Chiffrement dans les applications mobiles — bases, algorithmes et principe de fonctionnement

Qu'est-ce que le chiffrement dans les applications mobiles ?

Le chiffrement dans le contexte des applications mobiles est l'application d'algorithmes cryptographiques pour protéger les données stockées sur l'appareil (data at rest) et transmises sur le réseau (data in transit). Au niveau de l'appareil, le stockage local est chiffré : fichiers, bases de données, SharedPreferences et cache. Au niveau du réseau, le trafic entre l'application et le serveur est chiffré via les protocoles TLS/HTTPS. L'objectif ultime est de garantir que même avec un accès physique à l'appareil ou une interception du trafic, un attaquant ne puisse pas lire les données protégées sans la clé cryptographique.

Pourquoi le chiffrement est nécessaire dans les applications mobiles

Les appareils mobiles sont particulièrement vulnérables à la perte de données : un téléphone peut facilement être perdu, volé ou infecté par un logiciel malveillant. Selon le Ponemon Institute (2023), 42% des entreprises victimes de fuites de données attribuent les incidents aux appareils mobiles. Sans chiffrement, un attaquant peut se connecter à l'appareil via USB, extraire la base de données SQLite et lire toutes les données stockées. Le chiffrement résout ce problème : même si la base de données est extraite, son contenu reste chiffré. De plus, aux États-Unis et dans l'UE, des lois (GDPR, CCPA) exigent le chiffrement des données personnelles et imposent des amendes pouvant atteindre 4% du chiffre d'affaires annuel en cas de violation. L'utilisation du chiffrement n'est pas seulement une nécessité technique, mais aussi juridique pour toute application mobile traitant des données utilisateurs.

Chiffrement symétrique et asymétrique

Tous les algorithmes de chiffrement se divisent en deux types principaux : symétriques (une clé pour chiffrer et déchiffrer) et asymétriques (une paire de clés — publique et privée). Le choix du type dépend du cas d'utilisation : pour chiffrer des données locales, on utilise souvent des algorithmes symétriques en raison de leur rapidité, et pour l'échange de clés et l'authentification, on utilise des algorithmes asymétriques.

En pratique, les applications mobiles utilisent le chiffrement hybride : avec un algorithme asymétrique (par exemple ECDH), les parties échangent une clé de session, et toutes les données suivantes sont chiffrées avec un algorithme symétrique (AES ou ChaCha20). Cette approche combine la rapidité du chiffrement symétrique avec la sécurité de l'échange asymétrique de clés. Cette méthode est à la base de TLS 1.3, du Signal Protocol et d'Apple iMessage.

Principaux algorithmes de chiffrement

Le développement mobile moderne utilise plusieurs algorithmes de chiffrement standardisés, chacun conçu pour des tâches spécifiques avec son propre domaine d'application.

• AES (Advanced Encryption Standard) — chiffrement par blocs symétrique certifié par le NIST en 2001. Utilise des clés de 128, 192 ou 256 bits. Le mode recommandé est GCM (Galois/Counter Mode), qui fournit un chiffrement authentifié. AES-256 est utilisé dans Android Keystore, iOS Keychain et tous les protocoles TLS modernes.
• ChaCha20-Poly1305 — chiffrement par flux symétrique développé par Daniel Bernstein. Offre le même niveau de sécurité qu'AES-256, mais fonctionne plus rapidement sur les appareils sans accélération matérielle AES (typique des smartphones Android d'entrée de gamme). ChaCha20 est utilisé dans TLS 1.3 comme alternative à AES-GCM et est le chiffrement principal du Signal Protocol.
• RSA (Rivest-Shamir-Adleman) — algorithme asymétrique utilisé pour le chiffrement de clés et les signatures numériques. La taille minimale de clé recommandée est de 2048 bits. RSA est plus lent que ECDH, donc dans les applications mobiles modernes, il est remplacé par la cryptographie à courbe elliptique (ECC).
• ECDH (Elliptic Curve Diffie-Hellman) — protocole d'échange de clés asymétrique basé sur les courbes elliptiques. Fournit Perfect Forward Secrecy et est utilisé par défaut dans TLS 1.3. La courbe Curve25519 (X25519) est la plus courante dans les applications mobiles.

Comment le chiffrement protège les données des utilisateurs

Le chiffrement protège les données dans trois scénarios clés : perte de l'appareil (chiffrement du disque et des conteneurs d'application), interception du trafic (protocoles réseau TLS/HTTPS) et fuite depuis le serveur (chiffrement de bout en bout). Chaque scénario nécessite sa propre approche et ses propres outils.

Données au repos et en transit

Les données au repos — données sur l'appareil — sont chiffrées via Android Keystore et iOS Keychain. Sur Android à partir de la version 7.0, le chiffrement basé sur les fichiers (File-Based Encryption) est utilisé, et les applications peuvent chiffrer supplémentairement leurs données via EncryptedSharedPreferences et EncryptedFile de la bibliothèque AndroidX Security. Sur iOS, toutes les applications fonctionnent par défaut avec l'API Data Protection, qui chiffre les fichiers au niveau du système de fichiers avec une clé liée au code de l'appareil. Pour les données en transit, TLS 1.2/1.3 est utilisé avec Certificate Pinning obligatoire.

Chiffrement de bout en bout (End-to-End)

Le chiffrement de bout en bout (E2E) est le plus haut niveau de protection des données, où un message est chiffré sur l'appareil de l'expéditeur et déchiffré uniquement sur l'appareil du destinataire. Le serveur de stockage et de transmission n'a pas accès au contenu — il ne manipule que des blobs chiffrés. L'implémentation E2E la plus connue pour les applications mobiles est le Signal Protocol, qui utilise l'algorithme Double Ratchet en combinaison avec X3DH (Extended Triple Diffie-Hellman) pour l'échange initial de clés. Le Signal Protocol offre Perfect Forward Secrecy et future secrecy : la compromission d'une clé ne révèle pas les messages précédents ou suivants. Selon une étude de l'Université Carnegie Mellon (2023), le chiffrement E2E dans les applications de messagerie réduit le risque de fuite de communication de 99,7% par rapport au chiffrement TLS seul. L'utilisation de l'E2E est obligatoire pour les applications des catégories Health & Fitness et Finance selon les exigences du GDPR et de la HIPAA. Pour implémenter l'E2E dans votre propre projet, il est recommandé d'utiliser la bibliothèque Signal Protocol (Java/Swift) ou basée sur Olm (Matrix protocol). Lors du choix d'une solution E2E, évaluez la compatibilité avec la plateforme : le Signal Protocol nécessite la prise en charge de l'envoi asynchrone et du stockage de clés sur le client, ce qui complique les scénarios multi-appareils — pour de tels cas, le Matrix Protocol avec son modèle de salons peut être un meilleur choix.

val masterKey = MasterKey.Builder(context)
    .setKeyScheme(MasterKey.KeyScheme.AES256_GCM)
    .build()

val encryptedFile = EncryptedFile.Builder(
    context,
    File(context.filesDir, "secret.dat"),
    masterKey,
    EncryptedFile.FileEncryptionScheme.AES256_GCM_HKDF_4KB
).build()

encryptedFile.openFileOutput(applicationContext).use { outputStream ->
    outputStream.write("Sensitive user data".toByteArray(Charsets.UTF_8))
}