Aller au contenu

Contradictions matérielles, inconnues restantes et essais nécessaires

Registre de preuves — Phase 2

Ce dossier est une pièce de recherche datée. La conclusion canonique est celle du rapport final 1.0. Les synthèses antérieures et renvois à la Phase 3 restent historiques. UNKNOWN reste UNKNOWN.

Contradictions et distinctions à conserver

Sujet Déclaration / résultat apparent Preuve indépendante ou limite Conclusion non excessive
« E2EE » pour une plateforme Telegram, WhatsApp et Discord utilisent tous le terme de chiffrement mais la portée n’est pas la même. Telegram Cloud Chats ne sont pas E2EE; WhatsApp conversations personnelles standard sont E2EE mais sauvegarde/Business/AI/interop changent le périmètre; Discord DAVE ne chiffre que média A/V éligible, pas ses textes. Comparer uniquement le même type de flux; un badge E2EE n’est pas un attribut global du compte.
Audit WhatsApp « sécurité de WhatsApp » Le rapport ToB 2025 porte sur WhatsApp Private Processing, un service IA/Tee, et non sur les chats ordinaires ou le protocole Signal. Le PDF liste 28 findings et fixe explicitement les limites: certains relais/services tiers, firmwares, side channels physiques et stack Llama hors scope. Créditer l’audit pour ce périmètre seulement; ne l’utiliser ni comme audit complet du messager ni comme preuve que les chats E2EE sont compromis.
Telegram — politique pénale vs production civile 2022 La politique actuelle et l’affidavit DOJ 2025 décrivent les remises de données d’abonné en réponse à une procédure pénale qualifiante; le dossier indien de 2022 porte sur une ordonnance civile de copyright et une production sous scellés. Les bases juridiques, destinataires et catégories demandées diffèrent. Le dossier 2022 confirme une production, mais ne révèle ni les valeurs sous scellés ni un transfert effectif à la police; le DOJ décrit une pratique générale, non le retour propre au dossier Woodsley. Ne pas comparer ces affaires comme une série longitudinale homogène ni inférer que tous les ordres produisent les mêmes champs. Aucune remise de Cloud Chat plaintext établie par les cas cités ici.
Telegram — périmètre de la divulgation judiciaire indienne L’ordonnance du 24 nov. 2022 dit que le tableau remis et examiné par le juge contenait, pour certains canaux, noms d’administrateurs, numéros et IP; la demanderesse a déclaré en déc. 2023 n’avoir obtenu que noms et IP. L’ordonnance précise que la transmission aux autorités était permise. Le retour et les identifiants concrets restent sous scellés; les décisions ne disent pas qu’une police a effectivement reçu les éléments. L’écart entre la description judiciaire et celle de la demanderesse n’est pas résolu. Compter comme production fournisseur effectivement constatée par la Cour et aux demandeurs, mais pas comme remise policière prouvée. Les champs disponibles semblent varier par compte/canal; ne pas généraliser à tous les abonnés. Delhi HC, 24 nov. 2022 [accès à vérifier], 1 déc. 2023 [accès à vérifier].
WhatsApp absence de journaux vs PRTT Guide dit pas de transaction logs de routine après livraison; même guide décrit collecte prospective targeted sous PRTT; 2025 affidavit s’appuie sur PRTT records. Retention ordinary vs targeted order is different scope/time. Underlying WhatsApp return is not public; message body provenance in affidavit ambiguous. Metadata group/participant/timing was demonstrably available; do not claim provider delivered plaintext bodies without underlying return.
Discord E2EE vs warrant Discord affirme calls audio/video E2EE; la plainte DOJ 2026 expose DM historiques remises par Discord. Different data classes. DAVE doesn’t cover text DMs. Actual plaintext DMs were returned from service; does not contradict DAVE for eligible media.
DAVE “audited” vs new CVE Vendor public material calls DAVE audited; Oct 2026 advisory records a signaling-validation bug in libdave. Three ToB PDFs (design 2023 report body / index Aug 2024, code 2024, WASM 2025) were read. Their commits/scopes differ; code report fix-review prose says 12 resolved/1 partial/2 unresolved while its status table and detailed remediation say all 15 resolved. CVE patch version is libdave v1.2.0, but deployment mapping is unknown. “Audited” never means bug-free or current. No conclusion on exploitation in the field, deployed affected versions, or complete rollout until client versions and independent retest are established.
