L’UE va-t-elle tuer les téléphones Linux et GrapheneOS ?

L’attestation d’âge matérielle menace les téléphones Linux et GrapheneOS

Les contrôles ont commencé dans les référentiels de logiciels centraux comme l’App Store d’Apple et le Google Play Store. La plupart des utilisateurs de smartphones sont concernés, mais des alternatives existaient encore sur Android, où l’installation d’applications depuis d’autres sources restait possible.

Puis les mécanismes d’attestation ont gagné les couches plus profondes des systèmes. Android, Windows et même des projets Linux populaires ont élaboré des plans de vérification d’âge pour se conformer aux législations récentes. Pour qui tient vraiment à sa liberté, il reste les distributions plus confidentielles qui refusent d’intégrer l’attestation dans le système. Encore faut-il accepter une configuration plus ardue, car la plupart des tutoriels Linux supposent l’usage de systemd.

Or, même ce pilier de l’écosystème a commencé à poser les fondations de l’attestation d’âge dans son code.

Le coût de la liberté numérique explose

Ce mouvement vers la conformité pourrait faire grimper le prix de la liberté numérique à des niveaux qui donnent le vertige. Le projet européen d’identité numérique s’annonce comme un portefeuille numérique personnel, avec des avantages mis en avant : accès simplifié aux services, cybersécurité renforcée, protection contre la fraude, coûts administratifs réduits. Une version numérique de votre pièce d’identité semble séduisante, jusqu’à ce qu’on écarte la façade pour révéler ce qui se cache derrière.

Les spécifications techniques du projet, consultables sur le référentiel GitHub, décrivent la solution de vérification de l’âge comme un assemblage de logiciels, de matériel, de services, de paramètres et de configurations. Votre date de naissance constitue un point de données majeur de votre identité, et c’est précisément là que le bât blesse.

Les spécifications techniques du projet européen

L’exigence matérielle ajoute un obstacle qui pourrait étouffer l’économie des appareils open source en Europe. Concrètement, votre preuve d’âge ne doit pas exister comme un simple fichier transférable d’un téléphone à l’autre. La clé cryptographique associée doit résider dans une zone protégée de l’appareil.

Sur un iPhone, c’est l’enclave sécurisée, cela correspond à l’environnement d’exécution de confiance (TEE) ou à StrongBox, qui s’appuie sur un élément sécurisé distinct.

La spécification exige que l’application de vérification de l’âge utilise le matériel cryptographique natif de l’appareil quand il est disponible. Avant de présenter une preuve, elle doit aussi authentifier l’utilisateur avec un code PIN, un mot de passe ou une vérification biométrique.

La clé privée est verrouillée dans un petit coffre-fort intégré au téléphone. L’application peut demander au coffre-fort de signer un élément, mais la clé privée n’est pas censée en sortir, jamais. Même si quelqu’un vole les fichiers de l’application, il ne pourra pas déplacer cette clé vers un autre appareil pour se faire passer pour vous.

L’implémentation Android de l’UE est donc conçue pour utiliser des clés adossées au matériel plutôt qu’un stockage logiciel ordinaire.

Pourquoi les clés adossées au matériel

La logique est simple : si une attestation d’âge était un fichier banal sur votre téléphone, un adulte pourrait la copier et la distribuer à des milliers de personnes en ligne. Cela deviendrait l’équivalent numérique du partage d’une même fausse pièce d’identité dans tout un lycée.

Les clés adossées au matériel compliquent considérablement la donne, car le téléphone peut utiliser la clé privée sans jamais permettre à l’application de l’extraire pour la diffuser.

On retrouve donc le problème de surveillance étatique accrue que toutes les implémentations d’attestation d’âge portent avec elles, mais la dépendance à ces magasins de clés spécifiques basés sur le matériel aura un impact bien plus large qu’on ne le pense.

Prenons un exemple concret. Vous achetez un Pixel, vous installez GrapheneOS, et tout fonctionne parfaitement pendant des années.

