Ce contre quoi Obleevo vous protège, et ce contre quoi il ne vous protège pas
Un compte rendu simple de ce à quoi Obleevo est conçu pour résister, et de l’endroit où sa protection s’arrête. Rien ici ne promet qu’il résiste à tout : c’est ce que fait sa conception, et ce qu’elle laisse à votre charge.
1. Ce contre quoi il protège
Le serveur qui lirait ce que vous partagez. Messages, fichiers, voix, écrans et notes sont chiffrés de bout en bout entre les navigateurs par WebRTC, puis une seconde fois avec des clés post-quantiques (un hybride de X25519 et de ML-KEM-768, avec AES-256-GCM). Le serveur ne fait que présenter les navigateurs l’un à l’autre; il ne détient jamais de clé.
Ceux qui observent le réseau. Votre Wi-Fi, votre fournisseur Internet et le relais qui transporte une connexion quand une connexion directe est impossible voient des octets chiffrés qu’ils ne peuvent pas lire.
Enregistré aujourd’hui, déchiffré demain. La couche post-quantique est là pour que le trafic capté aujourd’hui reste scellé, même face à un futur ordinateur quantique.
Un serveur volé ou saisi. Il n’y a ni comptes, ni base de données, ni fichiers ou messages conservés : un salon vit en mémoire et disparaît quand il se termine. Prendre le serveur donne le code — que chaque navigateur reçoit de toute façon — et des totaux par jour. Un serveur pris en marche contient aussi, en mémoire, les salons et les adresses ouverts à ce moment, ainsi que ses journaux système.
Les métadonnées, réduites au minimum. Aucun journal d’accès, aucun témoin; une adresse IP n’est gardée en mémoire que pendant que sa connexion est ouverte, et un code de salon que tant que son salon existe. L’avis de confidentialité en fait la liste complète.
2. Ce contre quoi il ne protège pas
Un appareil compromis. Un logiciel malveillant, une extension de navigateur hostile ou quelqu’un qui tient votre téléphone déverrouillé voit ce que vous voyez. Obleevo avertit quand quelque chose modifie sa page, mais ce qui se contente de la lire ne laisse aucune trace.
Les personnes avec qui vous partagez. Un destinataire peut faire une capture d’écran, photographier l’écran, garder un fichier ou le transmettre. La vue unique et le fait de brûler le salon limitent ce qui reste sur son écran, pas ce qu’il décide de garder.
Une première visite servie par un serveur hostile. Le code qui chiffre vient du serveur. Si le serveur est hostile la première fois qu’un navigateur ouvre Obleevo, il n’existe aucune copie plus ancienne pour le vérifier.
Une version visant une seule personne qui n’a jamais eu l’application. Un serveur peut remettre à un visiteur un code différent. La page Vérifier, et la comparaison de son empreinte avec celle de quelqu’un d’autre, peuvent le révéler après coup; elles ne peuvent pas l’empêcher.
Le moment et la taille. Le serveur et les relais voient quand vous vous connectez, depuis quelle adresse (Masquer mon IP la remplace par celle du relais), combien de temps, et à peu près combien de données passent — pas ce que c’est.
Pas encore d’audit indépendant. Chaque revue de la page Audits de sécurité a été faite à l’interne, par nous, tout comme nos tests. Aucune firme externe n’a audité Obleevo.
3. Ce n’est pas un outil d’anonymat
Obleevo met ce que vous partagez hors de portée, y compris de la nôtre. Il ne cache pas que vous l’avez utilisé et n’est pas fait pour échapper à la loi; les usages illégaux sont interdits par les Conditions.
Ce qui reste traçable. Le serveur et les relais voient votre adresse IP tant que vous êtes connecté. Cloudflare, l’hébergeur et d’autres fournisseurs tiennent leurs propres registres. Votre fournisseur d’accès voit que vous vous connectez à obleevo.com. Les personnes du salon peuvent garder ce que vous envoyez et peuvent témoigner. Un appareil saisi ou compromis peut contenir des traces. La police dispose d’autres moyens d’enquête.
