Des utilisateurs de GrapheneOS signalés aux autorités pour avoir utilisé GrapheneOS

• GrapheneOS est un OS renforçant les fonctions de sécurité et de protection de la vie privée, et la controverse est partie d’une capture d’écran d’une réponse du support client de Yoti affirmant que l’entreprise « signale automatiquement les appareils exécutant GrapheneOS et les rapporte automatiquement aux autorités et à l’équipe de sécurité »
• L’inquiétude centrale est que si un service de vérification d’âge ou d’identité considère l’usage même de GrapheneOS comme un motif de signalement, un OS axé sur la protection de la vie privée pourrait être traité comme un signal à haut risque
• Les applications peuvent identifier l’OS et le modèle d’appareil via des API standard, l’inspection mémoire, la Hardware Attestation API et Play Integrity, et il n’existe pas de moyen réaliste de le cacher depuis l’application
• L’argument inverse est qu’il est difficile de prédire un futur dystopique à partir de la seule déclaration exagérée d’un agent du support, et qu’il est plus probable que Yoti ait détecté l’absence de Google Mobile Services plutôt qu’un ciblage spécifique de GrapheneOS
• La réponse pratique proposée consiste à conserver un appareil stock Android bon marché ou ancien, sans données sensibles, réservé à la vérification d’identité et aux applications gouvernementales, et à reconsidérer l’achat de produits exigeant une vérification d’identité

---

Déclenchement de l’affaire et réactions initiales

• Une capture d’écran d’une expérience avec le support de Yoti contient la phrase selon laquelle « Yoti signale automatiquement les appareils exécutant GrapheneOS et rapporte automatiquement ces cas aux autorités et à l’équipe de sécurité »
• Le fil Reddit partagé avec elle relie cela à une expérience où l’usage de GrapheneOS aurait été traité comme un problème dans le processus de vérification d’âge de Yoti
• Le cœur du problème est la crainte que GrapheneOS soit identifiable et distinguable par des services comme Yoti, et que si ceux-ci considèrent cela comme un motif de signalement aux forces de l’ordre, alors, dans un contexte d’extension des vérifications d’âge et d’identité, l’usage même de GrapheneOS devienne un « heatscore »
• Certaines réactions disent avoir espéré que Sony change de partenaire pour la vérification d’âge, tout en jugeant cela très improbable
• Il existe aussi des réactions voyant dans l’évolution britannique de la vérification d’âge et d’identité, ainsi que dans l’environnement légal associé, quelque chose d’orwellien et de dystopique

Possibilité d’identifier GrapheneOS

• Il est expliqué que les appareils GrapheneOS peuvent être fingerprintés en raison de leurs nombreuses protections contre les exploits
  • Il est notamment indiqué que des mécanismes de protection comme secure exec spawning, absents d’autres systèmes, peuvent servir de canal auxiliaire
• Une application peut demander la Hardware Attestation API et comparer verifiedBootKey avec les boot keys de GrapheneOS, ce qui permet de détecter GrapheneOS
• Une autre explication indique qu’une application peut facilement détecter l’OS en cours d’exécution via des API standard ou en inspectant sa propre mémoire
  • Cette détection n’est pas uniquement liée aux protections supplémentaires de confidentialité et de sécurité de GrapheneOS ; il est aussi possible d’identifier les différences entre OS selon les OEM Android ainsi que le modèle d’appareil utilisé
• Play Integrity peut vérifier si l’appareil utilise un matériel certifié par Google et un stock OS certifié par Google, utilise pour cela la Hardware Attestation API, et devrait à terme en imposer l’usage
• Il est théoriquement possible de masquer le modèle d’appareil et l’OS hôte bare metal en exécutant toutes les applications dans une machine virtuelle sans accélération matérielle avec le même OS, mais si seule GrapheneOS adopte cette approche, GrapheneOS lui-même ne sera pas masqué
  • De nombreuses applications cherchent à détecter ce qu’elles considèrent comme de la virtualisation, de l’émulation ou d’autres formes d’altération, et l’un des objectifs centraux de l’API Play Integrity est justement de les détecter et de les bloquer