Les services essentiels de votre quotidien (banque, identité numérique, transports) adoptent demain une politique d’attestation stricte, et votre téléphone devient un joli presse-papiers. Vous n’avez pas beaucoup de recours.

GrapheneOS encourage les développeurs à prendre en charge l’API d’attestation compatible, mais cela reste une démarche volontaire. Personne ne peut forcer une banque à accepter un système alternatif, même s’il est plus sûr.

C’est comme si votre serrure était la plus solide du marché, mais que la banque exigeait une clé spécifique qu’elle seule distribue. Vous vous retrouvez coincé, non pas par une faille, mais par une incompatibilité.

La vérification de l’âge ajoute une autre dimension plus discrète. Certains services destinés aux mineurs ou aux contenus sensibles testent des systèmes de vérification d’âge basés sur le matériel. L’idée est de prouver que l’utilisateur est bien celui qu’il prétend, en s’appuyant sur les attestations de la puce. Si cette pratique se généralise, elle pourrait toucher directement les utilisateurs de GrapheneOS.

Imaginez devoir justifier votre âge pour accéder à un service, et que votre téléphone, parce qu’il ne présente pas l’attestation exacte attendue, soit simplement refusé. Vous seriez exclu d’un pan entier de la vie numérique, non pas pour une question de sécurité, mais pour une question de conformité.

Les utilisateurs de GrapheneOS sont trop peu nombreux pour peser lourd dans la balance aujourd’hui. Mais cela peut changer, à condition de ne pas rester passifs. La question n’est pas de savoir si l’attestation matérielle va arriver, mais quand elle va frapper à votre porte. Et si personne ne réagit, elle entrera sans frapper.

La situation n’est pas sans ironie. GrapheneOS, qui est probablement l’un des systèmes d’exploitation mobiles les plus sécurisés au monde, pourrait se voir refuser l’accès à des services essentiels parce qu’il ne correspond pas à l’empreinte exacte attendue par les autorités européennes. Un téléphone verrouillé sous Android stock avec des applications préinstallées que personne n’utilise passerait la vérification sans broncher, tandis qu’un appareil durci avec des années de mises à jour de sécurité serait écarté. La sécurité réelle ne compte pas, seule la conformité apparente compte.

Pour les distributions Linux sur téléphone, la menace est encore plus directe

Ces systèmes ne disposent souvent pas de l’infrastructure matérielle de confiance que les spécifications européennes exigent.

Un téléphone sous Ubuntu Touch ou postmarketOS ne possède pas nécessairement de TEE exploitable ou d’élément sécurisé conforme. L’attestation d’âge matérielle deviendrait alors un obstacle infranchissable, non pas parce que ces systèmes sont moins sûrs, mais parce qu’ils n’ont pas été conçus pour répondre à ces exigences.

Les développeurs de ces projets vont devoir faire des choix difficiles dans les années à venir. Intégrer les mécanismes d’attestation demandés par l’UE, au prix d’une complexité technique considérable et d’une surveillance accrue, ou refuser et accepter une marginalisation progressive.

Aucune de ces options n’est vraiment satisfaisante pour les utilisateurs qui ont choisi ces systèmes pour leur liberté.

Il faut aussi considérer l’impact économique. Les fabricants de téléphones Linux, déjà marginaux sur le marché, pourraient voir leurs ventes s’effondrer si leurs appareils ne sont pas conformes. Les développeurs indépendants qui maintiennent ces systèmes devront investir du temps et des ressources dans des implémentations d’attestation, au détriment du développement de fonctionnalités.

La question de la vérification d’âge dépasse d’ailleurs le simple cadre des téléphones

Les spécifications européennes s’appliquent à tous les appareils qui serviront à présenter une preuve d’âge, y compris les ordinateurs portables et les tablettes. Un utilisateur de Linux sur PC portable pourrait également être concerné, même si la mise en œuvre sera probablement plus progressive sur ce segment.

