GrapheneOS — ce qu'il fait vraiment mieux

GrapheneOS est souvent vendu comme « l’Android anonyme ». Il ne l’est pas. C’est un système d’exploitation qui réduit méthodiquement la surface d’attaque d’un téléphone Pixel et vous rend des décisions qu’Android prend normalement à votre place. Voici ce que cela signifie concrètement — et où passent les limites.

Contre quoi durcit-on, au juste ?

Avant les fonctions vient la question de votre modèle de menace : de quoi cherchez-vous réellement à vous protéger ? D’un courtier en données qui transforme votre comportement en argent ? De quelqu’un qui met la main sur votre téléphone ? D’un logiciel malveillant arrivant par un fichier piégé ? GrapheneOS répond aux trois — mais à des degrés différents, et aucun par magie. Qui réfléchit à cela prend de meilleures décisions que celui qui veut simplement être « en sécurité ».

Les fondations : transformer les erreurs mémoire en impasses

La plupart des attaques sérieuses contre les téléphones reposent sur la même classe de bogues : les erreurs mémoire — une zone utilisée après avoir été libérée, ou écrite au-delà de ses limites. C’est exactement là que GrapheneOS intervient.

• Son propre allocateur mémoire durci (hardened_malloc) : les métadonnées de l’allocateur sont séparées des données qu’elles décrivent, les adresses sont distribuées avec une forte entropie, la mémoire libérée est remise à zéro et n’est réutilisée qu’après une mise en quarantaine. Des canaris aléatoires arrêtent les débordements classiques.
• Marquage mémoire matériel (MTE) sur les appareils ARMv9, c’est-à-dire Pixel 6 et suivants. Chaque bloc de mémoire porte une étiquette ; si elle ne correspond pas lors de l’accès, l’accès est coupé. Toute une classe de bogues est ainsi détectée à l’exécution — y compris dans le noyau.
• Protection du flot de contrôle : CFI, BTI, PAC et ShadowCallStack rendent bien plus laborieux le passage d’un bogue trouvé à une prise de contrôle effective.

L’effet n’a rien de spectaculaire, et c’est précisément sa valeur : un exploit qui passe sans encombre sur un Android d’origine se termine ici le plus souvent par un plantage plutôt que par une prise de contrôle.

Google Play — autorisé, mais privé de ses privilèges

L’idée fausse la plus répandue : GrapheneOS ne conviendrait qu’à ceux qui acceptent de tout abandonner. En réalité, vous pouvez installer les services Play — comme une application ordinaire dans le bac à sable, sans le moindre droit particulier. Sur un Android d’origine, les services Play font partie du système avec des privilèges, et ils voient beaucoup de choses en conséquence. Ici, ils sont un invité comme un autre : ils n’obtiennent que ce que vous leur donnez, et peuvent être confinés à un seul profil. Les achats et la boutique fonctionnent malgré tout ; les requêtes de localisation passent par défaut par les serveurs de GrapheneOS plutôt que directement par Google.

Deux autorisations qu’Android ne connaît pas

• Réseau. Vous pouvez couper complètement l’accès à Internet d’une application — directement et indirectement. L’application voit alors simplement « pas de réseau » au lieu d’une erreur qu’elle réessaierait sans fin. Une calculatrice, un éditeur de photos, un scanner de documents n’ont besoin d’aucun réseau.
• Capteurs. Accéléromètre, gyroscope, boussole, baromètre — des valeurs qu’Android livre sans rien demander et dont on peut déduire étonnamment beaucoup, jusqu’aux habitudes de déplacement et à la reconnaissance de l’appareil. Ici, c’est un interrupteur.

S’y ajoutent les Storage Scopes et les Contact Scopes : au lieu d’ouvrir à une application tout votre stockage ou tout votre carnet d’adresses, vous ne libérez que les fichiers ou les contacts dont elle a besoin. L’application ne voit aucune différence — elle croit disposer de l’autorisation complète.

Des profils plutôt que de la confiance

Android connaît les profils professionnels ; GrapheneOS en fait un véritable outil de cloisonnement : 31 profils plus un invité au lieu des trois habituels. Chaque profil a ses propres clés, ses propres applications, ses propres comptes. Avec « Terminer la session », vous chassez de la mémoire les clés de déchiffrement d’un profil — ses données redeviennent chiffrées pendant que l’appareil continue de tourner. Vous n’avez donc plus à faire confiance à une application douteuse ; vous la rangez.

