Sécurité et vie privée Jitsi Meet

Cette page résume en français la FAQ officielle « Jitsi Meet Security & Privacy » publiée par le projet Jitsi sur jitsi.org/security, complétée par nos propres vérifications sur le service public meet.jit.si. jitsimeet.fr est un site indépendant : nous ne sommes ni Jitsi ni 8×8 et nous n’exploitons aucun serveur Jitsi. Les positions rapportées ci-dessous sont celles du projet.

Pour l’équipe de Jitsi, le plus important est de développer une plateforme à laquelle les utilisateurs peuvent faire confiance. Cela suppose, entre autres, d’être très attentif aux problèmes de sécurité et de respect de la vie privée qui les touchent.

La sécurité et le respect de la vie privée sont des questions très vastes : le projet passe en revue plusieurs cas concrets pour montrer ce qui est réellement en jeu. Les voici, traduits et commentés.

« Totalement sécurisé », dites-vous… qu’est-ce que cela veut dire au juste ?

À bien des égards, les réunions de Jitsi sont simplement privées par conception. Pour commencer, toutes les salles de réunion sont éphémères : elles n’existent que pendant la durée de la réunion. Elles sont créées lorsque le premier participant rejoint le salon et détruites lorsque le dernier le quitte. Si quelqu’un rejoint la même salle, une nouvelle réunion portant le même nom est créée et il n’y a aucun lien avec une réunion précédente qui aurait pu se tenir sous le même nom.

Tout cela est très important. Certains des systèmes qui permettent aux gens de « pré-créer » des salles comportent des indications subtiles qui permettent à un agresseur potentiel de distinguer les réunions réservées de celles qui ne le sont pas, ce qui rend les réunions réservées plus faciles à identifier et à attaquer.

Puisqu’il suffit de connaître un nom pour entrer dans un salon, le choix — et la diffusion — de ce nom demandent une vraie prudence.

Personne ne souhaite voir des inconnus entrer par accident dans sa réunion, ni avoir à composer avec les plaisantins et les curieux.

Ce n’est généralement pas un problème pour les petits déploiements (rappelez-vous que vous pouvez mettre en place votre propre Jitsi Meet sur votre propre serveur) ou pour les réunions à faible visibilité, mais cela peut être un problème si vous utilisez un grand déploiement public comme meet.jit.si ou lorsque votre réunion suscite un intérêt important ou que quelque chose de confidentiel est discuté.

Veuillez noter que le nom d’une réunion est sensible et doit être protégé. Vous ne devez pas l’envoyer à quelqu’un dont vous ne voulez pas lors de votre réunion. Annoncer ce nom publiquement, par exemple dans les médias sociaux, est une chose qui ne doit être faite que si vous voulez vraiment donner à votre réunion une exposition maximale et envisager la possibilité de visiteurs indésirables.

Choisir le nom de votre réunion

Ensuite, il y a la question du choix du nom. Si vous commencez une réunion sous le nom de « Test« , « Yoga » ou « Réunion de famille » par exemple, les chances que des personnes non invitées se joignent à la réunion sont très, très élevées. Comment choisir un bon nom pour la salle alors ? Le générateur de noms de réunion aléatoires intégré à Jitsi Meet est un excellent point de départ. Il propose des noms faciles à mémoriser et à lire sur un coup de téléphone, et ils proviennent d’un ensemble de plus d’un milliard de combinaisons possibles. Le choix d’un des noms autogénérés est donc tout à fait sûr.

Si vous n’aimez pas la façon amusante dont les noms générés par vous-même sonnent et ne voulez pas utiliser un UUID long et peu attrayant (ce que vous pourriez faire), alors allez-y et choisissez un nom pour vous-même mais assurez-vous qu’il est assez long. Par exemple, la prochaine fois que vous voudrez prendre un café avec quelqu’un devant une vidéo, au lieu d’aller sur meet.jit.si/cafe, essayez de donner un petit coup de pinceau au nom.

Jitsi annonce également travailler sur un détecteur de noms de réunion à risque : un avertissement s’afficherait si le nom choisi avait une forte probabilité de collision. La mention figure toujours sur la page officielle, sans date de mise en service.

