Bitchat : La Promesse Brisée de la Sécurité ?

Imaginez un instant : vous téléchargez une nouvelle application de messagerie qui promet une sécurité à toute épreuve, sans dépendre d’Internet, parfaite pour communiquer en toute confidentialité. C’est l’ambition affichée par Bitchat, la dernière création de Jack Dorsey, cofondateur de Twitter et PDG de Block. Pourtant, à peine lancée, cette application soi-disant révolutionnaire suscite déjà des doutes. Comment une appli qui vante sa confidentialité peut-elle être mise en ligne sans aucun test de sécurité ? Plongeons dans cette polémique qui secoue le monde des startups.

Bitchat : Une Promesse de Sécurité Audacieuse

Annoncée début juillet 2025, Bitchat se présente comme une alternative aux applications de messagerie traditionnelles. Contrairement à WhatsApp ou Signal, elle repose sur une technologie décentralisée, utilisant le Bluetooth et un chiffrement de bout en bout. Cette approche vise à offrir une solution pour les environnements à haut risque, où Internet est surveillé ou inexistant. Dans son livre blanc, Jack Dorsey insiste sur la priorité donnée à la sécurité, décrivant un système conçu pour protéger les échanges des utilisateurs contre toute intrusion.

Mais cette ambition, bien qu’alléchante, repose sur des bases fragiles. Dès son lancement, des experts en cybersécurité ont pointé du doigt une omission majeure : l’application n’a jamais été soumise à un audit de sécurité. Pire encore, Dorsey lui-même a admis cette lacune, ajoutant un avertissement sur la page GitHub de Bitchat : l’application n’a pas été testée et pourrait contenir des vulnérabilités critiques.

Des Failles Détectées dès les Premiers Jours

À peine quelques jours après le lancement, un chercheur en sécurité, Alex Radocea, a mis en lumière une faille préoccupante dans le système d’authentification des identités. Selon ses analyses, il est possible d’usurper l’identité d’un contact dans Bitchat, trompant ainsi l’utilisateur qui pense communiquer avec une personne de confiance. Cette vulnérabilité touche directement la fonctionnalité des Favorites, un système censé garantir que vous parlez toujours à la même personne.

« La vérification des identités est défaillante. Un attaquant peut intercepter une clé d’identité et se faire passer pour un contact de confiance. »

– Alex Radocea, chercheur en cybersécurité

Cette découverte a poussé Dorsey à réagir rapidement, ajoutant un avertissement clair sur GitHub : « Ce logiciel n’a pas fait l’objet d’un examen externe de sécurité et ne doit pas être utilisé en production. » Mais pour beaucoup, cette mise en garde arrive trop tard. Les utilisateurs ayant téléchargé l’application en se fiant à ses promesses de sécurité pourraient déjà être exposés.

Les Limites de la Décentralisation

L’approche décentralisée de Bitchat, bien que séduisante, soulève des défis techniques complexes. En s’appuyant sur le Bluetooth plutôt qu’Internet, l’application cherche à contourner les infrastructures surveillées. Cependant, cette technologie impose des contraintes, notamment en termes de portée et de stabilité des connexions. De plus, la décentralisation complique la gestion des clés d’identité, essentielles pour garantir la sécurité des échanges.

Un autre problème soulevé concerne la sécurité prospective (forward secrecy), une technique cryptographique qui protège les messages passés même si une clé est compromise. Des experts ont exprimé des doutes sur la mise en œuvre de cette fonctionnalité dans Bitchat, suggérant que l’application pourrait ne pas offrir le niveau de protection annoncé.

Une Communication Maladroite

La communication autour de Bitchat a également suscité des critiques. En lançant l’application sans tests préalables, Dorsey a pris le risque de ternir sa réputation d’innovateur. Son aveu tardif des lacunes de sécurité, ajouté à une gestion opaque des signalements de bugs, a amplifié les inquiétudes. Par exemple, lorsqu’Alex Radocea a signalé la faille des Favorites sur GitHub, Dorsey a initialement marqué le ticket comme résolu sans commentaire, avant de le rouvrir sous la pression.