Face à cette situation, quelques pistes d’action concrètes se dégagent pour les utilisateurs concernés :

• Surveiller les évolutions des spécifications techniques du projet européen, qui sont publiques sur GitHub
• Tester régulièrement les applications critiques (banque, impôts, transports) sur GrapheneOS après chaque mise à jour majeure
• Contacter les développeurs des applications essentielles pour leur demander de prendre en charge l’attestation compatible
• Soutenir les projets open source qui travaillent sur des implémentations d’attestation respectueuses de la vie privée

La bataille ne se jouera pas dans les laboratoires, mais dans les réunions de normalisation et les cabinets des décideurs politiques. Les utilisateurs de GrapheneOS et de téléphones Linux ont tout intérêt à se faire entendre avant que les spécifications ne soient figées, plutôt que de subir les conséquences d’une décision prise sans eux.

Le temps joue contre les utilisateurs de systèmes alternatifs

Chaque mois qui passe voit les spécifications se préciser, les implémentations se concrétiser, et les services adopter progressivement ces mécanismes. Attendre que le problème devienne visible pour agir, c’est déjà trop tard. Les décisions se prennent maintenant, et ceux qui ne participent pas au débat n’auront pas voix au chapitre quand les règles seront écrites.

La liberté numérique ne se défend pas en installant un système d’exploitation alternatif, mais en restant vigilant sur les évolutions réglementaires qui façonnent notre environnement numérique. GrapheneOS vous protège contre les attaques techniques, mais il ne peut rien contre une directive européenne. C’est à vous de jouer ce rôle-là.

Le marché des téléphones Linux en Europe n’en est qu’à ses balbutiements, et pourtant il se retrouve déjà dans une position délicate. J’ai pu tester le téléphone Jolla, le premier appareil Linux livré avec du matériel véritablement moderne. Son design sans bordures et ses caméras haute résolution n’ont rien à envier aux flagships Android ou Apple. Sailfish OS apporte une vraie alternative logicielle sur du hardware contemporain, ce qui constituait une avancée majeure pour le mouvement Linux mobile.

Mais ce téléphone ne peut pas se présenter comme un appareil Android ou Apple non modifié. Les puces sécurisées qui génèrent les clés d’attestation d’âge sont justement conçues pour vérifier l’intégrité du système.

Un téléphone sous Sailfish OS ne produit pas la même empreinte qu’un Pixel sous Android stock. Résultat : il pourrait se retrouver de fait exclu des services qui exigeraient une attestation matérielle stricte, non pas parce qu’il serait moins sûr, mais parce qu’il est structurellement différent.

GrapheneOS dans le viseur

Le problème dépasse largement les téléphones Linux.

Depuis des années, je recommande une configuration simple pour la confidentialité : un Google Pixel avec GrapheneOS installé. Cette combinaison offre un Android durci, suffisamment efficace pour contrer la surveillance étatique.

Pour vous donner une idée, des revendeurs en Australie ont bâti une activité rentable en vendant des téléphones GrapheneOS pré-flashés à des criminels, à 3 fois le prix conseillé d’un Pixel classique.

Ces acheteurs n’hésitaient pas à débourser 2000 dollars pour un appareil. C’est probablement bien moins que ce qu’ils finiront par payer pour leur caution, mais l’anecdote illustre un point essentiel : GrapheneOS est perçu comme un outil de protection extrêmement efficace. Or, cette même efficacité pourrait devenir un handicap si les services essentiels exigent une attestation matérielle que la ROM personnalisée ne peut pas produire.

L’API Google Play Integrity comme juge de paix

Les contrôles d’attestation d’âge reposent sur l’API Google Play Integrity, qui pose une question simple : « S’agit-il d’un appareil Android authentique, non modifié et certifié Google ? » Dès que vous déverrouillez le bootloader, installez une ROM personnalisée ou rootez votre téléphone, le contrôle échoue. Les équivalents côté Apple fonctionnent sur le même principe.

Cette mécanique ne touche pas uniquement les passionnés de Linux ou les défenseurs de la vie privée. Toute personne qui modifie son appareil, même légèrement, se retrouve dans le collimateur.

