Sécurité mobile : ce qu'un téléphone protège et ses limites

La sécurité mobile inclut les fonctions de sécurité du matériel, du système, des applications et des services des appareils mobiles. Apple, par exemple, documente le chiffrement et les mesures de sécurité pour ses appareils et applications.

La documentation d'Apple décrit plusieurs mesures de sécurité dans ses appareils : le chiffrement protège les données de l'utilisateur, les applications s'exécutent dans des processus isolés et il y a des contrôles pour leur accès aux données. Google, de son côté, distingue la certification Play Protect du service Google Play Protect, qui protège contre les applications nuisibles.

Les mesures de sécurité remplissent des fonctions distinctes. Apple documente le chiffrement pour protéger les données de l'utilisateur et l'isolation des processus pour les applications. Google explique que la certification Play Protect est indépendante de Google Play Protect, qui protège les appareils contre les applications nuisibles.

Matériel, système et applications

La couche matériel apporte des fonctions que le système d'exploitation peut utiliser pour protéger les clés, les données biométriques ou le processus de démarrage. Dans les appareils Apple, Apple décrit le Secure Enclave comme un composant de sécurité intégré dans certaines puces et lie son architecture à la protection des données et à l'authentification. Le nom ne doit pas être traité comme un composant universel de tous les téléphones : les implémentations dépendent de la plateforme et du modèle.

Apple décrit le sandbox comme l'isolation des processus : les applications non autorisées ne peuvent pas accéder aux données de l'utilisateur. Il documente également des contrôles supplémentaires pour l'accès des applications à ces données.

Réseau et gestion des données

Apple documente la compatibilité avec les protocoles standard de VPN et de connexion Wi-Fi qui protègent le trafic réseau. La documentation décrit également le chiffrement des données et les méthodes pour effacer à distance l'appareil en cas de perte ou de vol.

Apple documente les fonctionnalités de chiffrement pour protéger les données de l'utilisateur et les méthodes pour effacer l'appareil à distance en cas de perte ou de vol.

Android et iOS intègrent plusieurs défenses, mais leurs noms et leur configuration changent selon la version, le fabricant et le modèle. Ainsi, une fonction annoncée pour une plateforme n'implique pas qu'elle soit disponible sur tous les téléphones ni qu'elle fonctionne de la même manière à chaque génération.

Google distingue la certification Play Protect de Google Play Protect, qui protège les appareils contre les applications nuisibles. Les appareils certifiés ont passé des tests de compatibilité Android ; les non certifiés pourraient ne pas recevoir de mises à jour du système ou des applications et certaines fonctions pourraient ne pas s'exécuter correctement.

Google Play Protect protège les appareils contre les applications nuisibles. Google recommande de rechercher et d'installer les dernières mises à jour du système Android, qui résolvent généralement les problèmes de l'appareil.

Apple documente des protections à plusieurs niveaux : démarrage sécurisé, chiffrement et contrôles sur les applications et leur accès aux données. Sur iPhone et iPad, les applications s'exécutent isolées et le système applique des autorisations ; l'architecture matérielle inclut Secure Enclave dans les appareils compatibles. Ces mesures réduisent les opportunités d'attaque, mais ne rendent pas iOS immunisé contre les pages de phishing, les arnaques par messages ou les vulnérabilités inconnues.

Le tableau réunit des fonctions distinctes d'Android et des systèmes Apple ; il n'établit pas une classification de sécurité.

Le malware est un logiciel malveillant qui peut être utilisé à diverses fins. Parmi les menaces mobiles figure également le phishing : des messages qui usurpent l'identité d'une entité ou d'une personne pour induire à partager des informations ou à ouvrir des liens trompeurs. Les défenses de l'appareil ne remplacent pas l'attention face aux demandes inattendues.

Le phishing et l'ingénierie sociale ciblent les décisions de la personne, et non nécessairement une défaillance du téléphone. Un message peut usurper l'identité d'une banque ou d'un service de livraison pour obtenir des identifiants, des codes ou un paiement. Le smishing est le phishing distribué par SMS ; il peut également arriver par e-mail, messagerie ou réseaux sociaux. Le chiffrement du système d'exploitation n'identifie pas à lui seul l'intention de l'expéditeur du message.

Apple documente des fonctions de chiffrement pour protéger les données de l'utilisateur et permettre l'effacement à distance des appareils perdus ou volés. L'effacement à distance est une fonction de protection des données ; il ne récupère pas à lui seul les fichiers de l'appareil.

Le phishing peut arriver par messages texte, e-mail ou applications de messagerie. Vérifiez qui envoie la demande avant de partager des informations ou de suivre un lien : les messages peuvent usurper l'identité d'une organisation ou d'une personne de confiance.

Les protections techniques ont des portées différentes. Apple décrit le chiffrement pour protéger les données, l'isolation des processus des applications et les contrôles destinés à empêcher les applications de contenir un logiciel nuisible connu. Aucune de ces fonctions ne permet à elle seule d'identifier si un message reçu est une demande légitime.

La certification Play Protect vérifie la compatibilité de l'appareil avec Android et est distincte de l'analyse des applications nuisibles réalisée par Google Play Protect. Google avertit que les appareils non certifiés pourraient ne pas être sûrs et pourraient ne pas recevoir de mises à jour du système ou des applications.

Google souligne qu'un chargeur de démarrage déverrouillé ou un système Android modifié sont des raisons habituelles pour lesquelles un appareil peut ne pas passer les vérifications de certification Play Protect. Vérifiez l'état de certification de l'appareil dans Google Play si vous avez besoin de connaître cet état.

Apple documente des fonctions de chiffrement qui permettent l'effacement à distance d'un appareil en cas de perte ou de vol. L'effacement à distance protège les données par leur élimination de l'appareil ; ce n'est pas une fonction pour restaurer des fichiers.

Pour revoir la sécurité du téléphone, vérifiez quelles options votre modèle offre et comment elles sont configurées. Google recommande de rechercher et d'installer les dernières mises à jour du système ; sur les appareils Apple, les mises à jour logicielles font partie des mesures de sécurité de la plateforme.

• Recherchez et installez les mises à jour du système offertes par votre appareil.
• Si vous recevez un message urgent avec un lien, évitez de répondre ou de partager des informations sans vérifier qui l'a envoyé : l'urgence peut être utilisée pour influencer les décisions.
• Si un avis de livraison vous demande de payer via un lien, recherchez le service séparément et vérifiez la demande avant d'agir.
• Google indique qu'un appareil Android non certifié peut ne pas recevoir de mises à jour et que la sauvegarde peut ne pas être protégée.

L'ingénierie sociale peut utiliser des messages qui usurpent l'identité d'une institution ou d'un service pour obtenir des informations, de l'argent ou un accès. L'urgence est un signal pour s'arrêter et vérifier la demande avant de partager des données ou d'effectuer un paiement.

Google recommande de rechercher et d'installer les dernières mises à jour du système, et Apple documente les mises à jour logicielles comme faisant partie de la sécurité de sa plateforme. Les messages trompeurs nécessitent une vérification séparée : l'ingénierie sociale cherche à influencer les décisions des personnes.