Les smartphones 📱

Les smartphones sont des éponges à données, ils ont accès à beaucoup d’informations qu’on aimerait garder privées.

Cependant les smartphones (IOS et Android) sont bien plus sécurisés que les systèmes d’exploitation de bureau (Windows, Linux, macOS). Vous avez remarqué par exemple qu’il y a un système de permission sur les smartphones qu’il n’y a pas sur les PC. Vous savez, les fenêtres qui s’affichent “Autoriser l’accès la position” ou “Autoriser l’accès à la caméra”.

Recommandations

Pour les smartphones, je vous recommande uniquement un iPhone ou un Google Pixel.

N’achetez PAS de Google Pixel chez votre fournisseur d’accès à Internet (Orange, Free, SFR, Bouygues). Le téléphone est bloqué et vous ne pouvez pas déverrouiller le bootloader comme expliqué plus loin dans le chapitre dédié. Achetez toujours votre téléphone dans les magasins comme la Fnac, Boulanger, Amazon, etc.

Alors oui, je vous voir venir, mais si je vous recommande uniquement ces deux smartphones, c’est parce qu’ils sont les plus sécurisés du marché. Par exemple, vous pouvez mettre un code PIN à 4 chiffres sur ces téléphones (iPhone et Google Pixel), que ça prendrait des dizaines d’années à cracker (normalement, ça prend beaucoup moins de temps sur d’autres marques de téléphones).

Les Google Pixel, à partir du 6, ont 5 ans de support minimum.

Je vous épargne les détails techniques, mais pour faire très simple, les Google Pixel ne sont pas juste “un peu mieux sécurisés” que les autres marques, ils sont excellents en terme de sécurité. Je vous conseille donc très fortement de ne rester qu’avec un Google Pixel.

• Google Pixel : Android done right - Wonderfall (français)
• iOS : chez Apple, la prison dorée - Wonderfall (français)
• Google Pixel - PrivacyGuides (anglais)
• Recommended Phones - PrivSec.dev (anglais)

Le problème de confiance

Il faut comprendre également que sur tous les smartphones Android qui contiennent les applications Google, vous avez une application appelée “Services Google Play”. Cette application permet de faire beaucoup de choses, cependant, elle a accès à toutes les permissions du téléphone, même les plus sensibles, et sont irrévocables. C’est à cause de cette application que les problèmes de vie privée apparaissent. Android en lui-même n’est pas un problème, c’est l’ajout des applications de Google, et notamment des “Services Google Play” qui fait d’Android un cauchemar pour votre vie privée.

Si vous achetez un Samsung par exemple, cela veut dire que vous faites confiance à Google (à cause des Services Google Play) ET à Samsung pour vos données. Il est donc logique de réduire cette confiance à une seule entité et donc de prendre un Google Pixel.

Sécurité

AOSP et firmware

Je vous conseille de prendre un smartphone neuf, c’est à dire encore supporté par le constructeur, voici pourquoi :

Deux types de mises à jour sont à faire sur un matériel informatique :

• la partie logicielle
• la partie firmware

La partie logicielle est le système d’exploitation, donc Android. Mais cela s’applique également à IOS et aux PC avec Windows, MacOS, Linux, ChromeOS, etc. La partie firmware, également appelée micrologiciel en français, est un mini-système d’exploitation pour les composants du matériel (la carte mère, la carte réseau, etc.). Ce n’est pas comme un pilote pour ceux ou celles qui se poseraient la question. Pour faire très simple, le firmware est le manuel d’utilisation des composants pour le système d’exploitation.

Je vais rapidement vous expliquer Android pour que vous compreniez bien. Voici un schéma qui vous explique le projet AOSP :

AOSP signifie Android Open Source Project, c’est le cœur de tous les téléphones Android aujourd’hui, AOSP à lui tout seul est très limité : vous n’avez pas d’applications Google par exemple. Comme ce projet est open source (mais détenu par Google) beaucoup de marques (toutes celles qui ne sont pas Apple, donc Samsung, Xiaomi, Huawei, OnePlus, Pocco, et j’en passe) vont prendre le code d’AOSP et le modifier un peu à leur sauce. C’est ce qu’on appelle la surcouche Android. LineageOS est une surcouche Android développée par des bénévoles.