C’est une méthode d’exclusion particulièrement efficace, car elle n’exige aucune intervention policière. Pas besoin d’interdire officiellement les appareils non conformes ni d’envoyer des agents frapper aux portes. Il suffit que les services en ligne refusent silencieusement l’accès à ceux qui ne présentent pas la bonne attestation.

Les responsables de ces politiques espèrent visiblement que les appareils libres s’éteindront en douceur, leurs utilisateurs se heurtant à des portes fermées partout où ils tentent d’accéder à un service grand public. Pas de résistance héroïque, pas de combat médiatisé. Juste une lente asphyxie.

Les appareils plus anciens deviennent des briques

Le phénomène ne se limite pas aux téléphones Linux ou aux ROM personnalisées. Les appareils plus anciens, même ceux qui fonctionnent encore parfaitement pour les tâches courantes, pourraient devenir inutilisables pour les services soumis à l’attestation.

Certaines applications bancaires tournent encore sans problème sur ces téléphones, mais elles ne pourront pas communiquer avec les API de vérification de l’âge. Un téléphone qui fonctionne pour appeler, envoyer des messages et consulter ses comptes devient soudain un presse-papiers numérique.

Une dépendance accrue à la technologie américaine

Il y a une ironie douloureuse dans cette situation. L’Union européenne cherche à renforcer sa souveraineté numérique, à réduire sa dépendance envers les géants technologiques américains. Or, la mise en œuvre actuelle de l’identité numérique européenne repose sur des mécanismes d’attestation contrôlés par Google et Apple.

Pour se conformer à l’application d’identité numérique, beaucoup de gens devront acheter un nouveau téléphone auprès d’une entreprise technologique américaine, alors même qu’ils n’en avaient pas besoin.

La dépendance ne se réduit pas, elle se renforce. Et elle se renforce au nom de la protection des mineurs et de la sécurité en ligne, des objectifs que personne ne conteste sérieusement. Le problème, c’est que les moyens choisis pour y parvenir érigent les puces américaines en arbitres ultimes de ce qui est acceptable ou non dans le paysage numérique européen.

La sécurité n’est pas un paramètre logiciel, c’est une discipline humaine

17 ans de gendarmerie m’ont appris que le maillon faible, ce n’est jamais la technologie mais l’humain. En tant qu’Officier de Police Judiciaire (OPJ), j’ai passé mon temps à enquêter sur des failles humaines bien plus que sur des bugs informatiques. La cybersécurité, ce n’est pas un antivirus qu’on achète, c’est une discipline qu’on applique au quotidien.

Aujourd’hui, je vois les mêmes schémas avec cette attestation d’âge matérielle : on veut imposer une vérification qui brise la confiance entre l’utilisateur et son appareil. Pour moi, ça sent le contrôle à distance, pas la protection. Quand on force le matériel à obéir à des règles externes, on perd le contrôle de ses propres données. C’est laisser quelqu’un d’autre gérer vos clés de maison en disant que c’est pour votre sécurité.

Grégory Hénique

La vérification d’âge par le matériel est un vrai contre-pied à la logique du tout-numérique, et une bouffée d’air pour ceux qui flippent à l’idée de balancer leur pièce d’identité à tout va. Mais elle pose une question fondamentale : jusqu’où sommes-nous prêts à sacrifier la diversité des écosystèmes logiciels sur l’autel de la conformité ?

Les utilisateurs de GrapheneOS sont déjà une minorité, et les utilisateurs francophones soucieux de la longévité de leur appareil sont encore plus rares. Si vous voulez que votre téléphone reste utilisable dans 5 ans, il faut agir maintenant.

• Suivez de près les évolutions des politiques d’attestation,
• testez régulièrement les applications critiques,
• et surtout, faites entendre votre voix.

Contactez les développeurs des applications que vous utilisez, demandez-leur de prendre en charge l’attestation compatible. Plus ils verront de demandes, plus ils seront susceptibles de s’adapter.

C’est une question de rapport de force. Et pour l’instant, les utilisateurs de GrapheneOS et de téléphones Linux sont trop peu nombreux pour peser lourd dans la balance. Mais cela peut changer, à condition de ne pas rester passifs.

