Ou comment une simple question sur un smartphone dégooglisé révèle la dépendance invisible qui soutient aujourd'hui les banques, l'identité numérique et les futurs grands projets européens.
Édition Spéciale – Grand Format : Le sujet de cette semaine exigeait une analyse sans compromis. Avec plus de 3 000 mots au compteur (le double de notre format habituel), cette édition de Euro Tech Souveraine se transforme en un véritable dossier de fond.
Conseil : Si le temps vous manque ce matin, transférez ce mail ou sauvegardez-le pour le savourer au calme ce week-end.
Tout est parti d'une question presque anodine : le Murena, ce smartphone propulsé par /e/OS (le fork open source de Gaël Duval basé sur LineageOS et Android Open Source Project) est-il vraiment libre et open source ?
La réponse courte est oui, dans sa quasi-totalité. Le système retire toute la télémétrie Google, son code est public et auditable, et une brique appelée microG remplace les services propriétaires de Google. Mais en tirant ce fil, je suis arrivé beaucoup plus loin que prévu. Jusqu'à une incohérence profonde dans la stratégie de souveraineté numérique européenne. Et jusqu'à un précédent de 2019 qui aurait probablement dû changer notre façon d'aborder le sujet.
Le véritable verrou n'est en réalité ni Android, ni iOS. Il se situe dans une couche que la plupart des utilisateurs ne voient jamais : les mécanismes d'attestation qui permettent à Google, sur Android, et à Apple, sur iPhone, de certifier qu'un appareil est digne de confiance.
Une application bancaire, une application d'identité numérique comme Itsme en Belgique ou de nombreuses applications publiques ne s'appuient presque jamais sur Android «nu», ni sur une confiance abstraite dans le seul système d'exploitation. Elles utilisent les bibliothèques de Google pour la géolocalisation, les notifications push et, surtout, pour la vérification d'intégrité de l'appareil via l'API Play Integrity, héritière de SafetyNet.
Sur iPhone, la logique est différente dans ses composants, mais le résultat est en réalité plus fermé encore. Apple dispose de ses propres mécanismes (App Attest, DeviceCheck, Secure Enclave, chaîne de démarrage sécurisée) qui remplissent la même fonction que Play Integrity côté Android. La différence essentielle, et elle mérite d'être dite clairement, c'est qu'Android laisse malgré tout une porte entrouverte : AOSP est un projet open source, ce qui permet à /e/OS, GrapheneOS ou Volla OS d'exister légalement et de reconstruire une compatibilité via microG. Sur iOS, cette porte n'existe tout simplement pas. Il n'y a aucune version libre d'iOS sur laquelle s'appuyer, aucun équivalent légal à microG, aucun fork possible. La seule échappatoire, le jailbreak, n'est reconnue par aucune banque et prive l'utilisateur de toute garantie constructeur. Ce n'est pas un jugement sur qui possède un iPhone (c'est un constat technique : pour qui pense souveraineté numérique, Apple ferme une porte qu'Android, lui, laisse au moins entrouverte.)
La question posée est finalement très simple : ce téléphone est-il un appareil reconnu comme fiable par Google ou par Apple ?
Si la réponse est négative, certaines applications refusent simplement de fonctionner.
C'est précisément pour contourner cette dépendance que /e/OS intègre microG, une réimplémentation libre des principales API Google. Les applications continuent à fonctionner sans que l'utilisateur ne dépende directement des services propriétaires de Google. Pour la majorité des usages, cela fonctionne remarquablement bien. De nombreuses banques européennes acceptent encore ce fonctionnement.
Mais cette compatibilité possède une limite. Dès qu'une banque active le niveau le plus strict de Play Integrity, microG ne peut plus reproduire l'attestation attendue.
Il est important de préciser que les solutions souveraines existent déjà. Murena (/e/OS), Volla OS, Sailfish OS, GrapheneOS, LineageOS et d'autres démontrent qu'il est parfaitement possible de construire un système d'exploitation moderne, sécurisé et largement compatible sans dépendre directement des services Google.
Dans les faits, la majorité des applications mobiles sont aujourd'hui conçues pour fonctionner dans l'écosystème de confiance de Google sur Android ou d'Apple sur iOS. Beaucoup continuent d'ailleurs à fonctionner correctement sur ces systèmes alternatifs. Mais plus une application est sensible (banque, paiement, identité numérique, authentification forte, signature électronique, santé ou services publics) plus elle tend à exiger une attestation officielle du terminal.
