Le problème qu'un coffre verrouillé ne résout pas
Imaginez un coffre-fort dans votre entrée. Aussi bonne que soit la serrure, le coffre lui-même fait une déclaration : il y a quelque chose de valeur ici. Quiconque le voit peut exiger qu'on l'ouvre — un voleur, un partenaire abusif, un fonctionnaire à un point de contrôle. Le chiffrement seul est ce coffre-fort dans l'entrée. Le contenu est protégé; l'existence du contenu est affichée.
Le stockage à déni plausible retire le coffre-fort de l'entrée. Bien fait, il n'y a pas de coffre visible, pas de décompte de coffres, et aucun moyen d'établir qu'il y en a un. L'exigence « ouvre le reste » échoue — non pas parce que vous avez résisté, mais parce que « le reste » ne peut pas être prouvé.
Comment fonctionne un coffre à déni plausible
Trois propriétés doivent tenir ensemble. Premièrement, chaque coffre est indépendant : chacun est chiffré avec des clés dérivées de son propre NIP, de son propre schéma ou de sa propre phrase de passe, donc ouvrir l'un ne révèle rien sur les autres. Deuxièmement, il n'y a pas de registre : aucun index, liste ou compteur de coffres n'est stocké nulle part — le logiciel lui-même ne sait pas combien existent. Troisièmement, le texte chiffré ressemble à du bruit : un coffre non révélé est indiscernable de données aléatoires inutilisées, tant pour une personne que pour des outils d'analyse judiciaire.
Le résultat inverse le rituel habituel de déverrouillage. Dans Sealby, un NIP ne « déverrouille pas l'app » — il choisit un coffre. Le bon NIP révèle son coffre; toute autre entrée ouvre un nouveau coffre vide, de manière identique. Même un NIP mal saisi est indiscernable de l'ouverture d'un coffre qui a toujours été vide, parce que c'est la même chose.
Un bref historique
L'idée est plus vieille que les téléphones intelligents. Des outils de bureau — le plus célèbre étant TrueCrypt et ses successeurs — offraient des volumes cachés : un conteneur chiffré dans l'espace libre d'un autre, avec deux mots de passe révélant deux réalités différentes. Les chercheurs ont formalisé la propriété sous le nom de chiffrement à déni plausible. Ce qui a changé récemment, c'est là où les enjeux se trouvent : l'appareil le plus personnel est maintenant le téléphone dans votre poche, et c'est celui qu'on vous presse réellement de déverrouiller.
Ce que le déni plausible n'est pas
Des limites honnêtes, énoncées clairement. Le déni plausible protège des données au repos contre l'inspection. Il ne peut pas vous protéger de quelqu'un qui vous regarde entrer le NIP, du fait de confirmer vous-même que le coffre existe, ou de copies en clair ailleurs — une photothèque synchronisée, un fil de discussion, une sauvegarde faite avant le coffre. Et ce n'est pas une excuse pour enfreindre la loi; c'est un moyen de garder la vie privée privée sous des pressions qui ne devraient pas en décider.