Ce qui se joue actuellement dépasse la simple question technique de la vérification d’âge. C’est un test grandeur nature de la capacité de l’Europe à préserver la diversité de son écosystème logiciel.

Si les appareils libres et open source sont exclus des services essentiels, leur sort est scellé. Non pas par une décision explicite, mais par une accumulation de refus silencieux.

Les politiques d’attestation ne se modifieront pas d’elles-mêmes. Les géants technologiques qui contrôlent les API n’ont aucun intérêt à assouplir leurs exigences. Les développeurs d’applications suivront la voie de la facilité, sauf si une pression suffisante s’exerce sur eux. Chaque demande de prise en charge de l’attestation compatible compte, chaque retour utilisateur pèse dans la balance.

Play Age Signals API : la troisième voie de Google

La vérification d’âge est devenue l’un des sujets les plus épineux du numérique. Entre les régulateurs qui réclament des contrôles stricts et les défenseurs de la vie privée qui dénoncent une surveillance généralisée, Google a choisi une troisième voie avec sa Play Age Signals API.

Au lieu de demander une pièce d’identité ou un selfie, le système s’appuie sur ce que le téléphone sait déjà de son utilisateur. Une approche qui mérite qu’on s’y attarde, surtout quand on voit ce que préparent les autorités européennes.

Le principe est simple sur le papier : l’application reçoit une tranche d’âge, pas une date de naissance, pas un document d’identité, pas une photo. 4 catégories par défaut structurent le dispositif : 0-12 ans, 13-15 ans, 16-17 ans, et 18 ans et plus. Les développeurs peuvent même créer jusqu’à trois seuils personnalisés pour coller aux réglementations locales. Un moyen pour une app de distinguer les moins de 15 ans, cet âge devenu stratégique dans plusieurs pays, sans avoir besoin d’en savoir plus sur l’utilisateur.

Le déploiement suit un calendrier précis. Déjà opérationnelle au Brésil, la Play Age Signals API sera étendue à l’Australie et au Canada à la mi-août, avant un déploiement mondial prévu d’ici la fin de l’année 2026.

Le timing n’a rien d’un hasard : les gouvernements multiplient les initiatives pour encadrer l’accès des mineurs aux réseaux sociaux, et Google a visiblement décidé de prendre les devants avec une solution qui ne transforme pas chaque smartphone en guichet administratif.

Family Link au cœur du dispositif

Le système s’appuie massivement sur Family Link, la solution de contrôle parental de Google.

Concrètement, les parents renseignent volontairement la tranche d’âge de leurs enfants depuis leur compte supervisé, puis décident si cette information peut être partagée avec les applications compatibles. Rien n’est automatique, rien n’est imposé.

Si le partage est activé, les apps s’adaptent d’elles-mêmes. Contenus masqués, fonctionnalités désactivées, versions adaptées à l’âge de l’enfant, tout se met en place sans que les parents aient à configurer chaque logiciel individuellement. Un gain de temps considérable, et une approche qui laisse le contrôle aux parents plutôt qu’aux législateurs.

Google insiste sur le caractère entièrement facultatif du dispositif. Les parents peuvent l’activer, le modifier ou le désactiver à tout moment depuis Family Link. Une souplesse qui contraste avec les obligations réglementaires qui, elles, ne laissent guère le choix. Et c’est précisément là que la philosophie de Google se distingue de celle des régulateurs européens.

Pour les développeurs, l’intégration repose sur une API standardisée qui évite d’avoir à construire leur propre système de vérification. Un atout non négligeable quand on connaît la complexité technique et juridique d’un tel dispositif. Les applications qui utilisent déjà Family Link pour d’autres fonctionnalités peuvent ajouter la vérification d’âge sans bouleverser leur architecture.

Ce que Google ne collecte pas (et c’est ça qui change tout)

L’argument principal de Google concerne la protection des données personnelles, et il est de taille. Là où de nombreuses plateformes exigent une date de naissance, une copie de pièce d’identité ou un selfie pour estimer l’âge, la Play Age Signals API ne transmet qu’un simple signal.

