Session, développée par l'Oxen Privacy Tech Foundation, se positionne comme une messagerie axée sur la confidentialité qui va plus loin que la plupart de ses concurrents en supprimant entièrement l'obligation de fournir un numéro de téléphone. Lors de l'installation de Session, l'application génère localement une paire de clés cryptographiques et vous attribue un Session ID — une longue chaîne alphanumérique qui constitue votre identité. Il n'y a pas d'inscription de compte au sens traditionnel du terme, et aucune information personnellement identifiable n'est collectée lors de la configuration.
Architecture de sécurité
Session utilise le Signal Protocol comme base, mais le modifie de manière significative. La modification la plus notable est la suppression du composant de perfect forward secrecy de l'algorithme Double Ratchet. Session utilise un modèle d'échange de clés plus simple pour s'adapter à son système décentralisé de livraison asynchrone des messages. Il s'agit d'un véritable compromis : bien que cela permette le stockage des messages hors ligne sur le réseau de nœuds, les clés de session ne se renouvellent pas avec la même fréquence que dans Signal. Des chercheurs en sécurité ont identifié cela comme une réduction significative de la protection cryptographique, et les utilisateurs potentiels devraient en tenir compte.
Les messages sont acheminés via l'Oxen Service Node Network grâce à un système onion routing à trois sauts, similaire dans son concept à Tor. Cela masque les adresses IP et rend l'analyse du trafic considérablement plus difficile qu'avec les messageries centralisées. Cependant, la taille et la vitesse du réseau ne peuvent pas encore rivaliser avec la maturité de Tor, et la livraison des messages peut sembler lente lors des périodes de forte charge.
Facilité d'utilisation
L'interface est épurée et globalement familière pour quiconque a utilisé WhatsApp ou Telegram. Les fonctionnalités de base, notamment les messages texte, les messages vocaux, le partage d'images, les messages éphémères et les discussions de groupe, fonctionnent toutes comme prévu. Les appels vocaux et vidéo sont disponibles, mais ont historiquement été moins fiables que l'expérience principale de messagerie texte. Le client desktop est fonctionnel, bien que la synchronisation entre les appareils nécessite une phrase de récupération plutôt qu'un scan de QR code, ce qui ajoute une friction lors de la configuration.
Le système de Session ID, bien qu'excellent pour la confidentialité, constitue un véritable obstacle à l'utilisation. Partager une chaîne hexadécimale de 66 caractères avec un nouveau contact est maladroit comparé au partage d'un nom d'utilisateur ou d'un numéro de téléphone. L'application répond partiellement à ce problème grâce aux noms d'utilisateur ONS (Oxen Name System), lisibles par les humains, qui correspondent aux Session IDs moyennant une modeste somme.
Tarification et valeur
Session est gratuit à télécharger et à utiliser, sans abonnements ni achats intégrés. L'enregistrement d'un nom d'utilisateur ONS nécessite une petite quantité de cryptomonnaie OXEN, ce qui représente un obstacle mineur pour les utilisateurs non techniques. Il n'existe pas de niveau payant débloquant des fonctionnalités supplémentaires, ce qui garantit une protection de la vie privée uniforme pour tous les utilisateurs.
Pratiques en matière de confidentialité
Le projet est transparent quant à ses pratiques en matière de données. Le code open-source permet aux chercheurs de vérifier les affirmations de manière indépendante, et la fondation publie de la documentation sur son architecture réseau. L'absence de serveurs centraux stockant le contenu des messages ou les métadonnées des utilisateurs constitue un avantage structurel en matière de confidentialité par rapport à presque toutes les alternatives grand public.