Justement, Conversation (un client XMPP pour Android) supporte OMEMO pour le chiffrement de bout en bout depuis quelques versions, mais il fallait l'activer manuellement, puis autoriser les signatures des périphériques un à un.
Comme cette démarche est difficile en pratique, et ils viennent de sortir une version (1.15) qui apporte une amélioration intéressante dans ce sens: ils proposent d'activer un chiffrement par défaut pour tous les périphériques tant qu'aucune authentification n'a été réalisée.
Quand le processus d'authentification est réalisé (par le scan d'un QR Code [obtenu par un autre canal sécurisé] au lieu du contrôle manuel et fastidieux des signatures [obtenu par le même canal XMPP]), ils considèrent que l'utilisateur est capable d'authentifier les périphériques des contacts authentifiés et ne chiffrent plus que pour ces périphériques.
Je trouve la démarche intéressante, car il permet de ne pas tomber dans un modèle où tout est chiffré sans authentification réelle des utilisateurs, mais il permet quand même aux utilisateurs sans capacités à réalisé l'authentificaiton (soit de sa part, soit de la part du contact) d'avoir le minimum du chiffrement.
Désolé si ce n'est pas très claire, j'ai lu leur explication du principe ce matin plus ou moins en vitesse et je ne suis pas sûr d'avoir tout compris. Je vous conseille donc de lire leur post original qui détaille plus la situation actuelle et la solution intermédiaire qu'ils ont mis en place.
[^] # Re: Wire
Posté par Adrien Dorsaz (site web personnel, Mastodon) . En réponse à la dépêche Silence : XMPP, chiffrement et méta‐données. Évalué à 2.
Justement, Conversation (un client XMPP pour Android) supporte OMEMO pour le chiffrement de bout en bout depuis quelques versions, mais il fallait l'activer manuellement, puis autoriser les signatures des périphériques un à un.
Comme cette démarche est difficile en pratique, et ils viennent de sortir une version (1.15) qui apporte une amélioration intéressante dans ce sens: ils proposent d'activer un chiffrement par défaut pour tous les périphériques tant qu'aucune authentification n'a été réalisée.
Quand le processus d'authentification est réalisé (par le scan d'un QR Code [obtenu par un autre canal sécurisé] au lieu du contrôle manuel et fastidieux des signatures [obtenu par le même canal XMPP]), ils considèrent que l'utilisateur est capable d'authentifier les périphériques des contacts authentifiés et ne chiffrent plus que pour ces périphériques.
Je trouve la démarche intéressante, car il permet de ne pas tomber dans un modèle où tout est chiffré sans authentification réelle des utilisateurs, mais il permet quand même aux utilisateurs sans capacités à réalisé l'authentificaiton (soit de sa part, soit de la part du contact) d'avoir le minimum du chiffrement.
Désolé si ce n'est pas très claire, j'ai lu leur explication du principe ce matin plus ou moins en vitesse et je ne suis pas sûr d'avoir tout compris. Je vous conseille donc de lire leur post original qui détaille plus la situation actuelle et la solution intermédiaire qu'ils ont mis en place.