Vos conversations chiffrées sur WhatsApp et Signal pourraient ne pas être aussi privées que vous le pensez. Une nouvelle étude révèle qu’il est possible de déduire des informations sensibles sur l’utilisation de ces applications en analysant les délais de réception des accusés de lecture.
Des chercheurs de l’Université de Vienne ont mis au point un outil, dont le code source est accessible sur GitHub, capable de suivre l’activité d’un smartphone en mesurant le temps de réponse des accusés de lecture envoyés automatiquement par les messageries. En envoyant des requêtes discrètes et invisibles pour l’utilisateur, le logiciel analyse les temps d’aller-retour de ces confirmations.
L’analyse de ces délais permet de déterminer avec une précision surprenante si un smartphone est activement utilisé, en veille ou s’il a changé de réseau. Il devient ainsi possible de créer des profils d’activité détaillés sur une période prolongée, ce qui représente un risque significatif pour la vie privée des utilisateurs.
La preuve de concept repose sur deux méthodes : l’envoi de réactions ou de demandes de suppression à des messages inexistants. Le temps nécessaire pour recevoir une confirmation sert de base de mesure. Les écarts par rapport à la durée d’exécution habituelle pour un utilisateur donné indiquent une activité en cours. Le système s’adapte continuellement en recalculant cette durée habituelle, ce qui maintient son efficacité même en cas de changement de connexion Wi-Fi ou de réseau mobile.
À l’heure actuelle, les options de protection contre cette technique sont limitées. WhatsApp propose de bloquer les messages provenant de contacts inconnus, mais cette mesure s’avère insuffisante. Signal permet de masquer la visibilité du numéro de téléphone en utilisant un nom d’utilisateur à la place. Cependant, désactiver les accusés de lecture classiques ne suffit pas à contrer cette vulnérabilité. Selon les chercheurs, le problème persiste sur les deux plateformes.
Pour aller plus loin
