Peu de téléphones ont un PIN de contrainte, alors nous avons intégré l'effacement d'urgence à Morse Messenger

Un PIN de contrainte (duress PIN en anglais) est un second code de déverrouillage. Vous le configurez à côté de votre code habituel. Si quelqu'un vous force un jour à déverrouiller votre téléphone, vous tapez le PIN de contrainte à la place, et le téléphone s'efface au lieu de s'ouvrir.

L'idée est simple. Le chiffrement de bout en bout protège vos messages pendant leur trajet, et un téléphone verrouillé les protège tant qu'ils y sont stockés. Ni l'un ni l'autre n'aide une fois que quelqu'un vous oblige à le déverrouiller. À ce moment-là, l'effacement est la seule protection qui reste.

Et il n'y a pas que vous. Vos discussions contiennent aussi les mots des autres : l'ami qui vous a confié quelque chose, votre famille, les personnes avec qui vous travaillez. Les effacer les protège aussi.

Quelques moments où ça compte :

• Quelqu'un vous arrache votre téléphone pendant qu'il est déverrouillé, ou vous oblige à le déverrouiller.
• Un partenaire qui surveille votre téléphone. Pour une personne sous emprise, garder sur son téléphone une discussion avec un ami ou une personne qui l'aide peut être dangereux.
• Les journalistes, les militants et tous ceux à qui l'on confie des choses sensibles. Si vous travaillez avec des sources, notre guide sur la messagerie pour journalistes couvre le reste.

Presque certainement pas. GrapheneOS, un système Android alternatif pour les téléphones Pixel, en a ajouté un en 2024. Tapé à n'importe quel endroit où le téléphone demande son PIN, il va « effacer l'appareil de façon irréversible », selon les mots de GrapheneOS.

Les iPhone, les téléphones Samsung et les Pixel avec le logiciel d'origine de Google n'ont rien de tel. Ce qui s'en rapproche le plus sur un iPhone, c'est un réglage qui l'efface après 10 saisies de code infructueuses, ce qui ne sert à rien quand quelqu'un vous oblige à taper le bon. Et effacer un téléphone entier emporte tout avec lui : vos photos, vos autres applications, absolument tout.

Les messageries ne comblent généralement pas ce manque non plus. La plupart vous permettent seulement de supprimer votre compte ou d'effacer vos discussions depuis l'application, et les personnes avec qui vous avez échangé gardent en général leur copie.

Alors nous l'avons intégré à Morse. L'effacement d'urgence est désactivé par défaut, parce qu'un bouton qui efface tout ne devrait pas pouvoir être touché par accident. Pour l'activer :

1. 1Ouvrez l'onglet Vous, puis Confidentialité & Sécurité.
2. 2Appuyez sur Bouton de panique. Il prendra son nouveau nom, Effacement d'urgence, dans notre prochaine mise à jour.
3. 3Activez Afficher le bouton de panique. Si vous le souhaitez, activez également Effacer aussi les photos et vidéos enregistrées.

À partir de là, un bouton d'effacement apparaît dans l'application et sur l'écran de verrouillage de Morse. Deux appuis effacent tout : le bouton, puis Tout effacer. Pas besoin de déverrouiller Morse d'abord.

Morse est disponible sur iPhone. L'effacement d'urgence est aussi dans l'application Android, qui arrive bientôt.

En quelques secondes :

1. 1Morse demande à notre serveur de supprimer votre compte, tant que votre téléphone a encore une connexion.
2. 2Il détruit la clé qui ouvre la base de données de Morse. Chaque message et chaque contact qu'elle contient deviennent illisibles d'un coup.
3. 3Il supprime les fichiers de la base de données et tout ce que la clé ne couvre pas : les photos et vidéos que vous avez ouvertes, les enregistrements vocaux et de l'appareil photo, les fichiers temporaires, les notifications à l'écran, la pastille de l'application, et votre presse-papiers s'il contient encore quelque chose copié dans Morse.
4. 4Il vérifie qu'il ne reste rien, et repasse sur tout ce qui aurait survécu.
5. 5Les téléphones de vos contacts suppriment votre discussion individuelle avec eux, et vous retirent de leurs contacts.

Ensuite, Morse revient à son écran d'accueil, comme s'il venait d'être installé. Et il n'y a rien à récupérer non plus : les clés qui ouvrent les données de Morse sont stockées pour votre téléphone uniquement, donc même une sauvegarde de celui-ci ne peut pas être lue sur un autre appareil.

Pourquoi détruire une clé au lieu de supprimer des fichiers ? Sur la mémoire flash d'un téléphone, supprimer un fichier ne l'efface pas de façon fiable. La puce répartit ses écritures pour s'user de manière uniforme, si bien que d'anciennes données peuvent subsister à des endroits qu'une application ne peut pas atteindre. Morse ne compte donc pas sur la suppression. Sa base de données est chiffrée sur votre téléphone avec une clé conservée dans le stockage de clés protégé du téléphone. Détruisez cette clé, et ce qui reste sur la puce n'est que du bruit. On appelle ça un effacement cryptographique, et ça ne prend pas plus de temps avec dix mille messages qu'avec dix.

Mais cette clé n'est-elle pas simplement une donnée de plus sur la même puce ? Bonne question, et la réponse, c'est le verrouillage par PIN. Lorsque le verrouillage par PIN de Morse est activé, la clé de la base de données est elle-même verrouillée deux fois : par votre PIN, et par une clé détenue par la Secure Enclave sur iPhone ou par l'Android Keystore sur Android, qui ne peut jamais être copiée hors du téléphone. L'effacement supprime aussi cette clé matérielle. Ainsi, même si une copie verrouillée de la clé de la base de données subsiste quelque part sur la puce, plus rien n'existe qui puisse l'ouvrir.

