Tchap : une faille déjà identifiée dans l’application de messagerie sécurisée du gouvernement

 

Tchap est la nouvelle application du gouvernement qui vise à sécuriser les échanges entre certains fonctionnaires du service public, histoire de rendre plus confidentielles les données souveraines de l'État. Mais chose étrange, moins de 24 heures après son lancement, un chercheur en sécurité française y a trouvé une importante faille.

Depuis le mercredi 17 avril 2019, il est possible de télécharger la nouvelle application de messagerie Tchap sur le Play Store et l'App Store. Mais elle n'est pas destinée à tout le monde. Tchap est une application accessible à certains fonctionnaires et agents de l'État. L'objectif est de leur permettre « d'échanger des informations sensibles ou moins sensibles, en mobilité ou depuis un poste de travail bureautique ».

En plus d'être chiffrées de bout en bout, ces informations sont stockées sur des serveurs de l'État plutôt que ceux de services tiers, comme c'est le cas avec WhatsApp ou Telegram. Pour accéder à Tchap, il est indispensable de disposer d'une adresse électronique nominative professionnelle. Autrement dit, seules les adresses avec des domaines comme @gouv.fr ou esee.fr peuventy accéder. Mais moins de 24h après son lancement, une faille a été découverte dans cette application de messagerie censée être sécurisée.

L'application Tchap du gouvernement est-elle vraiment sécurisée ?

La question mérite amplement d'être posée puisqu'il n'a fallu que quelques heures à Elliot Anderson, un chasseur français de failles de sécurité pour identifier une première vulnérabilité dans l'application. En espérant qu'il n'y en a pas d'autres.

« Je viens de regarder #Tchap la nouvelle appli sécurisé du gouvernement français. Et, put*** le résultat est horrible.@Elysee @gouvernementFR @EPhilippePM @EmmanuelMacron comment puis je vous contacter? C’est TRÈS TRÈS urgent“.

C'est par ce message publié sur Twitter que le hacker white hat a lancé l'alerte. Contacté par le site 01net, il a donné un peu plus d'informations sur ce dont il s'agit :

« En théorie, l'application est réservée aux employés du gouvernement, en d’autres termes les personnes possédant une adresse e-mail en gouv.fr ou en elysee.fr. Dû à un problème de filtrage sur l'adresse e-mail lors de l'inscription, j'ai réussi à m'inscrire sur l'application en tant qu'employé de l'Elysée sans avoir d'adresse e-mail officiel. Ainsi, j’ai obtenu l’accès à tous les salons publics, les profils des gens inscrits, etc ».

De manière concrète, le chercheur aurait ajouté « @presidence@elysee.fr » à son adresse, ce qui lui a permis « de passer les checks de sécurité côté serveur et de recevoir l’e-mail de validation sur mon adresse perso », comme il l'a confié à 01net. Cette technique ne servira finalement pas à d'autres hackers, notamment ceux situés du côté obscur de la force puisque la faille n'a pas tardé à être corrigée.

« Nous avons déployé un correctif vers 13h » a fait savoir l'entreprise qui développe Matrix, le protocole de communication sur lequel est baséel'application Tharp, dans un tweet publié ce jeudi 18 avril.



Abonnez-vous gratuitement à la newsletter
Chaque jour, le meilleur de Phonandroid dans votre boite mail !
Réagissez à cet article !
Demandez nos dernières applications !
  • clubhouse unsplash 2
    Clubhouse débarque sur Android le 21 mai 2021

    Les utilisateurs Android vont enfin pouvoir télécharger Clubhouse sur leur smartphone. L’application a indiqué que le monde entier aura accès aux salons de discussion d’ici vendredi prochain. Les États-Unis seront les premiers à en profiter. On vous l’annonçait le mois…

  • google chrome windows 7
    Chrome 92 va accélérer le chargement des pages web sur Windows, Linux et macOS

    Chrome 92 va permettre de charger encore plus rapidement les pages web sur Windows, Linux et macOS. Cette amélioration, déjà disponible sur la version Android du navigateur web, permet à Chrome de garder en mémoire les pages qui ont été…

  • tousanticovid 2 (1)
    TousAntiCovid (AntiCovid) : tout ce qu’il faut savoir sur l’application

    TousAntiCovid (AntiCovid) est l’application de contact tracing Covid 19 pour alerter les Français lorsqu’ils ont croisé des malades et endiguer la propagation de l’épidémie. Fonctionnement, intérêt, nouveautés ajoutées, question des données personnelles et de l’impact sur la batterie, nous revenons…

  • whatsapp
    WhatsApp continue de gagner des utilisateurs malgré le partage de données avec Facebook

    WhatsApp continue de gagner de nouveaux utilisateurs. Malgré l’annonce de ses nouvelles conditions d’utilisation, comprenant le partage de données avec Facebook, l’application de messagerie a été téléchargée 172,3 millions de fois entre janvier et avril 2021. L’essor de solutions plus respectueuses…

  • Signal
    Signal permet désormais d’envoyer des images en 4K, WhatsApp est encore en retard

    Signal a un nouveau un train d’avance sur WhatsApp grâce à cette fonctionnalité qui permet d’envoyer des images en 4 K. Les utilisateurs de la version bêta v5.11.0 de l’application peuvent désormais transférer leurs photos en haute résolution en réduisant le taux…

  • whatsapp web
    WhatsApp Web teste l’authentification sans smartphone sur ordinateur

    WhatsApp Web teste en beta l’authentification sans smartphone sur ordinateur. Jusqu’alors il n’était possible d’utiliser WhatsApp sur d’autres appareils que lorsque votre smartphone est connecté et à proximité. Avec ce nouveau système il devient possible d’ouvrir jusqu’à quatre sessions concurrentes…

  • clubhouse unsplash 2
    Clubhouse : l’application sociale est enfin disponible en bêta sur Android

    Après plus d’un an d’exclusivité sur iOS, la plateforme audio sociale Clubhouse sort son application Android. Elle est dès à présent disponible aux États-Unis en version bêta sur le système d’exploitation mobile de Google, et permettra aux utilisateurs de s’inscrire…

  • whatsapp icon
    WhatsApp fait machine arrière : vous pourrez l’utiliser même si vous refusez les nouvelles règles

      WhatsApp veut appliquer le 15 mai de nouvelles règles de partage des données personnelles. Devant un refus catégorique des utilisateurs, l’application est revenue une première fois en arrière. Mais la colère des usagers ne baisse pas. À une semaine…

  • google photos pixel
    Google Photos : une option de stockage gratuit et illimité pour les acheteurs des prochains Pixel ?

    Google travaillerait actuellement sur une nouvelle option de stockage gratuit et illimité à destination des propriétaires des prochains Google Pixel. Une ligne de code faisant référence à cette solution a été repérée dans la dernière version de l’application Google Photos….

  • signal facebook instagram
    Signal retourne les outils de Facebook contre lui dans une pub Instagram

    Signal s’attaque à Facebook. L’application de messagerie sécurisée, qui rogne les parts de marché de WhatsApp depuis plusieurs mois, a utilisé les outils publicitaires du réseau social à son avantage. Dans une pub Instagram, Signal a en effet décidé de révéler au…