Je suis en train de tester la messagerie Riot (qui utilise le réseau décentralisé et fédéré Matrix). Si vous souhaitez me contacter : @kvuilleumier:converser.eu

J'ai choisi le serveur français https://converser.eu/ plutôt que celui par défaut (Matrix.org).

Une liste de serveurs publics : https://www.hello-matrix.net/public_servers.php (mmmhh, j'ai l'impression que la liste change à chaque rafraichissement de la page)

Un site pour créer des liens Matrix partageables (vers un utilisateur, salon...) : https://matrix.to/

Je suis actuellement en train de tester la messagerie Threema, dont voici un aperçu des caractéristiques :

• Hautement sécurisée :
   ✓ Chiffrement de bout en bout (E2E, avec la bibliothèque open source NaCl) : une paire de clés ECC est générée sur l'appareil et *seule* la clé publique est envoyée sur les serveurs*.
   ✓ Chiffrement du canal de transport (TLS, avec certificat du CA codé en dur dans l'application).
   ✓ Confidentialité persistante (forward secrecy).
   ✓ Vérification de l'identité des contacts avec un code QR.
   ✓ Conformité de la sécurité confirmée par un audit externe (réalisé en 2015).
• Développée par une entreprise suisse avec des serveurs situés exclusivement sur le territoire helvétique (dans un centre de données certifié ISO 27001 à Zurich).
• Pleinement conforme avec le RGPD, la Loi fédérale sur la protection des données (LPD) et l'Ordonnance relative à la loi fédérale sur la protection des données (OLPD).
• Anonymat complet : chaque utilisateur possède un ID aléatoire, et aucun numéro de téléphone ni adresse e-mail ne sont requis (vous pouvez toutefois les renseigner afin de pouvoir être retrouvé·e plus facilement par vos contacts).
• Multiplateforme : Android, iOS, Windows Phone, Web...
• Confidentialité garantie : les groupes, messages, contacts restent sur l'appareil*, l'accès aux contacts est un choix volontaire et les méta-données sont réduites au strict nécessaire.
• Transparente :
   ✓ Algorithmes cryptographiques et protocoles documentés.
   ✓ Politique de confidentialité concise.
   ✓ Vérification indépendante possible de la bonne mise en œuvre du chiffrement (cf. https://threema.ch/validation).
   ✓ Récupération aisée des données en possession de Threema (droit d'accès) : envoyer le message "info" à l'ID *MY3DATA.
• Protection locale : l'intégralité de la base de données peut être protégée par un mot de passe maître ; un code de verrouillage peut être également mis en place afin d'empêcher l'accès de l'application par des tiers.
• Modèle d'entreprise clair : vente de l'application (paiement unique de CHF 2.95) et services payants pour les professionnels†, donc indépendance financière.
• Nombreuses fonctionnalités : formatage des messages, envoi de fichiers, sons, vidéos ou emplacements, appels audio, sondages, groupes (jusqu'à 100 membres), conversations privées (cachées), etc.
• Paramétrage poussé : blocage des inconnus, (dés)activation des indicateurs de saisie et des accusés de lecture, sécurité, apparence (thème, langue...), notifications, etc.

À titre personnel, je trouve que l'interface est ergonomique et esthétique, et l'application plutôt véloce compte tenu de la lourde couche de chiffrement en place !

Les fonctionnalités ne sont pas en reste, avec des classiques comme le statut des messages (envoyé, distribué...) et des plus originales comme les sondages et les conversations privées.

Les paramètres sont parmi les plus complets que j'aie pu voir dans une messagerie ; il est même possible de configurer les dimensions des images envoyées !

Pour les plus « paranos » (ou soucieux de la vie privée), il est permis de se passer du GCM (Google Cloud Messaging, technologie utilisée pour la notification de l'arrivée de nouveaux messages) en optant pour une consultation de type "polling" (toutefois déconseillée). En outre, l'application Android peut être achetée directement sur leur boutique en ligne (y compris avec des Bitcoin).