Pourquoi ça fonctionne depuis l'écran de verrouillage ? Parce qu'on n'a pas besoin d'une clé pour la détruire. L'effacement n'ouvre jamais la base de données, donc Morse peut le faire sans votre PIN. La seule chose dont l'effacement a besoin pendant que Morse est verrouillé, c'est l'autorisation de supprimer votre compte sur notre serveur. Pour ça, Morse garde un jeton de suppression, lisible même quand l'application est verrouillée. Il ne sert qu'à supprimer le compte : il ne peut rien lire ni rien envoyer.

Pourquoi le serveur d'abord : les téléphones de vos contacts n'apprennent votre départ que par notre serveur. Morse s'adresse donc d'abord au serveur, tant que votre téléphone est encore connecté, et n'attend que brièvement. Un réseau lent ne retarde jamais l'effacement sur votre téléphone : si aucune réponse n'arrive, votre téléphone est effacé quand même.

Avant tout cela, Morse arrête tout ce qu'il fait tourner en arrière-plan, pour que rien n'écrive de nouvelles données au milieu de l'effacement. Ensuite vient le compte, puis la clé, puis les fichiers, puis la vérification.

Les photos enregistrées ont été la partie délicate. Un iPhone ne sait pas lister « les photos enregistrées par cette application », donc Morse tient sa propre liste à chaque photo qu'il enregistre et s'en sert pour les supprimer. iOS vous demande de confirmer la suppression des photos, c'est une règle d'Apple, alors Morse efface d'abord vos discussions et cette question ne peut rien bloquer. Sur Android 10 et versions ultérieures, Morse supprime les photos et vidéos qu'il a enregistrées dans ses propres dossiers.

Si vous voulez tout savoir sur la façon dont Morse stocke et protège vos données, c'est dans notre livre blanc sur la sécurité (en anglais).

Un effacement, ça paraît simple : tout supprimer. L'essentiel du travail a porté sur les endroits où « tout » se cache, et sur ce qui peut se mettre en travers du chemin :

• Un message peut arriver au milieu d'un effacement. Sur iPhone, les notifications sont gérées par un petit processus séparé qui peut se réveiller à tout moment, et un message qu'il aurait enregistré pendant la destruction de la base de données pourrait survivre. Alors, avant de supprimer quoi que ce soit, l'effacement demande à ce processus d'arrêter d'écrire.
• Une partie du nettoyage passe par les services du téléphone lui-même : retirer la pastille de l'application, les notifications à l'écran, les suggestions que votre téléphone a tirées de vos discussions. Ces services peuvent être lents à répondre. Aucun ne peut retarder l'effacement : chacun dispose d'un court délai, puis l'effacement passe à la suite.
• Un fichier n'a pas disparu tant que quelque chose pointe encore vers lui. Pour lire les vidéos, l'application crée des liens supplémentaires vers des fichiers déchiffrés, donc supprimer seulement le dossier des médias aurait laissé ces vidéos sur le téléphone. L'effacement vide plutôt tout le dossier temporaire, quel que soit son contenu.
• Effacer les photos enregistrées par Morse nécessite, sur iPhone, un accès complet à votre photothèque, que Morse ne demande jamais par ailleurs. C'est pour ça que c'est une option à part : vous ne donnez cet accès que si vous voulez que ces photos soient effacées aussi.

Un effacement ne vaut que par sa liste. Une messagerie garde des choses à plus d'endroits que vous ne le pensez : la base de données, le stockage de clés du téléphone, les réglages, les caches, les fichiers temporaires, les parties de l'application qui tournent en arrière-plan. Chacun de ces endroits figure sur une seule et même liste, sur iPhone comme sur Android, avec des tests.

Cette liste ne peut prendre du retard que lorsque l'application grandit, alors nous avons fait en sorte qu'il soit difficile d'oublier : une règle de notre base de code dit qu'aucun nouvel endroit où stocker des données n'est publié sans être ajouté à l'effacement, avec un test, dans la même modification.

Et l'effacement ne suppose jamais qu'il a fonctionné. Une fois terminé, il vérifie chaque élément de la liste et repasse sur tout ce qui est encore là.

De notre côté, l'effacement supprime votre compte et tout ce qui y est lié : vos clés, les messages qui attendent encore de vous être distribués, votre enregistrement pour les notifications push, votre profil et votre photo chiffrés, vos demandes de contact en attente et vos profils dans les groupes. Ensuite, le serveur annonce votre départ aux téléphones de vos contacts.

L'enregistrement de votre abonnement App Store est conservé, marqué comme utilisé et détaché de votre Morse ID, pour qu'il ne puisse pas être transféré vers un nouveau compte. Vos messages n'ont de toute façon jamais été lisibles sur notre serveur : il ne fait que transmettre des messages chiffrés.

Mieux vaut connaître ses limites maintenant que de les découvrir au pire moment :

Aucune annulation n'est possible. Le compte n'existe plus, et il vous en faudra un nouveau.

L'effacement d'urgence couvre le moment d'avant. Un PIN de contrainte couvre le moment lui-même : un second PIN pour l'écran de verrouillage de Morse, que vous pouvez taper quand quelqu'un vous oblige à ouvrir l'application, et qui efface tout au lieu de l'ouvrir. Il arrivera dans une prochaine mise à jour.

D'ici là, deux choses limitent ce qui est en jeu. Activez les messages éphémères pour les discussions qui comptent, pour qu'il y ait moins de choses sur votre téléphone dès le départ. Et Morse n'a pas d'appareils connectés, donc personne ne peut lire vos messages depuis un autre téléphone en en ajoutant un discrètement pendant qu'il tient le vôtre.