Évaluations et contre-arguments autour de la réponse de Yoti

• Une critique estime qu’un prestataire de vérification d’âge peut adopter une attitude hostile envers des projets qui améliorent réellement sécurité et vie privée, et que la réponse du support révèle une vision ignorante assimilant sécurité et confidentialité à des outils réservés aux criminels
• Une autre inquiétude est que l’utilisateur n’aurait découvert qu’après avoir téléversé des documents sensibles avec GrapheneOS qu’il devenait potentiellement une personne à signaler, et que l’anonymat de sa boîte Proton avait pu être compromis
• Le principal contre-argument est qu’il s’agit d’une peur alimentée par la déclaration absurde d’un agent du support
  • Utiliser GrapheneOS n’est pas illégal, et il est jugé très probable que l’agent ait inventé cette histoire pour clore le ticket
  • Il est considéré comme peu probable que Yoti ait spécifiquement détecté ou interdit GrapheneOS, et plus probable que le service ait repéré l’absence d’un OS avec Google Mobile Services non modifié
• D’autres réactions estiment qu’extrapoler un avenir dystopique à partir des propos d’un seul agent du support constitue un énorme saut logique

Réponses proposées et séparation des usages

• Une réponse pratique consiste à préparer séparément un téléphone stock Android bon marché ou ancien, sans données sensibles
  • Une configuration d’appareil sans contacts, sans e-mail contenant des conversations personnelles, sans application de messagerie, etc.
  • L’idée est d’en faire un appareil de type « passeport » réservé à la vérification d’identité ou aux applications gouvernementales susceptibles d’être imposées
• L’usage séparé proposé consiste à utiliser GrapheneOS pour tous les usages ordinaires, mais pas pour prouver son identité
• Il est conseillé de se demander si une vérification d’identité auprès d’une entreprise donnée vaut vraiment la peine juste pour une console de jeu
• Certains soutiennent qu’il faut faire preuve de maturité et ne pas acheter un produit lorsqu’une entreprise exige un comportement que l’on ne souhaite pas adopter
• D’autres proposent de se demander si les jeux, le streaming vidéo ou les contenus pour adultes valent plus que la vie privée et la dignité, et de chercher d’autres loisirs si une identification est exigée
• Il est aussi proposé de contacter les législateurs pour faire reculer des tendances comme la vérification d’âge ou l’obligation d’utiliser des applications Google

Doutes sur la véracité et cas voisins

• Certaines réactions soulignent qu’un grand nombre de personnes partent du principe que sécurité, vie privée et anonymat sont destinés aux criminels
  • Un exemple cité raconte qu’une connaissance travaillant dans les forces de l’ordre a été surprise de voir quelqu’un utiliser GrapheneOS, pensant que seuls des criminels l’utilisaient, car c’était le seul type d’utilisateurs qu’elle avait jusque-là rencontré
  • Il est aussi raconté qu’on lui a expliqué ce qu’est GrapheneOS, pourquoi on l’utilise et pourquoi on le considère comme le meilleur OS
• Un autre exemple raconte avoir dû insister fortement au travail pour éviter un blocage total des IP de sortie Tor et des domaines d’aliasing d’e-mail
• La comparaison selon laquelle « seuls les criminels cachent leur chambre derrière un mur » est utilisée pour critiquer le raisonnement qui associe vie privée et criminalité
• Une réaction fait valoir que les personnes travaillant dans les forces de l’ordre, du fait de leur profession et de sa portée symbolique, peuvent devenir des cibles plus importantes et bénéficier encore davantage des avantages de GrapheneOS
• Le commentaire Hacker News cité en parallèle soulève des soupçons sur l’auteur du post Reddit original, qui aurait beaucoup publié sur la vérification d’âge, les contournements et la vie privée, tout en masquant son profil
  • Ce même commentaire estime aussi que la capture de l’e-mail de l’entreprise a pu être facilement modifiée, et qu’il est donc difficile d’être certain de toute l’histoire
  • Il ajoute qu’un prestataire de vérification d’âge ne partagerait normalement pas avec un utilisateur bloqué la raison exacte de sa détection, car cela reviendrait à révéler la recette d’une source secrète

[GN⁺]

