Ça s'appuie sur DynamoDB, donc oui c'est "vendor locked".
Y a ScyllaDB qui se dit compatible avec l'API DynamoDB, c'est donc peut être faisable de l'auto-héberger.
Et ça se dit ultra sécurisé… C'est une blague. Amazon a accès aux messages… Alors même s'ils sont crypté, ils ont en théorie les moyens de les décrypter (trouver une faille et mettre les serveurs qu'il faut pour du brut-forcing)
Et puis même sans aller jusque là ils ont au moins des méta données précieuses…
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
Posté par aiolos .
Évalué à 8 (+6/-0).
Dernière modification le 30 janvier 2026 à 10:40.
Alors même s'ils sont crypté, ils ont en théorie les moyens de les décrypter (trouver une faille et mettre les serveurs qu'il faut pour du brut-forcing)
Quelle preuve as-tu de ça ? Thomas Baignères et Mathieu Finiasz sont des cryptologues reconnus. Ils utilisent de la cryptographie à l'état de l'art, implémentée de façon rigoureuse, certifiée par l'ANSSI (certification CSPN). En affirmant qu'Amazon a les moyens de decrypter les messages d'Olvid, ce que tu dis, c'est qu'on peut jeter à la poubelle toute la cryptographie actuelle…
Dès que tu as un preuve, va publier l'attaque, tu vas devenir célèbre !
Avoir les moyens ne veut pas dire qu'ils le peuvent aujourd'hui. Mais ils ont l'aide de la NSA s'ils le veulent. Aujourd'hui ou demain, si un chercheur trouve une faille, et avec la masse des données stockées, c'est plus facile, elle ne sera pas divulgué mais exploitée.
Tu sais ce que c'est la sécurité. Ce n'est pas se dire, c'est dans un coffre fort, c'est sécurisé. C'est rajouter un maximum de couches possible au vu des moyens disponibles. Et héberger chez les américains c'est enlever la couche la plus facile à avoir pour la France et la plus difficile à obtenir pour les US… Surtout pour un État.
C'est comme donner la localisation de ta maison avec tes horaires d'absence à des voleurs en se reposant sur la serrure et l'alarme…
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
Concernant Olvid, Next vient de publier un article dans lequel je lis :
Thomas Baignères (CEO d’Olvid) a une réponse provocatrice, mais qui illustre bien la situation : partez du principe que le serveur fait n’importe quoi et envoie tout seul toutes les données à la NSA et aux renseignements chinois.
et
Olvid s’est déjà à plusieurs reprises expliquée sur la question de la sécurité : « Ce qu'il faut comprendre, c'est que le serveur ne joue pas de rôle sur la sécurité, au même titre que le routeur que votre message va traverser, et sur lequel vous ne posez pas de questions ». Pour simplifier, Olvid ne fait pas confiance à son propre serveur.
Donc s'ils le traitent ainsi que ça soit chez aws ou pas, ça ne change pas grand chose.
Donc s'ils le traitent ainsi que ça soit chez aws ou pas, ça ne change pas grand chose.
Ah ben si, quand même : si AWS coupe la connexion sur demande du dingo, Olvid s'arrête de fonctionner. Et comme la solution semble dépendante de AWS (sauf si ScyllaDB, évoqué dans un autre commentaire, est une alternative immédiatement viable), il faudra sans doute de plusieurs semaines/mois à Olvid pour redevenir opérationnel.
Olvid ne dépend pas du serveur pour fonctionner. Si AWS coupe, tu peux toujours envoyer des messages, et même entamer de nouvelles conversations, pour peu que tu fasses un échange de clef en direct.
De mémoire, le serveur ne sert que pour la mise en relation, dans un contexte entreprise.
De mémoire, le serveur ne sert que pour la mise en relation, dans un contexte entreprise.
L'équivalent de JAMS de Jami, j'imagine. JAMS est open source et peut être auto-hébergé ; c'est le cas de celui de Olvid ?
NB. Olvid étant français ça me coûte de le critiquer (ce que j'ai tendance à faire ici à chaque fois qu'on en parle) mais les rares fois où je consulte leur site web, j'ai les poils qui se hérissent… Ah on me dit qu'il faut séparer l'homme de l'artiste le marketing de la technique.
De mémoire, le serveur ne sert que pour la mise en relation, dans un contexte entreprise.
Apparemment non, il sert aussi de boite aux lettres anonyme (i.e. les métadonnées ne permettent pas de savoir qui parle à qui). Cette boite aux lettre résout l'inconvénient de Jami qui est qu'un message ne peut être envoyé que si le destinataire est en ligne à ce moment-là (ce qui peut être embêtant dans des endroits où la connectivité internet n'est pas continue).
