D'accord

Tout à fait d'accord avec ceci :

De manière générale c’est le problèmes des systèmes où le lien entre personne physique et clef de chiffrement est établi et contrôlé par un acteur tiers, comme WhatsApp, ou en utilisant des mécanismes peu fiables, comme le contrôle du numéro de téléphone.

J'y pense depuis des mois, et il faudrait que je rédige un article plus détaillé, parce que je suis assez ennuyé par tous ces systèmes de communication qui vantent un chiffrement de bout en bout, sans complexité pour l'utilisateur, et prétendent n'avoir aucun moyen de déchiffrer les communications, même si on leur demande très très fort.

C'est bien simple, si vous n'avez à aucun moment validé la clef de votre correspondant en le rencontrant directement et en échangeant au moins un hachage de cette clef, ou si le code du logiciel n'est pas accessible, compilable et utilisable après compilation maison, l'affirmation précédente est simplement fausse : le fournisseur a tout à fait moyen de déchiffrer les communications. En effet :

• si vous n'avez pas de moyen de valider sérieusement la clef d'un correspondant, sur demande des autorités, le fournisseur du service peut s'être placé en homme du milieu sans que ça se voie ;
• si on ne peut pas vérifier le code, puis le compiler pour utiliser sa version vérifiée, même en validant les clef, le fournisseur peut tout à fait s'être placé en homme du milieu, et afficher malgré tout des hachages de clefs valides, alors que le logiciel utilise d'autres clefs à la place.