Dans Maze, chaque message entre amis est chiffré sur votre téléphone avant de partir, et seul le téléphone de la personne à qui vous écrivez peut le déchiffrer. Le serveur ne fait que transporter des données illisibles.
Ni l’admin, ni le serveur, ni l’hébergeur ne peuvent lire vos discussions.
Qui peut lire vos messages ?
| Vous et la personne à qui vous écrivez, sur vos téléphones | Oui |
|---|---|
| L’admin de Maze | Non |
| Le serveur et l’hébergeur | Non |
| Quelqu’un qui volerait la base de données | NonIl n’y trouverait que des messages chiffrés en transit, effacés dès qu’ils sont livrés. |
| Quelqu’un qui espionne le réseau (Wi-Fi public, opérateur…) | Non |
| Quelqu’un qui connaîtrait votre mot de passe | Pas vos messagesVotre historique est sur votre téléphone, pas sur le serveur. Avec la double authentification, le mot de passe seul ne suffit même pas pour se connecter. Et si quelqu’un activait la messagerie à votre place sur un autre appareil, vos contacts verraient une alerte rouge et ne pourraient plus vous écrire sans la confirmer. |
| Quelqu’un qui tient votre téléphone déverrouillé | OuiComme pour toute messagerie. Protégez votre téléphone par un code, et activez Face ID dans Maze. |
Comment ça marche
- Vos clés naissent sur votre téléphone. Quand vous activez la messagerie, votre téléphone crée une paire de clés. La clé secrète ne le quitte jamais ; seule la clé publique est envoyée au serveur, pour que vos amis puissent vous écrire.
- Chaque message est scellé pour un seul téléphone. Avant d’envoyer, votre téléphone combine sa clé secrète avec la clé publique de votre ami. Seul son téléphone, qui a la clé secrète correspondante, peut ouvrir le message.
- Une nouvelle clé pour chaque message. Les clés changent à chaque message et à chaque aller-retour, puis sont effacées. Même si quelqu’un volait un jour les clés d’un téléphone, il ne pourrait pas relire les anciens messages, ni lire les suivants une fois la conversation repartie.
- Le serveur ne garde rien. Il transporte une enveloppe scellée, l’efface dès que le téléphone de votre ami l’a récupérée (au plus tard après 30 jours) et écrase son emplacement avec des zéros. L’historique n’existe que sur vos téléphones.
- Photos, vocaux et GIF aussi. Chacun est chiffré avec sa propre clé, tirée au hasard, que seul le destinataire reçoit. Les photos sont allégées et débarrassées de leur position GPS avant de partir.
- Vous pouvez vérifier qu’il n’y a personne entre vous. Dans une discussion, appuyez sur le nom de votre ami : un numéro de sécurité de 60 chiffres s’affiche. Comparez-le une fois, en vrai ou au téléphone. S’il est identique sur vos deux téléphones, personne ne s’est glissé dans la conversation, pas même le serveur.
- La sauvegarde reste illisible pour le serveur. Si vous l’activez, vos messages sont chiffrés sur votre téléphone avec une phrase secrète que le serveur ne voit jamais. Si vous l’oubliez, personne ne peut récupérer la sauvegarde, pas même l’admin.
Ce que le serveur sait quand même
Pour transporter les messages, le serveur connaît certaines informations, mais jamais leur contenu :
- qui écrit à qui, et quand ;
- la taille approximative des messages (arrondie, pour ne rien révéler de leur longueur exacte) ;
- qu’une photo ou un vocal a été envoyé, et sa taille ;
- les mots tapés dans la recherche de GIF (pas qui les tape, ni à qui le GIF est envoyé) ;
- votre pseudo, votre nom affiché, votre photo de profil, et l’adresse IP de vos appareils connectés ;
- qui a bloqué qui.
Les notifications ne contiennent que le nom de l’expéditeur et « Nouveau message », jamais le texte. Elles passent par les services d’Apple ou de Google, comme celles de toutes les applis.
Les limites, honnêtement
- L’appli vient du serveur. Comme toute messagerie qui s’ouvre dans un navigateur, quelqu’un qui prendrait le contrôle du serveur pourrait modifier l’appli pour lire les messages suivants. Ceux déjà échangés resteraient illisibles. Le serveur est protégé en conséquence (accès par VPN uniquement, double authentification, conteneur verrouillé).
- Votre téléphone. Une fois déchiffrés, les messages y sont rangés pour que vous puissiez les relire. Sur un appareil prêté, supprimez vos discussions avant.
- La première fois. Quand vous écrivez à quelqu’un pour la première fois, votre téléphone fait confiance à la clé donnée par le serveur : c’est pour ça qu’il faut comparer le numéro de sécurité une fois.
- Un seul appareil à la fois. La messagerie vit sur un téléphone. En changer demande votre mot de passe, et sans la sauvegarde chiffrée, l’historique ne suit pas.
Et Matilda ?
Matilda est un jeu avec une intelligence artificielle, réservé à quelques comptes et complètement à part de la messagerie. Ses conversations ne sont pas chiffrées :
- le serveur doit lire vos messages pour que l’IA puisse y répondre ;
- ils sont envoyés à Google (Gemini), qui génère les réponses, et qui peut les utiliser pour améliorer ses produits ;
- l’admin peut lire les parties, pour suivre et régler le jeu.
Ne racontez rien de personnel à Matilda. Vos discussions chiffrées, elles, ne sont jamais mélangées au jeu.
Les détails techniques
- Protocole : celui de Signal, X3DH pour ouvrir une discussion, puis Double Ratchet pour chaque message.
- Clés : X25519 (échange de clés) et Ed25519 (signatures), une clé signée renouvelée chaque semaine, et des clés à usage unique.
- Chiffrement : AES-256-GCM, une clé par message dérivée par HKDF et HMAC (SHA-256). Un message modifié, rejoué ou déplacé vers une autre discussion est refusé.
- Taille : les messages sont complétés jusqu’au multiple de 256 octets suivant.
- Numéro de sécurité : 60 chiffres, calculés comme dans Signal (SHA-512, 5 200 tours) à partir des clés des deux personnes.
- Sauvegarde : clé tirée de la phrase secrète par PBKDF2-SHA-256 (600 000 tours), puis AES-256-GCM.
- Briques : toutes fournies par le navigateur (WebCrypto). Aucune n’est réécrite à la main.
- Stockage : les clés secrètes et l’historique restent dans le stockage du navigateur (IndexedDB), que seule l’appli peut lire.