Community Trust ScoreVérifié
Le 25 août 2025, Android, le système d’exploitation mobile de Google, a annoncé que tous les développeurs d’applications devront désormais vérifier leur identité auprès de l’organisation avant que leurs applications ne puissent fonctionner sur des « appareils Android certifiés ».
Cette mesure, présentée par Google comme de bon sens, va bien au-delà des applications téléchargées depuis le Google Play Store. En effet, elle s’applique également à toutes les applications « chargées latéralement » — c’est-à-dire installées directement sur les appareils sans passer par le Play Store. Ces applications peuvent être trouvées en ligne, sur des dépôts GitHub ou sur des sites de projets, et installées sur des appareils Android en téléchargeant directement les fichiers d’installation connus sous le nom de fichiers APK.
En clair, si Google n’apprécie pas une application, que ce soit pour des raisons de politique, de conformité ou d’incitations économiques, il lui suffira de vous empêcher de l’exécuter. Android devient ainsi une plateforme où Google contrôle quelles applications vous pouvez ou ne pouvez pas utiliser. Cette exigence nécessite que tous les développeurs, qu’ils passent par le Play Store ou non, fournissent leurs informations personnelles à Google.
Cette décision soulève une question fondamentale : si vous ne pouvez pas installer l’application de votre choix sur votre appareil sans l’autorisation de Google, est-ce vraiment votre appareil ? Imaginez si Windows vous forçait à n’installer que des programmes depuis le Microsoft Store ! Ce mouvement a bien sûr fait la une des médias technologiques et de cybersécurité, provoquant des remous en raison de ses conséquences profondes sur le caractère libre et ouvert du web.
Depuis des années, Android est vanté comme un système d’exploitation open source, ce qui lui a permis de se répandre massivement, notamment dans les pays en développement où le modèle fermé d’Apple et ses appareils coûteux ne sont pas abordables. Cette nouvelle politique vise à resserrer le contrôle sur les applications et leurs développeurs, menaçant la liberté d’exécuter le logiciel de votre choix sur votre appareil personnel de manière subtile et légaliste. Étant donné l’influence de Google sur la variété d’appareils Android, les conséquences de cette politique sont susceptibles de se faire sentir par la majorité des utilisateurs et des appareils à travers le monde.
Android justifie ce changement de politique par des préoccupations concernant la cybersécurité de ses utilisateurs. Selon l’entreprise, les applications malveillantes chargées latéralement entraînent « plus de 50 fois plus de malwares ». Comme mesure de « responsabilité », et en concertation avec divers gouvernements, Android a décidé d’adopter une « approche équilibrée », une rhétorique qui semble tout droit sortie d’un roman d’Orwell.
En termes simples, Google souhaite collecter les informations personnelles des développeurs de logiciels, centralisées dans ses centres de données aux côtés de celles de ses utilisateurs, pour prétendument « protéger » les utilisateurs des pirates que Google ne semble pas pouvoir arrêter aujourd’hui. Après tout, si Google et Android pouvaient réellement sécuriser les données des utilisateurs, ce problème n’existerait pas, n’est-ce pas ? La solution de Google aux fuites de données consiste ironiquement à collecter encore plus de données, cette fois-ci celles des développeurs utilisant la plateforme Android. Un saut logique remarquable, paresseux et fondamentalement décadent, signe qu’ils ont perdu leur avantage et ont peut-être vraiment oublié leur ancien slogan « ne soyez pas malfaisant ».
En réalité, Google se retrouve piégé par un dilemme lié à la nature de l’information à l’ère numérique. Comme l’a dit Stewart Brand, figure du mouvement cypherpunk des années 90, « l’information veut presque être libre ». Chaque transfert de données personnelles — comme votre nom, votre visage, votre adresse ou votre numéro de sécurité sociale — sur Internet est une occasion pour celles-ci d’être copiées et divulguées. À chaque fois que vos informations transitent de votre téléphone à un serveur dans votre ville, puis à un autre dans un centre de données de Google, le risque que vos données soient piratées et finissent en vente sur le dark web augmente.
