Contexte et annonce du blocage
Un rapport publié sur GitHub (issue #105 du projet banking-apps-compat-report) indique que l'ASN d'une banque néerlandaise empêche l’accès à ses services depuis des appareils Android qui ne sont pas certifiés par Google. Le blocage s’applique explicitement aux distributions orientées vers la confidentialité, comme GrapheneOS, ainsi qu’à tout autre système d’exploitation Android dépourvu des services Google Play. L’information provient d’observations de trafic réseau et de tests d’accès réalisés par la communauté de recherche en sécurité mobile.
Mécanisme de détection et de blocage
Le filtrage repose sur l’inspection du User‑Agent HTTP et, possiblement, sur la validation de certificats de signature d’application. Les appareils non‑Google Android utilisent généralement un User‑Agent qui ne mentionne pas les services Google, ce qui permet aux serveurs de la banque d’identifier rapidement la provenance du client. En outre, certaines banques intègrent des vérifications de l’empreinte du certificat de l’application bancaire officielle, qui diffère lorsqu’elle est re‑signée pour des OS alternatifs. Lorsqu’une requête ne satisfait pas ces critères, le serveur renvoie un code d’erreur HTTP 403 (Forbidden) ou redirige vers une page d’erreur générique, interrompant ainsi la session.
Impacts sur la compatibilité et la sécurité
Le blocage limite l’accès aux services bancaires aux seuls appareils disposant des services Google, ce qui exclut les utilisateurs de GrapheneOS, LineageOS sans GMS, ou de tout appareil « de‑googled ». Cette restriction renforce indirectement la dépendance aux services Google, tout en réduisant la surface d’attaque liée aux applications tierces non vérifiées. Cependant, elle crée un vecteur de contournement : les utilisateurs peuvent recourir à des navigateurs Web ou à des VPN qui masquent le User‑Agent, mais ces solutions introduisent des risques supplémentaires de phishing ou de perte de session sécurisée.
Limites du rapport et perspectives
Le document source ne fournit pas le numéro exact de l’ASN, ni les règles de filtrage précises (liste blanche/ noire, seuils de détection). De plus, aucune donnée quantitative n’est présentée quant au nombre d’utilisateurs affectés ou à la fréquence des blocages. En l’absence de ces informations, il est difficile d’évaluer l’efficacité réelle du mécanisme ni son impact économique. Les chercheurs recommandent de publier des spécifications techniques plus détaillées, afin de permettre aux développeurs d’OS alternatifs d’ajuster leurs User‑Agent ou d’implémenter des certificats compatibles sans compromettre la sécurité.