Réactions sur Hacker News

• L’OP de ce post Reddit publiait beaucoup de messages sur la vérification d’âge, les contournements et la vie privée, et les a maintenant masqués. Quand cela a été souligné dans le fil, il a caché son profil, mais on peut toujours le retrouver en cherchant « reddit PaiDuck » sur Google
  Cela ne veut pas dire que l’entreprise avait raison, mais on a l’impression que cette personne a été bloquée après avoir testé jusqu’où elle pouvait pousser ses tentatives de contournement contre plusieurs entreprises de vérification d’âge. Il est aussi difficile d’être certain que toute l’histoire est vraie, puisque la réponse par e-mail de l’entreprise peut facilement être modifiée avant une capture d’écran. Si je dirigeais une entreprise de vérification d’âge, je n’expliquerais jamais à un utilisateur bloqué pourquoi il s’est fait repérer. Ce serait comme partager la recette secrète

  • Le représentant de l’entreprise a dit qu’ils signalaient tous les utilisateurs de GrapheneOS, sans condition supplémentaire. Les données personnelles avaient probablement déjà été envoyées à ce moment-là, et c’est justement la partie gravement injuste
  • Je pense vraiment que permettre aux gens de masquer leur historique a été une très mauvaise décision
    https://arctic-shift.photon-reddit.com/search

• « Hé l’ami, vous avez un permis pour ce système d’exploitation ? »
  Le plus étonnant dans cette histoire, c’est seulement que l’utilisateur ait reçu la visite de la police sans être poursuivi dans une « affaire de cybersécurité non criminelle ». Le Royaume-Uni est vraiment devenu un pays en plein naufrage

  • Oui. La police peut exiger le mot de passe de n’importe qui, et vous envoyer en prison si vous ne le donnez pas
    Je n’ai pas l’intention d’y aller. Les États-Unis ont aussi beaucoup de défauts, mais comparés à d’autres pays, les droits des citoyens y restent assez solides
  • C’est le véritable objectif final, et la partie qui me fait le plus peur dans cette guerre contre la vie privée. À l’avenir, le simple fait de vouloir faire valoir son droit à la vie privée pourrait en soi devenir un motif de suspicion
  • https://www.openbsd.org/lyrics.html#35
  • C’est vraiment trop drôle de voir les Britanniques dans le déni
  • Arrêtons avec les « Hé l’ami, vous avez un permis pour ce système d’exploitation ? », s’il vous plaît

• Si les autorités apprennent que j’ai un compte Hacker News, je suis fichu

  • Au lycée, j’avais apporté The Hacker's Dictionary pour le montrer à un ami, et un professeur l’a vu
    Quelques semaines plus tard, il y a eu une affaire de piratage. Une feuille de calcul partagée avec les notes des élèves, à laquelle tous les enseignants avaient accès, a été modifiée : certaines notes ont été augmentées, d’autres baissées. J’étais parmi ceux dont les notes avaient monté, et des élèves avec qui je ne m’entendais pas se retrouvaient parmi ceux dont les notes avaient baissé. Pendant l’enquête, j’ai été immédiatement renvoyé chez moi, mais au final il ne s’est rien passé
    Quelques années plus tard, un ami a révélé la technique avancée qu’il avait utilisée pour trouver le mot de passe du professeur de musique : il avait vu « bassoon » écrit sur un Post-it sous le clavier
  • Histoire vraie. En 2022, la police a perquisitionné mon domicile en Australie. Huit mois plus tard, on m’a dit que je pouvais récupérer le matériel saisi, et l’agent m’a indiqué les éléments qu’il trouvait suspects
    1. Utiliser MEGA. Apparemment, cela sert à partager du CSAM
    2. Utiliser des machines virtuelles
    3. « J’ai Tor sur mon ordinateur ». Ça n’a aucun sens, mais c’est vraiment ce qu’il a dit
       Ils n’y comprennent vraiment rien. Il ne faut pas sous-estimer à quel point ils ne comprennent pas. Expliquer qu’une chose est inoffensive risque même de sonner, pour eux, comme un aveu de culpabilité
       Cela m’a ouvert les yeux, et après cet épisode, moi comme une bonne partie de ma famille avons beaucoup moins de respect pour la compétence des forces de l’ordre
  • Quand je suis allé à un hackathon dans un autre pays, je craignais de devoir expliquer ce nom à un agent de contrôle à la frontière. Heureusement, le sujet n’a pas été abordé

• Mettons de côté le fait que la source soit un post Reddit liant des captures d’écran de texte, et non un site d’actualité où un journaliste devrait vérifier les faits en y engageant sa réputation
  N’importe qui peut signaler n’importe qui aux « autorités » pour n’importe quelle raison. Cela ne veut pas dire qu’une autorité anonyme va réellement agir. Et si ce n’est pas une blague, c’est aussi assez étrange que Yoti ne précise pas à quel service de police de tels signalements sont envoyés

