🗓️ Note : Cet article est une archive importée de mon ancien blog. Certaines informations peuvent ne plus être à jour.

Désormais, nous avons tous un ordinateur. Pire : il est dans notre poche et il sait beaucoup de chose sur vous (parfois : plus de choses que vous !). Pourtant, on fait rarement attention à ces petits appareils, notamment en ce qui concerne la sécurité. Voyons voir ça de plus près.

Bonjour à toutes et à tous.

Aujourd’hui, on sait qu’il est important de protéger nos ordinateurs des diverses menaces. (Même si parfois, on continue de noter des mots de passes sur des post-it). En revanche, on ne pense pas toujours à sécuriser notre smartphone. Pourtant c’est pour moi le plus important : en effet on dit “smartphone” ou encore « téléphone intelligent », ça donne un petit côté “magique”.
Or, je préfère le terme « ordi-phone » (merci à nos amis Québecois). Car ces petits appareils sont en fait des ordinateurs ! Et lorsqu’on prend conscience de ça, on change radicalement notre regard :
À quoi bon sécuriser mon ordinateur avec tout un tas de protection si c’est pour laisser la porte ouverte à toutes les fenêtres sur mon ordiphone ?
Poussons encore un peu la réflexion :
Autant votre ordinateur de bureau est difficile à voler (il faut s’introduire chez vous) ; autant votre PC portable est dans votre sac à dos et assez volumineux quand même (et je ne parle pas des antivols type « câbles en acier »), votre ordiphone lui est toujours sur vous ou posé sur une table de restaurant, emprunté par un “ami”, subtilisé par un pickpocket. C’est pourquoi il me semble crucial de le protéger. D’une part parce que c’est l’élément informatique le plus à la merci de ces menaces ; d’autres parts, parce que l’on fait généralement “moins” attention à la sécurité de ces appareils. (Je relate ici d’une expérience personnel, pas d’une généralité objective) Je parle ici des ordiphones Android (et AOSP par extension), désolé la marque à la Pomme, je ne te connais pas assez, et j’ai pas envie de te croquer.

1 – Aucune donnée sensibles sur votre téléphone.

C’est l’évidence même, et pourtant il est important de le rappeler. Hélas, je vois que ce sont des réflexes qui ne sont pas encore adoptés par tout.
Concrètement :
  •  Pas de mot de passes en clair dans un bloc note (rigolez pas, j’ai déjà vu…)
  •  Même chose pour les coordonnées bancaires
  •  Documents importants (imaginez une pièce jointe PDF que vous auriez téléchargé depuis un email. Contenant par exemple copie d’un passeport, attestation d’arrêt maladie, etc…)
  •  Photos de vous ou de votre partenaire… disons… peu vêtu.
Si ce dernier point vous fait sourire, ça reste tout de même la base : allez demander à Benjamin Grivaux si ça le fait rire.
female dress form

2 – Méfiez vous des authentifications automatiques

Ça vous est certainement arrivé : vous téléchargez une application, on vous demande une tétra-chiée d’informations ainsi qu’un mot de passe pour créer votre compte, et puis on vous propose d’enregistrer tout ça pour se connecter automatiquement au prochain lancement de l’application. C’est pas si grave si c’est une calculatrice, ça l’est un peu plus si c’est Amazon ; vos emails ; une application bancaire ; ou un truc sensible. Dans le cas d’une application de vente en ligne : n’importe qui peut commander en un clic une piscine olympique de cheddar fondu aux Bahamas.
Certes, les banques demandent généralement un code de confirmation, mais sur certains sites (et j’imagine certaines apps), les achats en ligne se dispensent de cette double vérification.
Pour se prémunir de ça quelques conseils :
  • Évitez les authentifications automatiques sur les applications sensibles.
  • Préférer toujours un déverrouillage sur ces applications. Si ce n’est pas possible (car l’application est mal foutu) vous pouvez ajouter une application qui permettra de verrouiller l’accès à des app via un mot de passe. Je pense notamment à AppLock dispo sur Fdroid : D

person holding key

3 – Le code PIN c’est pas pour les chiens

Alors, le code PIN, on ne le désactive pas. C’est important, c’est une mesure de sécurité supplémentaire si le téléphone est éteint. Évidemment on ne choisit pas « 0000 » ou « 1234 ». On prend un truc un peu plus costaud !