Quand on parle d’Android, on parle en réalité d’AOSP.

La surcouche de Samsung par exemple, s’appelle OneUI, celle de OnePlus, OxygenOS, et celle de Xiaomi s’appelle MIUI. Cela fait toujours parti du système d’exploitation, ce ne sont pas des logiciels.

Cependant, si AOSP est open source, les surcouches ne le sont pas forcément ! LineageOS est une surcouche open source par exemple, mais MIUI ne l’est pas !

On parle de surcouche, mais en réalité, les constructeurs prennent le projet AOSP pour le modifier selon leurs besoins puis ajouter leurs programmes, leurs fonctionnalités, etc. Ce sont ces modifications et ces ajouts qui sont appelés la surcouche.

Dites-vous qu’AOSP, c’est comme une recette de cuisine, tout le monde connaît cette recette, mais certains cuisiniers ajouteront quelques épices ou d’autres ingrédients secrets. Donc oui vous connaissez précisément la recette de base, mais non, vous n’en savez pas plus sur les ingrédients ajoutés. Une surcouche tel que GrapheneOS est open source, on connaît donc les ingrédients ajoutés.

Comprenez bien que si vous souhaitez installer LineageOS sur votre téléphone, cela veut dire que vous supprimez le système d’exploitation de votre téléphone. En gros, si vous allumez votre téléphone après avoir supprimé le système d’exploitation de Samsung par exemple, vous ne pourrez plus démarrer votre téléphone, car il n’y aura rien à démarrer ! Sauf si vous installez LineageOS juste après, évidemment 😁.

Si vous changer le système d’exploitation de votre téléphone Android avec un autre Android, imaginons par exemple que vous avez un Samsung et que vous souhaitez installer LineageOS à la place de OneUI, vous pourrez en effet toujours bénéficier des mises à jour d’Android (grâce aux bénévoles de LineageOS) même si Samsung a arrêté le support de votre smartphone. Cependant, le firmware ne pourra jamais être mise à jour, car uniquement Samsung peut le faire ! C’est un énorme risque de sécurité qui ne devrait pas être pris à la légère !

Le firmware, pour expliquer grossièrement, ne fait pas parti du système d’exploitation d’Android. C’est le mini-système d’exploitation des composants intégrés à votre téléphone.

Si le firmware n’est pas mis à jour, de grosses failles de sécurités peuvent survenir. Un smartphone qui n’est plus supporté par les constructeurs est complètement vulnérable !

C’est pour cela que je vous recommande un Google Pixel. Je vous conseille même de prendre au minimum un Google Pixel 6 (ou 6 pro, ou 6a), car tous les Google Pixel à partir du 6, bénéficieront de 5 ans de mises à jour de sécurité, et 7 ans à partir des séries 8 !

Cependant, je vous DÉCONSEILLE d’installer LineageOS sur votre téléphone, car vous devez déverrouiller le bootloader, et cela détruit tout le modèle de sécurité d’Android. Je vous conseille soit de garder l’Android que vous avez par défaut, ou alors d’installer GrapheneOS, car vous pouvez reverrouiller le bootloader.

Bootloader

Pour faire simple, le bootloader est la partie qui cherche ce qu’il faut démarrer (ici, Android) juste après la mise sous tension de l’appareil. Le bootloader possède une fonctionnalité appelée “Android Verified Boot” (AVB) ou “démarrage sécurisé” en français. AVB permet entre autre de vérifier que le système d’exploitation est correct et n’a pas été modifié (par un virus, par quelqu’un ou par autre chose) ! Si le système avait été modifié, AVB aurait annulé ces modifications au démarrage !

Si vous déverrouillez votre bootloader, AVB sera désactivé, et donc vous aurez un manque total de sécurité sur votre smartphone.

Vous ne pouvez pas reverrouiller votre smartphone avec LineageOS, mais vous pouvez cependant le faire avec GrapheneOS ! Ne vous inquiétez pas, l’installation de GrapheneOS est moins compliqué qu’il n’y paraît 😉, et tout fonctionnera pareil que d’habitude (mais en plus sécurisé).

