Ce que WIGGWIGG peut lire, et ce qu'il ne peut pas lire

Octobre est le Mois de la sensibilisation à la cybersécurité au Canada. Le thème de cette année, « La meilleure défense, c’est vous », rappelle que les bonnes décisions commencent par une information claire.

Une promesse de confidentialité n’est utile que si on sait où elle s’arrête. Voici les principales limites de la nôtre, chacune juste à côté de ce qu’elle nuance. Notre Déclaration de confidentialité, dont le lien se trouve à la fin, décrit ce que nous traitons et pourquoi.

En bref

Nous ne détenons pas les clés de vos mots de passe, de vos informations d’identité, de vos contacts ni du contenu scellé de vos messages. Nous pouvons notamment lire ce que le service téléphonique exige, ce qui passe chez nous avant le scellement, les photos que notre vérification du contenu illégal retient, certains messages conservés depuis la bêta privée, les pièces jointes de vos demandes de soutien, vos renseignements de facturation, et ce que certaines options nous transmettent quand vous les activez. Le détail suit.

Ce que nous ne pouvons pas lire

WIGGWIGG ne détient pas les clés permettant de lire les mots de passe, les informations d’identité, les contacts et le contenu des messages chiffrés à connaissance nulle. « À connaissance nulle » veut dire ici que les clés qui déchiffrent ces données ne sont pas entre nos mains.

Pour les messages, cette garantie porte sur ce que nous stockons, pas sur leur passage chez nous. Elle suppose aussi que le code qui chiffre vos données est authentique : quelqu’un qui prendrait le contrôle de la façon dont l’application web est livrée à votre navigateur pourrait en modifier le code lors d’une prochaine session.

Cette protection a une portée précise. Elle ne couvre pas :

• les données opérationnelles nécessaires à l’acheminement téléphonique, à la facturation et aux fonctions facultatives qui exigent un traitement sur nos serveurs;
• le contenu de vos textos et de vos messages photo pendant qu’il passe par nos serveurs, avant d’être scellé;
• la vérification du contenu illégal que nous faisons sur les messages photo, et la copie conservée quand il y a une correspondance.

Avant le scellement : vos appels et vos textos en transit

Les appels, les textos et les messages vocaux passent par les réseaux téléphoniques publics. Ce trajet n’est pas chiffré de bout en bout et reste visible pour les opérateurs, comme pour tout service téléphonique relié au réseau public.

Un texto que vous envoyez ou recevez passe par nos serveurs en clair, parce que nous devons le remettre à l’opérateur ou le recevoir de lui. Des vérifications automatisées peuvent s’exécuter pendant ce passage, puis nous le scellons au moment de le stocker. Notre chiffrement protège donc les messages une fois stockés; il n’est pas de bout en bout. Pour une conversation qui doit rester chiffrée de bout en bout, utilisez une messagerie conçue pour ça.

Ce que nous pouvons aussi lire

Certaines données restent lisibles pour nous parce que le service en a besoin pour fonctionner :

• Quand et combien de temps. Nous gardons une trace de chaque appel et de chaque texto : à quel moment il a eu lieu et, pour un appel, combien de temps il a duré. Nous voyons les deux numéros pendant l’acheminement. Le fait qu’un appel ou un texto ait eu lieu n’est pas scellé.
• Le numéro de l’autre personne. Dans votre historique de textos, ce numéro est scellé avec le message; dans votre historique d’appels, il l’est lorsqu’une clé utilisable est trouvée (voir plus bas). À côté de vos textos et des numéros que vous appelez, nous gardons toutefois un index de recherche à clé, c’est-à-dire une version brouillée du numéro calculée avec une clé que nous détenons. Nous pouvons donc retrouver ces numéros en essayant tous les numéros de téléphone possibles, et vérifier directement n’importe quel numéro.
• Vos messages d’accueil et vos réponses automatiques. Nous pouvons lire le texte et l’audio de votre message d’accueil, de l’annonce qui vous est jouée quand vous répondez et de la consigne que vos appelants entendent, ainsi que les présentations que vos appelants enregistrent, parce qu’ils doivent être joués pendant l’appel. Nous pouvons aussi lire le texte de vos réponses automatiques, parce que notre serveur les envoie en votre nom.
• Les messages photo chez notre fournisseur. Pendant au plus 30 jours, nous gardons le lien qui permet de récupérer une photo chez notre fournisseur de téléphonie. Tant que ce lien existe, nous pouvons récupérer la photo.
• Vos demandes de soutien. L’objet, le texte et le nom des pièces jointes sont scellés pour vous et pour une clé de soutien, afin que nous puissions vous répondre. Le contenu des pièces jointes est chiffré au repos, mais reste lisible par nos serveurs pour que nous puissions vous aider.
• Votre adresse d’urgence. Pour que les répartiteurs du 911 sachent où envoyer de l’aide, votre appareil nous envoie l’adresse en clair une seule fois, au moment de l’enregistrer. Nous la validons et la transmettons à notre fournisseur, qui la garde pour acheminer les appels d’urgence. La copie que nous conservons est ensuite chiffrée à connaissance nulle. L’absence d’adresse n’empêche pas un appel au 911 de se rendre.