4 – Les différents systèmes de déverrouillage

On peut se dire que son téléphone est protégé parcequ’ il y a un système de verrouillage. Nous allons voir qu’ils ne se valent pas tous. Il en existe plusieurs sortent :
  • Par balayage
  • Par schéma
  • Par code
  • Par mot de passe
  • Biométrique
(listes non exhaustive)
Il faut donc choisir un déverrouillage d’appareil cohérent et suffisamment fort. Néanmoins, rien n’est parfait et n’allez pas croire que ces systèmes vous protégeront en cas de perte ou de vol. On peut les bypasser ou les craquer. Cela dépend évidemment de votre modele de téléphone, s’il est rooté ou non, et le plus souvent de votre version d’Android.

Par balayage

Description : Ce déverrouillage consiste simplement à glisser son doigt sur l’écran.

Points positifs :
  • Très rapide
  • Très simple
  • Sur certains modèles d’ordiphone, ce déverrouillage peut se faire juste en sortant le téléphone de la poche. (même plus besoin de toucher l’écran !)
Points négatifs :
N’importe qui peut donc déverrouiller le périphérique. C’est par conséquent un cadenas sur un rideau ouvert : je déconseille fortement.
Pistes d’amélioration :
Sauf cas particulier (téléphone de démonstration par exemple) : ne pas utiliser ce type de verrou

Par schéma

Description : Ce déverrouillage consiste à relier des points pour former un petit schéma.
Points positifs :
  • Facilité de mémorisation (on arrive plus facilement à se souvenir d’un schéma que d’un mot de passe)
  • Rapidité et simplicité d’utilisation (on a juste à faire glisser son pouce. On peut faire ça d’une main dans un métro bondé pendant un tremblement de terre)
Points négatifs :
  • Peut-être “deviné” facilement
  • En effet, avec une lumière rasante, on peut voir la trace du doigt réalisé sur cette zone de l’écran. Ça peut faire sourire mais j’ai déjà fait le test avec des copains autour d’une bière ou deux 🙂
  • Peut-être aperçu par-dessus l’épaule (Vous me direz « c’est aussi valable pour un code ou un mot de passe ». Certes, mais un schéma est encore plus simple à apercevoir, et à retenir. Et on peut même le faire sans regarder l’écran, mais juste en regardant vos doigts !
  • Peut-être dans certains cas bypassé
Du coup, on voit bien que c’est pas jojo niveau sécurité.
Alors, je vous vois venir, vous pourriez vous dire « ben suffit d’utiliser une grille 4×4 ou 5×5. Or, je suis tombé sur cette étude (en anglais) très intéressante sur cette question !
La conclusion, c’est qu’en effet, utiliser une grille 4×4 ou 5×5 augmente considérablement le nombre de possibilité, et par conséquent la durée du cassage en cas de brute force (on essaye un par un toutes les combinaisons) mais ça, c’est juste des mathématiques. En effet, nous sommes des humains, et nous avons des biais. Ils ont remarqué des récurrences dans les schémas que nous utilisons tel que : symétrie, nombre de points utilisé, probabilité plus élevé de commencer par le point en haut à gauche plutôt que celui en bas à droite, sens de lecture, reproduction d’un symbole connu (lettre, chiffre, croix…) etc… De plus les chercheurs se sont rendu compte que lorsqu’on utilise une grille 4×4, on va en réalité réutiliser des schémas 3×3 dans cette grille plus grande. Et on retrouve les mêmes biais : symétrie, sens de lecture, reproduction d’un symbole, etc… Du coup, bien qu’on augmente considérablement la solidité de la grille d’un point de vue mathématique. D’un point de vue humain, utiliser une grille 4×4 n’augmente que très peu la sécurité du pattern. Pour finir, cet article nous explique que la grille 5×5 multiplie les erreurs de saisie, et les scientifiques ont mesuré que les gens revenaient à une solution 4×4 ou 3×3.
Piste d’amélioration :
  • Bien que ça n’apporte pas beaucoup de sécurité en plus, utiliser une grille 4×4 ou 5×5. Imaginer un schéma facile à retenir pour vous et difficile à deviner pour les autres.
  • Si votre téléphone le permet, vous pouvez également demander de ne pas afficher les lignes entre les points lorsque vous tracez le schéma (ça rend la tâche plus ardue si quelqu’un vous espionne par-dessus l’épaule)