Si tel est le cas, le serveur ne connaît certes pas l'émetteur et le destinataire via les métadonnées mais il a leur adresse IP (mais les correspondants, eux, ne voient pas l'adresse IP de leur interlocuteur). Avec Jami, c'est l'inverse : les correspondants voient l'adresse IP de leur interlocuteur mais personne ne voit les messages chiffrés qu'ils s'échangent en direct (sauf les routeurs d'internet). Ça ne répond pas au même modèle de menace.
Ainsi Olvid serait, me semble t-il, mieux que Jami… si le serveur n'était pas hébergé chez AWS.
Bah si, les routeurs intéressent les pirate. Ont peut à minima avoir les adresses ip. Mais aussi d'autres méta données (DNS, sites…) et puis on peut dérouter le trafic ou tout simplement le couper… S'il y a des sanctions américaines l'administration française ne pourra même pas communiquer. Est ce que Macron pourra encore parler ?
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
# messagerie chiffrée
Posté par BAud (site web personnel) . Évalué à 5 (+3/-0). Dernière modification le 23 janvier 2026 à 19:21.
cool, pour cette messagerie chiffrée, cela va pouvoir permettre de répondre aux points sur
https://linuxfr.org/users/abriotde/liens/olvid-la-securite-a-la-francaise-c-est-chez-les-americains
un hébergement ailleurs que chez AWS à l'ordre du jour aussi ?
en tout cas, c'est bien, ça me fait 3 messageries à envisager :
sinon, reste toujours IRC viable depuis 1993 mais avec un peu moins de fonctionnalités :D
[^] # Re: messagerie chiffrée
Posté par mahikeulbody . Évalué à 3 (+1/-0).
ou un équivalent d'Olvid, Jami.
[^] # Re: messagerie chiffrée
Posté par shuihuzhuan . Évalué à 6 (+5/-0).
Ou deltachat aussi
[^] # Re: messagerie chiffrée
Posté par devnewton 🍺 (site web personnel) . Évalué à 4 (+1/-0).
IRCv3 est un poil plus frituré !
Le post ci-dessus est une grosse connerie, ne le lisez pas sérieusement.
[^] # Re: messagerie chiffrée
Posté par Gil Cot ✔ (site web personnel, Mastodon) . Évalué à 2 (+0/-0).
/me valide(pouce levé ou autre joyeuseté moderne)/join fritures(et on tague pas à la hache)“It is seldom that liberty of any kind is lost all at once.” ― David Hume
[^] # Re: messagerie chiffrée
Posté par tkr (Mastodon) . Évalué à 2 (+0/-0). Dernière modification le 24 janvier 2026 à 15:59.
xmpp/sip(linphone)/email/tel/sms, pas besoin de plus :)
[^] # Re: messagerie chiffrée
Posté par Sylvain Berfini (site web personnel) . Évalué à 2 (+1/-0).
En protocole y'a aussi le SIP, tu peux jeter un oeil à Linphone ;-)
# Le code !
Posté par Glandos . Évalué à 5 (+3/-0).
J'en ai un peu sué pour le trouver : https://github.com/olvid-io/olvid-aws-server
C'est du AGPLv3, dans lequel quelques parties ont été enlevées, mentionnées en tant que fonctionnalités payantes.
[^] # Re: Le code !
Posté par devnewton 🍺 (site web personnel) . Évalué à 8 (+5/-0).
Et ça ne peut tourner que chez AWS ? C'est de l'antisouverain by design ?
Le post ci-dessus est une grosse connerie, ne le lisez pas sérieusement.
[^] # Re: Le code !
Posté par steph1978 . Évalué à 7 (+5/-0).
Ça s'appuie sur DynamoDB, donc oui c'est "vendor locked".
Y a ScyllaDB qui se dit compatible avec l'API DynamoDB, c'est donc peut être faisable de l'auto-héberger.
[^] # Re: Le code !
Posté par abriotde (site web personnel, Mastodon) . Évalué à 2 (+2/-2). Dernière modification le 28 janvier 2026 à 23:30.
Et ça se dit ultra sécurisé… C'est une blague. Amazon a accès aux messages… Alors même s'ils sont crypté, ils ont en théorie les moyens de les décrypter (trouver une faille et mettre les serveurs qu'il faut pour du brut-forcing)
Et puis même sans aller jusque là ils ont au moins des méta données précieuses…
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
[^] # Re: Le code !
Posté par aiolos . Évalué à 8 (+6/-0). Dernière modification le 30 janvier 2026 à 10:40.
Quelle preuve as-tu de ça ? Thomas Baignères et Mathieu Finiasz sont des cryptologues reconnus. Ils utilisent de la cryptographie à l'état de l'art, implémentée de façon rigoureuse, certifiée par l'ANSSI (certification CSPN). En affirmant qu'Amazon a les moyens de decrypter les messages d'Olvid, ce que tu dis, c'est qu'on peut jeter à la poubelle toute la cryptographie actuelle…
Dès que tu as un preuve, va publier l'attaque, tu vas devenir célèbre !
