Olvid
logiciel de messagerie instantanée chiffrée de bout-en-bout
From Wikipedia, the free encyclopedia
Olvid est une application de messagerie instantanée chiffrée gratuite avec des versions premium éditée depuis par l'entreprise française du même nom. Une application mobile spécifique a été certifiée par l'ANSSI en 2020 et en 2021, et des administrations françaises ont recommandé son utilisation en interne.
Plateforme
L'application Olvid est disponible en application mobile sur les plateformes Google Play et App Store[1]. Elle se décline également pour les trois systèmes d'exploitation d'ordinateurs Windows, MacOS et Linux[2]. Une version web de l’application est aussi proposée[3],[4].
En , Olvid, Oodrive et Tixeo s'allient pour créer une plateforme alternative française de logiciel en ligne de gestion de projet et de travail collaboratif pour les données les plus sensibles des administrations, ministères et opérateurs d'importance vitale (OIV)[5].
Entreprise Olvid
L'entreprise Olvid est fondée en 2019 par Thomas Baignères et Matthieu Finiasz, docteurs spécialisés en cryptographie, associés à Cédric Sylvestre et Jacques-André Bondy. La start-up obtient le prix « Startup FIC » au forum international de la cybersécurité à Lille en 2020[6].
L'entreprise se rémunère sur le modèle de licence de son logiciel et au nombre de comptes de sa version payante. Elle ne communique pas ses revenus mais elle est initialement financée par une bourse French Tech Emergence de 350 000 euros, accordée par Bpifrance au concours i-Lab. Un investisseur privé prend ensuite part au capital de l'entreprise[7].
En , le ministère de l'Économie et des Finances accorde 850 000 euros à l'entreprise[8].
En , l'entreprise Olvid compte 15 employés[7] et aurait levé 1,75 million d'euros de fonds d'après le média L'Informé[9],[10].
Licences logicielles
Le code source des programmes clients Olvid est libre et distribué sous la licence AGPLv3[11].
Le code source du programme serveur Olvid est sous licence propriétaire[12]. L’entreprise Olvid indique que le serveur assurant la distribution des messages est hébergé sur Amazon Web Services. Elle ajoute que le logiciel serveur qu'elle prévoit de placer sous licence ouverte ne sera pas la version utilisée pour le réseau public mais une version limitée à quelques centaines de comptes[12].
Sécurité
Olvid revendique une sécurité de haut niveau au moyen de protocoles cryptographiques conçus spécifiquement[12]. En , les experts en sécurité considèrent que la fiabilité n'est pas encore garantie du fait de son usage trop réduit[13].
En , son code est ouvert dans un programme public de prime aux bogues avec YesWeHack[14],[15],[16], pour détecter des vulnérabilités à corriger[17].
Les applications Olvid obtiennent une Certification de sécurité de premier niveau (CSPN) par l'Agence nationale de la sécurité des systèmes d'information (ANSSI), en pour la version 0.8.2 du client pour iOS[18] et en pour la version 0.9.2 du client pour Android[19].
En , l'application exécutée sur les téléphones devient libre et le code source des applications clientes pour smartphones Android et iOS est publié sur le dépôt GitHub d'Olvid[20],[11].
Le , Thomas Baignères est auditionné par les députés au sujet de la proposition d'amendement, rejetée ensuite, de Paul Midy, député Renaissance de l'Essonne, qui propose d'imposer l'introduction de portes dérobées dans les messageries numériques. Il explique qu'une telle introduction rendrait la sécurité des données des messageries inopérante. Il indique plus tard s'être vu reprocher son intervention, notamment par le ministère de l'Intérieur[8].
Utilisation
Le , l'application est utilisée par 100 000 personnes. Les applications ont été téléchargées au moins 150 000 fois sur les magasins d'applications Apple et Google entre cette date et le [9].
Utilisation par les administrations de la France
En , le RAID, unité de la Police nationale française, annonce utiliser Olvid depuis plus d'un an pour assurer les communications entre l'ensemble de ses membres et protéger l'anonymat des policiers[21],[22],[23],[24], et l'application continue d'être utilisée en [8].
En , la Première ministre française, Élisabeth Borne, demande de manière formelle le déploiement de l'application Olvid ou Tchap sur les téléphones et ordinateurs des membres du Gouvernement et des cabinets ministériels « pour le au plus tard »[25],[26].
En , les ministères de l'Intérieur et des Armées français l'utilisent, le premier règle à l'entreprise 24 787 euros pour son utilisation, tandis que le second effectue une nouvelle commande de 3 168 euros en , la direction du renseignement et de la sécurité de la Défense, la présidence de la République française, l'administration pénitentiaire française, le ministère de l'Europe et des Affaires étrangères français et le ministère de l'Économie et des Finances français l'utilisent aussi[8].
Le même mois, une circulaire du Premier ministre français François Bayrou demande de favoriser le déploiement de l'application Tchap pour les agents publics, en particulier au sein des cabinets ministériels, tout en permettant l'usage d'Olvid[27].
Critiques en France
La circulaire du adressée par les services de la Première ministre aux ministères énonce l'intégration de la solution Olvid aux titres de la cybersécurité et d'« une plus grande souveraineté technologique »[13],[28]. Ces deux dimensions ont fait l'objet d'observations dans la presse[10],[29],[30],[9],[31].
En premier lieu, la conformité technique de la solution est discutée. Comme les spécifications publiques le précisent, le stockage des données de l'application est confié en partie au « cloud » des serveurs américains d'Amazon Web Services[31],[32]. D'une part cela rendrait incertaine la compatibilité de la solution avec « la règle dite « R9 » de la doctrine gouvernementale « cloud au centre » », laquelle est censée empêcher un juge d'un État tiers — ici les États-Unis via le Cloud Act — de saisir les données, malgré leur chiffrement. D'autre part l'absence de qualification SecNumCloud de la solution interroge[9], cette qualification étant attendue dans le cadre des infrastructures de type cloud selon le référentiel de sécurité élaboré par l'ANSSI[33].
En second lieu, la nature extra-territoriale d'une partie de l'investissement dans la solution pose question. Selon le média L'Informé, l'investisseur Bruno Scherrer, ancien de Lehman Brothers et désormais résident suisse, aurait engagé 1,75 million d'euros en pour 16 % du capital d'Olvid, à la fois à titre personnel et au travers du fonds Phi Square Holdings, société de droit luxembourgeois[10].