Ce qui n’existe pas de notre côté. Aucun compte, aucun contenu sur nos serveurs, aucun journal de qui a parlé à qui, et rien au sujet d’un salon terminé. L’article 20 de l’avis de confidentialité en donne la liste complète, dans les deux sens.
4. Les mises à jour signées, et leurs limites
Depuis la v1.41.0, la déclaration publiée pour chaque version — l’empreinte de chaque fichier qu’elle sert — est signée avec une clé que le propriétaire garde hors ligne. Le serveur ne détient jamais cette clé : un serveur piraté ne peut donc pas signer le code qu’il sert.
Une fois Obleevo ouvert dans un navigateur, l’application y garde son code et l’exécute de là. Du nouveau code n’arrive que sous forme de nouvelle version, et la copie que vous avez déjà la vérifie avant de lui faire confiance : signée avec la clé intégrée à l’application, plus récente que la vôtre, et composée des fichiers que couvre la signature. Elle affiche alors « Nouvelle version vérifiée ». Sinon, elle vous dit de fermer Obleevo, ne recharge pas la page et retire la nouvelle version du navigateur, autant qu’une page le peut. Quand le serveur ne répond pas à la vérification, elle dit qu’elle n’a pas pu vérifier — pas que quelque chose cloche.
L’aperçu sécurisé (v1.42.0) suit la même règle. Le cadre où un fichier reçu s’affiche ne prend rien du serveur sur parole : l’application écrit elle-même tout le document du cadre, et chaque script qu’il charge — ainsi que le worker de pdf.js, que l’application vérifie avant de le lui passer — doit correspondre à une empreinte SHA-384 que l’application détient. Tout le reste est refusé et jamais exécuté, avec un message qui dit pourquoi. La limite est celle de l’application : ces empreintes ne valent que ce que vaut la copie de l’application qui les détient, donc une première visite servie par un serveur hostile n’est pas protégée ici non plus.
Les limites. Un navigateur installe une nouvelle version quoi qu’en pense la page : une page peut la détecter et la défaire, pas la bloquer. Un serveur qui répondrait à la demande du navigateur autrement qu’à la vérification de la page, pendant qu’une vraie version plus récente existe, pourrait passer; il faut pour cela un travail délibéré contre une personne, et la page Vérifier contrôle de nouveau. La première visite dans un navigateur, une fenêtre privée, ou une visite après avoir brûlé un salon ou effacé les données du site (deux gestes qui effacent volontairement la copie installée) commencent sans rien pour vérifier. Et une signature dit qui a publié le code, pas que ce code est sans faille.
La clé intégrée à l’application ne change que par une version signée avec la clé précédente. Rien de ce que le serveur envoie — un fichier, un en-tête, une adresse — ne peut la changer.
5. Vérifiez vous-même
La page Vérifier calcule l’empreinte de chaque fichier dans votre navigateur et la compare à la liste publiée, vérifie cette liste à l’aide de sa déclaration de version, horodatée dans Bitcoin par OpenTimestamps, et depuis la v1.41.0 vérifie la signature de la déclaration — avec la commande ssh-keygen pour la vérifier sur votre propre ordinateur. Comparer l’empreinte qu’elle affiche avec quelqu’un sur un autre appareil et un autre réseau vous dit si on vous a servi le même code à tous les deux.
Vous avez trouvé un moyen de contourner tout ça? Dites-le-nous d’abord.
Dernière révision:
À propos · Faire affaire avec nous · Tutoriels · Pourquoi · FAQ · Conditions · Confidentialité · Accessibilité · Témoins · Sécurité · Audits de sécurité · Format du coffre-fort · Nous joindre · Nouveautés
Obleevo est développé par The House of Brendrof. Logiciel propriétaire, d’utilisation gratuite.