Discussion :

[Anthony]

GrapheneOS, le système d'exploitation Android open source sécurisé, annonce la fermeture de son infrastructure en France, citant les menaces pesant sur les logiciels axés sur la confidentialité dans ce pays

GrapheneOS, le système d'exploitation Android open source axé sur la confidentialité, a annoncé la fermeture complète de son infrastructure en France, invoquant une intensification du harcèlement et une détérioration de l'environnement juridique en matière de chiffrement. Le projet a annoncé qu'il procéderait rapidement à la mise hors service des serveurs français, à la rotation des clés de chiffrement et à la migration des services essentiels d'OVH Canada vers le fournisseur allemand Netcup, dans un premier temps, puis vers des serveurs colocalisés à Toronto, dans un second temps. Les développeurs du projet avertissent que les récentes tentatives politiques visant à affaiblir le chiffrement créent des conditions incompatibles avec les normes de sécurité de GrapheneOS.

GrapheneOS est un système d'exploitation mobile renforcé, axé sur la sécurité et la confidentialité, basé sur Android Open Source Project (AOSP). Il offre une sécurité améliorée sur certains appareils, notamment Google Pixel, les smartphones, les tablettes et les appareils pliables, grâce à des fonctionnalités telles que le sandboxing sécurisé des applications, le démarrage vérifié et des mécanismes avancés de vérification des mises à jour. Son développement a été suivi de près par les défenseurs de la vie privée et les chercheurs en sécurité en raison de sa position intransigeante sur la souveraineté des appareils et de son refus de faire des compromis en matière de chiffrement.

La décision de GrapheneOS intervient alors que l’Union européenne multiplie les initiatives visant à affaiblir le chiffrement de bout en bout, créant un climat d’incertitude pour les acteurs spécialisés dans la confidentialité. Le projet ProtectEU, perçu comme une redite de ChatControl, prévoit aux autorités répressives de déchiffrer les données privées des citoyens « de manière légale, tout en préservant la sécurité en ligne et les droits fondamentaux » d'ici 2030. Cette orientation marque un durcissement notable de l’environnement réglementaire autour de la protection des communications privées.

GrapheneOS a récemment annoncé la fermeture complète de son infrastructure en France, accélérant son retrait du fournisseur d'hébergement OVH et invoquant les menaces croissantes qui pèsent sur les logiciels axés sur la confidentialité dans le pays. Le projet a fait état d'un harcèlement accru à l'encontre de son équipe et d'inquiétudes croissantes concernant le climat juridique français en matière de chiffrement.

L'annonce de GrapheneOS décrit une série de changements infrastructurels visant à éloigner GrapheneOS de la juridiction française. Selon les développeurs, cette mesure implique la mise hors service de tous les serveurs actifs en France, la rotation des clés de chiffrement utilisées pour TLS et DNSSEC, et la préparation d'une migration à court terme des services essentiels, tels que la messagerie électronique, le chat Matrix, les forums, Mastodon et les serveurs d'attestation, d'OVH Canada vers le fournisseur allemand Netcup. L'objectif à long terme est la colocation à Toronto, au Canada.

Le groupe affirme que la France n'est plus un pays sûr pour les projets open source liés à la confidentialité, en référence aux récentes pressions politiques visant à introduire des portes dérobées dans les technologies de chiffrement et à instaurer des sanctions pénales pour ceux qui refusent de déverrouiller leurs appareils. Bien que le projet de loi controversé « Narcotrafic », une proposition de surveillance agressive qui incluait des obligations en matière de portes dérobées dans le chiffrement, ait été rejeté par le Parlement français plus tôt cette année, GrapheneOS avertit que le pays reste hostile aux technologies respectueuses de la vie privée.

