Se connecter
Messagerie et communication sécurisées : les 8 solutions certifiées CSPN
Le point sur les solutions de messagerie et de communication qui bénéficient de la CSPN (certification de sécurité de premier niveau).
Je m'abonne
Page 1
Olvid
Messagerie instantanée sur téléphone mobile avec chiffrement de bout en bout
Android
: version 0.9.2 certifiée le 26 mai 2021
Fonctions évaluées :
- Authentification des utilisateurs
- Authentification des échanges
- Chiffrement des messages et des pièces jointes
- Chiffrement des sauvegardes du carnet de contacts
- Chiffrement des appels VoIP
Remarque : vulnérabilités potentielles, mais inexploitables pour le niveau d'attaquant considéré
Rapport de certification
iOS
: version 0.8.2 certifiée le 18 septembre 2020
Fonctionnalités évaluées : comme sur Android, sauf chiffrement des appels VoIP
Même remarque sur la sécurité
Rapport de certification
Illustration principale © Den Rise - Shutterstock
Virtru Data Protection Platform
Plug-in de navigateur web qui s'interface avec le client de messagerie de l'émetteur pour chiffrer les messages avant leur envoi.
Pour le destinataire, deux modes de déchiffrement : le plug-in ou l'application Virtru Secure, le contenu du message étant alors conservé chiffré sur un serveur Amazon S3.
Version 7.14.1 (plug-in et application) certifiée le 16 décembre 2020
Fonctionnalités évaluées :
- Chiffrement des messages
- Déchiffrement des messages pour les utilisateurs Virtru
-Déchiffrement des messages pour les utilisateurs ne disposant pas de Virtru
- Protection des clés de chiffrement
Remarque : vulnérabilités potentielles, mais inexploitables dans le contexte défini par la cible de sécurité. Les utilisateurs doivent s'assurer que les services de « rédaction intelligente » de Google sont bien désactivés (Gmail).
Rapport de certification
Pexip Infinity
Vidéoconférence
Infrastructure basée sur des VM : un nœud de gestion et un ou plusieurs noeuds pour héberger et offrir les fonctionnalités de conférence ou assurer la proxyfication des flux
Version 26.2
on-prem
certifiée le 27 janvier 2022
L'évaluation considère la solution dans un déploiement sur site (sur KVM), avec accès via client léger sur navigateur.
Fonctionnalités évaluées :
- Authentification de l'administrateur système
- Authentification de l'administrateur applicatif
- Intégrité et chiffrement des échanges client/serveur et des échanges client-client
- Cloisonnement des salles virtuelles
- Accès aux salles contrôlé par un code PIN
- Intégrité et chiffrement des échanges serveur/serveur
Remarques : vulnérabilités potentielles, mais inexploitables dans le contexte défini par la cible de sécurité. Les utilisateurs doivent mettre en œuvre un pare-feu pour que seuls les personnels autorisés puissent avoir accès aux interfaces de management
Rapport de certification
TixeoServer
Système de vidéoconférence à installer en interne
Version 15.5.0.0 certifiée le 15 juin 2021
Fonctionnalités évaluées :
- Chiffrement de bout en bout dans un tunnel TLS
- Protection des mots de passe des utilisateurs
- Authentification des utilisateurs
- Tunneling HTTPS
Remarques : l’installation a duré plus de temps que prévu en raison de problèmes de déploiement de l’autorité de certification auto-signée dans les Windows Server TMMS et TCS.
L’évaluateur a relevé le manque de clarté de la documentation concernant la gestion des certificats, sans que cela entraîne de risque quant à la sécurité du produit.
Des vulnérabilités publiques existent sur le produit et ses briques tierce partie, mais aucune n’a été considérée par l’évaluateur comme exploitable dans le contexte d’utilisation du produit et pour le niveau d’attaquant visé.
