WhatsApp est-il sécurisé ? Pour le contenu des messages, oui : selon un document interne de l’équipe de sécurité de WhatsApp, révélé en mai 2024, les conversations restent protégées par le chiffrement. Le risque porte ailleurs, sur les métadonnées : qui parle à qui, quand, et dans quels groupes.
Ce document décrit une surveillance que des États pratiquent sans casser le chiffrement. Il éclaire une question plus large que WhatsApp : ce qu’une messagerie chiffrée protège vraiment, et ce qu’elle laisse voir.
WhatsApp est-il sécurisé selon sa propre équipe de sécurité
En mars 2024, l’équipe de sécurité de WhatsApp a diffusé une évaluation des menaces à ses collègues de Meta. Le média américain The Intercept l’a obtenue et l’a publiée le 22 mai 2024, dans l’article This Undisclosed WhatsApp Vulnerability Lets Governments See Who You Message. Selon ce document, le contenu des conversations des 2 milliards d’utilisateurs reste sûr.
Toutefois, des agences gouvernementales contournent ce chiffrement pour savoir qui communique avec qui, qui appartient à un groupe privé, et parfois où se trouvent les utilisateurs. Le document parle de vulnérabilités « en cours » et cite WhatsApp 17 fois. Il précise aussi que les autres messageries concurrentes subissent les mêmes techniques.
Meta conteste cette lecture. Sa porte-parole, Mme Christina LoNigro, a déclaré : « WhatsApp n’a pas de portes dérobées et nous n’avons aucune preuve de vulnérabilités dans le fonctionnement de WhatsApp. » Selon elle, le document décrit un risque théorique, commun à d’autres applications.
L’analyse du trafic : voir sans lire
La technique en cause s’appelle l’analyse du trafic. Cette méthode date de plusieurs décennies et suppose une surveillance du trafic internet à l’échelle d’un pays. Le chiffrement reste intact. L’observateur étudie les flux de données pour déduire les relations entre utilisateurs.
Deux attaques par corrélation
Le document en décrit deux. Dans la première, un message envoyé à un groupe produit une rafale de données de taille identique vers chaque membre. Un observateur du réseau repère ainsi les membres du groupe. Dans la seconde, la mesure du délai entre l’envoi et la réception d’un message suffit, selon WhatsApp, à estimer la distance entre deux correspondants et leur position.
Ces attaques exigent que tous les membres du groupe, ou les deux côtés d’une conversation, utilisent le même réseau, dans le même pays ou la même « juridiction de traité ». The Intercept y voit une possible référence à l’alliance de renseignement Five Eyes. Le document estime les utilisateurs des démocraties dotées de garanties judiciaires moins exposés. Il cite pourtant l’usage de ces techniques par la NSA sur le sol américain.
Faille WhatsApp : le contexte de Gaza et les choix de Meta
Selon quatre sources internes citées par The Intercept, le document a inquiété des salariés de Meta dans le contexte de la guerre à Gaza. L’accès à internet de la bande de Gaza passe par des opérateurs palestiniens. Ses données transitent pourtant par des câbles en fibre optique israéliens, soumis à la surveillance de l’État d’Israël.
Ces salariés soupçonnaient Israël d’exploiter la faille dans son programme de surveillance des Palestiniens, à un moment où, selon The Intercept, la surveillance numérique aide à décider qui tuer dans la bande de Gaza. Leurs efforts pour obtenir de Meta qu’elle dise ce qu’elle savait n’ont pas abouti, selon ces mêmes sources. Ces sources y voient la marque d’une censure interne plus large contre les expressions de sympathie ou de solidarité avec les Palestiniens depuis le début de la guerre. Interrogée sur une éventuelle enquête interne, la porte-parole n’a pas répondu.
Sécurité WhatsApp contre confort d’usage
Le document chiffre le dilemme. Un délai artificiel ajouté aux messages brouillerait la géolocalisation. En revanche, il ralentirait l’application pour ses 2 milliards d’utilisateurs. De même, un flux régulier de fausses données masquerait les vraies conversations, au prix de la batterie et du forfait mobile.
L’équipe envisage aussi un mode de sécurité renforcée pour les personnes à risque, proche du mode Isolement d’Apple. Le cryptographe Matthew Green, cité par l’article, y voit un piège : activer ce mode peut signaler la personne elle-même. Pour comprendre la logique de ce mode chez Apple, lisez notre article sur le mode Isolement de l’iPhone.
WhatsApp sécurisé ou messagerie spécialisée : choisir selon votre besoin
Un chiffrement solide ne suffit donc pas à protéger l’anonymat des échanges. Pour une conversation ordinaire, le chiffrement du contenu protège l’essentiel. Pour un échange sensible, en revanche, la question devient : quelles métadonnées la messagerie collecte-t-elle, et qui peut observer le réseau ?
Par exemple, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a délivré le 26 mai 2021 une certification de sécurité de premier niveau (CSPN) à la version 0.9.2 pour Android d’Olvid. Son rapport de certification ANSSI-CSPN-2021/12 précise la version certifiée. Selon son éditeur, Olvid ne demande aucun numéro de téléphone ni carnet d’adresses.
Gardez en tête la limite de cette comparaison. Aucune messagerie ne protège seule contre un État qui surveille tout le réseau d’un pays. Lisez aussi notre article sur Olvid et sa certification, puis choisissez l’outil en fonction de la sensibilité réelle de vos échanges.
Sources consultées
L’évaluation interne de WhatsApp, les attaques par corrélation, la réponse de Meta et le contexte de Gaza viennent de l’article de The Intercept du 22 mai 2024, This Undisclosed WhatsApp Vulnerability Lets Governments See Who You Message.
La certification d’Olvid figure dans le rapport de certification ANSSI-CSPN-2021/12, Olvid version 0.9.2 pour Android.
L’absence de numéro de téléphone est indiquée sur le site de l’éditeur Olvid.
Questions fréquentes
WhatsApp est-il sécurisé ?
Le contenu des messages WhatsApp reste chiffré, selon le document interne révélé en mai 2024. Les métadonnées, comme l’identité des correspondants et l’heure des échanges, restent exposées à l’analyse du trafic.
Qu’est-ce que l’analyse du trafic ?
L’analyse du trafic observe les flux de données sur un réseau pour en déduire qui communique avec qui, sans lire le contenu des messages.
Le chiffrement de bout en bout protège-t-il les métadonnées ?
Non. Le chiffrement protège le contenu. Les métadonnées des échanges, comme la taille des envois et leur moment, peuvent rester visibles pour qui observe le réseau.
Un gouvernement peut-il savoir avec qui je parle sur WhatsApp ?
Oui, selon l’évaluation interne de WhatsApp, à condition de surveiller le trafic internet à l’échelle du pays et que les correspondants utilisent le même réseau. Meta qualifie ce risque de théorique.
Quelle messagerie choisir pour un échange sensible ?
Préférez une messagerie qui limite les métadonnées collectées. L’ANSSI a par exemple certifié en 2021 une version d’Olvid au titre de la CSPN, et Olvid ne demande pas de numéro de téléphone.
