Envoyer un mot de passe par email en clair, on l'a tous fait au moins une fois dans notre vie (oui, oui vous aussi !!). C'est pourquoi ITYLOS propose une alternative radicale où vos messages s'autodétruisent après lecture afin que personne, pas même le serveur, ne puisse les lire.

Vous écrivez votre message sur itylos.com, vous choisissez une durée de vie (1h, 24h ou 7 jours), et youpla, vous récupérez un lien unique à envoyer. Et ensuite, une fois lu, le message est détruit ! Tout ça, sans compte à créer, sans app à installer... Vous ouvrez juste le site, vous collez votre texte et c'est parti.

Côté technique, c'est du lourd puisque le chiffrement se fait ENTIÈREMENT dans votre navigateur avec de l'AES-256-GCM, et la dérivation de clé passe par Argon2ID. Du coup, le serveur ne voit jamais votre message en clair... il ne fait que stocker un blob chiffré qu'il est incapable de déchiffrer. C'est du vrai zero-knowledge, mais ça reste bien sûr une webapp, donc si votre navigateur ne supporte pas la Web Crypto API (genre un vieux Firefox ESR), ça ne marchera pas.

Et le truc qui va plaire aux plus paranos d'entre vous, c'est le traffic padding où chaque requête est gonflée à 15 Ko de bruit aléatoire pour rendre l'analyse de taille de vos messages bien plus compliquée côté réseau. Oui, c'est un vrai vecteur d'attaque et oui, ils y ont pensé. D'ailleurs, les données ne touchent pas le disque selon eux puisque tout transite en RAM, ne laissant ainsi aucune trace. Bon, sauf si vous faites un copier-coller du message dans un fichier texte, là c'est de votre faute.

Le service tourne sur une infrastructure souveraine à Genève, en Suisse. Pas sur un VPS chez AWS ou Google Cloud, hein... et y'a aussi un warrant canary PGP, signé et mis à jour chaque mois. Comme ça, si le canari disparaît, vous saurez que quelqu'un est venu taper à la porte.

Et côté conformité, ITYLOS délivre même des certificats de destruction au format JSON (oui oui, un vrai fichier .json), dans l'esprit de l'article 17 du RGPD . Perso, c'est la première fois que je vois une messagerie éphémère aller aussi loin dans la traçabilité de l'effacement, donc chapeau !

L'histoire derrière Itylos est cool aussi d'ailleurs. Tout est parti quand le créateur a récupéré un disque dur d'occasion et s'est retrouvé avec la vie entière de l'ancien proprio dessus... photos, documents, tout le bazar. Ça l'a décidé à créer un outil où les données n'existent tout simplement pas assez longtemps pour fuiter.

Et en plus c'est gratuit, open source (le code est sur GitHub sous licence MIT), et si vous êtes du genre à chiffrer vos échanges (un peu comme les utilisateurs de Kloak ), ça vaut le coup d’œil !

Merci à Mehdi pour la découverte !

Si vous avez lu mon article sur Meshtastic , vous savez déjà que les réseaux mesh LoRa, c'est le genre de truc qui fait rêver tous les geeks en manque de hors-piste numérique. Mais y'a un cran au-dessus, et ça s'appelle Reticulum .

En gros, c'est une stack réseau chiffré de bout en bout qui fonctionne sur n'importe quel support physique : LoRa, WiFi, Ethernet, liaison série, radio amateur en packet... TOUT y passe. Du coup, là où Meshtastic reste avant tout taillé pour les messages texte sur LoRa, ici vous pouvez faire transiter des fichiers, des appels vocaux, des pages web et même un shell distant à travers votre mesh. En fait au début je pensais que c'était juste un Meshtastic sous stéroïdes, mais non... c'est carrément une couche réseau complète.

Sideband, l'app de messagerie mesh pour Reticulum

L'avantage c'est surtout la flexibilité car plutôt que d'être coincé sur un seul médium, vous pouvez mixer LoRa longue portée et WiFi courte portée dans le même réseau via un simple fichier ~/.reticulum/config, et les paquets se débrouillent tout seuls comme des grands pour trouver le chemin le plus efficace.

Côté chiffrement, c'est du lourd : X25519 pour l'échange de clés, Ed25519 pour les signatures, AES-256-CBC pour le chiffrement symétrique, et du forward secrecy par-dessus. Le truc malin, c'est que les paquets ne contiennent aucune adresse source. Votre identité sur le réseau, c'est juste une paire de clés au niveau du protocole, donc personne ne peut remonter à l'expéditeur.

L'écosystème d'apps est même plutôt costaud. Y'a Sideband, une app dispo sur Android via F-Droid, Linux et macOS, qui gère les messages, les appels vocaux, le transfert de fichiers et même les cartes, le tout à travers le mesh. Y'a aussi NomadNet pour héberger des pages sur un réseau totalement hors-ligne, et rnsh qui permet de lancer un shell distant (oui, du SSH sans Internet, sur le port que vous voulez... ça fait rêver ^^).

D'ailleurs pour les radioamateurs, tout ça tourne nickel sur des bonnes vieilles liaisons packet radio en AX.25. Modems KISS, TNCs classiques... tout est supporté, j'vous dit !

Et pour l'installer, c'est d'une simplicité presque suspecte : un pip install rns et hop, vous avez votre noeud Reticulum dans /home/user/.reticulum/. Ça tourne sur un Raspberry Pi 3 ou 4, un vieux laptop sous Debian, votre téléphone via Sideband... et si vous voulez du LoRa, vous branchez un RNode sur l'USB et c'est parti.

Attention quand même, sous Windows c'est un poil plus compliqué (Faut passer par WSL2, sauf si vous avez déjà un Python 3.x bien configuré dans le PATH), et la doc est intégralement en anglais.

Notez que la bande passante s'adapte sans problème au support, de 150 bps en LoRa longue portée sur 868 MHz (faut pas s'attendre à du Netflix non plus) jusqu'à 500 Mbps en Ethernet local. Et un lien chiffré s'établit en seulement 3 paquets pour 297 octets. C'est pas gourmand.