MerGeN - Güvenli HaberleşmeMerGeN - Güvenli Haberleşme

MERGEN est un écosystème de communication sécurisée qui traite les communications d’entreprise critiques en réunissant les couches appareil, application et transmission au sein d’une même approche de sécurité. Au lieu d’un téléphone à usage général, il offre un environnement matériel contrôlé : basé sur un Android simplifié dont les composants de télémétrie, GMS et publicitaires ont été supprimés, avec des transferts de données GSM/Bluetooth/NFC et USB limités, et une connexion contrôlée établie uniquement via Wi-Fi/point d’accès. L’écosystème se compose de trois éléments : un Android renforcé par des services et des interfaces d’appareil restreints, un client mobile sécurisé basé sur Dart fournissant un chiffrement local et une protection à l’exécution, ainsi qu’une couche de transmission chiffrée en Go qui se limite à acheminer les messages sans en lire le contenu.

Lorsqu’un message est envoyé, son contenu est d’abord chiffré sur l’appareil de l’expéditeur avec AES-256-GCM ; une authentification spécifique au traitement est effectuée avec RSA-4096 et mTLS ; le serveur Go achemine uniquement le contenu chiffré sans le lire ; l’appareil du destinataire le vérifie puis le déchiffre localement. La file d’attente des messages ne repose pas sur un enregistrement permanent sur disque : si le destinataire est en ligne, le message chiffré est transmis directement ; s’il est hors ligne, il est conservé dans une file d’attente RAM temporaire et chiffrée, qui est supprimée après la livraison. Les utilisateurs communiquent par messagerie individuelle, conversation de groupe et push-to-talk de 30 secondes (la fonctionnalité d’appel vocal n’est pas disponible) ; lorsqu’un message est supprimé d’un côté, il est également supprimé de l’autre. Dans les conversations de groupe, le nombre de participants n’est pas limité, seul le créateur du groupe peut voir les noms d’utilisateur des participants, et lorsqu’un participant supprime le groupe, celui-ci est entièrement supprimé.

Les durées de conservation des données sont définies séparément selon le type de contenu : les messages vocaux sont automatiquement supprimés des deux appareils après leur écoute, tous les messages sont automatiquement supprimés après 12 heures, et les messages que l’utilisateur souhaite conserver peuvent être conservés jusqu’à 45 jours dans la section des messages enregistrés. La protection côté client ne s’applique pas uniquement lors de l’établissement de la connexion, mais également pendant l’utilisation : RASP surveille les signes de débogage, les outils de hooking et d’intervention sur l’application ; en cas de menace définie, l’application est verrouillée ou le flux de protection est déclenché ; l’analyse du code est rendue plus difficile grâce au client Dart AOT et à des binaires obfusqués. Les captures d’écran et les enregistrements d’écran sont bloqués dans l’application ; après trois saisies de mot de passe incorrectes, toutes les données de l’application sont automatiquement supprimées ; lorsque le mot de passe est saisi à l’envers, les données sont supprimées et l’application semble pouvoir être utilisée normalement. Lorsqu’une intervention d’un logiciel espion dans la base de données de l’application est détectée ou que des modes de récupération avancés accessibles avec les boutons latéraux sont tentés, les données sont immédiatement supprimées. Les équipes de gestion peuvent effectuer un effacement à distance, une destruction à distance et envoyer des annonces groupées aux utilisateurs depuis le téléphone administrateur.

MERGEN a fait l’objet de tests répétés au cours de ses cinq années de développement ; lors d’un test de récupération de données à des fins judiciaires réalisé avec Cellebrite UFED, aucune donnée n’a pu être récupérée, et le produit est de nouveau disponible pour les tests. Le produit prend en charge Google Pixel 4 et les modèles ultérieurs, les appareils Samsung sous Android 10 et versions ultérieures, ainsi que les appareils récents de Xiaomi ; il offre une interface ordinaire et discrète. Les résultats de tests communiqués lors de la présentation reflètent les résultats réels des tests du produit ; l’infrastructure serveur peut être examinée directement, tandis que le push-to-talk, les conversations de groupe et les opérations d’administration peuvent être évalués dans le cadre des propres tests du client.

Sunucu tarafında veri bulunmaz. Go sunucusu mesaj içeriğini göremeyen kör bir aktarıcıdır: yalnızca şifreli ikili veri görür, kayıt tutmaz ve diske hiçbir şey yazmaz. Alıcı çevrimdışıysa mesaj geçici olarak şifreli RAM önbelleğinde bekler, teslimattan hemen sonra silinip üzerine yazılır; sunucunun elektriği kesilirse bekleyen veriler anında yok olur. Sesli iletişim şifreli P2P bağlantı (UDP/SRTP) ile doğrudan cihazlar arasında iletilir ve ses verisi sunucudan hiç geçmez. Böylece sunucu ele geçirilse bile elde edilebilecek hiçbir veri yoktur. Sunucu, dış bağımlılığı olmayan tek bir statik Go ikilisidir; harici veritabanı gerektirmez ve kurumun kendi altyapısına saniyeler içinde kurulabilir.

Uygulama kendini aktif olarak savunur. Çalışma anı uygulama koruması (RASP), hata ayıklayıcıları, Frida gibi kanca araçlarını ve kurcalama girişimlerini sürekli tarar; casus yazılımların uygulamalara sızmak için kullandığı bu yöntemlerden biri algılandığında MERGEN kendini kilitler veya verilerini imha eder. Uygulamanın veritabanına müdahale edildiği ya da telefonun ileri kurtarma modlarıyla erişilmeye çalışıldığı algılandığında da veriler anında silinir. Uygulama içinde ekran görüntüsü ve ekran kaydı engellenir. Dart istemci doğrudan yerel ARM koduna derlenir, şifreleme gecikmesi yaklaşık 5 milisaniyedir ve kod tersine mühendisliğe karşı yoğun biçimde gizlenmiştir; Go sunucusu da kontrol akışı düzleştirme ve sembol temizleme ile sertleştirilmiştir, çalınsa bile içinden mantık ya da gizli bilgi çıkarılamaz.

Telefon ele geçirilse bile MERGEN verisi kurtarılamaz. Telefonun güvenli bölgesinde (TEE) tutulan ana anahtarları bir saniyenin altında yok ederek tüm uygulama verilerini geri döndürülemez hale getirir. Baskı altında girilen ters parola uygulamayı normal şekilde açarken arka planda verileri sessizce siler; üç yanlış parola girişinde de tüm uygulama verileri otomatik silinir. Okunduktan sonra yok olan mesajlar, otomatik eski veri temizliği ve yönetici telefonundan uzaktan silme ile adli iz bırakılmaz; uygulamanın şifreli verisi ham hâlde boş alandan ayırt edilemeyen rastgele gürültü olarak görünür. Cellebrite UFED ile yapılan adli veri kurtarma testlerinde MERGEN verisinden hiçbir şey kurtarılamamıştır. MERGEN; kurumların kritik iletişimini yabancı istihbarata ve veri sızıntısına karşı koruyan, siber egemenlik stratejileriyle uyumlu, bağımsız ve sunucusunda veri tutmayan bir iletişim altyapısı sunar.