• Pas de document,
• pas de photo,
• pas de date exacte.
• Juste une catégorie, et encore, uniquement si les parents ont donné leur accord.

Dans les pays où la transmission n’est pas obligatoire, Google prévoit plusieurs niveaux de consentement : partage systématique, partage au cas par cas, ou refus total. Une approche qui tranche singulièrement avec la logique du projet européen d’identité numérique, où l’exigence matérielle s’impose comme une évidence technique. On est loin, très loin, de la dystopie cyberpunk que certains nous préparent.

La différence fondamentale entre l’approche de Google et celle des régulateurs européens tient en une phrase :

Google demande aux parents ce qu’ils veulent partager ; l’Europe impose aux citoyens ce qu’ils doivent prouver. La première approche repose sur la confiance, la seconde sur la méfiance systémique.

Cette distinction conditionne la manière dont les utilisateurs perçoivent la vérification d’âge, et donc leur acceptation du dispositif. Un système qui repose sur le consentement parental a bien plus de chances d’être adopté qu’un système qui exige une pièce d’identité pour ouvrir une application de jeux vidéo.

Le calendrier de déploiement révèle aussi une stratégie géopolitique intéressante. Le Brésil, l’Australie et le Canada sont des marchés où les régulateurs ont déjà montré leur détermination à encadrer les plateformes. En y déployant sa solution en premier, Google teste son dispositif dans des environnements réglementaires exigeants avant de l’étendre au reste du monde.

Une réponse aux lois sur l’âge minimum

L’accélération des lois encadrant l’âge minimum d’accès aux réseaux sociaux pousse les plateformes à trouver des solutions techniques. Google a compris que mieux valait proposer un système pragmatique que subir des obligations venues d’en haut. La Play Age Signals API n’est pas une réponse à une contrainte légale précise, c’est une tentative de définir la norme avant que les législateurs ne l’imposent.

Les développeurs, eux, y trouvent un intérêt immédiat. Plutôt que de construire un système de vérification d’âge en interne (coûteux, complexe, risqué juridiquement), ils peuvent s’appuyer sur une infrastructure existante, maintenue par Google, et qui respecte déjà les principales réglementations. Un gain de temps et d’argent considérable, surtout pour les petites structures.

Cette comparaison n’est pas théorique. Le projet européen d’identité numérique, actuellement en cours de déploiement, prévoit des mécanismes de vérification qui s’appuient sur les composants matériels des téléphones. Les citoyens devront prouver leur identité, et donc leur âge, via des attestations matérielles. Une approche que GrapheneOS et les téléphones Linux ne peuvent pas satisfaire, faute de compatibilité avec les puces de sécurité concernées.

La Play Age Signals API fonctionne avec n’importe quel Android, quel que soit le fabricant, et ne dépend pas d’une puce spécifique. Une différence technique qui pourrait avoir des conséquences majeures sur l’accès aux services en ligne.

Reste une question centrale : cette API suffira-t-elle à calmer les ardeurs des régulateurs, ou ne sera-t-elle qu’une rustine face à la vague de lois qui s’annonce ? Pendant que l’Europe construit des cathédrales réglementaires, Google avance avec une solution pragmatique qui, pour une fois, semble prendre la vie privée au sérieux. On n’osait plus y croire.

Le rapport de force est en train de se jouer sous nos yeux. D’un côté, des régulateurs qui veulent tout contrôler via le matériel, de l’autre, des entreprises qui proposent des solutions plus respectueuses des utilisateurs. La Play Age Signals API n’est peut-être pas parfaite, mais elle a le mérite d’exister et de prouver qu’une autre voie est possible. Aux développeurs et aux utilisateurs de la soutenir, avant que l’attestation matérielle ne devienne la seule option.

Sources

• Architecture and Reference Framework (ARF) du wallet européen d’identité numérique : github.com/eu-digital-identity-wallet
• Guide officiel d’attestation de GrapheneOS : grapheneos.org/articles/attestation-compatibility-guide