Test & Avis Expert
Auditor est une application Android du projet GrapheneOS, publiée sous licence MIT et gratuite, financée par les dons. Elle utilise l’attestation matérielle d’Android pour vérifier l’identité d’un appareil ainsi que l’authenticité et l’intégrité du système installé.
Comment ça marche
La chaîne part d’une racine de confiance matérielle inscrite à la fabrication, à laquelle le système lie des clés que ni une application ni le système lui-même ne peuvent extraire. L’application vérifie que le chargeur d’amorçage est verrouillé, que le démarrage vérifié est actif, et qu’aucun retour à une version antérieure du système, des correctifs ou de l’application n’a eu lieu — un point important, car revenir à une version vulnérable est une technique d’attaque classique.
Deux modes existent. En appairage local, un second appareil Android sert de vérificateur et l’échange se fait par codes QR, sans réseau. En surveillance à distance, l’appareil se signale périodiquement au service attestation.app, qui envoie une alerte par courriel en cas d’anomalie. Les deux reposent sur un modèle de confiance à la première utilisation (TOFU) : la première vérification établit la référence, les suivantes la comparent.
La liste des appareils pris en charge est étroite — Google Pixel 6 à Pixel 10, dans leurs déclinaisons — parce que ce sont ceux qui disposent du module de sécurité StrongBox et du démarrage vérifié complet nécessaires à la chaîne.
Ce que ça ne protège pas
Auditor ne détecte pas les logiciels malveillants. Il vérifie que le système chargé est bien celui attendu et n’a pas été modifié au niveau du démarrage ; une application hostile installée par l’utilisateur, un abus de permissions ou une compromission en mémoire d’une application ne produisent aucune alerte. Confondre les deux conduit à un faux sentiment de sécurité.
Le modèle TOFU est l’autre limite : si l’appareil est déjà compromis lors de la première vérification, cet état devient la référence et rien ne sera signalé ensuite.
La couverture matérielle exclut enfin la quasi-totalité du parc Android. L’application le documente clairement : la plupart des systèmes alternatifs ne prennent pas en charge le démarrage vérifié complet, ce qui les rend invérifiables par cette méthode. Le mode à distance implique par ailleurs un service tiers, qui apprend l’existence et le rythme de vie de l’appareil.
Face aux alternatives
Mobile Verification Toolkit répond à la question complémentaire — chercher des traces d’infection connues dans une sauvegarde — et s’adresse plutôt à une analyse après incident. GrapheneOS est le système auquel Auditor est destiné en premier lieu ; sans démarrage vérifié ni chargeur d’amorçage verrouillé, l’attestation n’a rien à vérifier. CalyxOS et LineageOS n’offrent pas le même niveau de vérification du démarrage.
