L'expertise indépendante de la société Symbolic Software, spécialisée en cybersécurité et en audit technique d'applications pour Zoom, Mozilla, Coinbase et d'autres géants de l'IT, a confirmé les conclusions de « Vajnye Istorii » sur la vulnérabilité de Telegram. Le rapport a été versé au dossier de la procédure judiciaire suisse et se trouve entre les mains de la rédaction : il a été joint par Vladimir Vedeneïev, qui a intenté un procès au principal auteur de l'article et fondateur de « Vajnye Istorii », Roman Anine. Dans sa plainte, Vedeneïev ne conteste pas les affirmations de l'enquête, mais exige la suppression de l'interview dans laquelle il reconnaît avoir collaboré avec le FSB.
L'expertise indique : « Notre analyse confirme les conclusions techniques essentielles : Telegram transmet les messages via des connexions TCP non sécurisées, de sorte que l'identifiant auth_key_id est envoyé en clair ou sous une forme facilement déchiffrable par tout intermédiaire sur le réseau. » Selon les experts, l'auth_key_id « fonctionne en pratique comme un identifiant permanent de l'appareil : il ne change pas d'une session à l'autre, ni lors d'un changement d'adresse IP, de réseau internet ou même de localisation géographique de l'utilisateur ». Cela crée la possibilité de tracer les appareils pour ceux qui ont accès au trafic, y compris les fournisseurs d'accès internet, les administrateurs réseau et les systèmes de surveillance étatiques.
Ce que l'expertise a précisément révélé
Les experts notent que la collecte de l'auth_key_id ne nécessite pas d'attaque complexe de type « homme du milieu », de piratage de certificats ou d'intervention dans le fonctionnement du protocole : il suffit d'observer passivement le trafic et d'effectuer un traitement minimal des données. Comme l'identifiant reste inchangé d'une session à l'autre, lors d'un changement de réseau et sur une longue période, toute structure collectant ces identifiants peut constituer une base de données reliant des auth_key_id spécifiques aux lieux de connexion à internet, aux heures d'activité et aux caractéristiques du trafic, et, si l'identité de l'utilisateur est connue, à des personnes précises. Cela permet de répondre à des questions telles que « Où l'appareil avec l'auth_key_id X est-il apparu au cours des six derniers mois ? » ou « Quels appareils se trouvaient au point de connexion Y pendant une période donnée Z ? ».
Symbolic Software souligne que la vulnérabilité ne résulte pas d'une négligence technique, mais d'un « refus fondamental de Telegram d'assumer son obligation de protéger la vie privée des utilisateurs au moyen de mécanismes cryptographiques modernes ». La solution, selon les experts, est évidente : rendre obligatoire l'utilisation du chiffrement de transport, une technologie standard que pratiquement tous les grands messagers appliquent aujourd'hui. Cela serait techniquement simple à mettre en œuvre et n'affecterait presque pas la vitesse du service, tout en augmentant considérablement le niveau de protection de la vie privée.
La position de Telegram et le contexte du litige
Un représentant de Telegram, Rémi Kong (on ignore s'il existe réellement : aucune photo ni autre mention de lui n'apparaît en ligne), a adressé à la rédaction de « Vajnye Istorii » une réponse dans laquelle il rejette les conclusions du rapport non publié. Selon lui, l'auth_key_id « change régulièrement et ne révèle pas d'informations sur les utilisateurs, le contenu des messages, les données des destinataires ou d'autres informations privées ». Kong a également déclaré que tout observateur capable de voir cet identifiant aurait déjà accès à des moyens de traçage plus fiables échappant au contrôle de Telegram, et que l'infrastructure du messager est configurée, gérée et contrôlée exclusivement par les équipes d'ingénieurs internes de Telegram.
Dans l'enquête de « Vajnye Istorii » de l'année dernière, Vladimir Vedeneïev niait la vulnérabilité décrite et affirmait ne transmettre à son superviseur du FSB que des informations sur les internautes des entreprises russes, mais pas sur Telegram. Dans l'interview, il déclarait aussi : « “Telega” n'a pas accès aux centres de données ni à Singapour ni à Miami : ils n'y ont jamais mis les pieds. Aujourd'hui, quatre centres de données ont déjà été construits. Vous (la société GNM appartenant à Vedeneïev, qui gère l'infrastructure réseau de Telegram. — NDLR) êtes déjà dans les quatre pendant les tests. <...> À l'heure actuelle, tous les canaux de communication, c'est moi qui les fournis. Pas quelqu'un d'autre, moi ! Si je le veux vraiment, bien sûr, je peux capturer ce trafic. »
Les experts de Symbolic Software admettent également que des attaquants ayant accès au trafic et aux identifiants des appareils peuvent déchiffrer les messages s'ils ont accès à la base de données des clés d'un utilisateur donné. Le rapport souligne : « Tant que ces mesures ne seront pas mises en œuvre, Telegram porte la responsabilité des risques pour la vie privée découlant du fait que des identifiants permanents d'appareils restent accessibles aux observateurs ayant accès au trafic réseau. »
1