GrapheneOS affirme que les membres de son équipe ont été victimes d'un harcèlement accru, de campagnes de diffamation et de perturbations dans leurs efforts de développement, notamment un retard dans le déploiement de la prise en charge expérimentale du Pixel 10. L'organisation rapporte que les demandes des forces de l'ordre visant à accéder à des appareils chiffrés sont techniquement impossibles à satisfaire, car les protections sont assurées par des éléments sécurisés (SE) qui nécessitent des mises à jour signées du micrologiciel et l'authentification de l'utilisateur. Elle souligne que même si cela était légalement obligatoire, il n'est techniquement pas possible de contourner les protections contre les attaques par force brute.

Contrairement au Canada ou aux États-Unis, où le refus de divulguer un mot de passe est protégé par le droit de ne pas s'incriminer soi-même, la France criminalise ce type de refus, supprimant ainsi une garantie fondamentale de la vie privée des individus, ont expliqué les responsables du projet.

En réponse aux risques sécuritaires et juridiques, GrapheneOS est en train de remodeler son infrastructure comme suit :

• Les miroirs de mise à jour sont désormais hébergés par des sponsors à Los Angeles, Miami et, temporairement, Londres, à la suite d'une migration d'urgence.
• L'infrastructure DNS a été transférée vers Vultr et BuyVM, qui permettent l'annonce BGP d'un espace IP personnalisé.
• Les services principaux sont en cours de transition vers Netcup, avec des plans à long terme pour la colocation de serveurs physiques à Toronto.
• Les protections cryptographiques pour les mises à jour, les applications et le processus de démarrage restent en place, avec une vérification multicouche contre les attaques par altération et par rétrogradation.

L'organisation garantit aux utilisateurs que toutes les sauvegardes sont chiffrées et peuvent rester temporairement sur les systèmes OVH pendant la transition.

La fermeture des services français de GrapheneOS intervient sur fond de préoccupations croissantes relatives à la protection des communications chiffrées. En février dernier, la Cour européenne des droits de l'homme a rappelé que l'introduction de portes dérobées dans les applications de messagerie chiffrée pour déchiffrer les communications privées constituait une violation des droits de l'homme. Cette position de la Cour accentue les doutes quant à la viabilité des projets de la Commission européenne pour un encadrement renforcé du chiffrement.

L'annonce par GrapheneOS de la fermeture complète de son infrastructure en France est présentée ci-dessous :

« Nous n'avons plus aucun serveur actif en France et poursuivons le processus de départ d'OVH. Nous allons faire tourner nos clés TLS et les clés de compte Let's Encrypt épinglées via accounturi. Les clés DNSSEC pourraient également être renouvelées. Nos sauvegardes sont chiffrées et peuvent rester chez OVH pour l'instant.

Notre App Store vérifie les métadonnées de l'App Store à l'aide d'une signature cryptographique et d'une protection contre la rétrogradation, ainsi que d'une vérification des paquets. Le gestionnaire de paquets Android dispose également d'un autre niveau de vérification des signatures et de protection contre la rétrogradation.

Notre System Updater vérifie les mises à jour à l'aide d'une signature cryptographique et d'une protection contre la rétrogradation, ainsi que d'une autre couche dans update_engine et d'une troisième couche via un démarrage vérifié. La signature des noms des canaux de publication est également prévue.

Nos miroirs de mise à jour sont actuellement hébergés sur des serveurs sponsorisés par ReliableSite (Los Angeles, Miami) et Tempest (Londres). Londres est un emplacement temporaire en raison d'un déménagement d'urgence d'un fournisseur qui a quitté le secteur des serveurs dédiés et va déménager. D'autres miroirs de mise à jour sponsorisés sont à venir.

Notre réseau anycast ns1 est hébergé sur Vultr et notre réseau anycast ns2 sur BuyVM, car les deux prennent en charge le protocole BGP pour annoncer notre propre espace IP. Nous transférons actuellement nos principaux serveurs web/réseau utilisés pour les connexions OS par défaut vers un mélange d'emplacements Vultr+BuyVM.

Nous disposons de 5 serveurs au Canada chez OVH avec plus que du contenu statique et des services réseau de base : e-mail, Matrix, forum de discussion, Mastodon et attestation. Notre projet est de les transférer vers des serveurs racine Netcup ou un fournisseur similaire à court terme, puis vers des serveurs colocalisés à Toronto à long terme.

