Un groupe de fabricants européens mené par l'Allemand Volla Systeme vient de lancer le projet Unified Attestation, une alternative open source à Google Play Integrity.

L'objectif : permettre aux systèmes Android alternatifs d'accéder enfin aux applications bancaires et aux services d'identité numérique européens, le tout sans dépendre de Google pour la vérification de sécurité.

Le problème avec Play Integrity

Si vous utilisez un téléphone Android classique, avec les services Google, vous ne vous en rendez très certainement pas compte. Mais pour les utilisateurs de systèmes alternatifs comme /e/OS, LineageOS ou GrapheneOS, c'est franchement infernal : Google Play Integrity, le système qui permet aux applications de vérifier la sécurité d'un appareil, bloque purement et simplement l'accès aux applications bancaires, aux portefeuilles numériques et aux services d'identité.

Seuls les appareils certifiés par Google passent les niveaux de vérification les plus élevés. Les ROM alternatives, même parfaitement sécurisées, sont exclues sans ménagement.

Ce que propose Unified Attestation

Le consortium regroupe Murena (derrière /e/OS), IODE (France), Apostrophy (Suisse) et la UBports Foundation (Allemagne), avec l'intérêt d'un fabricant européen et d'un fabricant asiatique.

Le système comprend trois briques : un service intégré au système d'exploitation pour vérifier la sécurité de l'appareil, un service de validation décentralisé qui ne dépend d'aucune autorité unique, et une suite de tests ouverte pour certifier un OS sur un modèle donné.

Ce projet est publié sous licence Apache 2.0, avec une vérification hors ligne, et surtout sans collecte d'identifiants. Jörg Wurzer, le patron de Volla Systeme, résume bien le paradoxe : quand un seul acteur du marché contrôle la vérification de sécurité, ça crée une dépendance structurelle.

C'est d'autant plus problématique quand l'acteur en question est justement celui dont on cherche à se débarrasser.

Et l'Europe dans tout ça ?

Le timing n'arrive pas comme ça, pouf, par hasard. L'Union européenne développe en ce moment l'EUDI Wallet, un portefeuille d'identité numérique qui doit permettre à chaque citoyen d'avoir ses papiers sur son téléphone.

Le problème, c'est que la version actuelle de l'application utilise Google Play Integrity pour vérifier l'appareil. Résultat : si vous êtes sur un Android alternatif, pas de carte d'identité numérique pour vous. Des développeurs ont déjà signalé le problème sur GitHub, comparant la situation à un PC qui exigerait Windows pour ouvrir un document officiel.

Des développeurs gouvernementaux scandinaves se sont d'ailleurs positionnés parmi les premiers à vouloir tester Unified Attestation.

On est là sur une initiative qui va dans le bon sens, parce que jusqu'à présent, ça reste pénible que Google soit le seul à pouvoir dire si un smartphone Android est fiable ou non.

Unified Attestation ne va pas tout changer du jour au lendemain, et convaincre les banques d'adopter un système inconnu reste le plus gros obstacle. Mais que des développeurs gouvernementaux scandinaves s'y intéressent déjà, ça envoie un bon signal.

Source : Netzwoche.ch

La vie privée sur smartphone, on en parle beaucoup mais concrètement, on fait pas grand-chose. Trop galère de tout changer, trop de trucs liés à Google... Et puis un jour, y'a un mec, Gaël Duval (oui le papa de Mandrake Linux), qui a créé /e/OS en 2018 via la e Foundation . Un Android sans Google. Pour de vrai.

Concrètement e/OS, c'est un fork d'Android, open source et gratuit, qui vire TOUS les services Google. Pas de Play Services, pas de synchro avec Mountain View, rien. À la place, le système utilise microG, une réimplémentation libre des API Google. Du coup vos apps tournent normalement, mais sans que la moindre donnée parte chez Google. Attention quand même, certaines apps bancaires ou de streaming peuvent râler un peu sans les vrais Play Services... mais dans 95% des cas, ça passe à l'aise !

