Une rupture technologique majeure
Notre modèle de sécurité est radicalement innovant. Olvid est le seul moyen de communication ne faisant plus reposer la sécurité des échanges sur des serveurs.
Les serveurs se font hacker ? Peu importe, il n’est pas possible de prendre connaissance des contenus échangés, ni de révéler les identités des interlocuteurs. Olvid est la seule messagerie à chiffrer également les métadonnées en garantissant ainsi l’anonymat des interlocuteurs. Olvid garantit enfin l’authentification des utilisateurs, contrairement à l’intégralité des serveurs des messageries qui se substituent aux tiers de confiance…
Garanties cryptographiques
Sécurité assurée exclusivement par des mesures cryptographiques (par opposition à du simple contrôle d’accès/mot de passe).
Authentification forte
Identité des correspondants garantie sans tiers de confiance
Pas de confiance aux serveurs
Sécurité assurée même en cas de serveur compromis
Confidentialité persistante
Garantie de la confidentialité de l’historique des échanges même en cas de compromission des clés (l’historique des échanges reste inaccessible, chaque message ou fichier échangé est chiffré avec une clé éphémère à usage unique)
Solution multicanale
Disponible sur Android et iOS. Bientôt sur desktop, avec synchronisation, sans dispositif maître.
Anonymat
Incapacité de l’opérateur de savoir « qui parle à qui ».
Aucun tiers ne peut identifier les participants, pas même le serveur. Aucune trace des métadonnées
Et la cryptographie post-quantique ?
Olvid a tout prévu !
La résistance des algorithmes cryptographiques aux ordinateurs quantiques est une question récurrente depuis quelques années. La cryptographie à clé secrète mise en oeuvre aujourd’hui dans Olvid est déjà résistante à ce type de machines, mais ce n’est pas le cas des primitives à clé publique dans la mesure où il n’existe, à ce jour, pas de standard « post-quantique » reconnu.
C’est pour cette raison que le NIST (National Institute of Standards and Technology) a organisé un appel à contribution mondial (NIST - Post-Quantum Cryptography) visant à standardiser plusieurs primitives à clé publique. Les vainqueurs devraient être annoncés dans le courant de l’année 2020. L’architecture du cœur cryptographique d’Olvid a été conçue en prévision de l’arrivée de ces algorithmes que nous serons parmi les premiers à intégrer dans un produit commercial.
Les enjeux de sécurité
Authentification & chiffrement des données et métadonnées
Aucun moyen de communications actuel ne peut garantir simultanément ces 3 composants.
Les messageries mails chiffrées garantissent l’authentification des utilisateurs mais le niveau de sécurité des échanges n’est pas suffisant. Les messageries instantanées proposent des qualités de chiffrement diverses mais ne garantissent pas l’authentification des utilisateurs. Enfin, messageries mails et instantanées actuelles laissent toutes des traces sur les serveurs…
Olvid résout dans une seule et même application ces trois problématiques.
Authentification
Garantir l’utilisation de la bonne clé afin d’être sûr que l’on communique avec la bonne personne
Chiffrement des données
Utiliser cette clé correctement, avec des mécanismes à l’état de l’art afin d’être sûr qu’aucun tiers ne puisse prendre connaissance de vos échanges
Chiffrement des métadonnées
Protéger l’ensemble de l’information par cette clé afin de préserver l’anonymat des échanges
Mais que font les autres ?
Mails chiffrés
Focus sur l’authentification
Pas de confidentialité persistente
Métadonnées en clair dans l’en-tête
Le mail n’offrira jamais un niveau de sécurité acceptable
Messageries sécurisées traditionnelles
Focus sur le chiffrement de bout-en-bout
Accès obligatoire à des données personnelles pour fonctionner
Authentification faillible reposant sur un ou plusieurs tiers de confiance
Ne nous croyez pas sur parole
Nous mettons tout en œuvre pour vous assurer qu’Olvid est bien la messagerie la plus sûre du monde. C’est pour cette raison que nous soumettons notre travail au regard critique de professionnels d’excellence, aux compétences complémentaires. Jugez plutôt.
Validation scientifique
Pour créer Olvid, nos cryptologues ont conçu des protocoles cryptographiques sur mesure et adapté des protocoles théoriques aux contraintes du monde réel. Le fruit de ce travail fait l’objet d’une validation formelle par Michel Abdalla, Directeur de Recherche au CNRS, Professeur-attaché à l’ENS, président du board de l’IACR (International Association for Cryptologic Research). Le premier article formalisant ses résultats est disponible sur les ePrint de l'IACR.
Certification
Olvid est la première messagerie instantanée ayant reçu une CSPN, délivrée par l'ANSSI. La cible de sécurité ainsi que le rapport de certification sont disponibles dans la liste des produits certifiés.
Par volonté de transparence, nous avons décidé de rendre public le Rapport Technique d'Évaluation produit par l'excellente équipe de Synacktiv. Attention, c'est effectivement « technique ». Âmes sensibles s'abstenir 🤓.
Validation Pratique
Un programme public de Bug Bounty est aujourd’hui en cours via la plateforme de Yes We Hack. Cela signifie que nous avons officiellement autorisé des hunters (experts en attaques) à attaquer nos implémentations iOS et Android d’Olvid. Si une faille est trouvée, nous la corrigeons et rémunérons le hunter victorieux. Olvid est ainsi plus sûre, le hunter est heureux, la vie est belle 🌈.