Finalement, le seul gros point que je pourrais lui reprocher (en-dehors de la faible base d'utilisateurs par rapport aux mastodontes du genre) est l'absence d'ouverture du code source, condition essentielle pour garantir de la bonne implémentation de la sécurité (principe de Kerckhoffs). Cependant, je dois avouer que je leur fais confiance, car leur cryptographie semble robuste (cf. leur livre blanc), un audit externe a confirmé la sécurité de la solution, tout le monde peut vérifier la bonne mise en œuvre du chiffrement E2E et il est *permis* (fait très rare) d'effectuer une ingénierie inverse sur l'application‡ !

MÀJ du 31.01.19 : en parlant du GCM, Google ne voit rien passer, car ni le message, ni les correspondants ne sont dans la charge utile. Il est uniquement utilisé pour signaler à l'application qu'un nouveau message est disponible sur le serveur. Je vous encourage à lire la FAQ si vous avez d'autres questions ou vous souhaitez en apprendre davantage, car elle est rudement complète : https://threema.ch/en/faq
MÀJ du 09.02.19 : j'ai publié des captures d'écran dans la galerie : https://gallery.vuilleumier.tv/?dir=Tests%2FThreema

* Une sauvegarde chiffrée des données locales (clés, liste de contacts, abonnements de groupes... tout, sauf les messages et médias) peut être effectuée de manière anonyme sur un serveur sécurisé de son choix (Threema Safe). Une sauvegarde complète (comprenant les messages et médias) est également faisable, sous la forme d'un ZIP chiffré enregistré dans l'espace de stockage de l'appareil.
† Ces services payants comprennent par exemple l'accès à l'API d'envoi/réception de messages, intégration à l'entreprise, etc.
‡ Selon cette page : https://threema.ch/press-files/content/the-threema-advantage_en.html

Je suis en train de tester Wire, une messagerie sécurisée dans la veine de Signal, Telegram, etc.

Quelques constatations et remarques personnelles :

- On peut s'inscrire avec un numéro de téléphone *ou* avec une adresse e-mail (ce que j'ai choisi), un très bon point pour éviter de devoir divulguer son numéro au monde entier
- On peut choisir son identifiant (sous la forme @pseudo)
- L'interface est assez austère je trouve, mais les principales fonctionnalités sont là (envoi de photos, enregistrements audio, positions, documents, etc.)
- Elle est bien évidemment chiffrée de bout en bout (E2E) et open source !
- Des clients sont disponibles pour les principaux systèmes (Windows, Mac, Linux)
- On envoyer des dessins ! Inutile, donc indispensable :-P
- Une auto-destruction temporisée des messages peut être configurée (par message, ou par conversation)
- Il n'y a pas d'indicateur de présence ("en ligne") ni d'indicateur comme quoi nous sommes en train d'écrire, ce qui est appréciable pour ne pas se sentir "acculé" (et puis parce que ça ne regarde que moi au final)
- On peut configurer l'envoi d'accusés de lecture (désactivés par défaut)
- Il n'est pas obligatoire de donner la permission d'accéder aux contacts (ni aucune autre permission sensible d'ailleurs)
- Un moteur de recherche intégré permet de trouver des correspondants selon leur identifiant ou leur nom, pratique !

Je rajouterai des points dans la liste si d'autres me viennent à l'esprit.

Si vous souhaitez m'ajouter, vous me trouverez aisément sous mon vrai nom (attention : je suis libre de refuser votre invitation ;-)).

Un tableau comparatif de la sécurité des applications de messagerie.

Sans surprises, la plupart des messageries "hypes" sont (très) peu sécurisées, comme Viber ou Whatsapp.

Tox, une messagerie sécurisée libre et gratuite (les sources sont sur GitHub) concurrençant Skype (messagerie texte, appels audios et vidéos).

Chiffrement asymétrique, DHT, UDP... ça paraît bien foutu !

Via Shaarli.fr