WhatsApp promet des backups chiffrés cette année

Les backups chiffrés ? WhatsApp s’en approche. Il vise en tout cas une mise en œuvre d’ici à la fin de l’année.

L’entreprise a déjà tenté de proposer cette option par le passé. Sa première tentative remonte à 2016, en connexion avec iCloud. L’implémentation s’était toutefois révélée vulnérable. En particulier aux attaques par transfert de SIM.

Cinq ans plus tard, l’approche n’est plus la même. Dans les grandes lignes, elle implique :

• Chiffrement des données en local avec une clé AES-GCM 256 bits issue d’un générateur de nombres pseudo-aléatoire*
• Protection de cette clé grâce à un mot de passe que choisit l’utilisateur
• Transfert de la clé vers un « coffre-fort » fondé sur des HSM répartis dans 5 datacenters

La communication entre le client et le coffre-fort repose sur le protocole OPAQUE. Celui-ci permet de créer un enregistrement et d’y sécuriser l’accès avec le mot de passe, sans communiquer ce dernier aux HSM.

On pourra, promet WhatsApp, accéder aux backups chiffrés sur iOS (via iCloud) comme sur Android (via Google Drive). Pour le moment, la procédure ne fonctionne qu’avec l’appareil principal associé à un compte.

* Autre option : utiliser sa propre clé, qui n’ira pas sur les serveurs de WhatsApp

Illustration principale © Sara Michilin – Adobe Stock