Chiffrement sur Android : évolution et sécurité
Les smartphones sous Android ont tendance à être plus vulnérables aux hackers et failles de sécurité. Mais grâce aux améliorations du chiffrement au niveau de l'appareil dans l'OS Android, les appareils sont moins susceptibles d'être piratés, avec vol de données confidentielles. Les appareils sous versions anciennes doivent encore utiliser des applications tierces pour chiffrer leurs données.
Contexte
À partir d'Android 2.3.4 (Gingerbread), les smartphones supportent nativement le chiffrement au niveau de l'appareil. Parmi les premiers : Droid Bionic et Samsung Galaxy S II. La version tablette Android 3.0 (Honeycomb) inclut aussi ce support natif. Mais selon InfoWorld (mai 2011), 99,7 % des appareils Android tournent encore sous 2.3.3 ou antérieur, sans chiffrement natif.
Chiffrement de l'appareil
Le chiffrement basé sur l'appareil utilise un filtre de chiffrement par fichiers qui verrouille l'appareil via un code PIN personnel, empêchant son utilisation sans ce PIN. Beaucoup d'entreprises exigent ce chiffrement pour que les smartphones des employés se connectent au serveur Microsoft Exchange et accèdent aux données d'entreprise (emails, calendrier, contacts). L'absence de chiffrement dans les anciennes versions a rendu certains services IT réticents à autoriser Android (Ars Technica, janvier 2011).
Chiffrement logiciel
Alors que le chiffrement d'appareil manque sur les anciennes versions, Android 2.2 supportait le chiffrement au niveau logiciel (Network World, octobre 2010) : les données des applications installées étaient protégées. Mais le chiffrement logiciel est « moins un obstacle » pour les hackers que le chiffrement matériel, selon Tim Armstrong (chercheur Kaspersky Lab, Network World).
Versions anciennes
Les propriétaires d'appareils sous anciennes versions peuvent installer une application tierce offrant le chiffrement d'appareil plus sûr. En mars 2011, Whisper Systems a sorti WhisperCore, offrant un chiffrement complet du disque pour les données stockées sur Android (article CNET). L'app permet de définir une phrase de passe créant une clé protégeant les données (CNET).
Considérations
Selon Symantec (juin 2011), les anciennes versions Android (avant 2.3.4 smartphones, 3.0 tablettes) utilisent seulement un « modèle d'isolation » plutôt que le chiffrement matériel. Les applications sont isolées du noyau Android. Si on vole un tel appareil ou sa carte SD, on peut voler une grande partie des données stockées (Symantec).