Votre coffre local : tout chiffré sous votre PIN

Chiffrer les messages en transit ne suffit plus. Ce qui vous compromet se trouve presque toujours dans le téléphone lui-même : un appareil perdu, une sauvegarde, une fouille, quelqu'un qui vous l'emprunte une minute. Aujourd'hui nous activons le coffre local de xox : tout ce que l'application garde sur votre appareil est chiffré avec une clé que seul votre PIN peut ouvrir. Sans PIN, pas de discussions, pas de contacts, pas de clés. Seulement du bruit.

Ce qui est chiffré exactement

Tout. Discussions, contacts, groupes, identités, licence, réglages : chaque donnée que xox écrit dans le stockage du navigateur ou de l'application passe par AES-256-GCM avec une clé aléatoire de 256 bits. Cette clé est elle-même conservée enveloppée par une autre, dérivée de votre PIN avec PBKDF2-SHA256 et 600 000 tours. Même les noms des entrées sont invisibles : ils sont chiffrés aussi. Qui copie le stockage n'emporte que du bruit.

Comment ça marche au quotidien

À la première ouverture de votre espace, xox vous demande de créer un PIN de 6 à 12 chiffres (nous recommandons 8 à 12). Ensuite, chaque fois que vous rouvrez l'application après l'avoir fermée, vous tapez le PIN sur un pavé propre à xox : le clavier du système ne le voit pas, ne l'apprend pas, ne le suggère pas. Coffre ouvert, l'application est exactement celle que vous connaissez ; coffre fermé, le code de l'application n'est même pas chargé.

Verrouillage automatique et immédiat

Choisissez quand il se ferme seul : en quittant l'application, après 1, 5, 15 ou 60 minutes, ou jamais. Dans Réglages → Coffre, « Verrouiller maintenant » le ferme sur-le-champ. Si quelqu'un essaie des PIN au hasard, les tentatives sont freinées : après trois échecs, l'attente double, jusqu'à une minute par essai.

PIN d'urgence

Vous pouvez définir un second PIN. Tapez-le sur l'écran de verrouillage et xox efface tout ce qui est sur l'appareil (discussions, clés, identités, cache) et redémarre à neuf, comme fraîchement installé. Pas d'avertissement, pas d'animation, aucun moyen de le distinguer d'un téléphone qui n'a jamais eu xox. C'est la sortie quand on vous force à ouvrir l'application.

Un clavier sans apprentissage

Les claviers des téléphones et les correcteurs « améliorés » de certains navigateurs envoient ce que vous tapez à des serveurs tiers pour vous suggérer des mots. xox force tous ses champs de texte en mode sans correction, sans saisie automatique et sans apprentissage, et le force à nouveau à chaque changement d'écran. Et le PIN ne passe jamais par le clavier du système.

Ce que nous ne pouvons pas faire, et la suite

Un PIN à 6 chiffres ne résiste pas à une attaque par force brute avec une copie de votre stockage et une carte graphique : c'est pourquoi nous recommandons 8 à 12. Si vous oubliez le PIN, personne, pas même nous, ne peut récupérer les données : aucune copie de la clé n'existe nulle part. Dans l'application native, la clé sera liée à votre empreinte ou à la puce sécurisée du téléphone, et Tor, le ratchet post-quantique et le bourrage de trafic arrivent dans le cadre du plan xox Shield.