Un groupe de chercheurs suisses a publié une analyse détaillée de la sécurité cryptographique de Threema.

Les sept attaques que nous avons présentées mettent en évidence plusieurs faiblesses fondamentales dans la conception de Threema
Kenneth G. Paterson, Matteo Scarlata, Kien Tuong Truong de l’ETH Zurich

Les 3 chercheurs tirent principalement trois leçons utiles de leurs analyses pour les développeurs lors du déploiement de protocoles cryptographiques complexes:

L’utilisation de bibliothèques modernes et sécurisées pour les primitives cryptographiques ne permet pas à elle seule de concevoir un protocole sécurisé.
Un protocole autonome peut peut sembler sûr, mais les interactions entre protocoles peuvent compromettre ces garanties de sécurité.
Notre incapacité à trouver une attaque sur un protocole n’implique pas qu’il est sûr.

Un aspect relevé dans plusieurs articles est l’attitude de Threema mal perçue par la communauté sécurité. Ainsi, dans une publication sur le Web, les responsables de Threema ont déclaré que les vulnérabilités s’appliquaient à un ancien protocole qui n’est plus utilisé et que les chercheurs avaient exagéré leurs découvertes.

Les vulnérabilités de Threema sont-elles vraiment dangereuses ?
L’une des applications de messagerie instantanée connue pour être la plus sécurisée, Threema, a fait l’objet d’un scandale la semaine dernière. Des chercheurs de ETH Zurich, une université de recherche publique en Suisse, ont découvert sept (7 ! ) vulnérabilités dans les protocoles de Threema.

Les moyennes et grandes entreprises qui utilisent Threema dans leurs processus professionnels devraient sérieusement envisager de migrer vers Threema OnPrem afin d’avoir un contrôle complet sur les serveurs de messagerie.
Kasperski

Messenger billed as better than Signal is riddled with vulnerabilities
Academic researchers have discovered serious vulnerabilities in the core of Threema, an instant messenger that its Switzerland-based developer says provides a level of security and privacy « no other chat service » can offer.

Cliquer pour accéder à Threema-PST22.pdf

Threema-PST22 Télécharger

Security Analysis of Threema
A group of Swiss researchers have published an impressive security analysis of Threema. We provide an extensive cryptographic analysis of Threema, a Swiss-based encrypted messaging application with more than 10 million users and 7000 corporate customers. We present seven different attacks against the protocol in three different threat models.