Confidentialité d'abord : chiffrement de bout en bout open source (E2EE) sur DeHub
Par DeHub Team — 2025-10-22
Fonctionnement du chiffrement de bout en bout de DeHub
🔒 Protection de la vie privée de qualité militaire
Chez DeHub, nous avons mis en place un cryptage de bout en bout (E2EE) de qualité militaire pour garantir que vos conversations restent entièrement privées. Lorsque vous envoyez un message, seuls vous et votre destinataire pouvez le lire. Même les serveurs de DeHub n'ont pas accès à vos messages déchiffrés.
🛡️ Qu'est-ce qui sécurise notre E2EE ?
Architecture Zero-Trust
Nous utilisons des bibliothèques cryptographiques auditées et sans dépendance de la suite @noble, la même base cryptographique à laquelle font confiance les experts en sécurité du monde entier :
• @noble/ciphers - Pour le chiffrement authentifié • @noble/curves - Pour la cryptographie à courbe elliptique • @noble/hashes - Pour le hachage cryptographique
Algorithmes de chiffrement testés au combat
XChaCha20-Poly1305 - Chiffrement de message
• Chiffrement authentifié moderne utilisé par Signal, WhatsApp et les applications de messagerie sécurisée • Fournit à la fois la confidentialité (les messages ne peuvent pas être lus) et l'authenticité (les messages ne peuvent pas être falsifiés) • Performances ultra-rapides, même sur les appareils mobiles
Échange de clés X25519 ECDH
• Courbe elliptique Diffie-Hellman pour un accord de clé sécurisé • Fournit une confidentialité parfaite en avant - chaque conversation utilise des clés de session uniques • Basé sur Curve25519, offrant un niveau de sécurité de 128 bits
HKDF-SHA256 - Dérivation de clé
• Dérivation de clé standard de l'industrie à partir de secrets partagés • Assure la séparation cryptographique entre différentes conversations • Génération de clé déterministe mais sécurisée
🔐 Comment ça marche : le flux complet
Phase 1 : Configuration ponctuelle (Activer E2EE)
Lorsque vous activez E2EE dans DeHub, voici ce qui se passe :
- Demande de signature de portefeuille
• Vous êtes invité à signer un message : "Activer E2EE pour le chat avec le titulaire" • Votre portefeuille produit une signature cryptographique unique • Cette signature ne quitte jamais votre appareil
- Génération de clé privée
Signature de votre portefeuille → [hash SHA-256] Seed de 32 → octets → [dérivation HKDF] → Votre clé privée (32 octets) • Votre clé privée est dérivée de la signature de votre portefeuille • Jamais transmise aux serveurs DeHub • Jamais stockée ailleurs que sur votre appareil
- Création de clé publique
Clé privée → [opération X25519] Clé → publique (32 octets) → [encodage Base64] → Téléchargée dans la base de données DeHub • Votre clé publique est mathématiquement liée à votre clé privée • Sûre à partager publiquement - elle est utilisée par d'autres pour crypter les messages pour vous • Stockée dans la base de données de DeHub afin que d'autres puissent la trouver
Ce qui est stocké : • Sur votre appareil (IndexedDB) : clé privée, clés de session (cache 24 heures) • Sur les serveurs DeHub : clé publique, statut E2EE activé, horodatage de création de clé
Phase 2 : Démarrage d'une conversation
Lorsque vous discutez avec quelqu'un qui a également activé E2EE :
Votre clé privée (de votre appareil) + leur clé publique (de la base de données DeHub) → [X25519 ECDH Magic] Secret → partagé (32 octets) → [HKDF avec contexte de conversation] Clé de → session (32 octets)
Caractéristiques principales : • Perfect Forward Secrecy - Chaque conversation a une clé de session unique • Optimisation des performances - Les clés de session sont mises en cache pendant 24 heures • Les deux parties obtiennent la même clé - même si elle est dérivée indépendamment !
Phase 3 : Envoi d'un message
Lorsque vous tapez et envoyez "Hello, world !" :
- Préparation du message
"Bonjour le monde !" → [Encodage UTF-8] Octets de → texte : [72, 101, 108, 108, 111, ...]