La France n'est pas un pays sûr pour les projets open source liés à la confidentialité. Elle exige des portes dérobées dans le chiffrement et l'accès aux appareils. Les appareils et services sécurisés ne seront pas autorisés. Nous ne nous sentons pas en sécurité en utilisant OVH, même pour un site web statique hébergé sur des serveurs situés au Canada/aux États-Unis via leurs filiales canadiennes/américaines.

Nous étions sur le point de lancer très prochainement une version expérimentale compatible avec Pixel 10, mais cela a été interrompu. Les attaques contre notre équipe, sous forme de diffamation et de harcèlement continus, se sont intensifiées, tout comme les raids sur nos salons de discussion, entre autres. La situation est difficile en ce moment et votre soutien est très apprécié. »

Source : Annonce de GrapheneOS

Et vous ?

Quelle lecture faites-vous de cette situation ?
Trouvez-vous cette initiative de GrapheneOS justifiée et pertinente ?

Voir aussi :

Après plus de 16 ans, Google décide de développer l'OS Android en privé dans le but de rationaliser son développement, mais s'engage à publier le code source sur AOSP à chaque version stable

La France est sur le point d'adopter la pire loi de surveillance de l'UE : une porte dérobée dans WhatsApp, Telegram et Signal, une proposition de loi qui provoque la stupéfaction

Retour déguisé du projet UE de surveillance des messages privés après son rejet suite à l'indignation publique : le plan de surveillance de masse de l'UE est de retour ; rebaptisé et plus invasif qu'auparavant

[Artaeus]

Les différences entre la France et la Russie ou la Chine s'amoindrissent à vitesse grand V.
Entre le DSA, les "vérifications d'âge" (=vérifications d'identité), le ChatControl et les lois de surveillance, cela devient un enfer (comme prévu).

[smarties]

C'est dommage car en plus de la sécurité et de la confidentialité, j'ai le minimum vital d'application après installation du système.

[Mathis Lucas]

GrapheneOS, le fork d'Android libre et open source, refuse de se conformer aux exigences des nouvelles lois sur la vérification de l'âge et ne demandera jamais d'informations personnelles

Les lois sur la vérification de l’âge font face à une opposition croissante au sein de l’industrie technologique. GrapheneOS, le fork Android axé sur la confidentialité, a déclaré qu'il refusera de se conformer aux lois imposant aux systèmes d'exploitation de collecter l'âge des utilisateurs lors de la configuration. Il ajoute qu'il restera utilisable par n'importe qui dans le monde sans exiger d'informations personnelles, de pièce d'identité ni de compte. Si cela implique que ses appareils ne peuvent pas être vendus dans certaines régions, il l'accepte. GrapheneOS a fermé ses portes en France en raison de menaces pesant sur les logiciels axés sur la confidentialité.

GrapheneOS est un système d'exploitation mobile renforcé, axé sur la sécurité et la confidentialité. Il est basé sur Android Open Source Project (AOSP). GrapheneOS offre une sécurité améliorée sur certains appareils, notamment Google Pixel, les smartphones, les tablettes et les appareils pliables, grâce à des fonctionnalités comme le sandboxing sécurisé des applications, le démarrage vérifié et des mécanismes avancés de vérification des mises à jour.

Le développement de GrapheneOS a été suivi de près par les défenseurs de la vie privée et les chercheurs en sécurité en raison de sa position intransigeante sur la souveraineté des appareils et de son refus de faire des compromis en matière de chiffrement. Le développement est assuré par la Fondation GrapheneOS, une association canadienne à but non lucratif. L'auteur principal est Daniel Micay, un ancien membre du projet similaire CopperheadOS.

Avec l'essor des lois imposant la vérification de l'âge au niveau du système d'exploitation, GrapheneOS voit ses promesses en matière de confidentialité mises à rude épreuve. Selon ses développeurs, il n'est pas possible de trouver un compromis entre la protection de la vie privée et la vérification de l'âge.

