Partie 3 – Les magasins d’application
Bon, à la demande générale (1 commentaire exprimé, en anglais qui plus est ! ;)), je continue donc sur ma lancée autour de GrapheneOS. Et comme promis, autour des magasins d’application.
GrapheneOS est livré sans magasin d’application généraliste. Il revient à l’utilisateur d’installer son/ses magasin(s). Problème : il n’y a pas de magasin idéal, donc il faut se frayer un chemin entre différentes imperfections. Je ferai un tour des principales solutions actuellement disponibles avant de conclure sur un magasin … qui n’est pas disponible.
Google Play
A tout seigneur tout honneur, le magasin de référence du monde Android est et reste Google Play. L’offre sans aucun doute la plus fournie, avec toutes les applications de référence (à commencer par celles qui vont se charger d’aspirer tout ce qu’elles peuvent en termes de connaissance de leurs usagers).
Google Play est aussi, comme tout produit Google digne de ce nom, la référence en termes de sécurité. Que doit-on entendre par sécurité pour un magasin d’applications ? Tout simplement que l’application que j’installe via ce magasin est bien celle que je crois et qu’elle n’a pas été corrompue par un tiers. Pour garantir cette intégrité, Google Play s’appuie sur les clés de sécurité du développeur. L’application fournie par le magasin au téléphone est signée par lesdites clés du développeur. Ainsi, lors d’une mise à jour, Google Play va comparer les clés et certifier que l’application a effectivement été diffusée par le même développeur.
Google Play porte donc deux qualités majeures, mais présente également un défaut qui tient … dans son nom. Peut-on faire confiance à une application au G majuscule ? En réalité probablement !…
Cette remarque pourra sembler étonnante de la part de quelqu’un qui tient un blog pour expliquer comment réduire les traces laissées aux Big Tech. Mais GrapheneOS offre des outils qui permettent de bénéficier de la sécurité de Google Play en minimisant ses inconvénients. Premièrement, et c’est un atout essentiel, Google Play est fourni par GrapheneOS confiné dans son bac à sable, c’est-à-dire que cette application, comme les autres, ne peut pas accéder aux données de votre téléphone sans autorisation. Restent les communications inter-applications, pour lesquelles GrapheneOS n’a pas encore (à date de rédaction de cet article) fourni d’outil de contrôle. Il suffit d’installer le Google Play Store et ses acolytes (Google Play Services et Google Services Framework) dans un profil dédié uniquement à ces applications et le tour est joué ! En effet, une application peut être installée par n’importe quel profil pour n’importe quel profil. Ainsi, un Google Play sur un profil qui lui est dédié peut servir à installer une application pour un autre profil, utilisé de manière plus générale. La seule information significative que Google captera alors est la liste des applications installées.
Aurora Store
Aurora Store est un client qui permet d’accéder aux applications du magasin Google Play. Il permet notamment de télécharger ces applications de manière anonyme, sans avoir à renseigner un compte Google. A ma connaissance, Aurora ne souffre pas de handicap en termes de sécurité par rapport à Google Play. Par contre, s’agissant d’un moyen pour l’utilisateur de contourner l’application de Google et d’éviter que Google ne puisse améliorer sa connaissance des utilisateurs, il arrive que la firme de Mountain View mette en place des obstacles à l’accès d’Aurora à sa base d’applications. Les utilisateurs peuvent rester ainsi un certain temps sans magasin d’applications.
F-Droid
Pour ceux qui privilégient les applications à source ouverte (Open Source), F-Droid constitue une option. F-Droid est un magasin d’application alternatif qui est arrivé à se trouver une place enviable à l’ombre du magasin au grand G. La très grande majorité des applications Android à source ouverte sont disponibles sur F-Droid, dont la base d’applications est accessible par plusieurs clients, tels que Droid-ify ou autres. Ce magasin est donc très populaire au sein de la communauté Open Source.
Pour autant, F-Droid n’est pas paré de toutes les qualités (tout comme les applications à source ouverte ne sont pas nécessairement parfaitement vertueuses). Le gros point de faiblesse de F-Droid est lié au fait que les applications qu’il propose ne sont pas signées par les développeurs eux-mêmes mais par le magasin F-Droid. Lors d’une mise à jour, si un acteur mal intentionné a corrompu une application et est arrivé à la soumettre à F-Droid, il n’y a alors aucun obstacle à son installation sur votre téléphone. Là où le fonctionnement avec Google Play fait reposer la confiance uniquement sur le développeur, celui avec F-Droid suppose que vous accordez celle-ci tant au développeur qu’au magasin d’application.
Des spécialistes de la sécurité ont produit une analyse étayée sur ce défaut ainsi que sur d’autres, dont vous pouvez prendre connaissance ici si vous maîtrisez la langue de Shakespeare.
Obtainium
Sur le périmètre des applications à source ouverte, il existe une proposition alternative, une sorte d’OVNI. Une application qui n’a pas la prétention de constituer un magasin d’applications mais en présente les principales caractéristiques. Laissez-moi donc vous présenter Obtainium.
Obtainium est un outil doté d’un moteur de recherche, qui va vous permettre de parcourir les principales plates-formes de développement à source ouverte pour trouver votre application. Les plates-formes disponibles sont :
- Github,
- Gitlab,
- Codeberg,
- et la base du magasin F-Droid.
Vous pouvez décider de parcourir l’ensemble de ces plates-formes ou n’importe quel combinaison parmi elles.
Une fois votre application préférée trouvée, Obtainium en assure l’installation, puis vous informe des mises à jour et vous propose leur installation. Ce mode de fonctionnement est très efficace et sécurisé dès lors que l’application que vous cherchez est disponible sur l’une des trois premières plates-formes (je ne reviens pas sur le handicap de sécurité de la dernière).
Accrescent
Chouchou des geeks, Accrescent est un magasin alternatif en version alpha publique actuellement avec une douzaine d’applications au catalogue à la date de rédaction du présent article. Application à source ouverte, il cherche avant tout à promouvoir les applications respectueuses de la confidentialité. Un investissement fort est effectué dans le cadre de son développement sur la sécurité afin de se hisser au plus haut niveau d’exigence en la matière : les développeurs signeront eux-mêmes leurs applications en vue de les soumettre.
N’hésitez pas à installer Accrescent pour le tester et être présents le jour où il prendra son envol.
Voilà donc pour ce troisième billet sur le monde Android sans (ou avec) Google. Et je reste à l’écoute de vos remarques.
Si vous avez apprécié cet article, n’hésitez pas à laisser à son auteur un petit commentaire : il l’encouragera à le maintenir et à le développer.
Laisser un commentaire