  • « Un site d’actualité où un journaliste doit engager sa réputation » ? Franchement, vous avez vu la réputation de la plupart des « journalistes » aujourd’hui ? Certains journaux britanniques republient régulièrement presque tels quels des posts de forums comme Reddit ou Mumsnet

• Cette réponse ressemble à un modèle automatique, et la partie « signalé aux autorités » a sans doute à peu près autant de chances d’être vraie que lorsque sudo dit la même chose

• https://postimg.cc/3kVXKzhk

  • À propos de sudo : https://xkcd.com/838/
  • sudo fait effectivement ça par défaut. Je déteste vraiment recevoir sur mon ordinateur des rapports par e-mail à propos de mes propres tentatives d’authentification ratées

• En regardant l’affirmation de plus près, voici le message réel de Yoti
  « En raison de préoccupations de sécurité passées, Yoti marque automatiquement les tentatives de vérification répétées et tous les appareils exécutant GrapheneOS. Ces cas sont automatiquement signalés à la fois aux autorités et à notre équipe de sécurité. »
  Puis
  « Malheureusement, comme il y a eu plusieurs tentatives sur cet appareil précis, le compte a été marqué pour activité suspecte. »
  Du coup, le « and » semble être une faute. Sinon, le système n’aurait sans doute pas permis plus de deux tentatives sur un appareil GrapheneOS dès le départ
  Autrement dit, plusieurs tentatives de vérification depuis un appareil GrapheneOS entraînent le marquage du compte

  • Félicitations à GrapheneOS pour sa reconnaissance comme système d’exploitation de nouvelle génération. Si cela avait été un vieil Android ou OS X, on l’aurait simplement pris pour un baby-boomer confus

• Pendant les 15 dernières années, les médias occidentaux n’ont cessé de crier à la « Chine », et pourtant ce genre de choses se produit en Occident alors qu’en Chine on serait libre d’utiliser n’importe quel système d’exploitation sans en subir de conséquences. C’est surprenant. Pourquoi ? Qu’est-ce qui se passe ?

  • La Chine exerce un contrôle à un tout autre niveau. Le fait qu’on puisse y utiliser le système d’exploitation mobile de son choix vient du fait qu’ils surveillent toutes les connexions Internet, voient ce que vous téléchargez, peuvent bloquer tout contenu qu’ils jugent inapproprié, et qu’il n’existe presque aucun recours. Ils peuvent aussi arrêter des gens et les envoyer dans des camps de travail
    Je ne défends pas ici l’action de la police britannique, mais le refrain du « c’est aussi grave que la Chine » revient souvent, alors qu’il sonne généralement faux
  • La partie sur la Chine n’est pas vraie, mais il est vrai que les pays occidentaux se présentent comme bien plus libres qu’ils ne le sont réellement
    Si on ne peut pas critiquer Xi ou protester en Chine, essayez donc de critiquer les lois ou de manifester dans le reste du monde. C’est particulièrement vrai pour tout ce qui se fait au nom de la vie privée, et je me souviens que le Royaume-Uni a envoyé des gens en prison pour des publications Facebook. C’est le genre de choses qu’on attendrait de pays du tiers-monde
    Le Royaume-Uni n’avait déjà pas grand-chose pour se mettre en valeur, et maintenant les États-Unis font la même chose, ce qui fait très peur
    Avant de voyager dans n’importe quel pays, la première chose que je fais désormais est de vérifier mes comptes sociaux et de supprimer tout ce qui pourrait être inspecté à l’aéroport. On pensait que ce genre de chose n’arrivait pas dans les pays développés
    Mes amis disent encore que ce n’est pas si grave, mais lire ce genre de post sur HN une fois par mois depuis quelques années, c’est simplement effrayant
  • Dans 50 pays occidentaux, personne ne s’en soucie, et c’est peut-être juste le Royaume-Uni, unique exception, qui fait des choses bizarres en matière de police d’Internet. Même au Royaume-Uni, les tribunaux ne prononcent pas de peines pour ça ; on n’entend parler que d’actions de la police
    Le Royaume-Uni est en fort déclin depuis le Brexit, et il a peut-être peur de troubles populaires
    En Chine, si vous faites de l’activisme dissident, vous finissez dans un camp de rééducation. Ou alors les affaires chinoises n’ont simplement aucune valeur médiatique parce qu’elles sont trop prévisibles
  • Dès le départ, ce n’a jamais été aussi simple que « l’Occident, c’est le bien, la Chine, c’est le mal »
    Ce récit de propagande poussé par le gouvernement américain a très bien marché pendant près d’un siècle, mais ce n’est plus le cas

