le chiffrement s2s et c2s n'est qu'une partie qui ne protège pas des administrateurs des serveurs (donc Google ici), il faut au minimum ajouter le chiffrement de bout en bout (OTR/GPG), et encore ça ne résout pas tout (on sait toujours à qui et quand on écrit - bref les informations de routage -, le volume approximatif du message, etc.).
Même en dehors de l'affaire PRISM, le fait que les messages soient en clair côté serveur peut poser problème si on ne l'administre pas nous même, ou si on n'a pas une confiance extrême en l'équipe qui administre. D'ailleurs faire administrer un serveur par quelqu'un de proche (famille, association proche, etc), peut inciter plus facilement à jeter un œil aux logs (petit(e) ami(e) jaloux par exemple).
S'ajoute à ça des problèmes qui ne sont pas forcément encore pris en compte dans XMPP: l'usage actuel des clients qui gère le chiffrage de bout en bout chiffre les messages texte, mais pas les données supplémentaires (par exemple texte riche avec XHTML-IM).
La situation semble être en passe de s'améliorer (XEP-0200 par exemple, enfin faudrait que je vois ça plus en détails pour être sûr), il faut voir comment ça évolue en particulier du côté des clients.
[^] # Re: Les "petits frères" de l'IETF aussi
Posté par Goffi (site web personnel, Mastodon) . En réponse au journal L'IETF se lance dans la lutte contre l'espionnage. Évalué à 5.
le chiffrement s2s et c2s n'est qu'une partie qui ne protège pas des administrateurs des serveurs (donc Google ici), il faut au minimum ajouter le chiffrement de bout en bout (OTR/GPG), et encore ça ne résout pas tout (on sait toujours à qui et quand on écrit - bref les informations de routage -, le volume approximatif du message, etc.).
Même en dehors de l'affaire PRISM, le fait que les messages soient en clair côté serveur peut poser problème si on ne l'administre pas nous même, ou si on n'a pas une confiance extrême en l'équipe qui administre. D'ailleurs faire administrer un serveur par quelqu'un de proche (famille, association proche, etc), peut inciter plus facilement à jeter un œil aux logs (petit(e) ami(e) jaloux par exemple).
S'ajoute à ça des problèmes qui ne sont pas forcément encore pris en compte dans XMPP: l'usage actuel des clients qui gère le chiffrage de bout en bout chiffre les messages texte, mais pas les données supplémentaires (par exemple texte riche avec XHTML-IM).
La situation semble être en passe de s'améliorer (XEP-0200 par exemple, enfin faudrait que je vois ça plus en détails pour être sûr), il faut voir comment ça évolue en particulier du côté des clients.