Tchap piraté : l'illusion d'un chiffrement d'État ?

La sécurité étatique, un oxymore ? Tchap, la messagerie soi-disant 'sécurisée' du gouvernement français, vient de tomber. Une cyberattaque, nous dit-on. Pour certains, un incident de parcours. Pour nous, une nouvelle leçon de philosophie numérique.

On nous a promis un bouclier. On nous a livré une passoire. L'histoire est classique. La promesse, toujours la même : le contrôle, la souveraineté, la confidentialité sous égide publique. Et la chute, toujours identique : une réalité technique qui refuse les slogans politiques.

Réponse rapide

Une messagerie chiffrée, même pilotée par l'État, n'est jamais une forteresse imprenable. Surtout quand elle oublie que le problème n'est pas le trajet du message, mais sa destination finale : la mémoire du système. La prison n'est pas le trajet. C'est la mémoire.

Un État gardien de vos secrets ?

L'État veut nous protéger. Il crée ses outils, ses murs, ses gardiens. Le concept est séduisant : une souveraineté numérique, enfin. Mais l'histoire est une répétition. Rappelez-vous les efforts pour un 'internet français' ou les multiples tentatives de plateformes étatiques. Toutes se sont heurtées à la même réalité : la complexité du code face à la constance de l'appétit.

Qu'est-ce qu'une messagerie étatique ? Une où les serveurs sont 'en France'. Une où les clés sont 'gérées par nous'. Admirable intention. Mais qui est 'nous' ? L'administration ? Le gouvernement ? Et si 'nous' est aussi curieux que n'importe qui ? Les métadonnées, ces empreintes invisibles de nos échanges, restent une tentation permanente. Qui parle à qui, quand, et pendant combien de temps. Le contenu est chiffré, oui. Mais l'annuaire, lui, est clair. Et il est précieux pour la surveillance.

Le mirage du chiffrement 'solide'

Tchap se targue d'un chiffrement de bout en bout. Un point essentiel, que l'on retrouve sur WhatsApp ou Signal. Le message est brouillé sur votre appareil, déchiffré sur celui de votre correspondant. Le chemin est sûr. Mais que se passe-t-il à l'arrivée ? Et avant le départ ?

Beaucoup confondent chiffrement et effacement. Ce sont deux choses distinctes. Une conversation E2E peut être sécurisée durant le transport, puis dormir des années sur un serveur de sauvegarde, ou dans la mémoire d'un appareil. La plupart des applications, même les plus populaires, construisent leur modèle sur cette persistance. Elles ne sont pas faites pour oublier. Elles sont faites pour se souvenir. Et vous garder.

Le gouvernement français, avec Tchap, a voulu démontrer sa capacité à sécuriser les communications de ses agents. Un noble but. Mais l'attaque confirmée démontre une chose simple : le 'qui' n'est pas la seule question. Le 'comment' et le 'combien de temps' sont tout aussi cruciaux. L'architecture même d'une application est plus éloquente que n'importe quel communiqué.

Quand la confiance s'évapore : la mémoire est la prison

La vraie question n'est pas la solidité du cadenas. C'est l'existence du coffre-fort. Si une application est conçue pour archiver chaque mot, chaque image, chaque fichier, elle deviendra, tôt ou tard, une cible. Les data brokers le savent bien : le passé a un prix. Et ces précieuses informations échappent souvent à tout contrôle quand les sauvegardes sont gérées sans principe d'oubli.

Penser à une solution, ce n'est pas juste chiffrer. C'est concevoir un système qui refuse de retenir. Des messages qui s'autodétruisent, une architecture sans serveur central pour stocker l'historique, une volonté de décharger l'utilisateur du fardeau de sa propre mémoire numérique. C'est une philosophie, pas une fonctionnalité. De telles solutions existent, mais elles exigent un changement radical de perspective, loin des paradigmes de surveillance et de rétention de données.

Le drame de Tchap n'est pas que l'État soit faillible. C'est que l'on ait encore cru qu'un 'chiffrement officiel' pouvait nous exonérer de la réflexion. C'est nous qui devons exiger l'oubli. Pas seulement la promesse de sécurité. Car le chiffrement protège le message en transit. Mais qui protège le message quand il est au repos, archivé, sauvegardé, ou tout simplement oublié dans un recoin d'un serveur ?

Alors, quand l'État lui-même trébuche sur ses promesses de sécurité, sommes-nous vraiment censés lui confier les nôtres ?