SimpleX¶
- Usage adapté
- Contacts pseudonymes rencontrés en ligne ; minimisation des identifiants de compte. [1] [2] [3] [4]
- À éviter si…
- Vous ne pouvez pas accepter les contraintes de profil, relais et appairage local. [1] [2] [3] [4]
- Atout principal
- Séparation des relations sans identifiant global obligatoire. [1] [2]
- Limite principale
- Plus de friction multi-appareil ; relais et notifications restent à comprendre. [1] [2]
- Identifiant du compte
- Profil local ; invitations propres à chaque relation. [1] [2]
- Android
- Oui, client indiqué dans l’étude. [1]
- Confiance et périmètre
- Propriétés documentaires bornées ; métadonnées de production et binaires non vérifiés expérimentalement. [1]
Ce que votre contact apprend¶
- Ce que le contact apprend
- Le contact reçoit les messages et le profil que vous partagez ; il peut en conserver une copie. [1] [2]
Ce que le fournisseur apprend¶
- Ce que le fournisseur apprend
- Les relais voient leur transport ; corps E2EE. Le non-logging annoncé n’a pas été mesuré ici. [1] [2]
Autres observateurs¶
- Ce que le réseau / FAI apprend
- Le réseau voit destinations, horaires et volumes ; Tor ou un relais déplace l’observateur. [1] [2]
- Exposition à Apple / Google
- Magasin, installation et push peuvent créer des métadonnées ; le lien exact au profil dépend de l’OS et n’a pas été testé ici. [1] [2]
- Preuves judiciaires publiques
- Déclaration fournisseur 2025 : 12 demandes sans information responsive ; pas de dossiers judiciaires indépendants. [1] [2] [3]
Chiffrement et clés¶
- Chiffrement E2EE
- E2EE Double Ratchet ; padding déclaré pour les messages. [1] [2]
- Forward secrecy
- Double Ratchet documenté ; versions et implémentations restent à vérifier. [1] [2]
- Sécurité après compromission
- Récupération post-compromission décrite par le protocole ; terminal intègre nécessaire. [1] [2]
- Vérification des clés
- Inconnu : non établi pour la version et la configuration considérées.
Métadonnées et identité¶
- Exposition des métadonnées
- Pas de compte global ; relais, queues, timing et push iOS restent des surfaces. [1] [2]
- Identifiant global
- Aucun identifiant global d’utilisateur requis. [1] [2]
- Username / découverte
- Pas de username global obligatoire ; adresse publique facultative à éviter pour cloisonner. [1] [2]
- Notifications push
- Push iOS : queues et fréquence partiellement visibles au service ; payload exact non capturé. [1] [2]
Appels, IP et groupes¶
- IP au correspondant
- TURN par défaut masque l’IP au pair ; P2P peut la révéler. [1] [2]
- Relais / TURN
- Always use relay ; TURN voit IP et durée. [1] [2]
- Groupes
- Inconnu : non établi pour la version et la configuration considérées.
Appareils et sauvegardes¶
- Multi-appareil
- Appairage mobile–desktop documenté sur le même réseau local ; desktop bêta. [1] [2]
- Sauvegardes
- Profils et historique locaux ; garanties complètes de sauvegarde par version non établies ici. [1] [2]
Audits, limites et cas publics¶
- Audits
- Trail of Bits 2022 et revue protocolaire 2024 ; revue 2026 annoncée sans rapport exploitable à la date du rapport. [1] [2] [3]
- Code source et binaires
- Dépôts et périmètres par composant consignés en Phase 2 ; aucun binaire courant reproduit bit à bit ici. [1] [2]
- Limite principale
- Plus de friction multi-appareil ; relais et notifications restent à comprendre. [1] [2]
- Preuves judiciaires publiques
- Déclaration fournisseur 2025 : 12 demandes sans information responsive ; pas de dossiers judiciaires indépendants. [1] [2] [3]
Configuration et inconnues¶
- Configuration conseillée
- Profil neuf, invitation unitaire, pas de pseudo réutilisé ; TURN ; notifications iOS choisies consciemment. [1] [2] [3] [4]
- Inconnues restantes
- Comportement réseau, binaires distribués et forensique contemporains restent incomplets ; vérifier version, OS et configuration. [1] [2]
Comprendre les termes¶
Chiffrement de bout en bout — E2EE
Les terminaux des participants contrôlent les clés du contenu. Le serveur de transport ne devrait pas lire les messages normaux. Comprendre
Métadonnées
Les données autour de l’échange : comptes, IP, horaires, volumes, appareils ou groupes. Comprendre
Pseudonymat
Utiliser une identité différente de votre identité civile. Elle peut toutefois être reliée à vous. Comprendre
Anonymat réseau
Réduire la possibilité de relier un trafic à votre adresse réseau ou à son destinataire. Comprendre
Conclusion canonique et matrice de référence¶
À retenir : le modèle sans identifiant global et les liens propres à chaque relation sont adaptés au cloisonnement; profils et historique restent locaux, les relais stockent temporairement des messages chiffrés. Les notifications instantanées iOS donnent au serveur push une partie des métadonnées de queues/fréquence selon la politique; Apple voit un nombre de notifications et des métadonnées chiffrées, pas le contenu selon la conception publiée. TURN masque l’IP au contact dans le réglage par défaut des appels, mais le relay voit IP/durée. Profil mobile–desktop via le même LAN est une contrainte concrète. Source de politique (éditeur) : privacy policy; calls guide; downloads.
Preuves détaillées¶
Lire le dossier SimpleX en Phase 2.
Threat models¶
Transposition exacte de la matrice canonique TM1–TM15, avec les mêmes réserves de configuration et de preuve. ✅ : résistance relativement forte ; 🟡 : partielle ; 🟠 : exposition importante ; 🔴 : faible résistance ; ❓ : données insuffisantes.
| Menace | Résistance relative |
|---|---|
| TM1 Fournisseur curieux | 🟡 |
| TM2 Infrastructure compromise | 🟡 |
| TM3 Opérateur malveillant | 🟡 |
| TM4 ISP / Wi-Fi / LAN | 🟠 |
| TM5 Observateur passif multipoint | 🟠 |
| TM6 Adversaire global passif | 🔴 |
| TM7 Contact malveillant | 🟡 |
| TM8 Harceleur / doxxer OSINT | 🟡 |
| TM9 Demande judiciaire classique | 🟡 |
| TM10 Enquête sophistiquée multi-source | 🟠 |
| TM11 Appareil verrouillé | ❓ |
| TM12 Appareil déverrouillé | 🔴 |
| TM13 Spyware / terminal contrôlé | 🔴 |
| TM14 Supply-chain compromise | 🟡 |
| TM15 Censure étatique | 🟡 |