Le chiffrement sur l'appareil, expliqué sans jargon

« Vos données sont chiffrées. » Vous avez lu cette phrase des centaines de fois, sur des pages de confidentialité et dans des fiches d'App Store, et elle semble rassurante. Le problème, c'est qu'elle peut vouloir dire deux choses totalement différentes, et cette différence change tout. Une version garde réellement vos données comme les vôtres. L'autre laisse discrètement une copie de la clé entre les mains de l'entreprise.

Pas besoin d'un diplôme en informatique pour faire la différence. Il suffit de poser une seule question : qui détient la clé ? Ce guide y répond simplement, et montre pourquoi « chiffré sur nos serveurs » est une promesse plus faible que « chiffré sur votre appareil ».

Le chiffrement en un paragraphe simple

Le chiffrement prend quelque chose de lisible, le scan de votre passeport, un mot de passe, une photo, et le transforme en charabia à l'aide d'une clé. Les données lisibles sont appelées texte en clair. La version brouillée est le texte chiffré. Sans la bonne clé, le texte chiffré n'est que du bruit. Avec la clé, il redevient l'original en un instant. C'est toute l'idée. Tout le reste n'est qu'une question de savoir qui détient la clé et où elle est conservée.

Les deux significations très différentes de « chiffré »

Voici où le même mot se scinde en deux :

• Chiffré sur leurs serveurs. L'entreprise reçoit votre fichier lisible, puis le chiffre de son côté. Elle stocke du texte chiffré, ce qui vaut mieux que rien, mais elle détient aussi une clé capable de retransformer ce texte chiffré en votre fichier d'origine. Si quelqu'un s'introduit chez l'entreprise, si un employé mal intentionné agit seul, ou si un tribunal l'y contraint, les données lisibles peuvent être produites.
• Chiffré sur votre appareil. Votre fichier est brouillé sur votre propre téléphone ou ordinateur avant tout envoi, avec une clé qui ne quitte jamais l'appareil. L'entreprise ne reçoit jamais que du texte chiffré, et elle n'a pas la clé. Même si ses serveurs étaient grands ouverts, il n'y aurait rien de lisible à récupérer.

Si l'entreprise peut déchiffrer vos données, quiconque la compromet le peut aussi. Le chiffrement sur l'appareil retire complètement l'entreprise de cette liste.

L'analogie du gardien avec un double des clés

Imaginez un box de stockage. Dans le modèle « chiffré sur leurs serveurs », vous confiez vos affaires à l'accueil, on les enferme dans le box, et on garde un double des clés à la réception « par précaution ». Vos affaires sont bien enfermées, oui. Mais il existe un double des clés dans un bâtiment plein d'inconnus, et une intrusion à la réception donne accès à tout.

Le chiffrement sur l'appareil est le modèle où vous apportez votre propre cadenas, où vous gardez la seule clé dans votre poche, et où l'entreprise de stockage n'y touche jamais. Elle peut surveiller le bâtiment autant qu'elle le veut. Sans votre clé, le box reste fermé, pour elle comme pour quiconque s'introduirait par effraction.

Pourquoi c'est ce que signifie « zero-knowledge »

Quand la clé n'existe jamais que sur votre appareil, l'entreprise ne peut littéralement pas lire votre contenu. Elle n'a aucune connaissance de ce que vous avez stocké (zero-knowledge). Ce n'est pas une politique qu'elle promet de suivre, c'est un fait de l'architecture. Aucun serveur ne détient vos données sous une forme déchiffrable, et il n'existe aucun mot de passe principal à réinitialiser du côté de l'entreprise, puisqu'il n'y a jamais eu de clé de son côté.

C'est aussi pourquoi un coffre sur l'appareil solide s'appuie sur le matériel de sécurité du téléphone. La clé n'est pas seulement conservée sur l'appareil, elle est scellée dans une puce dédiée (le Secure Enclave chez Apple, le Keystore sous Android), de sorte qu'elle ne peut pas être extraite même si quelqu'un copie le stockage. C'est ce matériel qui rend « la clé reste sur votre appareil » digne de confiance, et pas seulement un vœu pieux.

Comment Kinship Vault l'utilise

Kinship Vault est conçu autour du chiffrement sur l'appareil depuis sa conception. Votre clé principale est générée sur votre appareil et scellée dans son matériel sécurisé, chaque document, photo et mot de passe reçoit sa propre clé, et seuls des octets chiffrés en sortent jamais. Il n'existe aucun serveur Kinship Vault qui détienne votre coffre, aucun compte, et aucun mot de passe principal que nous pourrions réinitialiser, car nous ne détenons aucune clé. Lorsque la sauvegarde est activée, le fichier est chiffré sur l'appareil en premier, de sorte que votre propre iCloud ou Google Drive ne stocke que du texte chiffré. Vous pouvez lire le modèle complet dans la documentation de sécurité.

Questions fréquentes

Qu'est-ce que le chiffrement sur l'appareil ?

Le chiffrement sur l'appareil, parfois appelé chiffrement côté client, signifie que vos données sont transformées en texte chiffré illisible sur votre propre téléphone ou ordinateur, à l'aide d'une clé générée et conservée sur cet appareil. Seule la version chiffrée en sort jamais. Comme la clé reste avec vous, l'entreprise qui édite l'application n'a jamais ce dont elle aurait besoin pour lire votre contenu.

Le chiffrement sur l'appareil est-il plus sûr que le chiffrement dans le cloud ?

Pour des données personnelles sensibles, oui, et la raison tient à qui détient la clé. Avec le chiffrement cloud classique, le fournisseur chiffre vos fichiers sur ses serveurs mais détient aussi des clés capables de les déchiffrer, si bien qu'une fuite ou un employé malveillant peut exposer des données lisibles. Avec le chiffrement sur l'appareil, la clé ne quitte jamais votre appareil, donc tout ce qu'un serveur ou un compte cloud expose n'est que du texte chiffré. Les deux reposent sur des mathématiques solides. La différence, c'est la garde de la clé, et c'est cette différence qui vous protège.