Côté apps, y'a l'App Lounge. C'est un store unifié qui mélange le catalogue F-Droid (100% open source) et les apps Android classiques. Le truc malin, c'est qu'il affiche un score de confidentialité pour chaque app... histoire de voir en un coup d'oeil lesquelles sont des mouchards. Comme ça, plus besoin de chercher pendant 3h.

Le score de confidentialité dans App Lounge... les mouchards sont grillés direct

Pour le tracking, Advanced Privacy bloque les trackers en arrière-plan, masque votre IP et peut même falsifier votre géolocalisation. Ajoutez à ça un bloqueur de pubs intégré au navigateur et le moteur de recherche Murena Find... bref, c'est une sacrée couche de protection par défaut.

Et là vous allez me dire "ouais mais ça marche sur 3 téléphones". Eh ben non bande de rageux ^^, car plus de 250 appareils sont compatibles. Des Pixel, des Samsung, des Xiaomi, des OnePlus, des Fairphone... La liste est looooongue. Et pour l'installation, y'a même un web installer qui fait tout depuis votre navigateur. Comme ça, pas besoin de bidouilles en ligne de commande pour les allergiques.

Par contre, attention ! Vérifiez bien que votre modèle est dans la liste avant de vous lancer, sauf si vous aimez les mauvaises surprises.

Et si vous voulez un smartphone déjà prêt, la boutique Murena en vend plusieurs. Le Fairphone 5 à 449€ pour ceux qui veulent du durable, le Fairphone 6 à 599€, et bientôt le HIROH à 999€ avec son kill switch matériel pour couper micro et caméra. Vous sortez le téléphone de sa boîte et vous êtes dégooglisés direct.

Les smartphones Murena, prêts à l'emploi sans Google

Côté cloud, Murena fournit 1 Go gratuit avec une adresse @murena.io, un service de mail et un coffre-fort chiffré (le Vault, basé sur CryptPad) tout ça hébergé en Europe. C'est pas des masses en stockage, mais pour du mail et des contacts c'est suffisant. D'ailleurs si vous cherchez des alternatives à Google Photos , y'a de quoi faire ici aussi.

Et pour ceux qui veulent aller encore plus loin sur la protection des données Android, le clavier Urik est un bon complément... parce que oui, votre clavier aussi peut balancer tout ce que vous tapez !

Si vous hésitez, sachez qu'une étude de 2021 des universités d'Édimbourg et de Trinity College Dublin a même confirmé que c'est l'une des ROM Android qui envoie le moins de données en arrière-plan. Pas "zéro" hein, faut pas rêver mais comparé à un Android stock... c'est le jour et la nuit.

Donc c'est pas parfait hein mais entre un Android qui balance tout à Google et un /e/OS qui fait le job sans moucharder... la question elle est vite répondue !

Les Ray-Ban Meta, c'est quand même le gadget parfait pour les voyeurs technophiles. Ce sont quand même des lunettes qui filment, prennent des photos et diffusent en live... le tout sans que PERSONNE autour ne s'en rende compte (ou presque). Alors forcément, quelqu'un a fini par coder une app pour les détecter !

Nearby Glasses , c'est une application Android développée par Yves Jeanrenaud qui scanne en permanence les signaux Bluetooth Low Energy autour de vous. Chaque appareil BLE diffuse en fait des trames pour s'annoncer avec un identifiant constructeur et les lunettes caméra de Meta utilisent les IDs 0x01AB et 0x058E (Meta Platforms) ainsi que 0x0D53 (Luxottica/Ray-Ban). Donc cette app écoute ces identifiants et vous balance une alerte dès qu'elle en capte un.

La détection repose sur le RSSI, en gros la puissance du signal reçu et par défaut, le seuil est à -75 dBm, soit environ 10-15 mètres en extérieur et 3-10 mètres en intérieur. Donc c'est pas foufou non plus mais c'est configurable, évidemment. Vous pouvez donc le durcir un peu pour ne choper que les lunettes vraiment proches, ou l'assouplir pour ratisser large (au prix de faux positifs en pagaille).

