Limites connues
Ce que ripoux.fr ne fait pas, ou pas encore. Mieux vaut le savoir avant la manif que pendant.
Une page web, pas une application installée
Le téléphone de terrain est une page web. Rien à installer, rien qui reste après effacement. En contrepartie :
- L'enregistrement s'arrête si l'écran se verrouille ou si la page passe en arrière-plan (autre application, appel entrant).
- Aucun envoi en arrière-plan. Ce qui attend dans la file ne part que si la page est ouverte.
- Un redémarrage du téléphone ne relance rien.
- La reprise automatique du mode discret n'agit qu'à la réouverture de la page, et seulement si le navigateur a mémorisé l'autorisation du micro.
Désactivez le verrouillage automatique et gardez la page au premier plan. Voir Le téléphone de terrain.
iPhone
Sur iPhone, toutes ces limites sont plus strictes : l'arrêt au verrouillage est systématique, et le navigateur peut effacer les données d'une page web peu utilisée, accès de ce téléphone compris. Safari produit des vidéos MP4, Chrome sur Android du WebM : les deux sont acceptés. Dans le compte, les segments MP4 se lisent un par un, sans enchaînement continu ; dans l'export, les prises MP4 ne sont pas assemblées en un seul fichier, seules les prises WebM le sont. Voir Export juridique.
Pas de diffusion en direct
Les images arrivent par segments de 2 à 3 secondes, pas en direct. Un contact voit une session quelques secondes après la prise, au mieux, et seulement si elle lui est ouverte.
Floutage : ce qu'il ne fait pas
La publication d'une copie floutée est réservée aux admins d'un collectif. La détection automatique manque des visages de profil, de dos, flous ou très petits : seule une relecture humaine de la version masquée, en entier, garantit le résultat. Les prises d'iPhone (MP4) et les passages qui mêlent son seul ou photos ne sont pas pris en charge. Le rendu se fait en temps réel, dans un navigateur d'ordinateur (Firefox ou Chrome). La preuve publiée établit l'origine des images, pas l'absence d'autre retouche. Les originaux ne sont jamais floutés.
Pas de lien avocat
L'envoi de l'archive juridique à un avocat par lien protégé n'est pas disponible. Passez par un contact de confiance en lecture et modification, ou téléchargez l'archive.
Vérification d'un fichier déchiffré
Chaque fichier de l'export se vérifie avec sha256sum contre son plainHash dans le manifeste signé et horodaté. Cette empreinte est calculée et déclarée par le téléphone : le serveur, qui ne voit que du chiffré, ne peut pas vérifier qu'elle correspond au contenu. Il atteste qu'il l'a reçue à telle heure, et personne ne peut fabriquer après coup un autre fichier de même empreinte. Les empreintes de la chaîne (hash), elles, portent sur les segments chiffrés : elles ne se recalculent depuis l'archive que si elle contient les segments chiffrés et la clé de session (option cochée par défaut), qui permettent aussi de relier chaque fichier en clair à son segment chiffré sans dépendre du téléphone. Voir Export juridique.
Un seul serveur
ripoux.fr fonctionne aujourd'hui sur un seul serveur, chez un seul hébergeur.
- Si le serveur est indisponible, le téléphone de terrain garde tout dans sa file, chiffré, et réessaie. Rien n'est perdu tant que la page reste ouverte et que le téléphone tient.
- Les données sont sauvegardées, chiffrées, sur un autre site. Une restauration peut prendre du temps.
- L'espace disque du serveur est limité. Si plusieurs comptes utilisent tout leur quota en même temps, le serveur peut se remplir avant eux.
Le verrou et l'opérateur du service
Le verrou est appliqué par le serveur : aucune requête, de qui que ce soit, ne peut supprimer un segment verrouillé ni raccourcir un verrou.
Avec le stockage sur le disque du serveur, utilisé par défaut, un administrateur qui aurait un accès direct à la machine pourrait effacer des fichiers en contournant l'application. La garantie forte, où le stockage lui-même refuse la suppression, demande un stockage objet avec verrou de rétention (« Object Lock » en mode conformité). Il est prévu et sera activé ; d'ici là, cette garantie repose sur l'opérateur du service. Une suppression ainsi forcée resterait visible : la chaîne d'empreintes et le manifeste horodaté montreraient ce qui manque.
Le code de contrainte a ses limites
- L'écran est identique, mais les effets sont réels : vos contacts sont prévenus, le verrou passe à 30 jours, et le journal le consigne.
- Depuis le téléphone de terrain, seuls les contacts cochés à la création de la session reçoivent le partage, et le leurre ne s'applique pas.
- Sans leurre, la personne qui vous contraint voit votre vrai compte.
- Avec leurre, une personne attentive peut remarquer qu'il est presque vide. Et le leurre comporte un risque juridique.
Un contact peut tout, par défaut
Avec le réglage par défaut (1 contact nécessaire), chaque contact de confiance peut reconstruire seul votre clé entière, donc lire tout votre compte. Un nombre de contacts nécessaires plus élevé, dans les paramètres avancés des contacts, protège contre un contact isolé, pas contre une entente entre assez de contacts.
Un membre retiré garde ce qu'il a vu
Retirer un membre d'un collectif lui coupe l'accès au serveur tout de suite. Mais ce qu'il a déjà téléchargé ou exporté reste chez lui, et les clés du collectif ne sont pas renouvelées : s'il les a copiées hors de son navigateur, il pourrait encore déchiffrer une archive obtenue autrement. N'invitez que des personnes de confiance, et retirez sans attendre celles qui partent.
La clé vient du serveur que vous consultez
Le chiffrement se fait dans votre navigateur, avec le code que le site lui envoie. Si ce code était modifié (serveur compromis, opérateur contraint), il pourrait capturer votre phrase de passe la prochaine fois que vous la saisissez. C'est la limite commune à tous les services chiffrés consultés dans un navigateur. Le code est libre et publié ; des versions vérifiables sont une piste d'amélioration.
Le verrou s'arrête à 30 jours
Personne ne peut poser un verrou de plus de 30 jours, code de contrainte compris. Au-delà, une suppression redevient possible, programmée 24 h plus tard et annulable. Pour conserver plus longtemps, prolongez le verrou avant son terme, ou exportez l'archive.
Pas de récupération par nous
Sans phrase de passe, sans clé de récupération et sans assez de contacts, vos images sont perdues. C'est le prix du chiffrement de bout en bout.