Avez-vous déjà sursauté en réalisant qu'une obscure clé de signature associée à votre projet open source préféré a été utilisée à trois heures du matin alors que vous dormiez profondément ? Rassurez-vous, le monde numérique a désormais sa réponse avec le projet Sigsum, découvert sur le réseau Tor. Ce service gratuit et open source, lancé en octobre 2021 et piloté par Glasklar Teknik AB avec le soutien financier de Mullvad VPN AB, s'est donné pour mission noble mais vertigineuse de consigner publiquement la moindre signature acceptée par un utilisateur final. Fini le temps où l'on pouvait affirmer les yeux dans les yeux qu'aucune version secrète n'avait vu le jour.

Le principe repose sur un journal public infaillible. Si un projet jure ses grands dieux qu'il ne publie rien en cachette, le moindre faux pas ou release fantôme se retrouve immédiatement épinglé grâce à l'examen minutieux des journaux. Le site illustre parfaitement la chose avec un cas d'école : un utilisateur interrogeant un projet sur une signature inexpliquée apparue dans le registre public. La transparence est ici poussée à un niveau tel qu'elle prétend résister à des attaquants redoutables contrôlant à la fois la clé secrète du signataire, l'infrastructure de distribution, le journal public et même un seuil de témoins prêts à crier au loup en cas de défaillance.

Derrière ce vernis technique redoutable se cache une ambition presque philosophique de traquer le moindre écart de conduite numérique. On ne peut s'empêcher d'imaginer le développeur moyen découvrant qu'un outil de cette envergure surveille désormais ses moindres faits et gestes cryptographiques avec la rigueur d'un comptable tatillon. Les amateurs de sécurité y trouveront une brique de construction pour des systèmes transparents, tandis que les simples curieux admireront la beauté d'un projet qui refuse catégoriquement que la moindre signature passe inaperçue.