Si vous souhaitez l’installer, vous devez posséder un Google Pixel (quelqu’il soit, de préférence à partir des Pixel 6 pour bénéficier des 5 ans de mises à jour), puis vous devez suivre les instructions sur leur site web (ne sautez pas d’étapes, suivez les instructions à la lettre, et ça fonctionnera).

Antivirus

Pour la sécurité de votre smartphone, n’installez PAS d’antivirus, gratuits ou payants. Les antivirus se basent sur le badness enumeration (littéralement : l’énumération du mal) qui est une méthode complètement détachée de la réalité.

Je vous suggère de lire l’article de Wonderfall concernant la sécurité sur les smartphones.

Code PIN

Je vous déconseille très fortement d’utiliser des schémas (ou patterns) pour déverrouiller votre téléphone. Une étude a prouvé l’inefficacité des schémas. Si vous possédez un Google Pixel ou un iPhone vous pouvez utiliser un code PIN, ces deux téléphones sont tellement sécurisés que juste mettre un code PIN à 4 chiffres prendrait plusieurs dizaines d’années à être bruteforce (mais mettez quand même 8 chiffres au minimum).

De manière générale, je vous conseille d’utiliser un code PIN à 6 chiffres. Cependant, il serait plus avisé de mettre un code PIN de 8 chiffres ou plus. Et non, ne mettez pas la vitesse de la lumière, le nombre pi, ou n’importe quelle autre constante mathématique. Et surtout ne mettez pas votre date de naissance, celle d’un proche ou de votre animal.

Vous pouvez, en complément, utiliser l’empreinte digitale, cela évitera que les gens vous voient taper votre code PIN.

Le problème des prix

Alors oui la sécurité et la vie privée ont très souvent un prix, je vous conseille donc de prendre la version “a” des Google Pixel, comme le Google Pixel 6a ou le Google Pixel 7a. Il y a beaucoup de réductions en ce moment (la version charbon du 6a est actuellement disponible aux alentours de 340€ sur Amazon, faites attention à ce qu’il soit neuf, et non d’occasion, c’est trompeur sur Amazon). Vous pouvez également l’acheter neuf via le Google store pour la modique somme de 349€. Le Google Pixel 7a est actuellement à 400€ sur Amazon, si vous souhaitez le payer au moins cher, je vous conseille d’acheter le 7a ce mois-ci (décembre 2023), vous pouvez également attendre les prochaines soldes début 2024.

De plus, si vous achetez des smartphones à 200€ tels que les Xiaomi par exemple, vous perdrez plus d’argent, car Xiaomi ne possède pas beaucoup de support (2 ans en moyenne) et ils ont une fâcheuse tendance à ralentir rapidement au fil du temps… Si vous rachetez un smartphone tous les 2 ans, au bout de 5 ans vous aurez payé 500€ (200+200+100). Si vous achetez un Google Pixel 6a au prix fort, 349€ au moment où je vous écris, vous économisez bien 91€ sur 5 ans (car le Google Pixel 6a a 5 ans de mises à jour), voire plus si vous arrivez à avoir des réductions (aux alentours de 330€ en ce moment, donc vous économisez 170€ sur 5 ans).

En décembre 2023, le Pixel 6a est à ~340€ et le Pixel 7a à ~400€. Le support du Pixel 6a s’arrêtera en Juillet 2027 (3 ans et 7 mois de support restant) et celui du Pixel 7a en Mai 2028 (4 ans et 5 mois restants).

Pixel 6a: 340/(3*12+7) = 7.90€/mois

Pixel 7a: 400/(4*12+5) = 7.54/mois

Le Pixel 7a coûte un peu moins cher sur le long terme que le Pixel 6a, plus nous avancerons dans le temps, moins le Pixel 7a sera cher comparé au 6a.

Car en effet, je vous conseille de garder votre smartphone jusqu’à ce que :

1. Le support s’arrête
2. Il soit tellement cassé qu’il soit inutilisable/irréparable.

Pour conclure, oui les smartphones sont chers, mais étalé sur 5 ans, voire 7 ans pour les Pixel 8, ça reste tout à fait abordable. De plus, vous pourrez probablement les avoir à beaucoup moins cher que ça au moment où vous lirez cet article.

