Sécurité
Le serveur est un coffre-fort sans sa propre clé
Il conserve les contenus chiffrés, mais la clé qui les ouvre ne lui appartient pas : elle reste aux sœurs et frères, sur leurs appareils. C'est là le différenciateur, et ci-dessous nous traçons avec précision où passe la frontière, y compris la vidéo et l'audio en direct d'une tenue en ligne, qui avec la discrétion renforcée sont désormais chiffrés de bout en bout eux aussi, sans promettre l'impossible.
La frontière, en entier
Ce que nous ne pouvons pas voir, et ce que nous voyons
Ce que nous ne pouvons pas voir
Chiffré de bout en bout : cela quitte le navigateur chiffré et le reste.
- Le texte des planches et des documents déposés
- Les tracés des tenues
- Le nom affiché des membres (chiffré, distinct de l'identifiant technique)
- Les offices occupés et leurs mandats (attributions chiffrées)
- Les pièces jointes et les fichiers déposés dans l'archive (convocations comprises)
- Le registre de caisse : montants, motifs, versements et la bienfaisance (le tronc de la veuve est anonyme même pour la loge)
- Le tableau de loge : les dates du parcours de chaque membre, initiation, passage et élévation (l'état actif ou en sommeil est en revanche une métadonnée : voir à droite)
- Les rappels de l'échéancier du secrétaire (titres et dates)
- La bibliothèque : les titres au catalogue et qui a quoi en prêt
Ce que nous voyons, et pourquoi
Des métadonnées que le service doit connaître pour fonctionner.
- Qu'une loge existe et son nom administratif (pour acheminer les accès et gérer le service).
- Combien de comptes et de membres elle a (pour appliquer les limites du forfait).
- Les dates et horaires des tenues au calendrier (pour les partager avec qui participe ; une tenue est un événement commun, pas un contenu réservé).
- Les identifiants opaques (identifiants techniques, pas des noms) (pour authentifier sans exposer l'identité réelle).
- La taille et les horaires des données chiffrées (pour les conserver et les servir ; leur taille est inévitablement connue).
- Que la trésorerie est en usage et le rythme de ses écritures (pour conserver les écritures chiffrées ; leur contenu reste scellé).
- L'état du parcours d'un membre (actif, en sommeil, démissionnaire, passé à l'Orient éternel) (pour fermer l'accès quand cet état l'exige ; les dates du parcours restent chiffrées).
- Les présences aux tenues, quand la loge choisit de les recueillir (pour donner au secrétaire le tableau de l'assiduité).
- Qu'il existe des rappels et des écritures de bibliothèque, combien et écrites quand (pour les conserver chiffrées ; titres, dates et noms restent scellés).
Note honnête : même les seules métadonnées racontent quelque chose : le rythme des tenues, la croissance d'une loge. Nous ne chiffrons pas ce dont le serveur a besoin pour fonctionner, et nous préférons le dire plutôt que le cacher. Cela vaut aussi pour les tenues en ligne : avec la discrétion renforcée, la vidéo et l'audio en direct sont désormais chiffrés de bout en bout, mais leurs métadonnées restent visibles : qui est connecté à cet instant (avec des identifiants temporaires), les horaires et qui prend la parole. Nous l'expliquons ci-dessous.
Les tenues en ligne
La tenue en visioconférence : le flux en direct, chiffré de bout en bout
Une loge peut aussi tenir sa tenue à distance, dans une salle virtuelle qui reprend le décor du temple, en plus du présentiel. L'entrée reste gardée : un Couvreur numérique accueille à la porte, le tuilage reste un acte humain en temps réel et personne n'entre de soi-même. Et comme le reste de l'archive, avec la discrétion renforcée la vidéo et l'audio en direct sont chiffrés sur les appareils des personnes présentes : à notre serveur n'arrivent que des enveloppes opaques qu'il ne peut pas ouvrir. Seules les métadonnées restent visibles, et nous le disons ouvertement.
La vidéo et l'audio en direct sont chiffrés de bout en bout (discrétion renforcée)
Comme les planches, les tracés et la trésorerie, le flux en direct d'une tenue en ligne est lui aussi chiffré sur les appareils des personnes présentes : la clé de la tenue naît et reste sur vos navigateurs, et à notre serveur n'arrivent que des enveloppes opaques qu'il ne peut pas ouvrir. Le serveur distribue les flux chiffrés en temps réel, pour que chacun voie et entende les autres, sans en voir le contenu.
Nous n'enregistrons et ne conservons rien
La salle n'enregistre pas. Quand la tenue se clôt, nous ne gardons aucune copie des flux : notre serveur les distribue au passage, chiffrés, il ne les archive pas et ne pourrait pas les lire.
Aucun service vidéo tiers
Le serveur qui distribue les flux est le nôtre et vit sur la même infrastructure européenne que le reste du service. La séance n'est pas confiée à des prestataires extérieurs.
Quelles tenues se tiennent en ligne, nous l'ignorons
Qu'un événement ait une salle, et les coordonnées pour y entrer, cela vit dans le contenu chiffré de la convocation : le serveur ne sait pas quelles tenues se déroulent à distance. À la porte, le nom des personnes présentes, c'est le Couvreur qui l'attribue ; pendant la séance nous ne connaissons que qui est connecté, avec des identifiants temporaires et non les noms réels.
Ce qui reste visible, et les navigateurs qui ne la soutiennent pas
La discrétion renforcée cache le contenu, pas les métadonnées : restent visibles qui est connecté (avec des identifiants temporaires), les horaires et qui prend la parole. Et elle exige un navigateur récent : si quelqu'un utilise un navigateur trop ancien pour le chiffrement en direct, son flux bascule en clair et la salle le déclare à tous, afin que personne ne croie protégé ce qui, à cet instant, ne l'est pas.
Sous le capot
La technique, en bref
- Chiffrement du contenu: XChaCha20-Poly1305, avec une clé de contenu aléatoire pour chaque document.
- Clé de loge: encapsulée en sealed box X25519 (Curve25519) : une unique paire de clés pour la loge, partagée avec chaque membre et gardée seulement sur leurs appareils.
- Du mot de passe à la clé: dérivation par Argon2id sur l'appareil ; le mot de passe ne quitte jamais le navigateur.
- Bibliothèque: libsodium, des primitives standard et éprouvées, aucun algorithme propriétaire.
- Rotation: la clé de loge peut être tournée en réenveloppant les contenus, sans les déchiffrer sur le serveur.
- Sceau des documents imprimés: signature Ed25519 apposée dans le navigateur des personnes désignées ; chacun peut la vérifier sur /verifica, dans son propre navigateur, sans que le contenu nous parvienne.
- Grades et offices : des permissions, pas des clés séparées: Au sein de la loge, qui peut lire quel contenu, ce sont les règles d'accès du service qui le gouvernent, selon le grade et les offices, non des clés cryptographiques différentes : à qui n'y est pas admis, le serveur ne remet ni les métadonnées ni la clé du contenu. Envers le serveur et envers l'extérieur, la discrétion reste en revanche cryptographique : les contenus restent chiffrés de bout en bout et la clé de loge ne vit que sur les appareils des membres.
Un document technique détaillé est disponible sur demande.
La porte de sortie
Emporter ses données, ou les effacer vraiment
On peut exporter son archive à tout moment. Et l'effacement est définitif par construction : les clés détruites, les données chiffrées deviennent un bruit illisible : un crypto-shredding qui ne laisse nulle part de copie en clair.