La lettre : comment ça marche
La lettre est conçue pour rester lisible seulement lorsque les deux personnes sont réunies. Le texte est chiffré dans votre navigateur avant son départ, puis la clé reste dans l'adresse qui s'ouvre avec un QR code.
Le modèle de menace
Le modèle de menace décrit ce que la lettre cherche à protéger et les situations qui sortent de son périmètre. Ici, l'objectif est de limiter ce que le serveur peut lire et de réduire la durée de conservation d'une lettre qui attend son ouverture.
La lettre ne demande aucun nom, aucun compte et aucun destinataire. Ces choix réduisent les informations associées au message. Ils ne rendent pas le téléphone ou l'écran invulnérables.
La sécurité dépend aussi de l'appareil utilisé, du navigateur, du système et de la personne qui consulte la lettre. Une personne ayant accès au téléphone de l'auteur peut, selon son accès, voir des éléments qui ne sont pas protégés par le chiffrement de la lettre.
Le chiffrement dans le navigateur
Avant de partir, le texte est chiffré dans le navigateur avec AES-GCM 256. Le chiffrement se fait sur l'appareil de l'auteur, avant que les données destinées au serveur soient préparées.
Le serveur ne reçoit pas le texte lisible. Il reçoit un chiffré de taille standardisée, 1, 2 ou 4 Ko, afin que la longueur ne révèle pas la taille réelle du message. Il reçoit aussi un vecteur d'initialisation et l'empreinte d'un jeton.
La clé de déchiffrement et le jeton restent sur le téléphone de l'auteur. La clé ne se trouve donc pas dans les données chiffrées déposées sur le serveur.
Le QR code
Pour ouvrir la lettre, vous scannez un code QR avec l'appareil du système. Absoloo n'utilise jamais l'objectif de votre téléphone. Le scan est effectué par l'outil de lecture intégré à votre appareil, puis le navigateur ouvre l'adresse obtenue.
La clé voyage dans le fragment de l'adresse, c'est-à-dire la partie située après le symbole « # ». Cette partie n'est envoyée à aucun serveur par le navigateur. Elle reste disponible pour le navigateur qui ouvre la lettre et permet le déchiffrement sur l'appareil.
Le QR code sert donc à transporter une adresse complète entre les deux appareils. Une personne qui fixe ce code sur un autre appareil peut toutefois conserver cette adresse. Cette situation fait partie des limites à prendre en compte avant de montrer le code.
Suppression et durée
À l'ouverture, la ligne est supprimée. Le contenu chiffré associé à cette lettre ne reste donc pas disponible comme avant l'ouverture.
La lettre disparaît de toute façon après 7 jours, même si elle n'a pas été ouverte. Cette durée limite le temps pendant lequel le chiffré peut attendre sur le serveur.
La suppression ne retire pas une copie que quelqu'un aurait faite ailleurs. Elle ne permet pas non plus de contrôler une copie de l'écran faite par un autre moyen, ni une retranscription.
Ce que le système ne connaît pas
Aucun nom n'est demandé. Aucun compte n'est nécessaire. Aucun destinataire n'est enregistré. La lettre est liée à des éléments techniques utiles à son ouverture et à sa suppression, sans profil personnel associé.
Le serveur reçoit le chiffré, un vecteur d'initialisation et l'empreinte d'un jeton. Il ne reçoit pas la clé qui permet de lire le texte. Le navigateur de l'auteur conserve la clé et le jeton nécessaires au fonctionnement de la lettre.
Ce que nous ne pouvons pas promettre
Nous ne pouvons pas protéger une lettre sur un téléphone compromis ou équipé d'un logiciel espion. Un logiciel qui observe l'appareil peut accéder à des informations avant ou après le chiffrement.
Nous ne pouvons pas empêcher une copie de l'écran ou quelqu'un qui regarde par-dessus l'épaule. Ces situations se produisent en dehors du chiffrement du message.
Nous ne pouvons pas annuler la copie gardée volontairement par la personne qui reçoit. Nous ne pouvons pas non plus rendre inutilisable un code QR recopié avant son ouverture.
La lettre protège un échange dans un scénario précis. Elle ne remplace pas les protections du téléphone, le verrouillage de l'écran, les mises à jour du système ou votre jugement sur le moment et le lieu de partage.
Questions fréquentes
Le serveur peut-il lire la lettre ? Non. Le texte est chiffré dans le navigateur avant son départ et le serveur ne reçoit que le chiffré, un vecteur d'initialisation et l'empreinte d'un jeton.
Quelle méthode de chiffrement est utilisée ? Le navigateur utilise AES-GCM 256.
Pourquoi le chiffré fait-il 1, 2 ou 4 Ko ? Ces tailles standardisées évitent que la longueur du chiffré indique directement la longueur du texte.
Où se trouve la clé ? La clé reste sur le téléphone de l'auteur et voyage dans le fragment de l'adresse.
Le fragment de l'adresse est-il envoyé au serveur ? Non. Le navigateur n'envoie cette partie à aucun serveur.
Absoloo se sert-il de l'objectif pour scanner le code ? Non. Le code QR est lu par l'outil du système, sans utilisation de l'objectif par Absoloo.
Quand la lettre est-elle supprimée ? La ligne est supprimée à l'ouverture et la lettre disparaît de toute façon après 7 jours.
La lettre peut-elle être reliée à un nom ou à un compte ? Aucun nom, aucun compte et aucun destinataire ne sont nécessaires.
La sécurité est-elle garantie dans toutes les situations ? Non. Un téléphone compromis, un logiciel espion, une copie de l'écran, une personne qui regarde par-dessus l'épaule, un code QR recopié ou une copie gardée volontairement restent hors de portée du système.