Jitsi Meet permet aussi de protéger la réunion par un mot de passe. Quelques points importants à garder à l’esprit : si vous définissez un mot de passe, il est de votre responsabilité de le communiquer à vos collègues membres.

Plus important encore, veuillez noter que votre mot de passe, ainsi que les statistiques du chat et du haut-parleur, seront réinitialisés une fois que la dernière personne aura quitté la salle. Par conséquent, vous devez veiller à réinitialiser votre mot de passe si vous vous retrouvez à mettre fin à la réunion et à y revenir.

Une approche similaire que vous pourriez envisager serait d’ajouter une séquence de caractères aléatoires à la fin du nom de la salle.

N’importe qui peut me faire taire ou me mettre à la porte de la réunion, qu’en est-il ?

Jitsi calque ses réunions sur les rencontres en face à face. Prenons le cas de dix personnes qui discutent dans une même pièce. On ne s’attendrait pas à ce qu’une personne ait des privilèges exclusifs de « coups de pied » et de « silence » lors d’une réunion en personne, et pourtant ces réunions se déroulent généralement bien.

Dans la grande majorité des cas, les contrôles de modération dans les réunions en ligne ont un autre objectif : ils permettent de résoudre des problèmes technologiques, comme le fait que les gens ne remarquent pas que leur micro introduit du bruit ou qu’ils oublient de sortir. Les contrôles de modération aident à résoudre ces problèmes, afin que les gens puissent poursuivre leur conversation. Dans cette optique, pourquoi ne pas permettre à une personne présente à la réunion d’aider à résoudre ce genre de problèmes ?

C’est pourquoi les contrôles de modération de Jitsi Meet sont volontairement souples — et ouverts à tout le monde.

C’est notamment le cas pour meet.jit.si, puisque tous les utilisateurs sont des modérateurs.

Si vous avez vraiment besoin de contrôles de modération limités, alors envisagez de déployer votre propre instance de Jitsi Meet et de la configurer pour répondre à vos besoins. Une fois que vous aurez fait cela, vous pourrez mettre en place une authentification forte, de sorte que seuls les utilisateurs autorisés seront modérateurs.

Jitsi permet-il le chiffrement de bout en bout ?

La réponse courte est : oui !

Vous pouvez activer le cryptage de bout en bout (e2ee) tant que vous utilisez Jitsi Meet dans un navigateur prenant en charge les flux intégrés. Concrètement, cela vise tout navigateur basé sur Chromium 83 ou plus récent — Google Chrome, Microsoft Edge, Brave, Opera — ainsi que le client de bureau Electron de Jitsi. Ni Firefox ni Safari ne sont couverts. À noter : le chiffrement de bout en bout ne protège que l’audio, la vidéo et le partage d’écran ; il ne couvre ni la messagerie instantanée, ni les sondages.

Il vous suffit de sélectionner l’option « Chiffrement du début à la fin » dans le menu de débordement et de vous assurer que tous les participants remplissent la même phrase de passe ou le même mot dans le champ « Clé« .

Jitsi Meet offre une protection très forte, même si elle n’est pas explicitement activée dans e2ee. Voici plus de détails :

• Les réunions Jitsi fonctionnent généralement de deux manières : peer-to-peer (P2P) ou par le biais du Jitsi Videobridge (JVB). Ceci est transparent pour l’utilisateur. Le mode P2P n’est utilisé que pour les réunions 1 à 1. Dans ce cas, l’audio et la vidéo sont cryptées à l’aide de DTLS-SRTP tout au long du trajet de l’émetteur au récepteur, même si elles passent par des composants du réseau tels que les serveurs TURN.
• Dans le cas de réunions multipartites, tout le trafic audio et vidéo reste crypté sur le réseau (là encore, à l’aide de DTLS-SRTP). Cette couche externe de cryptage DTLS-SRTP est supprimée lorsque les paquets passent par la vidéobridge Jitsi ; toutefois, ils ne sont jamais stockés sur un support persistant et ne vivent en mémoire que lorsqu’ils sont envoyés aux autres participants à la réunion.
• Il est très important de noter que lorsque les paquets sont également cryptés de bout en bout, cette deuxième couche de cryptage n’est jamais supprimée (et ne peut l’être)
• Comme Jitsi est construit sur le WebRTC, il est très important d’examiner de plus près son architecture de sécurité pour évaluer les aspects sécuritaires de Jitsi.