C'est précisément là que se situe le véritable verrou. Les systèmes d'exploitation souverains ne sont pas incapables de faire fonctionner ces applications ; ce sont ces applications qui choisissent de ne reconnaître que les mécanismes d'attestation de Google ou d'Apple.
Le problème n'est donc pas l'absence d'alternatives européennes. Le problème est que ces alternatives ne disposent pas encore du même droit à la confiance que les plateformes américaines.
En poursuivant mes recherches, je me suis aperçu que Murena n'était absolument pas un cas isolé. Volla OS en Allemagne, Sailfish OS en Finlande, LineageOS, GrapheneOS… tous se heurtent au même obstacle. Tous proposent, d'une manière ou d'une autre, une stratégie permettant de conserver la compatibilité avec un écosystème conçu autour des services Google. Personne n'a véritablement supprimé cette dépendance. Toute la filière européenne compose avec elle.
Le constat est finalement assez logique. Aucun fabricant européen, aussi innovant soit-il, ne possède à lui seul le poids nécessaire pour convaincre les banques, les administrations ou les grands éditeurs d'applications de modifier leurs mécanismes de confiance.
Les exemples sont nombreux.
En Belgique, la plupart des grandes banques fonctionnent relativement bien sur ces systèmes alternatifs. En revanche, certaines applications comme Payconiq by Bancontact se montrent beaucoup plus exigeantes et peuvent refuser de fonctionner selon l'état du téléphone. Google Pay, lui, reste totalement dépendant des mécanismes cryptographiques de Google.
En France, la dépendance touche même les services régaliens. France Identité et FranceConnect+ exigent un environnement répondant à leurs exigences de sécurité. Pour de nombreux utilisateurs de smartphones dégooglisés, cela se traduit par une impossibilité d'accéder à certains services administratifs.
Autrement dit, ce ne sont plus seulement les acteurs privés qui entretiennent cette dépendance. Les États eux-mêmes s'appuient désormais sur les mécanismes de confiance définis par Google ou Apple.
Il serait pourtant trop facile d'y voir uniquement de la paresse industrielle.
Google et Apple disposent d'un véritable argument technique. L'attestation moderne repose de plus en plus sur des racines matérielles de confiance intégrées directement dans les composants du téléphone. Ces mécanismes offrent un niveau de sécurité extrêmement difficile à reproduire uniquement par logiciel. Les banques ont par ailleurs des obligations importantes en matière de lutte contre la fraude. Externaliser cette responsabilité vers un acteur qui investit massivement dans la sécurité matérielle constitue donc un choix rationnel.
Le problème n'est donc pas que cette solution existe. Le problème est qu'aucune alternative européenne n'a réellement été développée, reconnue et imposée à grande échelle.
C'est probablement ici que l'histoire devient la plus intéressante.
Le système de paiement Wero, porté par l'European Payments Initiative, avait précisément pour ambition de renforcer la souveraineté européenne face à Visa, Mastercard ou PayPal. Il réunissait les grandes banques européennes, disposait d'un mandat politique clair, de financements importants et d'une base d'utilisateurs potentielle considérable.
Pourtant, lui aussi repose sur les mécanismes d'attestation des plateformes existantes.
Autrement dit, la souveraineté s'arrête au paiement lui-même. Elle ne descend jamais jusqu'à la couche qui décide si le téléphone est autorisé à exécuter l'application.
Cette logique se retrouve ailleurs.
Le portefeuille européen d'identité numérique prévu par eIDAS 2.0, les futurs services associés à l'EUDI Wallet, les projets de paiement européens ou encore les réflexions autour de l'euro numérique poursuivent tous un objectif légitime de souveraineté.
Mais aucun ne remet réellement en question la couche technique qui décide si l'appareil est digne de confiance.
Le plus surprenant n'est peut-être pas que cette dépendance existe.
Le plus surprenant est qu'elle soit devenue si invisible que les grands projets européens semblent désormais la considérer comme une donnée de départ plutôt que comme une dépendance stratégique.
Une tentative existe pourtant ! (heureusement). Le projet UnifiedAttestation, lancé autour d'acteurs européens comme Volla Systeme, Murena, iodé et Apostrophy, cherche à proposer une alternative ouverte à Google Play Integrity. L'initiative est intéressante parce qu'elle démontre que cette dépendance n'est pas une fatalité technique.
Elle soulève cependant une autre question : remplacer une autorité de confiance privée par un consortium privé résout-il réellement le problème de souveraineté ? Les critiques formulées notamment par GrapheneOS rappellent que la gouvernance de cette confiance reste au cœur du sujet. Jusqu'ici, on pourrait encore considérer qu'il s'agit d'un débat théorique entre spécialistes du logiciel libre.
