C’est un joli pied de nez aux forces de l’ordre. Google propose sur Android une nouvelle technologie de chiffrement pour les sauvegardes en ligne des données du smartphone. Pour rappel, le service de sauvegarde en ligne permet aux utilisateurs de stocker de manière chiffrée sur leur espace Google Drive les données des applications : textes, images, données personnelles, paramétrages, etc. Le hic, c’est que ces sauvegardes n’étaient pas chiffrées de bout en bout. Les forces de l’ordre américaines pouvaient donc, dans certains cas, y accéder. Par exemple dans le cadre d’une enquête judiciaire ou d’une demande de renseignement via le Patriot Act.
Avec Android Pie, la sauvegarde en ligne des smartphones est désormais chiffrée de bout en bout. Les données ne peuvent être déchiffrées qu’avec la connaissance du code de déverrouillage de l’utilisateur. « Cela signifie que personne d’autre, même pas Google, ne peut accéder aux données d’application sauvegardées », peut-on lire dans une note de blog du géant.
Une sécurité garantie par la puce Titan
Techniquement, le processus est assez complexe. Les données d’application sont chiffrées avec une clé AES 256 bit, appelée « Application key » et générée de manière aléatoire sur le téléphone de l’utilisateur. Avant d’être transférée vers Google Drive, elle est chiffrée au travers d’une clé de récupération baptisée « Recovery key », également générée de manière aléatoire sur le téléphone. Cette clé de récupération est, elle aussi, transférée vers le cloud de Google, mais seulement après avoir été chiffrée au moyen d’un dérivé cryptographique du code de déverrouillage du smartphone.
A noter que cette clé de récupération chiffrée n’est pas simplement déposée sur le disque dur du serveur. Elle est stockée dans l’une des puces cryptographiques Titan que Google a intégré dans ses serveurs et qui est l’endroit le plus sécurisé de son cloud. Dans le cas d’une récupération des données, la puce Titan ne va livrer cette clé de récupération qu’à partir du moment où l’utilisateur a montré qu’il connaissait le code de déverrouillage. Evidemment, le nombre de tentatives est limité, ce qui empêche les attaques par force brute.
Chez Apple, à l’inverse, les sauvegardes d’iPhone ne sont pas chiffrées de bout en bout. Apple peut donc mettre la main sur la clé de déchiffrement et, le cas échéant, transmettre les données sauvegardées aux forces de l’ordre. La firme de Cupertino le précise d’ailleurs dans un document officiel. « Le contenu iCloud, tel qu’il existe dans le compte de l’abonné, peut être fourni en réponse à un mandat de perquisition », peut-on y lire. Apple a néanmoins fait l’effort d’appliquer un chiffrement de bout en bout sur certaines données d’application particulièrement sensibles. C’est le cas des données de paiement, des données de connexion Wi-Fi, des mots de passe gérés par Keychain, ainsi que des données gérées par Siri, Home et Santé.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