Les messages photo

Les messages photo sont comparés aux banques d’images illégales connues avant d’être stockés. L’empreinte est calculée sur nos propres serveurs, et seule cette empreinte est transmise aux détecteurs; aucun détecteur ne reçoit jamais la photo. Quand une photo est saine, nous ne conservons ni l’image ni son empreinte, seulement une ligne de verdict effacée au plus tard après 90 jours. La vérification vise les images : nous ne calculons jamais d’empreinte du texte des messages.

Il y a deux types de correspondance. Pour le matériel confirmé illégal, la loi nous oblige à préserver une copie et à la signaler, et la photo accompagne notre signalement à l’unité de la GRC qui reçoit ces dossiers, le Centre national contre l’exploitation des enfants, à Ottawa. Ce signalement est adressé à une autorité canadienne.

Pour une photo que le détecteur canadien signale comme nuisible pour les enfants sans la classer parmi le matériel confirmé illégal, nous la bloquons et la conservons de la même façon. Cette catégorie n’est pas un constat de légalité : elle est volontairement prudente pour valoir dans plusieurs pays, et la définition canadienne est plus large. Rien n’est signalé automatiquement et aucune loi ne nous obligeait à la garder : c’est notre décision. Si un examen conclut que le matériel est criminel au Canada, nous le signalons.

L’une comme l’autre copie est conservée sans échéance, nous pouvons la consulter, la suppression du compte ne l’enlève pas, et les autorités peuvent l’obtenir avec un mandat. Tout cela vaut autant pour une photo qu’on vous envoie que pour une photo que vous envoyez. Faire cette vérification est aussi notre décision : aucune loi ne nous y oblige.

Vos communications et la clé de votre compte

Pour les communications protégées au repos par notre méthode de scellement actuelle, nous chiffrons le contenu sous une clé à usage unique, puis nous scellons cette clé pour la clé publique de communication de votre compte. La clé privée correspondante est elle-même chiffrée du côté client (on dit « enveloppée ») et devient disponible dans les applications WIGGWIGG prises en charge après la connexion et le déverrouillage. Elle est liée à votre compte, pas à un appareil : chaque appareil que vous déverrouillez lit le même historique.

Cette protection a trois limites à connaître.

• Les données de la bêta privée. Certaines communications conservées depuis la bêta privée utilisent encore notre ancien chiffrement côté serveur : nous pouvons les lire au repos, et elles ne sont pas couvertes par la protection décrite ici. Une connexion et un déverrouillage dans l’application web démarrent un processus limité qui rescelle jusqu’à 50 textos admissibles à la fois; une connexion dans l’application mobile ne le démarre pas. Ce processus ne rescelle pas les messages vocaux de la bêta privée, les numéros des anciens journaux d’appels, les pièces jointes des messages photo ni les anciennes versions conservées de ces fichiers. Ces copies restent lisibles par nos serveurs jusqu’à un prochain processus ou une maintenance distincte.
• Les notifications sur iOS. Après le premier déverrouillage de l’appareil, l’extension de notifications d’iOS peut accéder à une copie de la clé de communication de votre compte, même lorsque le coffre-fort ou l’appareil est verrouillé et même si les aperçus sont masqués. Cette clé peut ouvrir l’historique scellé du compte, pas seulement un aperçu. La copie reste sur l’appareil et n’est pas téléversée chez nous. Android utilise une clé distincte, limitée aux aperçus de notifications.
• Les replis qui gardent un appel en marche. La messagerie vocale est scellée pour la clé de votre compte lorsqu’une clé utilisable est trouvée, mais elle reste lisible par nos serveurs pendant que l’écoute par téléphone est activée ou si le compte n’a aucune clé utilisable. Le numéro de l’autre personne dans un journal d’appels est lui aussi scellé lorsqu’une clé utilisable est trouvée; sans clé utilisable, ou si la recherche de clé échoue, nous le chiffrons sous la clé du serveur pour ne pas interrompre l’appel en cours. Ces replis protègent la disponibilité, pas la connaissance nulle.

La reconnaissance des contacts, une option

La reconnaissance des contacts lors des appels reste désactivée tant que vous ne l’activez pas vous-même. Quand elle est active, votre appareil calcule, pour chaque numéro de vos contacts, une empreinte à clé (une version brouillée du numéro) et nous l’envoie, pour que nous puissions reconnaître un appel ou un texto entrant d’une personne que vous connaissez.

Comme nous détenons cette clé, nous pouvons essayer tous les numéros de téléphone possibles et retrouver ainsi les numéros de vos contacts pendant que l’option est active. Le nom, le courriel, les notes et la photo de chaque contact restent chiffrés sur votre appareil et illisibles pour nous. Dès que vous désactivez l’option, nous effaçons toutes ces empreintes de nos systèmes actifs et nous ne pouvons plus reconnaître vos contacts lors des nouveaux appels ou textos; les copies de sauvegarde chiffrées habituelles expirent en une trentaine de jours au plus.