GrapheneOS n'appliquera pas les règles sur la vérification de l'âge

GrapheneOS a déclaré dans un message publié sur X (ex-Twitter) le 20 mars que le projet ne se conformerait pas aux nouvelles lois obligeant les systèmes d'exploitation à collecter des données sur l'âge des utilisateurs lors de la configuration de leurs appareils. Le projet a également déclaré qu'il ne demanderait jamais d'informations personnelles ni d'identification, même si cela signifie que ses appareils ne pourront pas être vendus dans certaines régions.

« GrapheneOS restera accessible à tous, partout dans le monde, sans exiger d'informations personnelles, d'identification ou de compte. Si les appareils GrapheneOS ne peuvent pas être vendus dans une région en raison de la réglementation locale, qu'il en soit ainsi », a déclaré GrapheneOS dans son message.

La déclaration intervient après l'entrée en vigueur de la loi brésilienne Digital ECA (loi 15.211) le 17 mars. Elle impose des amendes pouvant atteindre 50 millions de réais (environ 9,5 millions de dollars) par violation aux fournisseurs de systèmes d'exploitation ne mettant pas en place une vérification de l'âge. De nombreux États américains ont adopté des lois similaires au cours des derniers mois. L'Union européenne étudie également des propositions.

En Californie, le Digital Age Assurance Act (AB-1043), signé par le gouverneur Gavin Newsom en octobre 2025, entrera en vigueur le 1er janvier 2027, et oblige chaque fournisseur de système d'exploitation à collecter l'âge ou la date de naissance de l'utilisateur lors de la création du compte, pour transmettre ces données aux boutiques d'applications et aux développeurs via une API en temps réel. Le Colorado a aussi adopté une loi similaire début mars.

Les législations sont plus intrusives qu'elles n'en ont l'air

Selon l'auteur de l'enquête sur le lobbying de Meta, les projets de loi de vérification de l'âge sont très intrusifs. Ainsi, le projet de loi californien AB-1043 définit le « fournisseur de système d'exploitation » au titre de l'article 1798.500(g) comme « une personne ou une entité qui développe, concède sous licence ou contrôle le logiciel de système d'exploitation sur un ordinateur, un appareil mobile ou tout autre appareil informatique à usage général ».

Chaque fournisseur de système d'exploitation doit alors : fournir une interface lors de la configuration du compte permettant de recueillir la date de naissance ou l'âge, et exposer une API en temps réel qui diffuse la tranche d'âge de l'utilisateur (moins de 13 ans, 13 à 15 ans, 16 à 17 ans, 18 ans et plus) à toute application fonctionnant sur le système. Selon les experts en sécurité, cette législation pose un réel problème en matière de sécurité.

Chaque application sur votre appareil peut interroger une API au niveau du système qui renvoie votre tranche d'âge en temps réel. Il ne s'agit pas d'une vérification de l'âge au moment de l'accès à un contenu restreint. Il s'agit d'un service de diffusion permanente de l'âge intégré au système d'exploitation lui-même, accessible à toutes les applications installées. Cette loi a été signée en octobre 2025 et entrera en vigueur le 1er janvier 2027.

Les mécanismes de protection de la vie privée sont mis à mal

Ces projets de loi ne se contentent pas de vérifier l'âge une seule fois. Ils créent une couche d'identité permanente au sein du système d'exploitation, que les applications peuvent interroger à leur guise. Les fournisseurs de ce système facturent entre 0,10 et 2,00 $ par vérification, exigent l'utilisation de SDK propriétaires, demandent des clés API liées à des comptes commerciaux et opèrent exclusivement sur le cloud, sans option d'autohébergement.

Vos données de vérification d'âge sont transmises à un service cloud tiers. « Comparez cela à ce que l'UE a mis en place. Le portefeuille d'identité numérique de l'UE, dans le cadre de l'eIDAS 2.0, dispose d'une implémentation de référence publiée sous licence Apache 2.0/EUPL et utilise des identifiants à divulgation sélective. Un utilisateur peut prouver qu'il appartient à une tranche d'âge sans communiquer sa date de naissance », indique le rapport.