Restrictions :
- Ne pas échanger de contenu sensible dans la messagerie instantanée hors réunion (le chat textuel hors réunion n'est pas protégé en confidentialité ou en intégrité)
- Ne pas inclure de données sensibles dans le sujet des réunions (pas de protection des métadonnées)
- Utiliser les fonctionnalités de
certificate pinning
, sur le TCS pour les communications entre serveurs, et sur les postes clients TCC pour les communications client-serveur
- Désactiver le stockage local des mots de passe utilisateur et le stockage des mots de passe dans le navigateur web
Rapport de certification
Seald
SDK de chiffrement E2E
Version 2.1 certifiée le 4 décembre 2020
Fonctionnalités évaluées :
- Chiffrement des documents
- Chiffrement des clés symétriques de chiffrement et d'intégrité
- Gestion d'une base de données de chaîne de signatures
Remarques : dans le cadre de l'évaluation, SEALD prend la forme d'une bibliothèque NodeJS nommée SEALD-SDK (évaluée avec strict-mode activé, keySize 4096, module sscrypto en version 0.4.2).
Il existe des vulnérabilités connues pour les dépendances du produit, mais elles ne sont pas exploitables dans le contexte d'utilisation du SDK.
Recommandations : appliquer la méthode proposée pour le chiffrement des clés privées, vérifier le condensat du dernier bloc des chaînes de signatures des destinataires, ne pas redéfinir certaines méthodes/variables comme la fonction overrideMassRencrypt.
Secure Xchange Network
Permet la communication entre deux réseaux de niveau de sécurité différents, tout en apportant un cloisonnement fort de ceux ci.
Version 3.4.0, certifiée le 28 septembre 2021
Fonctionnalités évaluées :
- Gestion des entrées malformées
- Rupture protocolaire
- Cloisonnement des guichets
- Stockage sécurisé des secrets
- Protection de la configuration
- Authentification des utilisateurs
- Chiffrement des utilisateurs
- Chiffrement des communications
- Signature des firmwares
- Transfert de fichier sécurisé
Remarque : des vulnérabilités potentielles ont été identifiées, mais se sont révélées inexploitables.
Rapport de certification
Huawei AR Series Service Router AR6120
Version V300R019C00SPC007T, certifiée le 15 décembre 2020
Fonctionnalités évaluées :
- Listes de contrôle d'accès
- Authentification de l'utilisateur
- Contrôle d'accès
- Audit
- Sécurité des communications
Remarques : sur l'analyse de la résistance des mécanismes cryptographiques, identification de non-conformités au RGS, mais qui n'engendrent pas de vulnérabilités exploitables pour le niveau d'attaquant visé.
Rapport de certification
Olvid
Messagerie instantanée sur téléphone mobile avec chiffrement de bout en bout
Android
: version 0.9.2 certifiée le 26 mai 2021
Fonctions évaluées :
- Authentification des utilisateurs
- Authentification des échanges
- Chiffrement des messages et des pièces jointes
- Chiffrement des sauvegardes du carnet de contacts
- Chiffrement des appels VoIP
Remarque : vulnérabilités potentielles, mais inexploitables pour le niveau d'attaquant considéré
Rapport de certification
iOS
: version 0.8.2 certifiée le 18 septembre 2020
Fonctionnalités évaluées : comme sur Android, sauf chiffrement des appels VoIP
Même remarque sur la sécurité
Rapport de certification
Illustration principale © Den Rise - Shutterstock
Fin du diaporama
Sur le même sujet :
Sur le même thème
Voir tous les articles Cybersécurité
Par Clément Bohic
6 min.
Par La rédaction
6 min.
Par Clément Bohic
4 min.![Campus Cyber : vers une nouvelle gouvernance après le départ de [...]](https://cdn.edi-static.fr/image/upload/c_lfill,h_148,w_220/e_unsharp_mask:100,q_auto/f_auto/v1/Img/BREVE/2024/12/465843/Campus-Cyber-vers-nouvelle-gouvernance-apres-depart--LE.jpg)
Par Philippe Leroy
5 min.