Dates des audits DAVE ToB publications index lists design review under Aug. 2024; the PDF’s cover says 16 Nov. 2023 and its project timeline says work Sep. 25–Oct. 6, 2023, with fix review Nov. 9. Both are primary artifacts from ToB; the index page has no explanation for the discrepancy. Keep both dates visible; do not invent a republication/versioning explanation.
SimpleX — dates et portée des audits L’annonce 2024 situe la revue en juillet 2024 et dit « over a week »; le PDF ToB donne un engagement du 24 au 28 juin, une semaine-personne, rapport résumé du 12 août. Le même PDF décrit uniquement une revue de conception/documentation. Les commits-cibles et le calendrier viennent du PDF; l’annonce est une source fournisseur. En 2022, le rapport ToB distingue explicitement le noyau audité, les exclusions et un fix review indépendant. Garder la discordance juin/juillet ouverte; ne pas présenter la revue 2024 comme audit du client mobile/backend ni confondre les corrections revendiquées en v6.1 avec un retest. Pour 2022, le finding mémoire était encore non résolu lors du fix review de janvier 2023; son état 2026 reste à établir.
Olvid — « anonymat » et métadonnées Le discours grand public présente Olvid comme anonyme et dit que le serveur ne sait pas qui parle à qui; le papier indépendant 2026 formalise/observe des clés publiques destinataires, tailles et timing visibles côté serveur. Les auteurs rapportent que l’équipe distingue son usage non technique d’anonymat (serveur ne connaîtrait pas nom/contact) et reconnaît les clés publiques comme identifiants. L’analyse concerne un modèle et le code Android v3.6, pas mesure de journaux en production. Le désaccord est en partie sémantique, mais le routage par clé publique et les métadonnées taille/timing sont explicitement établis par le papier. Cela invalide l’interprétation forte d’un serveur sans observables sociaux, sans prouver l’identité civile universelle. PDF
Matrix.org — « ne pas profiler » vs journaux/analytics Notice effective 25-08-2025 dit que matrix.org ne profile pas les utilisateurs, mais aussi qu’il collecte des IP (≤180 jours), device/session IDs, user-agent, temps, et mesure l’usage du compte de façon agrégée à partir du MXID via PostHog. La notice présente PostHog comme agrégé et orienté performance, et ses logs IP comme anti-abus/diagnostic/mesure de trafic. C’est une politique primaire, non une capture indépendante de télémétrie ni vérification de purge.
OMEMO interoperability/security Current XEP version 0.9.1 is still Experimental; older ROS audit discovered lifecycle/device issues; Conversations current build advances beyond last F-Droid verified build. Different artifacts and years. 2025 client audit exposed local storage issues rather than an OMEMO protocol break. Protocol encryption and storage/build status must be assessed separately.
App privacy labels vs runtime App Store / Data Safety disclose broad categories and provider claims, but current binaries not captured. Google explicitly describes Data Safety as developer-provided and Apple labels are also based on developer-submitted privacy data. Labels are useful disclosures, not independent network captures or verified manifest inventories.
forensic legacy writeups vs current devices Older Android/iOS forensic papers show artifacts in older versions. No modern report pinned by tool + OS + app version + date for several services; no commercial forensic extraction run in this task. A historical extraction is not evidence of current GrayKey/Cellebrite capability; unknown remains ❓.
source-open vs reproducible Telegram client open/build instructions, Conversations F-Droid builds, DAVE library and many decentralized projects publish source. No current rebuilt hash check for each store artifact; server/API/CI/update chains may be closed. Source availability is not proof that binaries running on user device match published source.
Olvid — étiquettes de région TURN FAQ Olvid associe ap.turn.olvid.io à « North Virginia » et us.turn.olvid.io à « Singapore »; le DNS de ce contrôle donne respectivement 13.214.105.6 et 3.93.110.92. Le fichier IP ranges officiel AWS attribue ces IP aux network border groups ap-southeast-1 et us-east-1; RIPEstat attribue les annonces aux réseaux Amazon. La troisième adresse eu.turn concorde avec eu-west-3. Discordance documentation/routage daté, non preuve de lieu de traitement ou de stockage; faire confirmer au fournisseur et répéter depuis d’autres résolveurs/régions avant toute conclusion forte. FAQ Olvid, AWS IP ranges, régions AWS