Pourtant, ce scénario s'est déjà produit. Pas dans un laboratoire, mais à l'échelle mondiale.
En mai 2019, l'administration Trump place Huawei sur l'Entity List américaine. Google suspend alors l'accès du constructeur aux Google Play Services. Les nouveaux smartphones Huawei perdent l'accès au Play Store, à Gmail, à Maps ainsi qu'à une grande partie des applications qui reposaient sur ces services. Le constructeur est contraint de développer en urgence HarmonyOS afin de préserver son activité.
Cet épisode constitue un précédent majeur.
Il démontre que la couche technique qui décide si un téléphone peut accéder à certaines fonctions essentielles relève d'une juridiction étrangère et peut, dans certaines circonstances, devenir un instrument de politique internationale. Le risque n'est d'ailleurs pas principalement celui de la confidentialité. Play Integrity ne collecte pas un volume massif de données personnelles.
Le véritable risque est celui d'un killswitch. Un point de contrôle unique capable, sur décision politique, de rendre inopérante une partie essentielle d'un écosystème numérique.
Le précédent Huawei n'a pas démontré qu'un constructeur chinois était vulnérable.
Il a démontré qu'une infrastructure mondiale pouvait être interrompue par une décision politique américaine. C'est une nuance essentielle.
Et elle concerne, pour ce précédent précis, un écosystème Android (celui qui, malgré tout, laisse une porte de secours. Sur iPhone, un scénario comparable ne laisserait littéralement aucune option de repli : pas d'AOSP à forker, pas de microG à reconstruire, pas même une compatibilité dégradée à 90 %. Ce n'est donc pas seulement pour l'ergonomie ou le confort qu'iOS mérite d'être regardé avec un peu plus de méfiance dans une réflexion de souveraineté) c'est parce que la fermeture totale de son écosystème rend tout scénario de rupture définitif, sans aucune voie de repli légale. Je le dis sans procès d'intention envers qui que ce soit : posséder un iPhone reste un choix parfaitement légitime. Mais quand on raisonne en termes de souveraineté et de résilience collective, il faut avoir l'honnêteté de reconnaître qu'Apple ferme une porte qu'Android, lui, laisse au moins entrouverte.
Deux voies pourraient pourtant être explorées.
La première serait réglementaire. L'Union européenne pourrait reconnaître officiellement des autorités d'attestation alternatives et imposer leur interopérabilité dans le cadre de son droit numérique.
La seconde serait institutionnelle. Une agence publique européenne, comme l'ENISA ou une structure intégrée au futur cadre eIDAS, pourrait devenir l'autorité de confiance chargée de cette fonction stratégique, apportant une légitimité démocratique qu'aucun consortium privé ne peut réellement offrir.
Le calendrier serait long. Probablement comparable à celui de l'euro numérique. Mais il aurait au moins le mérite de traiter la dépendance à sa racine plutôt que d'ajouter de nouveaux services au-dessus d'une fondation inchangée.
Depuis dix ans, l'Europe construit des briques de souveraineté numérique : réglementation, identité numérique, paiements, cloud, intelligence artificielle. Chacune répond à un besoin réel. Mais toutes reposent encore, à un moment ou à un autre, sur une couche technique qu'elle ne contrôle pas.
Le précédent Huawei a démontré qu'un gouvernement étranger pouvait, par une simple décision politique, couper l'accès à cette couche. Rien n'indique, à ce jour, que cet épisode ait été pleinement intégré dans la feuille de route de la souveraineté numérique européenne.
La souveraineté numérique ne se mesure donc pas seulement à ce que l'on construit. Elle se mesure aussi à ce que l'on est capable de remplacer lorsque l'on n'y a plus accès.
Tant que l'Europe ne maîtrisera pas la brique invisible qui décide si un appareil est digne de confiance, chaque nouvelle avancée (qu'il s'agisse d'un portefeuille d'identité, d'un système de paiement ou d'un euro numérique) restera un étage supplémentaire construit sur une fondation que d'autres contrôlent.
La véritable souveraineté commence toujours par la couche la plus basse. C'est précisément celle que l'Europe n'a, aujourd'hui encore, ni construite ni réellement inscrite à son agenda.
Et vous, qu'en pensez-vous ?
On en discute sur LinkedIn avant de se retrouver ici la semaine prochaine ?
Merci d'avoir lu cette édition jusqu'au bout.
— Fabrice | LinkedIn | Fabrice.Willot.eu
