Pour les articles homonymes, voir Otr.
Les informations figurant dans cet article ou cette section doivent être reliées aux sources mentionnées dans les sections « Bibliographie », « Sources » ou « Liens externes » ().
Off-the-Record Messaging (en français : messagerie confidentielle), appelé communément OTR, est un protocole cryptographique.
Caractéristiques
[modifier | modifier le code]L'Off-the-Record Messaging utilise une combinaison d'un algorithme de clés symétriques AES, du protocole d'échange de clés Diffie-Hellman et de la fonction de hachage SHA-1. OTR permet d'avoir des conversations privées sur de multiples protocoles de messagerie instantanée (XMPP/Jabber, IRC, SILC, MSN...) en fournissant :
- Chiffrement : personne d'autre ne peut lire les messages instantanés.
- Authentification : ou comment s'assurer que le correspondant est celui que l'on pense être. Il existe trois méthodes d'authentification :
- Question et réponse : quand on authentifie un contact par cette méthode, on écrit une question et sa réponse et le contact seulement la réponse. Si les réponses ne sont pas identiques, il pourrait s'agir d'une conversation avec un imposteur.
- Secret partagé : choisir un « code secret » connu de seulement l'expéditeur ou du contact et attendre que celui-ci entre le « code secret ». Si les secrets ne sont pas identiques, il pourrait s'agir d'une conversation avec un imposteur.
- Vérification manuelle d'empreinte : contacter le destinataire via un autre canal authentifié, comme le téléphone ou un mail GPG-signé. Chacun devra donner son empreinte à l'autre. Si l'empreinte du contact est identique à celle indiquée sur votre écran, dire que l'empreinte a été vérifiée.
- Déni plausible : n'importe qui peut forger des messages avant ou après une conversation privée pour les faire voir comme s'ils venaient de soi. Cependant, pendant une conversation privée, le correspondant est assuré que les messages qu'il voit sont authentiques et non-modifiés.
- Confidentialité persistante : si on perd la maîtrise de ses clefs privées, aucune conversation antérieure n'est compromise.
OTR se présente sous la forme d'un greffon à un client de messagerie instantanée ou alors il y est intégré nativement (voir ci-dessous). Tous les protocoles (ou presque) supportés par ces clients de messagerie instantanée peuvent utiliser OTR. Il doit être installé chez chaque interlocuteur pour être actif. Les 'différents OTR' sont compatibles entre eux (un contact utilisant Pidgin + OTR pourra parler de manière sécurisée avec un contact utilisant Gajim + OTR, etc.). OTR est différent du paramètre "off the record" de Google Talk qui désactive simplement l'archivage des conversations.
Le , un article de Der Spiegel indique que le protocole OTR posait des « problèmes majeurs » à la NSA en 2012 dans sa volonté de contourner le chiffrement[1].
Disponibilité
[modifier | modifier le code]D'origine dans Adium, ChatSecure (client iOS), Conversations (v1.x uniquement, retiré de la version 2.0, client Android), CoyIM, Jitsi (depuis 1.0), Kopete depuis la version 0.50 (KDE 4), et Xabber.
Divers
[modifier | modifier le code]- Psi+, version patchée de Psi avec plugin otr
Notes et références
[modifier | modifier le code]- ↑ (en) Jacob Appelbaum, Aaron Gibson, Christian Grothoff, Andy Müller-Maguhn, Laura Poitras, Michael Sontheimer et Christian Stöcker, Inside the NSA's War on Internet Security, spiegel.de, 28 décembre 2014.
Sources
[modifier | modifier le code]- « OTR – Off the Record Qu’est-ce que c’est, à quoi ça sert et pourquoi devriez-vous commencer à crypter les conversations de votre smartphone? », sur informatique-mania.com (consulté le ).
- (en) « Off-the-record communication, or, why not to use PGP », sur dl.acm.org (consulté le ).
- (en) Site du projet OTR, consulté le 18 juillet 2025.
- (en) Description du protocole, consulté le 18 juillet 2025.
Liens externes
[modifier | modifier le code]
- (en) Site officiel
