En bref
- Vos messages, documents, messages vocaux et appels sont chiffrés de bout en bout : seuls vos appareils et ceux de vos correspondants peuvent les lire.
- Le serveur ne conserve que des données illisibles et ne détient aucune clé pour les ouvrir.
- Bivouac est fermé : il ne parle à aucun autre serveur, et l'on n'y entre que sur invitation.
- Aucune mesure d'audience, aucun traceur, aucun cookie : ni sur ce site, ni dans l'application.
- Sur votre appareil, l'historique est rangé dans une base chiffrée.
Le chiffrement de bout en bout, concrètement
Quand vous envoyez un message, votre appareil le transforme en une suite de caractères sans signification avant qu'il ne parte. Seuls les appareils des personnes de la conversation possèdent la clé qui permet de le remettre en clair. Entre les deux, sur le réseau comme sur le serveur, il reste illisible.
Les clés sont créées sur vos appareils et n'en sortent pas en clair. Les pièces jointes suivent le même chemin : chaque fichier est chiffré sur votre appareil avec sa propre clé, qui voyage à l'intérieur du message chiffré.
Pas de cryptographie maison
Bivouac n'invente rien en matière de chiffrement : c'est la règle la plus sûre. Il s'appuie sur le protocole ouvert Matrix et sur vodozemac, la bibliothèque qui met en œuvre son chiffrement (les mécanismes Olm et Megolm, de la même famille que ceux de Signal). vodozemac a fait l'objet d'un audit de sécurité indépendant.
Les appels
Les appels audio et vidéo passent directement d'un appareil à l'autre, chiffrés par la technologie standard des navigateurs et des applications (WebRTC). Quand un réseau empêche la connexion directe, ils transitent par un relais du serveur, qui ne fait que transmettre un flux chiffré qu'il ne peut pas écouter. L'établissement de l'appel, lui, passe par la conversation chiffrée.
Ce que le serveur voit, et ce qu'il ne voit pas
Il ne voit pas
- le contenu de vos messages ;
- vos photos, vidéos, documents et messages vocaux ;
- ce qui se dit pendant un appel ;
- les liens que vous partagez : il n'en fabrique aucun aperçu.
Il voit, comme tout serveur de messagerie
- votre identifiant et vos appareils connectés ;
- qui fait partie de quelle conversation, et quand un message est envoyé ;
- le nom et l'image d'un groupe, et les noms affichés ;
- les accusés de lecture et l'indication « en train d'écrire » ;
- la taille des pièces jointes et l'adresse IP de vos connexions.
Ces informations sont nécessaires pour acheminer les messages. Bivouac en limite la portée : pas de statut « en ligne », pas de statistiques envoyées où que ce soit, et des journaux techniques qui ne contiennent jamais le contenu de vos échanges.
Un serveur fermé
- Pas de fédération. Beaucoup de serveurs Matrix échangent entre eux, ce qui disperse des informations sur d'autres machines. Celui de Bivouac ne parle qu'à lui-même : vos conversations ne quittent pas le serveur.
- Inscription sur invitation. Un compte ne se crée qu'avec un jeton donné par l'équipe qui administre le serveur. Personne ne s'inscrit par hasard.
- Pas d'annuaire public. La recherche ne fait apparaître que les personnes avec qui vous partagez déjà une conversation.
- Pas de salon public. Toutes les conversations sont privées et chiffrées dès leur création, sans possibilité de retirer le chiffrement.
Sur votre appareil
L'application garde l'historique de vos conversations dans une base de données chiffrée. Sa clé est confiée au trousseau sécurisé de votre système (le trousseau de macOS et d'iOS, le Keystore d'Android, le gestionnaire d'identifiants de Windows ou de Linux). Se déconnecter efface la base et la clé de l'appareil.
Vérifier ses contacts
Pour être sûr de parler à la bonne personne, et pas à un intermédiaire, vous pouvez vérifier un contact en comparant avec lui une courte suite d'émojis, en personne ou par un autre moyen. Vos propres appareils se vérifient de la même façon.
Changer d'appareil
À la première connexion, l'application vous affiche une clé de récupération, une seule fois. Elle protège une sauvegarde chiffrée de vos clés : sans elle, personne, pas même l'administrateur, ne peut rouvrir votre historique sur un nouvel appareil.
Aucune mesure d'audience
Ce site ne dépose aucun cookie, n'exécute aucun script et ne charge rien depuis un autre site : ni police, ni image, ni outil de statistiques. L'application n'en contient pas davantage.
Ce que Bivouac ne fait pas, ou pas encore
- Pas de messages éphémères : un message reste jusqu'à ce que vous le supprimiez.
- Pas de notifications quand l'application est fermée dans la première version : les messages arrivent quand elle est ouverte.
- Pas d'appels vidéo de groupe pour l'instant : les appels se font de personne à personne.
Et une limite qu'aucune messagerie ne lève : le chiffrement protège vos messages en chemin et sur le serveur, pas sur un appareil déjà compromis ni face à une personne qui lit par-dessus votre épaule. Verrouillez vos appareils.