Smartphone AndroidImpossible d’effacer ses données

Dans les paramètres de votre smartphone Android, une fonction permet de rétablir la configuration d’usine de votre appareil, autrement dit d’effacer toutes les données stockées dans sa mémoire. Cette opération est généralement conseillée avant de céder ou de vendre le téléphone. Seulement voilà, deux chercheurs en sécurité de l’université de Cambridge viennent de montrer qu’elle était inefficace. Ils ont en effet pu retrouver les identifiants Google des précédents propriétaires de smartphones achetés d’occasion. L’identifiant Google, composé d’un nom d’utilisateur et d’un mot de passe, est indispensable pour utiliser un smartphone Android. Sans compte Google, impossible de télécharger des applications dans la boutique Google Playstore, par exemple. C’est avec ces mêmes identifiants qu’un utilisateur accède à tous les services de Google : les courriers et les contacts de Gmail, les fichiers de la galerie en ligne Photos, Youtube, Drive (stockage de fichiers dans le cloud), Google+ (réseau social), etc. Autrement dit, ils constituent ni plus ni moins la porte d’entrée de la vie privée des utilisateurs.

500 millions de smartphones concernés

En 2014, les deux chercheurs de Cambridge, Laurent Simon et Ross Anderson, ont acheté 21 smartphones de 5 marques différentes (Google, HTC, LG, Motorola, Samsung). Parmi eux, des modèles très populaires comme le Samsung Galaxy S2, le LG Optimus L3, le HTC One X, le Nexus S ou encore le Samsung Galaxy Note. L’objectif était de représenter les versions d’Android en circulation : Froyo (Android 2.2.x), Gingerbread (v2.3.x), Ice Cream Sandwich (v4.0.x) et Jelly Bean (v4.1-3) (1). Cette sélection serait représentative de 500 millions de terminaux aujourd’hui en circulation dans le monde. Les chercheurs estiment même que la restauration des valeurs d’usine n’est pas capable d’effacer les fichiers stockés dans la carte mémoire de 630 millions de terminaux. « Ces problèmes de réinitialisation peuvent nuire à la croissance du marché, dans la mesure où les consommateurs résistent moins à un smartphone haut de gamme s’ils savent qu’ils pourront le revendre plus tard. S’ils craignent pour la sécurité de leurs données personnelles, ils changeront moins souvent », explique Laurent Simon. Une analyse qui écarte toute implication volontaire de Google dans cette inquiétante faille, puisqu’il n’a aucun intérêt à voir les ventes ralentir. L’origine, poursuit le chercheur, est d’ordre technique. « Les fabricants ont progressivement remplacé la mémoire flash "raw" par de la mémoire eMMC (embedded MultimediaCard) pour améliorer les performances de leurs smartphones. Google a modifié son système pour intégrer ce changement, mais a rencontré des difficultés. C’est ainsi que tout a commencé. » Une explication que nous a confirmé Google, qui travaille à la résolution du problème. « Les données des smartphones sous Android 3.0 et versions suivantes ne devraient déjà plus être retrouvables », assure Adrian Ludwig, ingénieur Sécurité Android chez Google.

Crypter ses données pour plus de sécurité

En attendant que la situation soit complètement réglée, Google et les deux chercheurs s’accordent sur la bonne marche à suivre pour compliquer la restauration de données : chiffrez le contenu de votre smartphone avant de procéder à la restauration des valeurs d’usine, et choisissez lors de cette procédure un mot de passe compliqué. « Vous pouvez ensuite enregistrer une vidéo jusqu’à saturation de la mémoire de votre smartphone, puis répéter l’opération. Ceci écrasera vos photos et vidéos personnelles », conseille Laurent Simon.

Le cryptage des données est possible sur 94 % des smartphones Android en circulation, d’après Google. Il suffit de se rendre dans l’onglet « Sécurité des paramètres », et de lancer le cryptage. Une fois le contenu de votre téléphone chiffré, vous devrez saisir votre mot de passe à chaque fois que vous l’allumerez ou le déverrouillerez. Sur ses derniers terminaux, le Nexus 6 et le Nexus 9, les données de l’utilisateur sont cryptées par défaut. « Nous encourageons vivement les fabricants à faire de même sur leurs propres appareils », précise Adrian Ludwig. Une recommandation qui deviendra une obligation formelle dans Android 6, dont la sortie est prévue en 2016.

(1) Chaque année, Google lance une nouvelle version de son système d’exploitation mobile Android. Il est possible de mettre à jour les smartphones récents, mais de nombreux modèles sont écartés (parce qu’ils ne sont pas assez puissants, ou pour inviter les consommateurs à changer d’appareil…). Différentes versions d’Android sont donc présentes dans le parc installé de smartphones.