La nouvelle loi européenne sur les services numériques (DSA) impose des obligations de vérification de l'âge aux très grandes plateformes en ligne (plus de 45 millions d'utilisateurs mensuels), et non aux systèmes d'exploitation. Les projets FOSS qui n'agissent pas en tant que services intermédiaires sont explicitement exclus du champ d'application. Les microentreprises et les petites entreprises bénéficient d'exemptions supplémentaires.

Les impacts sur les droits à la liberté des adultes et des jeunes

En octobre 2024, l'Electronic Frontier Foundation (EFF) et l'ACLU ont déposé un mémoire demandant à une cour d'appel fédérale des États-Unis de continuer à bloquer la loi sur la vérification de l'âge sur les plateformes de médias sociaux. Selon les experts de l'EFF, ces projets de loi menacent la liberté d'expression et font des sites de médias sociaux qui collectent les données les plus sensibles des cibles de choix pour les pirates informatiques.

L'EFF s'est battue contre les mandats de vérification de l'âge parce que, selon l'ONG, ils sapent les droits à la liberté d'expression des adultes et des jeunes, créent de nouvelles barrières à l'accès à Internet et mettent en danger la vie privée, l'anonymat et la sécurité de tous les utilisateurs d'Internet. Pour l'EFF, exiger des fournisseurs de services qu'ils vérifient l'âge des utilisateurs n'est pas la bonne approche pour protéger les personnes en ligne.

L'EFF avait notamment conclu : « les lois sur la vérification de l'âge nuiront plus qu'elles n'aideront ». Pour l'organisation, les systèmes d'identité numérique soulèvent de graves préoccupations en matière de respect de la vie privée et d'équité. L'EFF met en garde contre les abus potentiels de ces systèmes.

Les impacts sur GrapheneOS et d'autres systèmes d'exploitation

Les lois sur la vérification de l'âge menacent la vie privée des utilisateurs. GrapheneOS est développé par une organisation canadienne à but non lucratif, bien que des questions de compétence restent en suspens compte tenu des récents précédents en matière d'application transfrontalière. Cette position complique le partenariat récemment annoncé avec Motorola, qui prévoit de commercialiser des appareils équipés de GrapheneOS en 2027.

GrapheneOS n’est pas le premier acteur à refuser catégoriquement de se conformer à ces exigences, et il ne sera pas le dernier. Les développeurs du micrologiciel open source pour calculatrices DB48X ont récemment publié un avis juridique indiquant que « leur logiciel n’implémente pas, ne peut pas et n’implémentera pas de système de vérification de l’âge », tandis que MidnightBSD a mis à jour sa licence pour interdire l’accès aux utilisateurs au Brésil.

La législation californienne n'exige ni pièce d'identité avec photo ni vérification biométrique ; les utilisateurs se contentent de déclarer leur âge lors de la configuration. Toutefois, les détracteurs, parmi lesquels plus de 400 informaticiens ayant signé une lettre ouverte, font valoir que ces lois mettent en place une infrastructure de surveillance sans pour autant protéger efficacement les enfants, car il est très facile de contourner cette autodéclaration.

Meta a dépensé des milliards pour imposer la vérification de l'âge

Un rapport récent a mis en lumière le lobbying de plus de 2 milliards de dollars mené par Meta pour convaincre les législateurs américains d'imposer l'implémentation de la vérification de l'âge aux fournisseurs de systèmes d'exploitation. Bien que certains États aient envisagé la proposition du géant des plateformes de médias sociaux, il n'a pas eu beaucoup de succès à Washington. L'entreprise de Mark Zuckerberg a dans son viseur Google et Apple.

L'enquête a été menée par l'utilisateur GitHub « upper-up ». Elle retrace les flux financiers via des organisations telles que la Digital Childhood Alliance (DCA), créée le 18 décembre 2024 et qui a témoigné en faveur du projet de loi SB-142 de l'Utah quelques jours plus tard. Fait important, le soutien de Meta au projet de loi DCA s’inscrit dans une stratégie fragmentée de super PAC de 70 millions de dollars conçue pour échapper au suivi de la FEC.