- Chiffrement
Octets de texte + Clé de session + Nonce aléatoire (24 octets, fraîchement généré) → [Chiffrement XChaCha20-Poly1305] → Texte chiffré + Balise d'authentification (16 octets) → [Encodage Base64] → Prêt pour les serveurs DeHub
- Stockage - Les bases de données de DeHub :
✅ Qui l'a envoyé (votre adresse) ✅ Qui le reçoit (l'adresse du destinataire) ✅ Quand il a été envoyé (horodatage) Gibberish ✅ chiffré (le texte chiffré) ❌ Ce qu'il dit (complètement illisible)
Ce que DeHub voit : Nous pouvons voir les métadonnées (qui, quand, compte les messages) mais jamais le contenu réel - c'est juste du charabia crypté pour nous !
Phase 4 : Réception d'un message
Quand quelqu'un vous envoie un message crypté :
- Récupérer à partir de la base de données
DeHub récupère : encrypted_content + nonce + version
- Récupération de la clé de session
Vérifier le cache → S'il est trouvé, l'utiliser ↓ S'il est introuvable Dériver une nouvelle clé de session à l'aide de l'ECDH (identique à la phase 2)
- Décryptage
Ciphertext + Balise d'authentification + Nonce + Clé de session → [Décryptage XChaCha20-Poly1305] Octets de → texte (authentification vérifiée !) → [Décodage UTF-8] → « Bonjour le monde ! » apparaît sur votre écran
Vérification de sécurité : ✅ Authenticité vérifiée - La balise d'authentification prouve que le message n'a pas été altéré avec Expéditeur✅ correct - Seule une personne disposant de la clé privée de l'expéditeur pourrait créer ce texte chiffré Protection contre la✅ relecture - Un nonce unique empêche la relecture des anciens messages
🛡️ Ce que la cryptographie de bout en bout protège vs ce qu’elle ne protège pas
✅ Complètement protégé
• Contenu du message - Complètement crypté avant de quitter votre appareil • Intégrité du message - Ne peut pas être modifié sans détection • Clés privées - Ne quittez jamais votre appareil, jamais transmis • Confidentialité de transfert - Clés uniques par conversation • Authenticité - Identité garantie de l'expéditeur
⚠️ Métadonnées (visibles par DeHub)
Comme pour tous les systèmes de cryptographie de bout en bout (Signal, WhatsApp, etc.), certaines métadonnées doivent être visibles pour que l'application fonctionne :
• Qui vous envoyez des messages (adresses de l'expéditeur/du destinataire) • Lorsque des messages sont envoyés (horodatages) • Combien de messages ont été échangés (nombre de messages) • Type de message (texte/image/voix, mais pas le contenu)
Pourquoi ? Ces métadonnées sont nécessaires pour l'acheminement et la livraison des messages. Sans elle, nous ne pourrions pas livrer vos messages !
🚀 Statut actuel et feuille de route
✅ En direct maintenant
✅ Génération de clé basée sur un portefeuille (pas de mot de passe !) Cryptage/décryptage DM✅ automatique Cache de clé de✅ session Secret direct✅ parfait Badges d'état✅ E2EE ✅ Rétrocompatibilité avec les messages non cryptés
🚧 Bientôt disponible
Cryptage des messages de 🔜 groupe - Chats de groupe cryptés Cryptage des🔜 médias - Images, GIF, messages vocaux Vérification des🔜 clés - Vérifiez l'identité de votre contact avec des codes QR Sauvegarde et récupération des🔜 clés - Sauvegardez en toute sécurité vos clés de cryptage Synchronisation🔜 multi-appareils - Utilisez E2EE sur tous les appareils
💡 Pourquoi c'est important
DeHub ne peut jamais :
❌ Lisez vos messages ❌ Accédez à vos clés privées ❌ Décryptez vos conversations ❌ Partagez le contenu de votre message avec n'importe qui
Même si :
🚨 Les serveurs de DeHub sont piratés 🚨 Nous avons reçu un mandat gouvernemental 🚨 Un employé malhonnête tente d'accéder aux données
Vos messages restent chiffrés et illisibles. C'est la puissance du véritable cryptage de bout en bout.
L'🎯 engagement de DeHub en matière de confidentialité
Chez DeHub, nous croyons que la vie privée est un droit fondamental. Notre mise en œuvre E2EE garantit que vos conversations sont vraiment privées - protégées par les mathématiques, pas seulement par les politiques. Nous avons choisi des bibliothèques cryptographiques et des algorithmes de pointe pour vous offrir le même niveau de sécurité que celui utilisé par Signal, WhatsApp et d'autres plateformes de messagerie axées sur la confidentialité.
Vos messages. Votre vie privée. Toujours.