Le problème qu'un coffre verrouillé ne peut résoudre
Imaginez un coffre-fort dans votre couloir. Aussi bon que soit le verrou, le coffre-fort lui-même fait une déclaration : quelque chose de précieux est ici. Quiconque le voit peut exiger qu'il soit ouvert — un voleur, un partenaire violent, un officiel à un point de contrôle. Le chiffrement seul est ce coffre-fort dans le couloir. Le contenu est protégé ; l'existence du contenu est affichée.
Le stockage déniable retire le coffre-fort du couloir. Bien fait, il n'y a pas de coffre visible, pas de nombre de coffres, et aucun moyen d'établir qu'un coffre est présent. La demande « ouvrez le reste » échoue — non parce que vous avez résisté, mais parce que « le reste » ne peut être démontré comme existant.
Comment fonctionne un coffre déniable
Trois propriétés doivent tenir ensemble. Premièrement, chaque coffre est indépendant : chacun est chiffré avec des clés dérivées de son propre PIN ou phrase secrète, donc ouvrir l'un ne révèle rien sur les autres. Deuxièmement, il n'y a pas de registre : aucun index, liste ou compteur de coffres n'est stocké nulle part — le logiciel lui-même ne sait pas combien existent. Troisièmement, le texte chiffré ressemble à du bruit : un coffre non révélé est indiscernable de données aléatoires inutilisées, que ce soit pour une personne qui parcourt ou pour un outil forensique.
Le résultat inverse le rituel habituel de déverrouillage. Dans Sealby, un PIN ne « déverrouille pas l'app » — il choisit un coffre. Le bon PIN révèle son coffre ; toute autre saisie ouvre un coffre neuf et vide, de façon identique. Même un PIN mal saisi est indiscernable de l'ouverture d'un coffre qui a toujours été vide, car c'est la même chose.
Une brève histoire
L'idée est plus ancienne que les smartphones. Des outils de bureau — le plus célèbre étant TrueCrypt et ses successeurs — offraient des volumes cachés : un conteneur chiffré dans l'espace libre d'un autre, avec deux mots de passe révélant deux réalités différentes. Les chercheurs ont formalisé la propriété sous le nom de chiffrement déniable. Ce qui a changé récemment, c'est où se trouvent les enjeux : l'appareil le plus personnel est désormais le téléphone dans votre poche, et c'est celui que les gens sont effectivement contraints de déverrouiller.
Ce que le déni plausible n'est pas
Des limites honnêtes, énoncées clairement. Le déni plausible protège les données au repos contre l'inspection. Il ne peut vous protéger de quelqu'un qui regarde la saisie du PIN, de votre propre confirmation de l'existence du coffre, ou de copies en clair ailleurs — une photothèque synchronisée, un fil de discussion, une sauvegarde faite avant le coffre. Et ce n'est pas une excuse pour enfreindre la loi ; c'est un moyen de garder sa vie privée sous une pression qui ne devrait pas en décider.