L'équipe de Projets Libres est ravie de vous présenter un épisode de la série sur la libération des smartphones, dédié à la distribution Linux mobile postmarketOS.
Dans ce long entretien avec Antoine Martin et Ranny Bergamotte, deux contributeurs de confiance du projet, nous abordons une variété de sujets :

• l'histoire du projet
• ses différentes composantes (système, environnements de bureau, etc)
• son équipe
• son organisation
• sa gouvernance et ses évolutions actuelles
• son rapport avec les différents projets upstream
• son financement
• son système de tests matériel distribué par internet (hardware-CI)

Nous remercions chaleureusement Ranny pour sa réécriture complète de la traduction anglaise.

Apple et Google font la promotion de leur technologie de certification de matériel.

Au nom de la sécurité, les deux gros fournisseurs d’OS mobiles sont en train de verrouiller un marché où ils seraient les seuls acteurs mondiaux à décider qui a le droit d’utiliser tel ou tel matériel.

Le principe

Le but de ces technologies est d’interdire aux gens d’utiliser du matériel et du logiciel non approuvé par Google et Apple.

Faussement présenté comme une fonctionnalité de sécurité, les banques et les gouvernements les adoptent avec enthousiasme, car cela leur permet d’imposer l’usage de logiciels privateurs à leurs clients/citoyens, quitte à sacrifier la souveraineté.

Les technologies

API Play Integrity de Google

Cette API Android permet à une application de vérifier :

1. qu’elle n’a pas été modifiée par l’utilisateur ;
2. que l’utilisateur a bien payé pour l’utiliser ;
3. que l’exécution n’a pas lieu sur un émulateur ;
4. que le matériel sur lequel elle s’exécute est certifié par Google.

Quelques fournisseurs d’Android proposent des alternatives à ce service :

• Unified Attestation, créé par Volla ;
• Android hardware attestation, présenté par Graphene OS comme une alternative à Google’s Play Integrity API plus ouverte.

API App Attest d'Apple

https://developer.apple.com/documentation/devicecheck/preparing-to-use-the-app-attest-service

Privacy Pass

Ce protocole a pour but d’authentifier un utilisateur anonyme. Cela peut sembler contradictoire, mais il s’agit de remplacer les solutions pour stopper les vils bots (captcha, anubis…).

Concrètement l’utilisateur doit obtenir un jeton avant d’accéder à un service.

Malheureusement de vils humains d’Apple et Cloudflare ont trouvé opportun d’implémenter ce système en rendant obligatoire l’usage d’un matériel certifié.

reCAPTCHA

Cette solution de Google impose aussi l’usage des services Google pour vérifier un mobile pour pouvoir accéder à certains services, notamment des sites web.

La certification de matériel du point de vue des utilisateurs

Pour le consommateur, la certification du matériel (appliqué aux ordiphones) revient à :

• limiter son choix de matériel neuf ;
• limiter son choix de matériel d’occasion ;
• accélérer l’obsolescence du matériel possédé.

Bref il faudra plus régulièrement « tout racheter ».

(Source: sketch des Guignols sur les "iAiles-dans-les-dos", une révolution de Steeve Jobs qui innove au paradis, 2011)

Pour le citoyen, c’est :

• l’usage obligatoire de logiciels privateurs ;
• une inscription forcé et donc l’acceptation des contrats de société “agressives” sur la vie privée et les données personnelles.

Pour les États et l’Union Européenne, c’est un nouvel abandon de souveraineté.

Certifier du matériel, c’est privateur. Certifier des gens c’est pire.

Si vous avez un diplôme d’ingénieur, un permis de chasse, un passe sanitaire ou un tatouage mafieux, vous savez que les organisations adorent certifier les personnes, par exemple pour être bien certaine de recruter un bon tireur pour une mission spéciale en pleine pandémie.

Toutefois si vous êtes un braconnier antivax de l’école 42, vous pouvez aussi télétravailler du côté obscur, par exemple comme développeur Android.

Enfin jusqu’ici, car Google demandera bientôt que tout développeur d’applications Android s’inscrive avec des obligations comme fournir une pièce d’identité officielle et lister tous ses identifiants d’applications actuels et futurs…

Une campagne est en cours pour défendre le droit des braconniers antivax de l’école 42gens normaux de continuer à développer librement sur Android : https://keepandroidopen.org/fr/

Découvrez Mobian , le projet qui met notre distribution Debian préférée dans votre smartphone !

Projets Libres reçoit une nouvelle fois Arnaud Ferraris, son créateur. Nous parlons, dans cet épisode court :

• du panorama de ce qu'est Mobian
• de ses ambitions
• de son rapport à Debian

👉https://www.projets-libres.org/podcast/s4-e17-mobian-au-fond-de-ta-poche/

Cet épisode est la suite de l'épisode précédent sur Linux sur mobile.

L’obligation croissante d’utiliser une application mobile bancaire pour valider des opérations sensibles devient un problème bien réel pour une partie des usagers : personnes sans smartphone, téléphones trop anciens, appareils non compatibles, ou encore systèmes alternatifs et dégooglisés.

Le sujet n’est pas seulement bancaire. Il touche aussi aux logiciels libres, à la liberté de choix technique, et plus largement à l’exclusion numérique. Lorsqu’une opération essentielle ne peut plus être validée que depuis une application propriétaire distribuée dans les écosystèmes de Google ou d’Apple, l’accès au service dépend alors d’un canal technique unique.

Le cas de BoursoBank a récemment relancé la discussion sur LinuxFr. Dans mon cas, lors d’opérations sécurisées, l’interface web m’a renvoyé vers l’application mobile comme unique moyen de validation. Certaines pages d’aide de la banque évoquent pourtant des solutions alternatives ou de secours, mais le service client m’a indiqué aujourd’hui qu’il n’existait en pratique pas d’autre moyen de valider ces opérations sans l’application mobile.

C’est précisément ce décalage entre la communication affichée, l’expérience réelle et la réponse du support qui pose problème. Il laisse l’usager dans une situation d’incertitude, y compris lorsqu’il cherche à quitter ce modèle pour une autre banque, sans garantie de ne pas retrouver la même contrainte quelques mois plus tard.

Cette évolution interroge : pourquoi ne pas proposer systématiquement des alternatives robustes, comme un second facteur indépendant de l’application mobile ?

Dans ce contexte, une pétition a été lancée pour demander que les banques opérant en France proposent au moins une méthode de validation forte utilisable sans application mobile imposée. Elle met en avant un principe simple : une banque peut être sécurisée sans réserver de fait ses services aux smartphones Google ou Apple.