Signal est-il un moyen sécurisé et secret de communiquer via des appels vocaux?
Signal (ancien RedPhone) fournit un cryptage de bout en bout pour vos appels, sécurisant vos conversations afin que personne ne puisse écouter.
Mais vraiment, quelle est la probabilité qu'une conversation vocale soit encore mise sur écoute?
Et les coordonnées (comme le numéro de téléphone) sont-elles également cachées au fournisseur? Ou le fournisseur peut-il créer une base de données de qui-sait-qui?
En parcourant le source sur GitHub , on apprend qu'il utilise ZRTP.
De Quelles sont les vulnérabilités des protocoles de sécurité spécifiques à VOIP? :
Prateek Gupta, Vitaly Shmatikov (2006) Analyse de la sécurité des protocoles de voix sur IP
Nous démontrons également une attaque man-in-the-middle sur ZRTP qui désactive l'authentification et permet à l'attaquant de se faire passer pour un utilisateur ZRTP et d'établir une clé partagée avec un autre utilisateur.
Pour le chiffrement, il s'appuie sur Spongy Castle v.1.46.99.3-UNOFFICIAL-ROBERTO-RELEASE
L'amont du château de Spongy, le château gonflable, a le CVE suivant contre sa tête:
CVE-2013-1624
Résumé: L'implémentation TLS dans Bouncy Castle Java library avant 1.48 et la bibliothèque C # avant la version 1.8 ne prend pas correctement en compte le calendrier des attaques par canal latéral sur une opération de vérification MAC non conforme lors du traitement du remplissage CBC mal formé, qui permet aux attaquants distants de mener des attaques distinctives et des attaques de récupération de texte en clair via analyse statistique des données de synchronisation pour les paquets fabriqués, un problème lié à CVE-2013-0169.
Publié: 02/08/2013 CVSS Gravité: 4.0 ( [~ # ~] moyen [~ # ~] )
Le logiciel utilise les codecs Speex et G.711 selon la source. Selon le codec, non seulement les métadonnées, mais aussi la langue et le contenu du dialogue peut-être être déduit parce que le Le codec Speex utilise l'encodage à débit binaire variable (VBR) (combiné avec la détection de toute activité et la génération de bruit de confort, pour être plus précis) (voir les questions et réponses liées pour plus de détails).
Je recommande cependant de regarder vous-même la source au lieu de vous fier à des étrangers ...
Je serai en désaccord avec la réponse d'AJ. Lorsque appel RedPhone vous êtes d'abord authentifié par l'un des serveurs d'authentification, puis un serveur relais gère la connexion avec le destinataire de l'appel. Toutes ces communications sont cryptées.
Étant donné que l'appelant n'est pas directement connecté au destinataire (la plupart dont vous avez besoin NAT traversée sur les réseaux de données mobiles), votre fournisseur n'est pas en mesure de savoir à qui vous parlez. Ils pourrait déterminer la durée de la conversation, mais ils ne sont pas en mesure de connaître le destinataire ou le contenu. Seul RedPhone lui-même peut savoir qui vous appelez.
Dans les rares cas où le destinataire avait en fait son port RedPhone ouvert et pouvait recevoir une connexion directement, votre fournisseur ne connaît que son adresse IP, ce qui pourrait être utile pour déterminer son numéro de téléphone.
Redphone n'est pas conçu pour empêcher la capture de méta-informations. Il est toujours possible pour quelqu'un qui surveille de savoir à qui vous parlez et combien de temps vous avez parlé, car aucun routage d'oignon ou système similaire n'est implémenté par celui-ci. Cependant, cela devrait protéger la sécurité du contenu de votre communication car les clés de cryptage sont inconnues de quiconque écoute et il n'y a pas de vulnérabilités connues qui permettraient de pirater le cryptage.