Inconnues de haut impact non remplacées par des suppositions

  1. DNS/ASN/passive OSINT: aucun inventaire complet horodaté n’existe encore pour les domaines de production des 17 services. Des snapshots A/AAAA et BGP/ASN sont consignés pour Matrix/Element, Signal, quelques presets SimpleX, Wire, Jami, Olvid et deux endpoints Delta Chat. Une bibliothèque tierce cite api.threema.ch/identity comme endpoint de répertoire, mais la résolution DNS n’a pas abouti ici et cela ne confirme pas l’API de chat courante; aucun mapping complet des domaines Threema n’est établi. Ce sont des résolutions du moment, non du passive DNS historique; elles ne prouvent pas le propriétaire contractuel, l’origin, la région des données, la rétention ou le trafic réel. Pour Signal, turn3.voip.signal.org n’a pas retourné d’adresse au résolveur testé; cela n’établit pas son indisponibilité générale. Discord a une migration Cloudflare voice annoncée par l’ingénierie, pas une cartographie complète. Aucun scan ni intrusion.
  2. Actual mobile binaries: no current APK/IPA from all 17 finalistes was decoded for manifest, entitlements, SDK/trackers, permission rationale, FCM/APNs payload and live traffic. Store labels are not substitutes. Names like Firebase/Sentry remain UNKNOWN except where directly documented in a cited app/release.
  3. Forensics: no laboratory device acquisition was run. For many 2026 builds the open record still does not connect Cellebrite/GrayKey/Magnet product+version to a specific OS patch, app build and date. Unknown does not mean impossible or safe.
  4. Law enforcement: public transparency totals rarely expose exact fields/case ID; an order is not proof a provider complied; a complaint’s quoted chat may originate from a device, witness or service export. In Telegram’s 2022 Indian civil case, compliance and a sealed return were confirmed; the judge describes names, phone numbers and IPs for some channels, while the plaintiff later described receiving only names and IPs. The actual values remain sealed and a police transfer is not established. WhatsApp PRTT case documents usable metadata but not the full provider export.
  5. Current remediation: CVE/advisory does not prove uptake. Need installed client build hashes, library linkage, version floors, rollout per OS/app store and independent retest—especially Discord DAVE CVE, WhatsApp 2026 CVEs and contact-discovery mitigations.
  6. Audit completeness: findings may be private, reports may be unavailable, or one engagement may exclude clients/servers. “No audit found” is a bounded search result, not “never audited.” The three public Discord DAVE/WebAssembly PDFs, both public SimpleX ToB PDFs, and Olvid’s two CSPN RTEs plus the full 2026 formal-analysis paper were read for versions, scope, findings/results and remediation evidence. Discord’s code report contains a contradictory fix-status summary; SimpleX 2024 has no public fix log, while its 2022 fix review leaves the memory finding unresolved. Olvid’s academic paper is not a product audit; current corrective commits/releases and retest remain unknown. Independent current-build retesting, other private audits, deployed commits and platform-by-platform rollout remain unknown.
  7. Legal/regulatory conditions: this dossier maps documented technical and public case facts, not advice on admissibility, lawful basis or legal challenge in a specific country. Jurisdiction and process need case-specific counsel.

Expériences qui permettraient de fermer les inconnues

Test contrôlé Données nécessaires / procédure Résultat attendu / garde-fou
Contact discovery Deux comptes contrôlés par équipe, permission contacts on/off, exact Android/iOS build; observe DNS/API and rate-limit with fixed small list. Enumerated fields, lookup behavior, salt/blinding and rate limits; no querying third-party numbers.
Push/privacy SDK Rebuilt/test devices with test accounts, APNs/FCM instrumentation, certificate pinning-aware test proxy only on owned devices; compare notification variants locked/unlocked. Token linkage, payload plaintext vs wake signal, SDK endpoints and crash telemetry.
Direct-call IP Two controlled endpoints on separate networks; test default/relay toggles and group modes; packet capture at owned interfaces/STUN/TURN. Whether counterpart, relay, ISP receive public IP, timing, candidate list; record app/build/OS.
Storage/backup Clean Android/iOS/desktop snapshots across locked/unlocked states; export and restore; note app version, OS patch, backup options. DB paths, key stores, caches, notifications, media/EXIF and delete retention; no inference from older extraction tools.
Discord DAVE patch Verify current app linked libdave version/hash; run protocol test against crafted unrecognized-member Welcome in authorized test harness; retest all platform releases. Whether production clients reject attack; does not target public Discord users or live calls.
WhatsApp Private Processing follow-up Obtain current client/CVM versions and transparency artifacts; verify open WAPI findings against deployed configuration, test nonce freshness, guest-policy enforcement, artifact expiry/namespace/fail-closed startup, output-size effects, dependency CVEs, reproducible build claims, and client logging on controlled test accounts. Evaluate tokenizer cache side-channel only on owned test hardware. Distinguish an observed regression test from vendor status; never use real users’ AI requests or target live production traffic.
Telegram/WhatsApp message boundaries Controlled Cloud/Secret WhatsApp backups, Telegram Cloud/Secret chats, business/AI and interop paths; packet and local artifact capture. Precisely which plaintext is processed by server/third party and what metadata persists. No third-party accounts.
XMPP release and OMEMO Conversations 2.20.4+free exact F-Droid/Play artifacts; reproducible build; current OMEMO pair/grouproster clients on disposable server; simulate malicious PEP device-list change. Match binary/source, trust prompt behavior, public bundle metadata, fallback and revocation.
Legal data reproducibility Obtain complete unsealed provider-return appendices/FOIA records and transparency methodology; pair with affidavit timestamps. Separate order scope from exact disclosed columns and source provenance of message bodies.
Passive infrastructure inventory Resolve official documented hostnames using public DNS/CT/passive DNS/RDAP/BGP, timestamp every result and limit to public observations. Domain/IP/ASN/CDN/regions; preserve source/time/TTL, avoid port scans or requests that exceed ordinary web/DNS use.
Reproducible builds and release signing For each exact store version, fetch official source/tag and binary, independent clean build, compare digests/signatures and map SDK SBOM. Positive/negative reproducibility result per platform/version; no universal claim based on one variant.

Sources primaires — nouvelles fiches

Limite de phase: ce registre fournit une base de preuves et des incertitudes explicites pour les 17 services; il ne désigne pas de gagnant et ne constitue pas la Phase 3.