Par code

Description : Ce déverrouillage consiste à rentrer un code composé de chiffre à la manière d’un code pin.
Points positifs :
  • Relativement rapide à déverrouiller
  • Relativement simple La taille du clavier numérique est relativement confortable pour pouvoir taper son code passe à une main dans un métro bondé un jour de gréve.
Points négatifs :
  • Peut-être aussi aperçu par-dessus l’épaule (mais c’est plus difficile qu’un schéma)
  • Peut dans certains cas être bypassé
Piste d’amélioration : On évite les mots de passe trop court (+ de 4 caractéres), trop simple (1234), trop évident (date de naissance). On peut également (si le téléphone le permet) afficher le pavé numérique dans un ordre aléatoire à chaque demande du mot de passe. (Rend la tâche plus ardu si on vous regarde taper votre code du coin de l’œil). Certains téléphone proposent également de ne pas “allumer” les touches du clavier virtuelle lorsque vous appuyez dessus.

Par mot de passe

Description :  Ce déverrouillage consiste à rentrer un mot de passe. Celui-là, on le connaît bien c’est généralement comme ça que ça marche sur nos ordinateurs et nos sites web. Néanmoins il est pas évident à rentrer (risques d’erreurs nombreux vu la petite taille des touches tactiles d’un clavier virtuel) mais reste tout de même plus sécurisé Certes plus sécurisé, mais un peu plus chiant à l’utilisation.
Piste d’amélioration : Comme pour le déverrouillage par code, il est bon d’utiliser un mot de passe fort. C’est à dire quelque chose de simple pour vous à retenir mais compliqué pour d’autres. On évite les suites logiques, les mots de passe simple et évidents.
Je préconiserai évidemment une phrase de passe mais sur son téléphone on a pas envie de passer 15 minutes à déverrouiller l’écran.
Points négatifs :
  • Peut dans certains cas être bypassé
  • Peut-être long et chiant à taper

Biométrique

Description :  Ce déverrouillage consiste à déverrouiller son téléphone via son visage ou une empreinte digitale. Ça peut paraître “ultime” mais en fait pas tant que ça…
Il en existe deux types : (j’ai repris ces infos depuis le site de la CNIL)
  • Empreinte digitale : On passe notre doigt (préalablement enregistré) sur un capteur pour déverrouiller le téléphone. Néanmoins, ce système peut être pirater en présentant une empreinte imprimée à plat.
  • Reconnaissance faciale : En effectuant un « selfie » grâce à la caméra frontale, votre smartphone reconnaît les contours de votre visage et déverrouille l’accès. Néanmoins, ce système peut se faire pirater en présentant par exemple une photo pour duper la reconnaissance faciale.
Ces authentifications peuvent poser de sérieux problèmes en termes de conservation des données (je reprends ce que dit la CNIL à ce sujet 🙂
Où sont hébergées vos données ?
Il existe deux possibilités :

  • Votre gabarit biométrique est uniquement stocké localement, au sein de l’appareil. Par exemple, si vous utilisez le système d’authentification de votre smartphone Android ou iPhone, ni les applications, ni le constructeur du téléphone et/ou du système d’exploitation ne peut accéder à votre gabarit. De plus, cette fonctionnalité ne peut être utilisée que pour une seule et même finalité : celle de reconnaître le possesseur du smartphone. Cette donnée ne peut être extraite de l’appareil ou recoupée avec d’autres.

  • Votre empreinte est enregistrée dans un Cloud, manipulable par des applications voir récupérable par un tiers. La personne concernée n’a donc pas la maîtrise du gabarit biométrique.

Je sais ce que vous vous dites :
Mais alors du coup ? J’utilise quoi ?
Bien que pas ultime, j’utilise personnellement le verrouillage par code. C’est d’ailleurs celui recommandé par la CNIL. Je trouve que c’est le bon compromis entre la facilité / simplicité pour rentrer le code (même avec une seule main, sans appuyer sur douze touche en même temps) et de sécurité (encore une fois : c’est pas ultime ! Une brute force ou un hack du téléphone pourra y venir à bout.)

5 – Chiffrer son téléphone

Quel que soit le support, il faut chiffrer ses données. En effet, en cas de vol, il est du coup beaucoup plus difficile de lire les informations sur la mémoire de l’appareil. Si votre appareil n’est pas chiffré, n’importe qui peut avoir accès à vos données en cas de perte ou de vol ; Personnellement, je le fais sur mon ordinateur, sur mon laptop, et maintenant sur mon ordiphone ! C’est tout bête, c’est pas long, mais c’est un vrai plus (surtout en cas de perte / vol du périphérique en question). La démarche n’est pas très compliqué sur Android, vous trouverez tout un tas de documentation à ce sujet sur le web.