Ce manque de transparence contraste avec les attentes des utilisateurs, surtout dans un domaine aussi sensible que la cybersécurité. Les applications de messagerie sécurisées, comme Signal, ont bâti leur réputation sur des audits rigoureux et une communication claire. Bitchat, en comparaison, semble précipitée, laissant planer le doute sur la fiabilité de ses fondations.

Les Risques pour les Utilisateurs

Les failles de Bitchat ne sont pas qu’un problème technique : elles pourraient avoir des conséquences graves pour les utilisateurs. Dans des contextes où la confidentialité est cruciale – comme pour les journalistes ou les activistes – une application non sécurisée peut mettre des vies en danger. Alex Radocea a d’ailleurs mis en garde contre une confiance aveugle dans Bitchat :

« Les gens pourraient prendre les promesses de sécurité au pied de la lettre et se mettre en danger. »

– Alex Radocea

Outre l’usurpation d’identité, un autre bug signalé concerne un potentiel débordement de mémoire (buffer overflow), une vulnérabilité qui pourrait permettre à un attaquant d’accéder à des données sensibles. Ces découvertes soulignent l’urgence d’un audit approfondi avant que l’application ne soit considérée comme fiable.

Pourquoi la Précipitation ?

La question qui se pose est : pourquoi Jack Dorsey a-t-il lancé Bitchat sans tests préalables ? Une hypothèse est la volonté de se démarquer dans un marché saturé d’applications de messagerie. En promettant une solution décentralisée et sécurisée, Dorsey espérait peut-être capter l’attention des utilisateurs lassés des géants technologiques. Mais cette stratégie semble avoir été contre-productive.

Une autre explication pourrait être la pression de l’open source. En publiant le code de Bitchat sur GitHub, Dorsey a peut-être voulu s’appuyer sur la communauté pour identifier et corriger les failles. Cependant, cette approche, bien qu’admirable, ne remplace pas un audit professionnel, surtout pour une application qui se veut sécurisée.

Que Peut Faire Bitchat pour Rebâtir la Confiance ?

Pour redorer son blason, Bitchat devra franchir plusieurs étapes cruciales. Voici une liste des actions prioritaires :

• Réaliser un audit de sécurité complet par des experts indépendants.
• Améliorer la transparence dans la gestion des signalements de bugs.
• Renforcer le système d’authentification des identités pour éliminer les risques d’usurpation.
• Communiquer clairement sur les progrès réalisés et les limites actuelles.

En parallèle, Bitchat pourrait tirer parti de son caractère open source pour mobiliser une communauté de développeurs. En corrigeant rapidement les failles et en publiant des mises à jour régulières, l’application pourrait regagner la confiance des utilisateurs.

Le Futur de la Messagerie Sécurisée

L’histoire de Bitchat illustre un défi récurrent dans le monde des startups : concilier innovation et fiabilité. Si l’idée d’une messagerie décentralisée est séduisante, elle exige une exécution irréprochable, surtout dans le domaine de la cybersécurité. Les applications comme Signal ou Telegram ont montré qu’il est possible de combiner innovation et sécurité, mais cela demande du temps et des ressources.

Pour Jack Dorsey, Bitchat représente un pari audacieux. S’il parvient à corriger les failles et à tenir ses promesses, l’application pourrait devenir un acteur majeur de la messagerie sécurisée. Mais pour l’instant, elle reste un projet inachevé, un rappel que la sécurité ne peut être improvisée.

Conclusion : Une Leçon pour les Startups

L’aventure de Bitchat montre que même les entrepreneurs les plus chevronnés peuvent trébucher face aux exigences de la sécurité numérique. Les promesses ambitieuses doivent être soutenues par des tests rigoureux et une transparence sans faille. Pour les utilisateurs, cette affaire est un rappel : ne jamais faire aveuglément confiance à une application, même lorsqu’elle est portée par un nom aussi connu que Jack Dorsey.

Alors, Bitchat deviendra-t-elle une référence en matière de messagerie sécurisée, ou restera-t-elle une idée prometteuse mais mal exécutée ? L’avenir dépendra de la capacité de Dorsey et de son équipe à relever les défis techniques et à regagner la confiance des utilisateurs.