Quand l’appareil tombe en d’autres mains

Un téléphone verrouillé n’est pas pour autant un téléphone sûr. Ce qui compte, c’est de savoir si les clés sont encore en mémoire. GrapheneOS s’y attaque directement :

• Redémarrage automatique après 18 heures de verrouillage (réglable de 10 minutes à 72 heures). Après le redémarrage, les données sont de nouveau entièrement chiffrées — l’état dans lequel les outils forensiques obtiennent le moins.
• Code PIN de contrainte : un second code qui efface l’appareil de façon irréversible — y compris les eSIM installées.
• USB limité à la charge tant que l’appareil est verrouillé — réglage par défaut, appliqué au niveau du matériel comme du système. Si vous voulez aller plus loin, le port peut être désactivé entièrement.
• Brouillage du pavé : les chiffres changent de place, de sorte qu’un regard par-dessus l’épaule et les traces de doigts ne révèlent rien.
• Empreinte comme second facteur : une longue phrase secrète comme protection réelle, l’empreinte plus un code court pour le quotidien. Jusqu’à 128 caractères sont possibles, au lieu des 16 habituels.

Radio et réseau

• Mode LTE uniquement : coupe la 2G, la 3G et la 5G. La 2G en particulier est un héritage encombrant : chiffrement faible, vulnérable aux fausses antennes-relais.
• Une adresse MAC nouvelle à chaque connexion — par défaut, pas en option. C’est plus strict qu’« une adresse aléatoire par réseau », car les visites répétées dans le même café ne se relient pas non plus.
• Blocage des fuites VPN : pas de fuite DNS, rien qui s’échappe par multidiffusion tant que le tunnel est monté.
• Localisation sans Google : le positionnement par les réseaux environnants est facultatif, mis en cache en mémoire et acheminé par les serveurs de GrapheneOS. Les vérifications de connectivité, l’heure et les données d’almanach satellitaire passent également par là, et non par Google.

La vraie différence avec les autres systèmes

Beaucoup de systèmes Android alternatifs exigent que vous laissiez le chargeur d’amorçage déverrouillé ou que vous désactiviez le démarrage vérifié — échangeant ainsi l’intégrité contre la confidentialité. GrapheneOS prend l’autre chemin : il est signé avec ses propres clés pour chaque version, le chargeur d’amorçage est reverrouillé, et la vérification des signatures reste pleinement active. S’y ajoute l’application Auditor, qui permet à un second appareil apparié de vérifier, par le matériel, que le micrologiciel et le système sont intacts. C’est là que « durci » se sépare de « simplement différent ».

Pourquoi uniquement les Pixel

La critique la plus fréquente est aussi l’explication : GrapheneOS ne prend en charge que les appareils Pixel, parce que presque nulle part ailleurs les conditions ne sont réunies — reverrouiller le chargeur d’amorçage avec ses propres clés, un élément sécurisé distinct, le marquage mémoire matériel, et des mises à jour de micrologiciel livrées pendant des années. Sans ces fondations, une grande partie de ce qui précède ne pourrait être qu’affirmée, non imposée.

Ce que GrapheneOS ne peut pas faire

C’est ici que s’arrête la compétence du système d’exploitation — et il vaut mieux le savoir avant de s’installer dans un faux sentiment de sécurité :

• Il ne vous rend pas anonyme. Votre opérateur voit toujours où votre appareil est enregistré et qui vous appelez. L’IMEI et l’IMSI partent vers le réseau, comme depuis n’importe quel autre téléphone — c’est le modem radio qui en décide, pas le système d’exploitation.
• Il ne remplace pas la discipline. Si vous vous connectez sur votre appareil durci avec le compte que vous utilisez partout ailleurs, vous avez vous-même annulé la séparation.
• Il ne garantit aucune compatibilité applicative. Certaines applications bancaires ou administratives vérifient l’état de l’appareil et refusent de fonctionner. Cela peut se tester à l’avance, mais pas se promettre.
• Il ne vous protège pas de vous-même. Une autorisation accordée sciemment reste une autorisation accordée.

À qui cela s’adresse

À tous ceux qui veulent utiliser leur téléphone au quotidien sans pour autant qu’il tienne en parallèle le journal de leur vie. L’effort est moindre que sa réputation ne le laisse croire : le système ressemble à Android, se comporte comme Android, et la plupart des applications fonctionnent. Le vrai travail n’est pas l’installation, mais la décision : quelle application obtient quel profil, quel réseau et quels capteurs. Ce sont précisément les décisions qu’un Android d’origine vous retire — et c’est là toute la différence.

Nous configurons des appareils Pixel sous GrapheneOS — cloisonnement par profils, autorisations réduites au nécessaire, et sans que nous connaissions jamais vos comptes. Si vous possédez déjà l’appareil, nous pouvons travailler avec le vôtre. Détails dans le configurateur.