Cette situation est problématique lorsque les données des utilisateurs sont le principal modèle économique d’un géant comme Google, qui les traite et les vend à des annonceurs pour créer des publicités ciblées. La véracité du principe de Brand sur l’information peut être mesurée en examinant deux statistiques fascinantes, curieusement rarement discutées.
Premièrement, la quantité absurde de piratages de données survenus au cours des 20 dernières années. Par exemple, la faille de sécurité d’Equifax en 2017 a touché 147 millions d’Américains, et celle des Données Publiques Nationales en 2024 a affecté plus de 200 millions d’Américains, entraînant la fuite de données telles que les numéros de sécurité sociale, probablement vendues sur le dark web. Des piratages légendaires comme celui du Bureau de la Gestion du Personnel du gouvernement américain ont compromis un grand nombre de responsables américains, y compris des numéros de sécurité sociale et des dossiers médicaux. Il n’est pas exagéré de dire qu’une majorité d’Américains ont déjà vu leurs données piratées et divulguées, et il n’existe pas de moyen simple pour y remédier.
Le deuxième point, souvent non relié au premier, est l’augmentation du vol d’identité et de la fraude aux États-Unis. En 2012, les vols d’identité ont été signalés pour une valeur de 24 milliards de dollars, soit le double de tous les autres types de vols combinés cette année-là. Business Insider rapportait alors que « le vol d’identité a coûté 24,7 milliards de dollars aux Américains en 2012, les pertes liées à l’effraction domestique, au vol de véhicules à moteur et au vol de biens n’atteignant que 14 milliards de dollars ». Huit ans plus tard, ce chiffre a doublé, atteignant des pertes de 56 milliards de dollars pour les Américains en 2020. Ces tendances continuent de croître à ce jour. Le système d’identité traditionnel sur lequel nous comptons tant est peut-être déjà dépassé.
L’intelligence artificielle générative ajoute de l’huile sur le feu, étant parfois formée sur des données d’utilisateurs divulguées avec des modèles d’images capables de créer des images de haute qualité de faux documents d’identité. Au fur et à mesure que l’IA s’améliore, elle devient de plus en plus capable de tromper les humains en leur faisant croire qu’ils discutent avec une autre personne, plutôt qu’un robot, ouvrant ainsi de nouvelles voies pour la fraude et le vol d’identité.
Néanmoins, Google insiste pour dire que si nous collectons un peu plus de données personnelles, le problème pourrait disparaître. Pratique pour une entreprise dont le modèle économique principal repose sur la collecte et la vente de ces données. Quelle autre entreprise a fait plus de mal à la vie privée des civils que Google ? Facebook, peut-être.
Pourtant, soyons justes avec les géants du Web2 des années 2000 : résoudre le problème de l’identité sécurisée à l’ère numérique n’est pas facile. Les structures légales de nos sociétés autour de l’identité ont été créées bien avant l’émergence d’Internet et le déplacement de toutes ces données vers le cloud. La seule vraie solution à ce problème réside en réalité dans la cryptographie et son application à la confiance que les humains construisent dans leurs relations dans le monde réel, au fil du temps. Les cypherpunks des années 90 l’ont compris, d’où leur invention de deux technologies importantes : PGP et les réseaux de confiance.
