La sécurité de Clubhouse n'est pas au niveau de son succès

Clubhouse cartonne. Sur les deux premières semaines de février 2021, l’app de conférences a cumulé près de 5 millions de téléchargements. Pourtant, Clubhouse ne vise pas le plus grand nombre. Déjà elle n’est disponible que sur l’App Store — donc uniquement sur les iPhone –, ce qui exclut la majorité de la population françaises (comptez 25 % d’iPhone our 75 % d’Android). Ensuite, il faut se faire inviter par une utilisatrice ou un utilisateur déjà inscrit.

Pour l’instant, Clubhouse se rapproche plus d’une forme d’entre-soi confortable d’entrepreneurs, aspirants ou confirmés. L’app pousse les utilisatrices et utilisateurs à utiliser leur vraie identité, et il est possible de voir les noms de tous les participants à une conversation. En plus, chaque compte est lié à un numéro de téléphone, et non à une adresse email. De quoi créer un climat de confiance, qui serait similaire à celui d’une discussion de vive voix, autour d’une table ronde.

Clubhouse, le réseau social de la voix, cartonne. // Source : Capture d’écran Numerama

Mais voilà, comme à chaque fois qu’une app gagne en popularité et en attention, ses défauts font surface. À commencer par ceux liés à sa sécurité. Rappelez-vous le feuilleton Zoom, dont le nombre de téléchargements avait explosé à la faveur du premier confinement en 2020. Dans la foulée, les chercheurs avaient pointé plusieurs défauts importants, au point que l’entreprise a dû consacrer pendant 3 mois ses ressources à leur résolution.

Le début des ennuis pour Clubhouse

Dans le cas de Clubhouse, trois défauts lui sont déjà reprochés.

Des serveurs chinois

Le service qu’elle utilise pour le traitement de son flux audio, Agora, transite entre autres par des serveurs chinois, rapporte TechCrunch. Et les dirigeants de cette entreprise ne cachent pas leur volonté de se plier aux lois chinoises, qui permettent au gouvernement d’accéder aux flux dans le cadre d’enquêtes criminelles. De quoi alimenter les craintes américaines d’un espionnage chinois sur les discussions de l’app, sur le principe que le gouvernement abuserait des lois à son profit. Le même reproche avait été fait à TikTok, qui avait décidé de séparer ses activités chinoises et occidentales pour résoudre la controverse. Le gouvernement chinois a par ailleurs banni Clubhouse avant même qu’elle ne soit proposée sur l’App Store local.

Il existe des miroirs de l’application

Plusieurs développeurs ont créé des miroirs de l’application, qui permettaient à des personnes non inscrites de suivre certaines discussions sur l’app. Concrètement, ces développeurs ne font que diffuser leur propre flux audio à d’autres. Mais c’est un problème : en théorie, les participants d’une conversation doivent avoir la possibilité de savoir qui peut les entendre. Avec ces apps de rediffusion, ce contrat est brisé, puisque n’importe qui peut épier leurs prises de parole. Pire, les conversations pourraient techniquement être enregistrées à leur insu.

Comme l’a expliqué Motherboard, Clubhouse a banni le compte du développeur du plus populaire de ces miroirs, Open Clubhouse, 5 jours après sa mise en ligne. L’entreprise a justifié cette décision : « enregistrer ou diffuser sans la permission explicite de l’orateur est contraire aux conditions d’utilisations de Clubhouse. » Ce manque de protection du contenu n’est pas sans rappeler les défauts du réseau social de la droite dure Parler, qui ont permis à des activistes de sauvegarder l’intégralité de son contenu avant sa mise hors ligne. Pour rappel, même des contenus clairement affichés comme publics doivent disposer d’un certain niveau de protection.

Le flux audio peuvent être récupérés

Il est possible, d’après TechCrunch, d’écouter une conférence sans afficher son compte, une écoute que le média qualifie de « fantôme ». Pour y parvenir, il suffit de récupérer le flux audio de la conversation directement sur Agora, avant qu’il ne passe par les serveurs de Clubhouse, chargé de la gestion des profils. Or, en théorie, les utilisateurs ne devraient pas pouvoir récupérer le flux de conversation avant qu’il soit traité par Clubhouse.

Les développeurs de l’app ont déjà déployé des mesures d’ajustement, mais ce pourrait être un processus long avant qu’elle atteigne le niveau de sécurité des réseaux sociaux bien installés. Rien que le fait que des développeurs indépendants parviennent à observer de près l’architecture de l’app peut être inquiétant : d’autres pourraient y chercher des vulnérabilités ou créer des versions malveillantes de l’app. Si Clubhouse veut rassurer, elle va devoir montrer d’autres garanties. En attendant, si vous utilisez l’app, ayez conscience qu’il existe un risque que vos propos soient enregistrés, encore plus dans les salons de discussion sans condition d’entrée.