Les appareils qui reçoivent vos appels

Après l’acceptation de la Déclaration de confidentialité actuelle, nous inscrivons automatiquement jusqu’à 10 navigateurs ou appareils mobiles actifs par compte, lorsque vous vous connectez et déverrouillez vos données, pour qu’ils puissent recevoir vos appels. Le code de reconnaissance aléatoire reste sur l’appareil qui l’a créé; nous le recevons seulement de façon transitoire, sans le journaliser ni le stocker, puis nous conservons une empreinte à clé limitée à votre compte.

Tant que l’inscription est active, nous pouvons lire :

• le lien à votre compte et un identifiant interne aléatoire;
• s’il s’agit d’un navigateur ou d’un appareil mobile, et son numéro d’ordre dans votre compte;
• les numéros de téléphone associés;
• son état et les dates d’inscription, de disponibilité et d’activité;
• pour chaque numéro de téléphone, si tous vos appareils sonnent ou seulement ceux que vous avez choisis, et lesquels.

Le nom que vous donnez à un appareil est chiffré sur l’appareil et illisible pour nous. Retirer un appareil arrête immédiatement les nouveaux appels vers lui. Une fois le nettoyage confirmé chez notre fournisseur, nous effaçons ces renseignements et ne gardons que le lien au compte, un identifiant opaque, l’empreinte à clé et l’état révoqué, jusqu’à la suppression du compte.

Les appels indésirables

Pour l’instant, nos détections automatisées d’appels et de messages indésirables entrants avertissent seulement; elles ne rejettent rien. C’est la plus précise des règles personnelles que vous avez définies qui décide si un appel ou un message est rejeté.

Pour reconnaître l’opérateur d’un numéro, nous envoyons ce numéro en clair à notre fournisseur de téléphonie. Pendant 90 jours, nous conservons une empreinte pseudonyme à clé de ce numéro, avec le nom de l’opérateur et le type de ligne. Comme nous détenons la clé, nous pouvons comparer des numéros possibles à cette empreinte. Le lien au compte qui a déclenché la recherche est effacé dans un délai de deux jours au plus. Les signalements que vous faites à la communauté sont eux aussi des empreintes pseudonymes à clé, et ils restent liés à votre compte.

La télémétrie de performance

La télémétrie de performance ordinaire est désactivée par défaut. Si vous l’activez, elle transmet des mesures et des rapports d’erreur vers notre serveur d’observation, sans cookie ni identifiant de compte. Sur mobile, un code aléatoire regroupe les traces d’un même lancement sans être lié au compte.

Deux exceptions nous parviennent même quand le réglage est désactivé : les rapports que le navigateur envoie sur sa politique de sécurité du contenu, et certains rapports d’erreur mobiles (par exemple, un échec au démarrage ou une erreur non interceptée). Ces rapports mobiles ne contiennent ni identifiant de compte ni valeur de formulaire, mais ils peuvent contenir un renseignement personnel si l’erreur elle-même en contient un.

La facturation

Pour la facturation et les taxes, nous gardons les montants, les dates, les taxes, le type de mode de paiement et le produit facturé, ainsi que le pays et la province, le territoire ou l’État que vous avez indiqués, avec votre confirmation qu’il s’agit bien de votre lieu de résidence. Ces renseignements fiscaux sont chiffrés séparément de votre coffre-fort et restent lisibles pour nous. Ils ne comprennent pas le contenu de votre coffre-fort ni vos communications.

Après la suppression d’un compte

À la suppression du compte, après une période de grâce de 30 jours pendant laquelle vous pouvez l’annuler en vous reconnectant, toutes les données personnelles sont supprimées définitivement, sauf :

• les factures et les pièces fiscales nécessaires, conservées pour la durée exigée par la loi, généralement six ans après la fin de la dernière année visée;
• le verdict des vérifications de contenu qui ont signalé quelque chose, et la copie préservée pour chacune des deux classes de correspondance, dont seule la classe confirmée illégale est imposée par la loi;
• pour la sécurité du service, les journaux d’audit de sécurité, gardés jusqu’à sept ans.

Ce qui n’est pas encore vérifié par un tiers

Notre livre blanc est autoattesté; un audit indépendant est prévu. Le noyau cryptographique de WIGGWIGG est publié sous licence MIT; le reste de l’application est fermé pour le moment.

Ce que vous pouvez régler vous-même

• La reconnaissance des contacts reste désactivée tant que vous ne l’activez pas, et vous pouvez la désactiver en tout temps.
• Si vous n’utilisez pas l’écoute par téléphone, laissez-la désactivée sur chaque numéro : les nouveaux messages vocaux sont alors scellés pour la clé de votre compte, si celui-ci en a une utilisable. La désactiver ne rescelle pas les messages vocaux déjà reçus.
• Retirez de votre compte les appareils que vous n’utilisez plus.
• Si vous étiez de la bêta privée, connectez-vous et déverrouillez vos données dans l’application web pour lancer le rescellement de vos anciens textos admissibles.

Pour aller plus loin

• Le livre blanc sur la sécurité explique le fonctionnement du chiffrement en détail.
• La Déclaration de confidentialité décrit les renseignements que nous traitons, et pourquoi.