Les faux positifs, parlons-en d'ailleurs... Les casques Meta Quest utilisent les mêmes identifiants constructeur, du coup ça ne marche pas à tous les coups. Par exemple, si votre voisin joue en VR, votre téléphone va sonner ! L'app détecte aussi les Snap Spectacles (0x03C2)... pour les trois personnes qui en portent encore ^^.

Ah et l'app est UNIQUEMENT pour Android. La version iOS serait "on the way" selon le développeur... faut donc pas être pressé mais au moins c'est open source (AGPL-3.0), du coup n'importe qui peut vérifier ce que l'app fait de vos données Bluetooth.

Si le sujet vous parle, vous connaissez peut-être Ban-Rays , un projet hardware à base d'Arduino et de LEDs infrarouges qui détecte les Ray-Ban Meta via infrarouge et Bluetooth ! Hé bien Nearby Glasses, c'est l'approche 100% logicielle plutôt que hardware, ce qui est plus accessible mais forcément plus limitée... pas besoin de fer à souder, cela dit ^^.

C'est une rustine mais bon, c'est mieux que de se retrouver à poil sans permission sur le web.

Source

Vous avez déjà remarqué à quel point nos claviers Android sont devenus bavards ? Que ce soit Gboard ou SwiftKey , ils ont tous la fâcheuse tendance à vouloir "améliorer l'expérience utilisateur" en envoyant vos habitudes de frappe sur des serveurs distants. Forcément, quand on sait que tout ce qu'on tape, des mots de passe aux messages privés, passe par cette petite interface, ça peut vite donner des sueurs froides niveau vie privée.

Alors c'est exactement pour contrer cette tendance qu'un nouveau projet open source vient de pointer le bout de son nez : Urik .

Pas de télémétrie dans ce clavier, et pour les plus paranos, sachez que le dictionnaire personnalisé et l'apprentissage des mots sont également stockés dans une base de données locale chiffrée avec SQLCipher. Vos frappes restent donc chez vous et nulle part ailleurs. On est dans la même philosophie que FUTO Voice Input , ce qui prouve qu'on peut avoir des outils intelligents sans pour autant sacrifier sa vie privée.

Côté technique, Urik n'est pas un clavier au rabais. Développé en Kotlin, sous licence GPL-3.0, il propose tout ce qu'on attend d'un outil moderne : la saisie par glissement (swipe), le contrôle du curseur via la barre d'espace et le support de dispositions alternatives comme le Dvorak, le Colemak ou le Workman.

Et pour la correction orthographique, il s'appuie sur l'algorithme SymSpell qui tourne lui aussi intégralement sur le téléphone. L'intelligence du truc permet d'ailleurs d'éviter de corriger bêtement les URLs ou les adresses email, ce qui évite pas mal de frustrations au quotidien.

Petite parenthèse, pour ceux qui ont besoin d'outils de protection supplémentaires sur mobile, n'hésitez pas aussi à jeter un œil à Oversec pour chiffrer vos communications.

Urik, de son côté, soigne aussi l'accessibilité avec un support complet de TalkBack et des thèmes à haut contraste conformes aux normes WCAG AA. L'application nécessite au minimum Android 8.0 et bien qu'elle soit encore officiellement en bêta, elle est déjà très stable pour un usage quotidien.

Alors oui, ça demande un petit temps d'adaptation quand on quitte les géants du secteur, mais le gain en sérénité est immédiat. Plus besoin de se demander si votre prochain message va finir dans une base de données publicitaire.

Sachez aussi que le projet est entièrement financé par sa communauté, ce qui garantit une certaine indépendance vis-à-vis des trackers habituels. Bref, si vous cherchez à reprendre le contrôle sur ce que vous saisissez, c'est clairement une alternative à tester d'urgence sur votre smartphone.

A télécharger ici sur le PlayStore !

Merci à Lorenper pour le partage !