Test & Avis Expert
Cwtch est une messagerie décentralisée développée par l’Open Privacy Research Society, publiée sous licence MIT et disponible pour Windows, macOS, Linux et Android. La version courante indiquée par la documentation est la 1.17.1. Le nom est gallois et désigne approximativement une étreinte qui crée un lieu sûr.
Comment ça marche
Toutes les communications passent par des services onion Tor v3. Il n’existe pas de « service Cwtch » : aucun compte à créer, aucun annuaire, aucun serveur central qui saurait qui parle à qui. Une identité est une paire de clés à laquelle correspond une adresse onion, échangée hors bande avec un correspondant. Les conversations à deux sont strictement pair-à-pair.
Les groupes constituent l’exception, et c’est la partie la plus intéressante du modèle : ils s’appuient sur des serveurs, mais des serveurs explicitement considérés comme non fiables. Le protocole est conçu pour qu’un serveur relaie des messages sans pouvoir les lire ni savoir à quel groupe ils appartiennent, ce qui permet de faire tourner un serveur de relais sans lui accorder de confiance. L’objectif affiché est qu’« aucune information ne soit échangée ou disponible sans le consentement explicite » de l’utilisateur, y compris les métadonnées de protocole.
Ce que ça ne protège pas
La documentation de risque du projet est inhabituellement franche et vaut d’être lue. Elle exclut du modèle de menace tout adversaire disposant d’un accès physique à la machine, considéré comme non défendable en pratique.
Elle signale ensuite l’absence de registre centralisé des noms affichés : rien n’empêche un tiers de se faire passer pour un correspondant connu, et la seule parade est la vérification manuelle des clés publiques hors bande. C’est un risque d’usurpation réel, d’autant que l’interface ne le signale pas d’elle-même.
Enfin, la résistance aux métadonnées est un objectif de minimisation, pas une élimination : les motifs temporels des communications restent observables, et le contexte peut trahir le contenu sans que celui-ci soit déchiffré. Aucun audit de sécurité externe n’est publié à ce jour, et la dépendance à Tor impose une latence et des échecs de connexion réguliers, avec l’obligation que les deux correspondants soient joignables.
Face aux alternatives
Ricochet Refresh applique le même principe onion mais sans groupes, sans version mobile et sans messages différés. Briar couvre un modèle voisin en ajoutant la synchronisation par Bluetooth et Wi-Fi local, utile quand internet est coupé. SimpleX Chat obtient une résistance aux métadonnées comparable avec des relais publics, une meilleure fiabilité et des notifications push, au prix d’une dépendance à ces relais.
