Pourquoi activer la sauvegarde n'est pas optionnel dans Fenzly
Le dernier article se terminait sur une phrase à prendre au sérieux : des clés solides ne valent rien si elles sont perdues. Celui-ci parle du revers inconfortable de tout ce que nous avons décrit jusqu’ici.
Un serveur aveugle, cela signifie que nous ne pouvons pas lire vos données. Cela signifie aussi que nous ne pouvons pas vous les rendre. Si vous perdez votre téléphone sans avoir configuré de sauvegarde, votre compte est perdu et il n’existe aucun ticket au support, aucune exception, aucun « je vais voir avec l’équipe » qui y change quoi que ce soit.
Cela paraît brutal. C’est le coût direct et inévitable de la garantie.
Ce qu’aucun support ne peut réparer
Dans une application classique, perdre son téléphone est un désagrément. Vous en achetez un neuf, vous vous connectez, et tout réapparaît parce que l’entreprise détenait vos données depuis le début, sur ses serveurs, en clair. La « récupération » dont vous avez l’habitude n’existe que parce que quelqu’un d’autre garde une copie de votre vie.
Fenzly n’a pas cette copie. Vos clés privées Signal, celles qui ouvrent chaque enveloppe scellée qui vous est adressée, vivent sur votre téléphone et nulle part ailleurs. Notre serveur ne les a jamais vues. Quand le téléphone disparaît, les clés disparaissent, et ce qui reste sur le serveur est un tas de blocs que personne sur Terre ne peut ouvrir.
Nous ne refusons pas d’aider dans ce cas. Nous en sommes incapables. Il n’y a pas de clé maîtresse que nous garderions par principe ; il n’y a tout simplement pas de clé maîtresse. C’est toute l’architecture, qui fonctionne exactement comme prévu.
Perdre un téléphone est plus banal qu’on ne le croit
On a envie de ranger ça au rayon des catastrophes improbables : le vol, le téléphone au fond du lac. En pratique, la façon la plus courante de perdre ses clés est parfaitement ordinaire : on achète un nouveau téléphone. On reprend l’ancien, on l’efface, on le donne à un proche et c’est seulement là qu’on découvre que les clés n’ont pas fait le voyage.
L’eau, les chutes, les batteries mortes, les réinitialisations d’usine, un appareil qui refuse simplement de démarrer un matin. Rien de tout cela n’est exotique. La sauvegarde n’est pas une assurance contre une catastrophe rare ; c’est une assurance contre un mardi ordinaire.
Une sauvegarde que nous non plus ne pouvons pas lire
Voici la tension qu’il a fallu résoudre. Une sauvegarde est, par définition, une copie de vos données ailleurs que sur votre téléphone. Déposez une copie lisible sur notre serveur et vous venez d’annuler discrètement le serveur aveugle, la raison d’être de toute l’application.
La sauvegarde est donc chiffrée elle aussi, avec une clé que nous ne détenons pas. La question intéressante n’est pas comment les données sont chiffrées ; c’est qui détient la clé. Fenzly propose deux réponses, et c’est un vrai compromis.
Le mode automatique scinde la clé en deux. Une moitié réside sur notre serveur, l’autre dans votre propre espace cloud, Google Drive sur Android, iCloud sur iOS. Aucune moitié ne vaut rien toute seule : la part de notre serveur est inutile sans la vôtre, et celle de votre cloud est inutile sans la nôtre. Seul votre téléphone les réunit. Vous n’avez rien à retenir, et ni nous, ni Google, ni Apple ne pouvons ouvrir la sauvegarde unilatéralement.
Le mode manuel vous remet la clé entière, sous la forme d’un code de récupération à 30 chiffres. Plus rien, dans votre sauvegarde, ne dépend de nous. C’est la forme la plus pure de la promesse et la moins indulgente, car si vous perdez ce code, la sauvegarde devient aussi inouvrable pour vous que pour tout le monde.
L’automatique est le bon choix par défaut pour presque tout le monde. Le manuel existe pour celles et ceux qui ne veulent aucun tiers dans la boucle, nous compris. Nous démonterons la mécanique des deux, la clé scindée, les mathématiques qui transforment 30 chiffres en clé, dans un article dédié plus tard.
Ce qui est réellement sauvegardé
Une sauvegarde a deux couches, et elles ne pèsent pas le même poids.
La couche essentielle est minuscule, moins d’un kilo-octet, et contient votre identité Signal. C’est la partie irremplaçable : c’est elle qui fait que vous êtes vous pour tous ceux avec qui vous avez déjà échangé un message. Elle est rafraîchie à chaque sauvegarde et elle doit réussir.
La couche complète, c’est votre historique réel : messages, lieux, trajets. Elle est plus volumineuse, et Fenzly conserve les dernières versions plutôt qu’une copie unique, ainsi, une sauvegarde corrompue ou écrite à moitié ne peut pas emporter avec elle votre seule bouée.
Si tout le reste échoue, la couche essentielle suffit à conserver votre identité et votre compte. Vous perdriez l’historique ; vous ne vous perdriez pas vous.
Les limites, honnêtement
Deux choses qu’une sauvegarde ne fera pas, parce que prétendre le contraire serait malhonnête.
Ce n’est pas une machine à remonter le temps parfaite. Restaurer rembobine vos conversations chiffrées au moment où la sauvegarde a été faite, et une poignée de messages situés pile à cette frontière peuvent devenir définitivement illisibles, vous verrez un texte de remplacement à leur place. C’est la conséquence intrinsèque de la confidentialité persistante de Signal, cette même propriété qui rend les messages d’hier irrécupérables pour un attaquant. Elle coupe des deux côtés, et nous préférons vous le dire plutôt que vous surprendre.
Et si vous choisissez le mode manuel et perdez le code, personne ne viendra. Au sens littéral.
Deux minutes dans les réglages aujourd’hui, ou un compte irrécupérable plus tard. Le choix est facile, mais seulement si vous le faites avant d’en avoir besoin.
La prochaine fois : la souveraineté suisse, ce qu’un hébergement en Suisse vous apporte réellement, et ce qu’il ne vous apporte pas.