Bou Hanna, le directeur interministériel du numérique. L’application est conçue en collaboration avec New Vector, une start-up franco-britannique, ainsi que les directeurs des systèmes informatiques du ministère des Armées et du ministère des Affaires étrangères, auxquels s’ajoute aussi l’entreprise Thalès.

Pour ce qui est de l’aspect sécurité, l’application est chiffrée de bout en bout et hébergée sur des serveurs gouvernementaux, ce qui devrait éviter toute fuite de données sensibles et l’utilisation d’une messagerie étrangère. Notons au passage que Tchap est un projet open-source géré par le Disinc.

Précisons qu’aucune information classée secret défense ne pourra être échangée par le biais de cette application : ce type de communication continuera de passer par des téléphones sécurisés militaires ou autres moyens 100% dédiés.

Déjà un problème de sécurité détecté ?

Visiblement, l’application Tchap fait déjà parler d’elle mais pas qu’en bien ! En effet, un spécialiste de la sécurité informatique a lancé une alerte sur Twitter après avoir découvert un important problème de sécurité. Le chercheur en sécurité Elliot Alderson a indiqué avoir réussi à accéder à l’application en quelques minutes seulement sans y être invité ni autorisé et a contacté les responsables du projet pour correction.

Les développeurs ont très vite corrigé la vulnérabilité en question et ont précisés que l’application est encore en phase de test. Rassurant ou pas ? 🙂