Selon le rapport, les exigences traditionnelles en matière de divulgation des dépenses électorales ne s’appliquent pas à cette approche fragmentée. Les activités de lobbying de Meta s'étendent à 45 États et recourent à des organisations à but non lucratif fictives pour contourner les obligations de transparence.

Le système d'exploitation Horizon de Meta pour le casque de réalité virtuelle Quest met déjà en œuvre cette infrastructure via les contrôles du Family Center. Aujourd'hui, Meta veut qu'Apple et Google développent des systèmes similaires accessibles à toutes les applications, transformant ainsi la vérification de l'âge en empreinte digitale permanente de l'appareil. Selon les experts, ce projet instaurerait un mécanisme de surveillance dangereux.

Conclusion

Ces projets de loi imposeraient des API au niveau du système d'exploitation permettant aux applications d'interroger les informations sur l'âge des utilisateurs, créant ainsi une couche d'identité permanente inscrite dans les fonctions centrales du téléphone. Selon les experts en sécurité, il s'agit d'une orientation dangereuse. Meta a déjà mis en place une infrastructure similaire dans son système d'exploitation Horizon OS pour les casques Quest VR.

L'objectif serait désormais de contraindre Apple et Google à construire des systèmes équivalents accessibles à toutes les applications, transformant la vérification d'âge en un véritable outil de traçage permanent des appareils. Et pour cela, le géant des médias sociaux dépense des milliards de dollars en lobbying.

Cependant, ces législations se heurtent à une opposition croissante. GrapheneOS n’est pas un cas isolé. D’autres projets ou systèmes ont également refusé d’implémenter des mécanismes de vérification d’âge ou ont modifié leurs conditions d’utilisation pour éviter certaines juridictions. (En novembre dernier, GrapheneOS a fermé son infrastructure en France, citant des menaces pesant sur les logiciels axés sur la confidentialité dans ce pays.)

Source : billet de blogue

Et vous ?

Que pensez-vous de la posture de GrapheneOS face aux lois sur la vérification de l'âge ?
Quels impacts cette position pourrait-elle avoir sur le développement du projet et ses partenariats ?
GrapheneOS se dit prêt à abandonner certains marchés si la vérification de l'âge est imposée. Qu'en pensez-vous ?

Voir aussi

GrapheneOS, le système Android open source sécurisé, annonce la fermeture de son infrastructure en France, citant les menaces pesant sur les logiciels axés sur la confidentialité dans ce pays

Meta a dépensé plus de 2 milliards de dollars en lobbying via des réseaux sombres pour faire pression en faveur d'une technologie invasive de vérification de l'âge, selon un rapport

Motorola a annoncé qu'elle allait renforcer la sécurité mobile en adoptant GrapheneOS en remplacement du système d'exploitation Android standard de Google sur tous ses futurs appareils

[Fagus]

En Californie, le Digital Age Assurance Act (AB-1043), signé par le gouverneur Gavin Newsom en octobre 2025, entrera en vigueur le 1er janvier 2027, et oblige chaque fournisseur de système d'exploitation à collecter l'âge ou la date de naissance de l'utilisateur lors de la création du compte.
le projet de loi californien AB-1043 définit le « fournisseur de système d'exploitation » au titre de l'article 1798.500(g) comme « une personne ou une entité qui développe, concède sous licence ou contrôle le logiciel de système d'exploitation sur un ordinateur, un appareil mobile ou tout autre appareil informatique à usage général ».

ça va être pratique pour les microcontrôleurs dotés d'un OS (freeRT OS par ex.).

Non mais c'est n'importe quoi ce flicage.

On aurait pu juste mettre un lancement d'un contrôle parental à la configuration des smarphones et PC (comme le choix du navigateur), et ça aurait largement fait le job.

Si ensuite les parents décident que leur progéniture est assez mature ou pas pour être encadrée ou pas, c'est un choix éducatif privé et l'état a d'autres mission plus régaliennes et urgentes à mon humble avis.