[^] # Re: Le code !
Posté par abriotde (site web personnel, Mastodon) . Évalué à 4 (+2/-0). Dernière modification le 31 janvier 2026 à 00:40.
Avoir les moyens ne veut pas dire qu'ils le peuvent aujourd'hui. Mais ils ont l'aide de la NSA s'ils le veulent. Aujourd'hui ou demain, si un chercheur trouve une faille, et avec la masse des données stockées, c'est plus facile, elle ne sera pas divulgué mais exploitée.
Tu sais ce que c'est la sécurité. Ce n'est pas se dire, c'est dans un coffre fort, c'est sécurisé. C'est rajouter un maximum de couches possible au vu des moyens disponibles. Et héberger chez les américains c'est enlever la couche la plus facile à avoir pour la France et la plus difficile à obtenir pour les US… Surtout pour un État.
C'est comme donner la localisation de ta maison avec tes horaires d'absence à des voleurs en se reposant sur la serrure et l'alarme…
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
# Détails sur le serveur
Posté par Pierre-Alain TORET (Mastodon) . Évalué à 4 (+3/-0).
Concernant Olvid, Next vient de publier un article dans lequel je lis :
et
Donc s'ils le traitent ainsi que ça soit chez aws ou pas, ça ne change pas grand chose.
[^] # Re: Détails sur le serveur
Posté par mahikeulbody . Évalué à 9 (+7/-0).
Ah ben si, quand même : si AWS coupe la connexion sur demande du dingo, Olvid s'arrête de fonctionner. Et comme la solution semble dépendante de AWS (sauf si ScyllaDB, évoqué dans un autre commentaire, est une alternative immédiatement viable), il faudra sans doute de plusieurs semaines/mois à Olvid pour redevenir opérationnel.
[^] # Re: Détails sur le serveur
Posté par aiolos . Évalué à 3 (+1/-0).
Olvid ne dépend pas du serveur pour fonctionner. Si AWS coupe, tu peux toujours envoyer des messages, et même entamer de nouvelles conversations, pour peu que tu fasses un échange de clef en direct.
De mémoire, le serveur ne sert que pour la mise en relation, dans un contexte entreprise.
[^] # Re: Détails sur le serveur
Posté par mahikeulbody . Évalué à 4 (+2/-0).
L'équivalent de JAMS de Jami, j'imagine. JAMS est open source et peut être auto-hébergé ; c'est le cas de celui de Olvid ?
NB. Olvid étant français ça me coûte de le critiquer (ce que j'ai tendance à faire ici à chaque fois qu'on en parle) mais les rares fois où je consulte leur site web, j'ai les poils qui se hérissent… Ah on me dit qu'il faut séparer
l'homme de l'artistele marketing de la technique.[^] # Re: Détails sur le serveur
Posté par devnewton 🍺 (site web personnel) . Évalué à 6 (+3/-0).
La souveraineté ce n'est pas le chauvinisme :-)
Le post ci-dessus est une grosse connerie, ne le lisez pas sérieusement.
[^] # Re: Détails sur le serveur
Posté par mahikeulbody . Évalué à 3 (+1/-0).
Apparemment non, il sert aussi de boite aux lettres anonyme (i.e. les métadonnées ne permettent pas de savoir qui parle à qui). Cette boite aux lettre résout l'inconvénient de Jami qui est qu'un message ne peut être envoyé que si le destinataire est en ligne à ce moment-là (ce qui peut être embêtant dans des endroits où la connectivité internet n'est pas continue).
Si tel est le cas, le serveur ne connaît certes pas l'émetteur et le destinataire via les métadonnées mais il a leur adresse IP (mais les correspondants, eux, ne voient pas l'adresse IP de leur interlocuteur). Avec Jami, c'est l'inverse : les correspondants voient l'adresse IP de leur interlocuteur mais personne ne voit les messages chiffrés qu'ils s'échangent en direct (sauf les routeurs d'internet). Ça ne répond pas au même modèle de menace.
Ainsi Olvid serait, me semble t-il, mieux que Jami… si le serveur n'était pas hébergé chez AWS.
[^] # Re: Détails sur le serveur
Posté par abriotde (site web personnel, Mastodon) . Évalué à 4 (+2/-0).
Bah si, les routeurs intéressent les pirate. Ont peut à minima avoir les adresses ip. Mais aussi d'autres méta données (DNS, sites…) et puis on peut dérouter le trafic ou tout simplement le couper… S'il y a des sanctions américaines l'administration française ne pourra même pas communiquer. Est ce que Macron pourra encore parler ?
Sous licence Creative common. Lisez, copiez, modifiez faites en ce que vous voulez.
Envoyer un commentaire
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.