Si vous voulez en savoir plus sur les calculs des prix des smartphones, je vous renvoie vers mon article sur mon blog dédié à ce sujet, vous pourrez notamment y lire une fourchette de prix par rapport au prix mensuel.

Notes

J’ai fait ce chapitre sur les prix des smartphones, mais je ne suis pas ici pour vous dire comment dépenser votre argent.

Cependant, j’avais besoin d’écrire un article là-dessus car certaines personnes sous-estiment parfois le prix des smartphones.

Pour vous donner une fourchette de prix raisonnable pour un smartphone décent, il faut compter entre 300 et 500€. En dessous de 300€, vous trouverez rarement des smartphones qui dureront dans le temps.

Pour les iPhones, je vous conseille de prendre un iPhone SE, ils ont tendance à être moins chers que les hauts de gamme, et restent tout de même très performants. Vous pouvez vous procurer un SE à partir de l’iPhone SE 2020 au minimum (également appelé “2ème génération”), la première génération (2016) possédant du matériel trop vieux, donc moins sécurisé, le support risque en plus de s’arrêter prochainement puisqu’il est mis à jour depuis déjà 6 ans.

L’iPhone SE 2020 n’étant plus mis en vente, vous pouvez l’acheter d’occasion ou en reconditionné. Amazon propose un service de reconditionnement et vend actuellement l’iPhone SE 2020 à ~250€.

Fairphone

Je vous déconseille fortement le Fairphone car il n’est pas sécurisé par défaut. En effet, Fairphone met à jour leurs téléphones pendant plusieurs années (leur premier téléphone de 2013 est toujours mise à jour) mais ne met pas à jour les firmwares ! Car seuls les constructeurs Qualcomm peuvent le faire !

Qualcomm est l’entreprise qui créée la plupart des composants tels que les processeurs, puces graphiques, cartes mères pour la plupart des smartphones (Samsung, Xiaomi, OnePlus, Fairphone, etc.). C’est Qualcomm qui, en réalité, met à jour les firmwares de ces composants, les entreprises ne font que suivre ces mises à jour.

Google construit ses propres composants depuis le Google Pixel 6, c’est pourquoi ils peuvent le mettre à jour pendant 5 ans, voire plus si Google le souhaitait. Même chose pour Apple avec leur propres composants.

De plus, Fairphone utilise souvent les avant-derniers processeurs et autres composants de Qualcomm, sachant que Qualcomm met à jour ses composants pendant environ 3 ans, Fairphone utilise donc des composants qui sont en fin de support. Pour réitérer, quand vous achetez un Fairphone, vous achetez un smartphone qui n’est déjà presque plus supporté par les constructeurs !!! C’est un gros problème de sécurité !

Alors évidemment, je suis pour l’écologie et la protection de l’environnement, mais il faut avoir une bonne balance entre sécurité, vie privée et écologie. Si vous prenez un Xiaomi par exemple, vous n’avez ni sécurité (par rapport à un Google Pixel ou un iPhone), ni respect de votre vie privée, ni respect de l’environnement. En prenant un Fairphone, vous respectez un peu l’environnement (ça reste polluant de fabriquer un smartphone), vous n’avez pas de vie privée (les Services Google Play sont toujours là) et pas de sécurité du tout ! Avec un Google Pixel, vous gagnez en sécurité, et en écologie car vous gardez votre téléphone 5 ans, mais vous ne gagnez toujours pas en vie privée. Cependant, si vous installez GrapheneOS sur votre Pixel, vous gagnez en sécurité, écologie et en vie privée !

iPhones

J’avoue ne pas être un grand fan d’Apple et je ne connais pas très bien le sujet. Je vous conseille donc de lire l’article sur IOS par Wonderfall qui en parle mieux que moi.

Cela dit, je tiens à prévenir que si Apple promet de respecter votre vie privée, nous n’avons en réalité aucune preuve. Peut-être la respecte-il, peut-être que non, peut-être un peu des deux. Parfois, on voit bien qu’Apple n’a pas accès à certaines données car le chiffrement de bout en bout est implémenté ou que les données restent en local. Cependant ce n’est pas toujours le cas.

iCloud ne propose pas de chiffrement de bout en bout pour la plupart des services, tels que vos sauvegardes, vos contacts, vos calendriers, vos photos, etc.

