Failles de sécurité dans Signal : deux vulnérabilités corrigées Deux vulnérabilités corrigées dans Signal permettaient d’insérer des messages dans des conversations; un audit approfondi s’impose.
Les failles de sécurité dans Signal ont été révélées par des chercheurs qui démontrent que, si elles sont exploitées ensemble, elles permettent d’insérer des messages dans des conversations entre individus ou dans des groupes. Ces vulnérabilités ont été corrigées rapidement par l’équipe de Signal, mais elles alimentent un débat sur la nécessité d’audits plus poussés des composants côté client et des mécanismes de pseudonymisation.
Deux failles révélées dans Signal et leur portée
En septembre, des chercheurs de l’École Polytechnique Fédérale de Zurich (EPFZ) et du Max Planck Institute ont signalé deux vulnérabilités dans l’application. Exploitables conjointement, elles permettaient d’insérer des messages dans une conversation existante, qu’il s’agisse d’un échange individuel ou d’un groupe. Après communication, Signal a publié un correctif et les chercheurs appellent à un audit plus global de l’application et de ses implémentations. Signal s’appuie notamment sur la bibliothèque Libsignal, une collection d’algorithmes et de protocoles utilisés dans de nombreux projets cryptographiques.
Première faille : la pseudonymisation et l’identité des interlocuteurs
La première faille concerne l’implémentation de la pseudonymisation annoncée officiellement en 2024 dans les versions Android et Desktop. Signal remplace les numéros de téléphone par un nom d’utilisateur dans certaines parties du système; une faiblesse dans cette partie pouvait être exploitée pour perturber le flux des messages ou les associations d’identités, ouvrant la voie à l’insertion non autorisée de messages dans une conversation.
Deuxième faille et vecteur d’injection
La seconde faille, distincte mais liée, touchait une autre étape du traitement des messages et renforçait le vecteur d’injection lorsque les deux vulnérabilités étaient combinées. Le patch a été déployé dans les versions concernées, mais les chercheurs estiment qu’un audit plus approfondi de l’application est nécessaire pour écarter d’autres surfaces d’attaque.
Ce que cela change pour la sécurité des messageries
Ces découvertes rappellent que la sécurité ne dépend pas uniquement des protocoles, mais aussi des implémentations côté client. En plus du chiffrement, la robustesse des mécanismes d’identification et de traitement des messages doit être scrutée en continu.
- Audit nécessaire : exiger un examen approfondi des composants côté client et des mécanismes de pseudonymisation.
- Vigilance sur les mises à jour : les versions Android et Desktop doivent intégrer rapidement les correctifs et vérifier l’absence de régressions.
- Leçon générale : la sécurité est un processus évolutif et nécessite des tests continus et des audits externes.
Pour terminer
En fin de compte, ces vulnérabilités démontrent que même des protocoles robustes peuvent être fragilisés par des choix d’implémentation. Le patch montre la bonne direction, mais l’audit indépendant et régulier demeure indispensable pour préserver la confiance des utilisateurs et prévenir d’autres surprises techniques.
