La sécurité sur Telegram : un écran de fumée

Dans la newsletter d’aujourd’hui:

Pour les abonnés gratuits:

• L’édito: “La sécurité sur Telegram : un écran de fumée” par Frédéric Simottel

Pour les abonnés payants:

• Études: Les PME françaises en alerte.

• La Tribune: “L’absence de perspectives féminines dans le domaine de la cybersécurité est une vulnérabilité évidente.”

• A ne pas manquer sur le web: 144 attaques d’envergure déjouées durant les JO.

Nous avons vécu une rentrée chahutée dans la tech avec notamment  l’arrestation au Bourget de Pavel Durov, le fondateur de la plateforme Telegram. Mis en examen, remis en liberté mais soumis à un contrôle judiciaire strict avec interdiction de quitter le territoire, il est reproché au milliardaire franco-russe de ne pas suffisamment collaborer avec les autorités sur des affaires de pédo-criminalité et de trafic de stupéfiants. 

Il n’en fallait pas plus pour que la « twitto/X-Sphère » se déchaîne et hurle à l’atteinte à la liberté d’expression, au caractère responsable en tant qu’hébergeur, mais pas coupable de Telegram. D’autres au contraire ont salué une inculpation méritée, condamnant le manque de collaboration et l’absence de modération de cette plateforme utilisée par de nombreux criminels. Au final, ce sont douze chefs d’accusations qui ont été retenus contre Pavel Durov. L’occasion de revenir sur le modèle de Telegram, est-il aussi sécurisé qu’on le dit ? 

La sécurité sur Telegram : un écran de fumée

Tous les experts en cybersécurité vous le diront. La réputation de Telegram en tant que plate-forme ultra-sécurisée où tous les échanges sont chiffrés est totalement surfaite. «Telegram, c’est aujourd’hui beaucoup plus un modèle marketing qu’un symbole des technologies de sécurité », dit Gérôme Billois, expert chez Wavestone (voir plus bas la rubrique À lire/A voir sur le Web). Cette image d’excellence cyber, on la doit surtout à la notoriété de son fondateur Pavel Durov qui entretient ainsi la réputation autour de l’outil qu’il a lancé en 2013, associé à son frère Nicolaï. Telegram se veut à la fois une messagerie, un réseau social et une plateforme de blogs. Le jeune Russe n’en est pas à son premier projet puisqu’il a déjà créé Vkontakte, l’équivalent de Facebook en Russie, dont il a été évincé de 2014 sous pression du régime Poutine. Il quitte alors son pays natal pour s’installer à Dubaï et profite des 300 millions de dollars de la vente de ses actions Vkontacte pour créer Telegram.

Pavel Durov défend le critère de confidentialité de sa plateforme

Pavel Durov s’appuie alors sur ses déboires avec le pouvoir russe pour scénariser l’aventure Telegram. Il veut ainsi en premier rassurer, affirmant que le premier caractère de sa plateforme est la confidentialité. Les données des utilisateurs sont protégées et les échanges chiffrés. Problème, si dans un premier temps, des dissidents et opposants de certains régimes y voient une opportunité pour poursuivre leur lutte anti-régime, d’autres individus beaucoup moins bien intentionnés s’embarquent rapidement sur Telegram pour échanger bien à l‘abri des regards toutes sortes de contenus, y compris des images pédopornographiques, des informations en lien avec des activités terroristes, des armes ou encore des produits stupéfiants. Malgré les affirmations de Pavel Durov comme quoi les activités illicites sur Telegram représenteraient moins de 0,001% du trafic, « Nous ne sommes pas une sorte de paradis anarchique », il n’en faut pas plus pour que la plateforme devienne plus sulfureuse dans les médias. Alors certes, Telegram n’est pas le seul réseau social pointé du doigt pour le fait d’être « squatté » par des criminels mais il est certainement celui qui a gagné le plus en popularité sur le sujet. Il en joue d’ailleurs puisqu’il voit sa crédibilité en termes de cybersécurité se renforcer. D’aucuns se disent que si des activités illégales s’y déroulent en toute impunité numérique, nous sommes bien au cœur d’une forteresse technologique.

Des informations et des échanges s’affichent en clair

Une réputation qui dans les faits est totalement usurpée. Les algorithmes propriétaires n’ont jamais été audités en profondeur. Contrairement à d’autres outils de ce type, il n’existe aucun mode collaboratif autour du code source. « Telegram est beaucoup moins performant dans le domaine que d’autres plateformes telles que Whatsapp, Signal, qui sont elles-mêmes un cran au-dessous du français Olvid », dit Gérôme Billois.

C’est vrai que si l’on descend un peu dans les détails, les communications dans Telegram ne sont chiffrées qu’à partir du moment où les interlocuteurs ont activé le mode. Et cela ne fonctionne de bout en bout qu’entre deux personnes et non dans une conversation comprenant de multiples intervenants. Tout ce qui nous est montré sur les forums, dans la messagerie au travers de captures d’écran reprises dans les médias par exemple est en clair. Le chiffrement de l’ensemble du contenu de Telegram n’est qu’un écran de fumée.

Un lieu de rendez vous pour la petite délinquance numérique

Et pourtant, les utilisateurs se comptent en centaines de millions (900) à travers le monde. Le réseau social s’appuie sur un réseau de serveurs décentralisés, mais les données ne sont pas stockées dans des centres de données centraux, comme chez ses concurrents. Une architecture éclatée et une interface fermée qui plaisent aux opposants des régimes autoritaires. Les délinquants eux profitent de la personnalisation de l’application où ils peuvent ajouter de nombreuses fonctions, dont ces fameux bots qui guident les internautes vers tout un tas de services illégaux. C’est également sur ces canaux que l’on retrouve des informations sur les réseaux infectés à partir desquels on peut lancer des attaques, sur l’utilisation des logiciels malveillants, sur la création de deepfakes ou encore sur la vente de drogues.

Un total laisser aller dans la modération de contenu

On comprend ainsi mieux les reproches faits à Telegram et à son dirigeant. On lui demande surtout, comme aux autres, de répondre aux demandes de juges qui agissent au sein de leur juridiction. Pavel Durov se défend de ce laisser-aller dont on l’accuse. Il affirme collaborer dès qu’une autorité lui en fait la demande : « nous supprimons chaque jour des millions de messages et canaux nuisibles » a-t-il récemment écrit sur un blog. La réalité est qu’il ne se soumet aux injonctions de la justice que lorsqu’il est confronté à des faits majeurs et reçoit des pressions exceptionnelles. C’est ce qu’ont compris les juges français qui ont décidé de son interpellation et de son interdiction de quitter le territoire. Acculé, le milliardaire (qui jouit depuis 2021 de la nationalité française) finira bien par collaborer comme il l’a déjà fait en Allemagne qui menaçait de fermer sa plateforme. Ou plus récemment en Corée du Sud. C’est ce qu’il affirme dans un récent message dans lequel il martèle que ces épreuves vont rendre son réseau encore plus sûr et plus solide. Pas certain que cela convainc les juges français.

...