N’ayez confiance en un service cloud uniquement si celui-ci propose du chiffrement de bout en bout !

iCloud Backup sauvegarde votre historique iMessage avec la clé pour pouvoir le déchiffrer (si ce dernier est activé). (Sachant que les sauvegardes ne sont pas protégées par le chiffrement de bout en bout.). Donc oui, Apple a accès à vos messages si vous activez iCloud Backup.

En ce qui concerne la sécurité, les iPhones sont excellents. En revanche, je ne dis pas que les iPhones sont meilleurs qu’Android sur ce point. Je dirais qu’ils sont plutôt équivalents. Par contre, les iPhones ET les Google Pixels sont bien les meilleurs en terme de sécurité que tout le reste du marché des mobiles. Si vous installez GrapheneOS sur un Google Pixel, vous êtes gagnant en sécurité et dans la protection de vos données. Si vous avez un iPhone vous gagnez en sécurité, mais vous êtes un peu perdant concernant vos données.

Tout ceci est mon interprétation de l’article de Wonderfall. Je vous invite donc fortement à le lire pour vous faire votre propre opinion.

Je vous conseille quand même un Google Pixel au lieu d’un iPhone car vous pouvez choisir quelles applications utiliser, vous pouvez prendre Brave ou Firefox au lieu de Safari. Beaucoup d’applications sont bien meilleures sur Android. Sur IOS, vous êtes limité voire bloqué.

Sur IOS, tous les navigateurs web doivent utiliser le même moteur de rendu, celui d’Apple : WebKit. Donc en utilisant Brave, Google Chrome ou Firefox, c’est comme si vous utilisiez Safari.

Depuis IOS 16.2, vous pouvez activer l’option Advanced Data Protection, ce qui permet de bénéficier du chiffrement de bout en bout pour des services essentiels tels qu’iCloud Backup, iCloud Drive, Photos, Notes, Rappels, Signets Safari, Raccourcis Siri, Dictaphones et vos cartes (Wallet).

Je vous recommande fortement de l’activer pour votre vie privée.

Vous avez besoin de Raivo OTP pour le 2FA (Two Factor Authentication), disponible sur l’App Store, cette application sert uniquement pour votre compte Apple. Et vous avez également besoin d’enregistrer la clé de récupération dans votre gestionnaire de mots de passe préféré afin de déchiffrer vos données dans le cas d’une perte de votre téléphone ou d’un changement.

Conclusion

Pour réitérer :

• Prenez uniquement un Google Pixel (à partir du 6, car 5 ans de support) ou un iPhone récent (A12+) (à partir de l’iPhone XR/XS/XS Max).
• N’installez pas d’applications qui se disent améliorer la sécurité ou la performance de votre téléphone. Suivez la règle KISS.
• Utilisez un code PIN de 6 chiffres minimum, mais 8 chiffres ou plus est recommandé.
• Installez GrapheneOS sur votre Google Pixel.
• Achetez uniquement des téléphones neufs ou quasi-neufs. N’achetez pas de téléphones qui ne sont plus supportés.
• Si vous avez acheté un autre téléphone, revendez-le (surtout si c’est un Fairphone) et achetez un Google Pixel 6/6a/6 Pro minimum (ou un iPhone).
• Si vous avez acheté des antivirus (ou d’autres applications comme CCleaner), arrêtez ces abonnements, car vous jetez littéralement de l’argent par les fenêtres. Puis achetez un smartphone récent grâce aux économies que vous aurez faites. (Car il est plus sécurisé d’utiliser un smartphone récent et mis à jour régulièrement qu’un vieux téléphone doté d’un antivirus.)

En savoir plus & crédits

• 🇫🇷️ Le modèle de sécurité mobile - Wonderfall
• 🇬🇧️ Android - Madaidan
• 🇬🇧️ Android Tips - PrivSec.dev (j’ai le même thème que son site web car c’est un thème publique et gratuit, ne soyez pas étonné)
• 🇬🇧️ Badness Enumeration - PrivSec.dev (en anglais)
• 🇬🇧️ The Android Platform Security Model (Source originelle)