6 – Garder précieusement son IMEI

International Mobile Equipment Identity ou IMEI est un numéro d’identification unique pour les téléphones portables. Ce numéro est normalement noté sur la boite de votre appareil. Si vous n’avez plus la boite, vous pouvez aussi regarder sous la batterie (lorsque votre téléphone se démonte comme au bon vieux temps), sinon il suffit de composer le *#06# pour l’afficher.
Notez précieusement ce numéro. En effet, en cas de perte ou de vol, avec ce numéro (et un dépôt de plainte) votre opérateur peut bloquer ce périphérique à distance et le rendre inutilisable.

7 – Ne pas succomber aux chants des sirènes

Sur les internets, vous trouverez bon nombre d’entreprises, de solutions, d’assurances, de logiciels, et d’applications vous promettant la panacée pour sécuriser votre téléphone. Sur ce point, soyez très critique ! De quoi cette solution me protège vraiment ? Dans le cas d’une assurance, dans quel cas je peux la faire marcher ? Elles promettent toujours une protection contre le vol et la casse. Lorsqu’on lit les clauses, ça ne marche (par exemple) que dans le cas d’un vol à l’arraché avec une plainte derrière. Pour la casse : ça ne prend en compte que certaines casse (et jamais la fissure sur l’écran).
En ce qui concerne la protection de vos données, on va essayer de vous vendre le logiciel ou l’application ULTIME qui vous protège des méchants hackers à capuche. Si le logiciel ou l’application n’est pas libre ou opensource : fuyez. En effet, c’est vos données, vous devez en avoir le contrôle et vous devez exiger une transparence totale. Sinon rien ne peut vous garantir que l’entreprise a qui vous confiez ça ne vas pas en profiter pour les regarder, les archiver, ou les envoyer à *insérer ici un organisme d’état en 3 lettres*
Évidemment, je ne peux que vous recommander de laisser tomber Android Made In Google “précablé” sur toutes les applications nocives en termes de respect de la vie privée et de vos données… Car sur ces sujets-là… Nos ordiphones sont des passoires !
camera de surveillance

8 – Conclusion

Voilà on arrive à la fin. Cet article est un peu long et j’espère que ça ne vous dérange pas trop. C’est bien entendu une approche très personnelle de la question, je ne prétends pas détenir une vérité absolue. Ce billet est donc pour moi aussi un moyen de me documenter sur la question, et tenter de trier le grain de l’ivraie. Il y a donc peut-être quelques biais et coquilles là-dedans, et je vous invite à me les indiquer ou à en débattre (via la page contact ou les commentaires). Néanmoins en quelques lignes pour rappeler les points importants :
  • Aucune donnée sensibles sur le téléphone
  • J’insiste vraiment sur ce point. On a vu qu’aucun système de verrouillage d’écran n’est fiable. Et de nos jours, on ne s’amuse plus à éteindre et rallumer son téléphone à chaque utilisation. Du coup si vous perdez votre téléphone, il sera très certainement allumé et juste en veille. Du coup, le chiffrement ne vous sauvera pas non plus.
  • Chiffrer son téléphone (parce que c’est quand même utile : D)
  • Noter l’IMEI et le garder en lieu sûr pour désactiver le téléphone.
  • Protéger les applications sensibles en évitant les authentifications automatiques
  • Ne pas désactiver le code PIN au démarrage du téléphone
  • Choisir un système de déverrouillage suffisamment fort
  • Ne pas vendre son âme aux GAFAM
  • AUCUNE DONNÉE SENSIBLES SUR LE TÉLÉPHONE (oui je le redis, parce que j’ai pas l’impression qu’on m’écoute…)
Je ne veux pas manipuler les lecteurs par de la peur en arborant que si vous n’appliquez pas à la lettre toutes ces consignes : vous plongerez dans des gouffres cosmiques dégoulinant d’atrocités inhumaines. C’est pourquoi je fais appel aussi à votre bon sens pour ne pas tomber dans la paranoïa. Concrètement, ça ne sert à rien de mettre un cadenas à 1000 € pour protéger un trésor à 5 €.  Pour aller plus loin, quelques liens utiles qui m’ont aidé à la rédaction de cet article :