PGP, inventé en 1991 par Phil Zimmerman, a été pionnier dans l’utilisation de la cryptographie asymétrique pour résoudre ce problème fondamental de la protection de la vie privée des utilisateurs tout en permettant une authentification sécurisée et confidentielle. Comment ? En utilisant la cryptographie de manière similaire à Bitcoin pour sécuriser plus d’un trillion de dollars de valeur aujourd’hui. Vous avez un ‘mot de passe’ sécurisé que vous gardez aussi secret que possible, vous ne le partagez avec personne, et vos applications l’utilisent avec précaution pour déverrouiller des services, mais le mot de passe ne quitte jamais votre téléphone. Nous pouvons le faire, cela fonctionne, il existe même du matériel spécialement conçu pour verrouiller précisément ce type d’information. La personne ou l’entreprise avec laquelle vous souhaitez vous connecter crée également un ‘mot de passe’ sécurisé, et avec ce mot de passe, chacun génère une adresse publique ou un ID pseudonyme numérique.
L’entreprise chiffre un message avec son mot de passe et votre adresse publique et vous envoie un message. Grâce à la magie de la cryptographie, vous pouvez déchiffrer ce message avec votre mot de passe et l’adresse publique de l’entreprise. C’est tout ce qu’il faut pour sécuriser le web. Ces IDs publics n’ont pas besoin de révéler d’informations vous concernant et vous pourriez en avoir un pour chaque marque ou identité que vous avez en ligne.
Cependant, il reste la question de la réputation : comment savoir si l’entreprise avec laquelle vous essayez de vous connecter est bien celle qu’elle prétend être ? Dans la cybersécurité, c’est ce qu’on appelle une attaque de l’homme du milieu, où un tiers malveillant usurpe l’identité de la personne avec laquelle vous souhaitez réellement vous connecter.
Les cypherpunks ont résolu ce problème dans les années 90 en développant le concept de réseaux de confiance, par le biais de cérémonies réelles appelées « parties de signature ». Lorsque nous nous rencontrons en personne, nous décidons de nous faire confiance ou affirmons que nous nous connaissons et nous nous faisons suffisamment confiance pour co-signer les IDs publics de chacun. Nous nous donnons un vote de confiance cryptographique — en quelque sorte — pesé par notre marque ou pseudonyme public. C’est similaire à suivre quelqu’un sur un forum public comme X.com, c’est l’équivalent PGP de dire « J’ai rencontré Bob, je reconnais XYZ comme son ID public, et je garantis qu’il est réel ».
Bien que cela puisse sembler fastidieux, archaïque et improbable à l’échelle mondiale, la technologie a beaucoup évolué depuis les années 90. En fait, cette logique fondamentale est utilisée pour sécuriser l’internet aujourd’hui. Rappelez-vous de ce cadenas vert qui s’affichait sur chaque site web ? C’était une poignée de main cryptographique de type PGP entre votre ordinateur et le site que vous visitiez, signée par une « autorité de certification » ou un tiers sur Internet. Ces autorités de certification sont devenues des dépositaires centralisés de la confiance publique et, comme beaucoup d’autres institutions aujourd’hui, elles ont probablement besoin d’être décentralisées.
La même logique peut être appliquée à la vérification et à l’authentification des APK, en faisant évoluer les réseaux de confiance. Dans le monde open source, le logiciel est haché dans un ID unique dérivé des données du logiciel, et ce hachage est signé par des clés PGP des développeurs à ce jour. Les hachages de logiciels, les IDs publics PGP et les signatures sont tous publiés avec le logiciel pour que les gens puissent les examiner et les vérifier.
Cependant, si vous ne savez pas si l’ID public PGP est authentique, alors la signature n’est pas utile, car elle pourrait avoir été créée par un usurpateur en ligne. En tant qu’utilisateurs, nous avons besoin d’un lien qui authentifie cet ID public comme appartenant au développeur réel de l’application dans le monde réel. La bonne nouvelle est que ce problème peut probablement être résolu sans avoir à créer un État de surveillance mondial qui donnerait toutes nos données à des géants comme Google.
Par exemple, si je voulais télécharger une application d’un développeur en Europe de l’Est, je ne le connaîtrais probablement pas ni ne pourrais vérifier cet ID public, mais peut-être que je connais quelqu’un qui a validé quelqu’un qui connaît ce développeur. Bien que je puisse être
