Comment des fabricants veulent libérer nos smartphones de Google
Google verrouille de plus en plus son système d'exploitation mobile Android. Mais une contre-offensive se dessine: un consortium nouvellement fondé, réunissant des entreprises d'Allemagne, de France et de Suisse, développe une alternative open source à Google Play Integrity, le service qui décide si les applications bancaires, administratives ou de portefeuille numérique peuvent fonctionner sur un smartphone Android.
De quoi est-il question, exactement?
Google Play Integrity est un service Android qui permet à une application de vérifier, au moment de son lancement, si l'appareil sur lequel elle s'exécute est jugé fiable par Google. Cela concerne notamment les applications dans des domaines sensibles, tels que la preuve d'identité, les services bancaires ou les portefeuilles numériques, y compris les applications de gouvernements et d'administrations publiques.
Le fabricant allemand de smartphones open source Volla Phone a donc réuni plusieurs fabricants européens de systèmes d'exploitation mobiles et d'appareils pour développer une alternative à Google Play Integrity.
L'objectif est d'obtenir «une solution indépendante, transparente et fiable pour les contrôles de sécurité, libre du contrôle d'un seul groupe américain», indique le communiqué de presse. Car, Jörg Wurzer, fondateur de Volla, affirme:
Quel est le problème?
Pour les applications sensibles, comme l'e-banking, Twint, etc., une certification par Google lui-même est requise, laquelle n'est accordée qu'à la version propriétaire d'Android de Google, c'est-à-dire la version utilisée par Google, Samsung et d'autres grands fabricants de smartphones. Concrètement, comme l'écrit le fabricant de smartphones Volla, qui propose depuis quelques années des appareils Android sans Google:
La conséquence: quiconque utilise un véritable smartphone open source doit parfois se passer d'applications populaires. Cela dissuade de nombreux utilisateurs de passer à un tel système, pourtant respectueux de la vie privée, et qui n'est pas sous le contrôle d'un géant technologique américain comme Google ou Apple.
Quelle est la solution?
Une solution de sécurité ouverte, alternative à Google Play Integrity, qui ne serait pas contrôlée par un seul groupe, comblerait un vide certain pour de nombreux utilisateurs et développeurs.
Une première version de base d'une réponse européenne à Google a été développée par Volla sous le nom de projet «UnifiedAttestation». Les applications peuvent, via ce service alternatif, soumettre une requête pour vérifier si le système d'exploitation concerné satisfait à certaines exigences de sécurité. Un service de validation exploité de manière décentralisée vérifie ensuite si le certificat d'un système d'exploitation est valide sur l'appareil en question. Jörg Wurzer, directeur général de Volla et initiateur du consortium, explique:
Contrairement à Google Play Integrity, UnifiedAttestation doit reposer sur une approche décentralisée de type peer-review. Autrement dit: les fabricants se certifient mutuellement, et le code est consultable publiquement sous licence Apache 2.0. Volla envisage même que cette alternative au processus de vérification de Google «puisse être intégrée dans les applications avec quelques lignes de code» seulement.
Qui est de la partie?
Lors de la première réunion de travail virtuelle à la mi-février, des représentants de Murena et de la e.foundation (France), d'Iodé (France) et d'Apostrophy (Suisse) étaient notamment présents. Ce que tous les fabricants participants ont en commun, c'est «la priorité accordée aux systèmes d'exploitation mobiles sans Google, principalement basés sur le projet Android Open Source (AOSP)», écrit Volla.
Par exemple, les fabricants européens de téléphones mobiles, tels que Fairphone ou Shift proposent leurs appareils non seulement avec Android de Google, mais aussi avec le système d'exploitation /e/OS de Murena, axé sur la protection des données, qui est lui-même basé sur l'AOSP.
Quelles sont les chances de succès?
Il est trop tôt pour établir un pronostic. L'air du temps plaide en faveur d'une alternative open source européenne. La souveraineté numérique a gagné en importance dans les priorités politiques et dans les directions d'entreprises.
Les initiateurs doivent maintenant réussir à convaincre les développeurs d'applications clés de rejoindre le projet. Des discussions seraient en cours avec des développeurs d'applications d'identité et d'administration. Les premiers développeurs et éditeurs d'applications gouvernementales en Scandinavie envisageraient «d'adopter la nouvelle procédure en tant que first movers».
Des discussions seraient également en cours «avec un fabricant mondial de premier plan dans le domaine des appareils mobiles». Un tel partenaire pourrait contribuer à rendre UnifiedAttestation visible à l'échelle internationale. (oli)