Audits SimpleX — écarts de périmètre et état 2026¶
Registre de preuves — Phase 2
Ce dossier est une pièce de recherche datée. La conclusion canonique est celle du rapport final 1.0. Les synthèses antérieures et renvois à la Phase 3 restent historiques. UNKNOWN reste UNKNOWN.
Les deux rapports Trail of Bits 2022 et 2024 ont été lus directement en PDF, avec extraction des cibles, calendriers, méthodes, exclusions, findings et éléments de correction. Le rapport 2022 comprend une revue des corrections par Trail of Bits; le PDF 2024 est un rapport résumé de design et ne contient pas de fix log. Les annonces de SimpleX sont séparées ci-dessous des constats du cabinet. Les résultats restent limités aux versions et périmètres indiqués.
| Audit | Date / durée / version | Périmètre / exclusions | Findings / sévérité / remédiation | Reste incertain |
|---|---|---|---|---|
| Trail of Bits — SimpleX Chat Security Assessment, implémentation, 2022–2023 | Rapport final avec fix review daté 2 févr. 2023. Équipe de 2 consultants; engagement 11–14 oct. 2022, 1 person-week; draft/readout 18 oct., rapport initial 3 nov.; revue des corrections le 13 janv. 2023. Cibles fixées dans le PDF : simplexmq commit 413aad5139acee28033404aed2e5516fc71c337c; simplex-chat commit 07d2c9ff49034520effdf247f022c03b5a890150. |
Revue manuelle et tests du code/documentation fournis, accès complet; priorité au client/serveur SimpleXMQ (Server, Client, Agent) et à Crypto/Ratchet; conformité X3DH/Double Ratchet et traitement des secrets. Exclusions/limites : notifications SimpleXMQ non examinées; reste du Haskell au mieux; dépôt app simplex-chat non priorisé car le rapport estimait qu’il déléguait crypto/réseau à la bibliothèque. Recommandations finales : tests unitaires/propriétés plus larges, renforcer/tester cryptonite, auditer le reste de SimpleXMQ et les apps mobiles. |
Findings ToB : TOB-SMP-1 X3DH sans HKDF sur concaténation DH (Medium; HKDF recommandée); -2 conversion fromIntegral/longueur incorrecte >65 535 octets (Low; borner longueur + tests); -3 unPad lève une exception sur entrée 0/1 octet (Low; valider taille + tests); -4 secrets en mémoire Haskell non épinglée/non effacée, avec risque de swap (Medium; mlock si disponible, effacement mémoire, documenter modèle). Fix review ToB : 1, 2, 3 résolus (PRs 548/547); 4 non résolu, risque alors accepté par SimpleX. L’annonce fournisseur confirme que les trois corrections sont dans v4.2 et qualifie l’attaque mémoire de privilégiée; c’est une déclaration du fournisseur, tandis que le statut ci-dessus vient du retest ToB. Annonce SimpleX, PDF ToB complet, fix review inclus, PR 548, PR 547. |
Le rapport ne donne pas un SHA du binaire v4.2; les commits de cible sont ceux audités avant corrections. Le retest vérifie les PR, pas chaque distribution mobile/desktop. Le finding mémoire non résolu en 2023 n’établit pas son état dans les versions 2026. |
| Trail of Bits — SimpleX Chat Design Review, conception cryptographique, 2024 | Rapport résumé daté 12 août 2024. Trois consultants; engagement 24–28 juin 2024, 1 engineer-week; draft/readout 28 juin. L’annonce fournisseur appelle la revue « juillet 2024 » et « over a week » : écart de calendrier/durée entre l’annonce et le PDF, sans explication publiée. Cibles : design simplexmq/protocol commit d47c099ac94eda3342d02da2da76ef5cab5793ac et design simplex-chat commit fba0478e509cf56851cef44dc0543a0531bec32b. |
Revue manuelle des documents de protocole avec accès complet; formal verification d’une version simplifiée de l’accord de queue SMP. Périmètre documentaire : SMP, SMP Agent, push, XFTP, XRCP, chat protocol; moins de temps consacré à Agent, push et groupe. Ce n’est pas une revue d’implémentation générale. Le PDF ne publie pas de standard méthodologique ni de fix log. | 7 findings dans le PDF : TOB-SIMPLX-1 descriptions informelles (Info; notation algébrique/diagrammes); -2 side-channel GET et présence de message corrélable (Low; échanges égalisés, latence aléatoire envisagée); -3 transport compromis rend la corrélation plus efficace (Medium; corriger le threat model, chiffrer identifiants/transport); -4 SHA-256 employé comme KDF XRCP (Info; HKDF recommandée); -5 pas de FS/BR pendant une session XRCP (Info; ratchets/primitif SMP ou documenter); -7 compromission/modification locale peut cacher un MITM ou détourner les queues (Medium; préciser capacités et configurations adverses); -8 latence contrôlée permet corrélation temporelle (Medium; documenter et envisager délais aléatoires). SimpleX dit que 3 findings sont améliorés dans v6.1 : couche interne de chiffrement SMP pour cacher les identifiants même si TLS est compromis, SHA-256 remplacé par SHA3-256 dans XRCP et ratchets de chaîne XRCP; menace/formulation et incohérences documentaires également mises à jour. Les attaques GET/latence restent des risques reconnus; latence aléatoire est une mesure future envisagée. La menace de modification complète de l’appareil est acceptée comme sans défense viable. PDF Trail of Bits, annonce et réponse fournisseur. |
Le PDF est un résumé (21 pages) et n’établit pas de retest indépendant après v6.1; les « 3 améliorés » et corrections de docs viennent du fournisseur. Les commits de design ne sont pas un mapping des releases/binaries déployés; état actuel des protections et de la latence aléatoire à tester. |
| Trail of Bits — implementation assessment, 2026 | En août 2026 l’éditeur écrit que ToB a audité en 2026 et que le rapport doit être publié avant fin 2026; politique sécurité mise à jour au 25 mai 2026 disait audit « scheduled for June 2026 ». | Le dépôt SEC de SimpleX dit globalement « protocol and application code »; aucun périmètre granulé, version, durée, exclusion, commit ou rapport final public vu au 13 oct. 2026. | UNKNOWN : findings, niveaux, corrections et retest non publics/consultés. Post d’août 2026, SEC Form C PDF [accès à vérifier], SECURITY.md. | Retest indépendant et version corrigée après rapport public : inconnus jusqu’à publication/examen du rapport. |
Correction de l’état d’audit : les résultats publics vérifiables comprennent l’implémentation 2022 avec retest 2023 et la revue de design 2024; ils couvrent des snapshots/périmètres distincts. SimpleX annonçait en 2024 une assessment d’implémentation au début 2025; la communication d’août 2026 dit qu’une assessment ToB a finalement eu lieu en 2026 et que son rapport devait sortir avant la fin de l’année. Au 13 octobre 2026, le rapport 2026 et ses findings n’étaient pas disponibles dans les éléments consultés : UNKNOWN, sans créditer par avance un audit seulement annoncé. Annonce août 2026, SEC Form C [accès à vérifier], SECURITY.md.