• Dans les commentaires de cet article, quelqu’un a lié une longue FAQ [1] sur la manière dont GrapheneOS peut être identifié par les apps, entre autres. Je ne comprends pas pourquoi ils n’essaient pas de se faire passer pour Android/Google stock partout où c’est possible
  [1] https://grapheneos.org/faq#:~:text=Apps%20can%20detect%20tha...

  • L’objectif est de normaliser l’usage d’un système d’exploitation alternatif. À partir du moment où l’on cherche des contournements et où l’on ne soulève pas le problème, on accepte en pratique la position adverse, et au final les contournements finiront eux aussi par s’épuiser
    Des réponses du type « ils ne l’ont pas supprimé puisqu’on peut encore faire X via Y » apparaissent souvent, parfois tout en haut, dans les billets sur le renforcement des écosystèmes fermés par les entreprises. Cela apporte une solution immédiate, mais ne règle pas le problème de fond. J’aimerais qu’on évite ça
  • Ce serait inutile. Si l’atténuation des vulnérabilités use-after-free est activée, une app peut réellement tenter un use-after-free pour vérifier sa présence. La seule manière d’empêcher qu’elle remarque cette atténuation serait simplement de la désactiver
  • GrapheneOS se concentre sur l’amélioration de la vie privée et de la sécurité de ses utilisateurs, pas sur le fait de tromper les 0,01 % d’apps problématiques
    Ce serait un jeu du chat et de la souris demandant un investissement considérable, et cela pourrait même paraître encore plus suspect. Mieux vaut accroître l’adoption afin qu’il soit plus difficile pour les entreprises de prendre ce genre de décisions stupides. J’ai même vu une app bancaire ajouter explicitement la prise en charge de GrapheneOS dans l’attestation matérielle après que des clients l’ont mentionné
    Même les navigateurs dédiés à l’évitement de détection se font continuellement bloquer et nécessitent des correctifs. Ce n’est pas un domaine sur lequel j’aimerais voir GrapheneOS se concentrer
  • Un camouflage superficiel serait inutile. Une app qui s’en soucie peut simplement utiliser la Play Integrity API, et GrapheneOS ne peut pas la falsifier
    0: https://developer.android.com/google/play/integrity/overview
  • L’équipe de GrapheneOS prend la sécurité au sérieux, et le camouflage pourrait en réalité servir à justifier un blocage
    Dans https://grapheneos.org/articles/attestation-compatibility-gu... :

    GrapheneOS not only upholds the app security model but substantially reinforces it, so it cannot be justified with reasoning based on security, anti-fraud, etc.

• Comme Internet peut aussi servir à l’escroquerie, autant signaler tous les utilisateurs d’Internet aux autorités

  • Exactement. Et n’oublions pas que posséder ou conduire une voiture fait forcément de vous un criminel, puisque les voitures servent de véhicules de fuite pour des crimes graves
  • Je viens d’y penser : qu’est-ce qui se passerait s’il y avait soudain un afflux massif de signalements impossible à traiter ? Si tous les utilisateurs de GrapheneOS installaient cette app pour se faire signaler, en plus de bots ou de faux comptes ?
  • La plupart des gens qui utilisent un système d’exploitation sans porte dérobée ne sont pas des escrocs, mais il est peut-être un peu plus probable de tomber juste qu’en considérant quelqu’un comme escroc simplement parce qu’il utilise Internet
  • C’est de ce genre de chose qu’on parle ? https://en.wikipedia.org/wiki/Collection_of_Internet_Connect...

• Une nouvelle ère du piratage approche. Quand ils pleureront à cause du « manque à gagner », on se souviendra avec nostalgie d’aujourd’hui

  • S’il vous plaît, n’appelez pas ça du piratage. Sinon, on a l’air d’être des voleurs
    C’est de la résistance face à une surveillance de masse et à un État qui a grossi comme un cancer. En réalité, c’est presque un devoir civique
  • Qu’est-ce que tu veux dire ?