L’Union européenne va-t-elle se menotter à Google pour son app de vérification de l’âge ?

L’Europe va-t-elle se reposer sur Google pour son appli de vérification de l’âge ? Si l’on se fie aux premiers éléments techniques disponibles, il se pourrait bien que oui. Sur la page GitHub du projet, on peut voir que l’application (actuellement en développement) prévoit de se reposer sur un système de « certification » Google pour son app Android.

Cela signifierait que tous les mobiles qui ne tournent pas sous un système d’exploitation validé par Google seront exclus, tout comme les internautes qui ne passent pas par le Play Store pour télécharger leurs apps.

Play Integrity, l’API de la discorde

Concrètement, pour assurer la sécurité de l’application, l’Union européenne prévoit, à l’heure actuelle, de se reposer sur l’interface de programmation « Play Integrity » sur Android. Sur le papier, ce système garantit qu’une application n’a pas été modifiée et qu’elle tourne bien sur un système de confiance. Seulement voilà, les conditions pour utiliser cette API sont quelque peu contraignantes.

Play Integrity ne peut être utilisé que sur des systèmes d’exploitation « certifiées » par Google et oblige aussi à passer par le Play Store pour le téléchargement. Si votre téléphone utilise un système d’exploitation alternatif, que ce soit GrapheneOS sur un Pixel ou /e/OS sur un Fairphone, par exemple, il y a de forte chance pour qu’il ne soit pas éligible à cette certification et donc incapable de faire tourner l’app de vérification d’âge que l’UE veut mettre en place.

Même si vous utilisez une version « certifié » d’Android, mais que vous ne passez pas par le Play Store pour télécharger vos apps (parce que vous préférez des solutions libres comme F-Droid ou Obtainium), le service pourrait bien vous sortir une erreur.

Pas vraiment une première

Il faut noter que, pour le moment, l’app actuellement en développement n’intègre pas encore ces mesures de blocage. Cependant, il est écrit noir sur blanc que « les versions de production doivent implémenter des mesures de sécurisation de l’application », notamment la certification Play Integrity.

Sur un des fils de discussion mentionnant le problème, un des développeurs derrière l’application explique tout de même qu’« il ne s’agit que de recommandations et pas d’exigences fermes » et que le sujet va être discuté par les instances dirigeantes.

Pour aller plus loin
Comment j’ai dégooglisé ma vie — Épisode 2 : à quoi ça ressemble une vie sans Google et pourquoi se lancer ?

Il ne s’agit pas de la première fois qu’une app gouvernementale se repose sur le système Play Integrity. En France, l’appli « Identité Numérique » de La Poste demande la même certification, tout comme le service IT-Wallet en Italie. La souveraineté européenne numérique a encore des trous dans la raquette, semblerait-il.