Que fait Jitsi de mes données ?

Le logiciel Jitsi Meet, en lui-même, ne demande pas aux utilisateurs de créer un compte. Ce n’est en revanche plus vrai du service public meet.jit.si : depuis le 24 août 2023, la personne qui crée le salon doit s’authentifier avec un compte ; les autres participants, eux, rejoignent toujours la réunion sans rien créer. Jitsi indique n’utiliser ces informations de compte que pour instruire les signalements d’infraction à ses conditions d’utilisation. Pour le reste, toute information saisie par un participant — son nom, son adresse e-mail — demeure facultative, n’est partagée qu’avec les autres participants et n’est pas conservée après la réunion.

D’autres informations, telles que les statistiques sur le chat ou les orateurs, par exemple, sont stockées pendant toute la durée de la réunion et sont détruites à la fin de celle-ci.

Beaucoup de ces comportements dépendent de la configuration du déploiement : parlons donc de celui que Jitsi opère lui-même, meet.jit.si.

Ce service applique les réglages par défaut décrits ci-dessus ; pour le détail, il faut se reporter à la politique de confidentialité et aux conditions d’utilisation de meet.jit.si.

Les enregistrements sont un cas particulier. Sur meet.jit.si, l’enregistrement vers Dropbox n’est plus proposé et l’enregistrement de fichier côté serveur est désactivé : la configuration publique du service ne contient plus aucune clé Dropbox et déclare recordingService.enabled: false. Ce qui fonctionne aujourd’hui, c’est l’enregistrement local, et uniquement depuis un navigateur Chromium de bureau (Chrome, Edge) : ni Firefox, ni Safari, ni les applications mobiles. Vous choisissez d’abord où enregistrer, puis le navigateur écrit le fichier .webm directement sur votre ordinateur ; il ne transite par aucun serveur Jitsi et il n’en existe aucune copie côté Jitsi. Si votre navigateur plante en cours de route, vous ne récupérerez au mieux qu’un fichier partiel. La diffusion en direct vers YouTube, elle, reste proposée ; et sur une installation auto-hébergée, l’intégration Dropbox existe toujours dans le code de Jitsi Meet. Le détail, étape par étape, est expliqué dans Enregistrer un appel vidéo sur Jitsi Meet.

Jitsi utilise-t-il des outils de mesure d’audience ?

Jitsi Meet n’est pas livré avec des moteurs d’analyse préconfigurés.

Le projet se dit très attaché à la protection de la vie privée et attentif aux informations transmises aux moteurs d’analyse qu’il utilise ; il a néanmoins besoin d’une certaine visibilité sur l’usage réel du produit. Sur meet.jit.si, Jitsi déclare recourir à Amplitude, Datadog et Crashlytics pour couvrir différents aspects des applications et de l’infrastructure. Les éléments suivis comprennent un identifiant anonyme (le mode « incognito » permet de s’en passer), le débit binaire, la bande passante disponible, les offres et réponses SDP, les événements d’utilisation du produit et les rapports de plantage des applications mobiles — en clair, la fréquence d’usage des différentes fonctionnalités.

Point le plus important selon Jitsi : une fois la réunion terminée, aucun nom, adresse e-mail ni photo de profil n’est conservé (comme indiqué plus haut, ces éléments ne sont transmis qu’aux autres participants).

Les réglages par défaut de meet.jit.si conviennent à la plupart des usages, mais pas à tous. Si ce n’est pas le vôtre, rien n’oblige à passer par le service public : il est possible d’héberger sa propre instance de Jitsi Meet, et le projet annonce une installation d’une quinzaine de minutes sur un serveur Debian ou Ubuntu.