Test & Avis Expert
Les téléphones Pixel sont conçus par Google. Leur présence dans un répertoire d'outils de confidentialité n'est pas un satisfecit accordé au constructeur : c'est la seule gamme officiellement prise en charge par GrapheneOS, un système Android dégooglisé, et ce choix tient à des propriétés matérielles précises.
Pourquoi cette gamme et pas une autre
Trois conditions se cumulent. La première est le chargeur d'amorçage, ou bootloader : sur un Pixel, l'utilisateur peut le déverrouiller pour installer un autre système, puis le reverrouiller avec ses propres clés. C'est ce qui permet au démarrage vérifié — le mécanisme qui refuse de démarrer un système modifié, avec protection contre le retour à une version antérieure — de continuer à fonctionner sous un système tiers. La plupart des constructeurs n'autorisent pas ce reverrouillage, ce qui laisse l'appareil déverrouillé en permanence, donc altérable par quiconque le manipule. La deuxième est la puce de sécurité dédiée, Titan M puis Titan M2 : GrapheneOS y place une valeur aléatoire à forte entropie, le jeton Weaver, qui entre dans la dérivation de la clé de chiffrement et impose un délai croissant entre les tentatives de code. Sans ce composant, un code à six chiffres tombe par force brute hors de l'appareil. La troisième est la durée d'engagement : les Pixel de la 8e génération et suivantes sont annoncés pour un minimum de sept ans de mises à jour à compter de leur sortie, contre cinq auparavant. GrapheneOS ne peut fournir des correctifs de sécurité complets que si le constructeur publie les siens, micrologiciels et pilotes compris — la date de fin de support du constructeur est donc la date de fin de vie sécuritaire de l'appareil.
Ce que ça ne protège pas
Un Pixel sorti du carton fonctionne sous l'Android de Google, services Google Play intégrés au système et identifiant publicitaire actif : le matériel n'apporte aucun bénéfice de confidentialité tant que le système n'est pas remplacé. Ce remplacement efface l'appareil et passe par une procédure d'installation en ligne de commande ou depuis un navigateur compatible. Le matériel lui-même reste une boîte noire, avec des micrologiciels de modem et de processeur de signal propriétaires, comme sur tout téléphone du marché. Et aucun système d'exploitation ne protège de l'opérateur mobile, qui connaît votre position par les antennes relais, ni d'un déverrouillage obtenu sous contrainte.
Une fois le système remplacé
L'approvisionnement en applications passe alors par F-Droid pour les logiciels libres et par Aurora Store pour ce qui n'existe que sur le Play Store. Les autres systèmes alternatifs font des compromis différents : LineageOS et /e/OS acceptent bien plus de modèles, mais peu de ces modèles permettent le reverrouillage du chargeur d'amorçage, ce qui affaiblit précisément la garantie qui justifie ici le Pixel.
