Le Protocole Arpokrat La confidentialité par l’architecture.

Construit sur SimpleX

Arpokrat Messenger n’invente pas sa propre cryptographie secrète — il est construit sur SimpleX, le premier réseau de messagerie sans identifiants utilisateur.

SimpleX est un protocole de messagerie ouvert dont la spécification et le code source sont publics et vérifiables de manière indépendante. L’architecture décrite sur cette page — absence d’identifiants utilisateur, files unidirectionnelles, relais aveugles — est conçue par SimpleX, et Arpokrat exploite ses propres relais au-dessus de ce protocole.

Une sécurité que l’on ne peut pas inspecter n’est pas une sécurité. S’appuyer sur un protocole ouvert signifie que ces affirmations en matière de confidentialité peuvent être vérifiées face à une spécification publique, et non simplement prises pour argent comptant.

• Spécification ouverte — le protocole est documenté publiquement, ce n’est pas une boîte noire propriétaire.
• Vérifiable de manière indépendante — le code source est public sur GitHub, ce qui permet de vérifier les garanties décrites sur cette page.
• Des relais exploités par Arpokrat répartis sur des juridictions indépendantes — voir la page Infrastructure.

Vous Êtes une Clé, Pas un Compte

La plupart des messageries vous identifient par un numéro de téléphone ou un compte. Arpokrat ne vous identifie pas du tout.

Dans les messageries classiques, vous possédez un identifiant utilisateur statique — généralement votre numéro de téléphone. Même lorsque le contenu d’un message est chiffré, le serveur continue d’associer l’expéditeur au destinataire et construit discrètement un graphe social de qui parle à qui.

Arpokrat supprime entièrement la notion d’identifiant utilisateur. Il n’y a ni compte ni adresse permanente — vous n’existez que sous la forme d’un ensemble de clés cryptographiques conservées sur votre appareil. Pour vous joindre, il faut disposer d’un lien d’invitation à usage unique que vous avez choisi de partager.

• Aucun numéro de téléphone, e-mail ou compte — rien qui relie une conversation à votre identité légale.
• Aucun annuaire central d’utilisateurs à livrer, à faire fuiter ou à aspirer.
• Des liens d’invitation à usage unique remplacent une adresse permanente et exposée au spam.

Des Serveurs Conçus pour Ne Rien Savoir

Les serveurs traditionnels sont « intelligents » — ils savent qui vous êtes et acheminent selon une base de données. Les relais d’Arpokrat font délibérément l’inverse.

Un relais aveugle fonctionne comme une boîte aux lettres morte. Il accepte un paquet chiffré, le conserve dans une file, et le remet lorsque le propriétaire de la file vient le récupérer. Il ne sait pas qui a déposé le paquet, ni qui viendra le chercher.

• Aucune connaissance des identités : un relais voit une charge utile chiffrée arriver puis être récupérée — rien qui la relie à une personne.
• Aucun relais ne peut relier l’expéditeur au destinataire : chaque relais ne porte qu’un seul tronçon d’un chemin volontairement scindé, si bien qu’aucun serveur pris individuellement ne détient les deux moitiés nécessaires pour relier les deux parties.
• Éphémères par conception : les messages sont conservés en RAM et effacés une fois livrés — jamais écrits sur disque, même temporairement.

Un Chiffrement Pensé pour l’Horizon Quantique

En plus du chiffrement de bout en bout de SimpleX, l’échange de clés ajoute une protection post-quantique.

La cryptographie à clé publique actuelle repose sur des problèmes mathématiques qu’un ordinateur quantique suffisamment puissant pourrait un jour résoudre. Un échange de clés post-quantique ajoute une seconde couche conçue pour résister à cette classe d’attaque, en complément du chiffrement classique déjà en place plutôt qu’en le remplaçant. Cet échange de clés utilise Streamlined NTRU Prime — un choix délibéré plutôt que Kyber, standardisé par le NIST, que les ingénieurs de SimpleX ont évité en raison de préoccupations cryptographiques précises soulevées durant sa standardisation.

Nous restons volontairement mesurés sur ce point : la cryptographie post-quantique constitue aujourd’hui la meilleure défense disponible, pas une garantie permanente. Elle relève significativement le niveau d’exigence dès aujourd’hui, avec une trajectoire d’évolution claire à mesure que les standards mûrissent.

• Approche hybride — un échange de clés post-quantique superposé à un chiffrement classique éprouvé, pas un remplacement risqué.
• Un discours honnête — une défense conforme aux meilleures pratiques qui relève le niveau d’exigence, jamais une prétention d’invulnérabilité permanente.
• Évolutif — conçu pour adopter des primitives plus robustes à mesure que les standards post-quantiques mûrissent.

Pourquoi Cela Compte : Harvest Now, Decrypt Later

L’investissement post-quantique répond à une menace concrète et actuelle — pas à une hypothèse.

Un adversaire disposant de ressources suffisantes peut enregistrer aujourd’hui du trafic chiffré et simplement le stocker, en attendant le jour où l’informatique quantique pourra briser ce chiffrement. Tout ce qui est intercepté aujourd’hui pourrait être déchiffré des années plus tard. Les chercheurs en sécurité appellent cela le “Harvest Now, Decrypt Later”.

Une conception minimisant les métadonnées aide aussi sur ce point : moins un flux intercepté révèle sur qui parle à qui, moins une copie stockée a de valeur — même avant de considérer son contenu.

• Enregistré aujourd’hui, cassé demain — les données capturées ont une longue durée de vie pour un attaquant patient.
• L’échange de clés post-quantique augmente le coût de ce pari fait contre vous.
• Aucun identifiant utilisateur, chemins scindés — un flux capturé contient dès le départ bien moins d’éléments à corréler.