Les points clés à retenir sur les codes d'accès sous contrainte (duress code)

• Un code d'urgence efface le contenu de votre téléphone au lieu de le déverrouiller.
• Seul GrapheneOS, sur les téléphones Pixel, propose cette fonctionnalité.
• L'utilisation d'un code d'urgence a valu à un homme d'être poursuivi en justice.

Nous avons l'habitude d'utiliser des codes PIN et des mots de passe pour protéger nos appareils.

Mais depuis quelque temps, les utilisateurs découvrent qu'ils peuvent également servir à effacer le contenu de ces derniers.

Cette fonctionnalité est disponible via les codes d’urgence — parfois appelés « codes d’autodestruction » (ou duress code) — et c’est ce que Samuel Tunick, un habitant d’Atlanta aux Etats-Unis, aurait fourni à un agent des douanes lors d’un contrôle dans un aéroport en janvier 2025.

Comme son nom l’indique, il s’agit d’un code d’accès ou d’un code PIN saisi sur un appareil lorsque son propriétaire se sent contraint de le déverrouiller, mais ne souhaite pas que les données qu’il contient soient accessibles à un tiers.

Par souci d’exhaustivité, il existe trois types différents de codes PIN/d’accès de contrainte :

• Destructeur : le code efface les données. Nous nous intéresserons ici aux smartphones, mais cette fonctionnalité existe également sur certaines clés USB sécurisées, où elle est appelée « code d’autodestruction ».
• Trompeur : le code donne accès à des données leurres (par exemple, les volumes cachés de VeraCrypt et Strongbox et les coffres-forts leurres de Passwarden.
• Signalement : le PIN informe secrètement un tiers.

Nous allons ici nous concentrer sur les codes de contrainte destructeurs et les codes PIN pour smartphones. Tunick utilisait le système d’exploitation personnalisé GrapheneOS sur son smartphone Android, qui dispose d’une fonctionnalité de code de contrainte depuis juin 2024. Une fois cette fonctionnalité activée, si le code d’urgence est saisi à n’importe quel moment où le téléphone demande un code d’accès, elle effacera tous les profils utilisateur ainsi que toutes les données qu’ils contiennent, et effacera la partition eSIM.

Aucun redémarrage n’est nécessaire, et une fois déclenché, le processus ne peut pas être arrêté.

Cette fonctionnalité repose sur le principe selon lequel les données qui ont été effacées de manière sécurisée sont les données les plus sûres qui soient. Elle efface les clés de chiffrement utilisées pour le chiffrement du disque. Une fois ces clés supprimées, il ne reste sur le disque que du texte chiffré, qui, sans la clé, est pratiquement irrécupérable avec les moyens d’expertise numérique actuels.

Si vous cherchiez la fonctionnalité de code d’accès en cas de contrainte sur votre smartphone, j’ai une mauvaise nouvelle pour vous. Il s’agit d’une fonctionnalité spécialisée disponible sur une version spécifique d’Android, axée sur la confidentialité et renforcée en matière de sécurité, développée par une association indépendante à but non lucratif sans lien avec Google.

Les versions standard d’Android et d’iOS ne disposent d’aucun équivalent, et il n’existe aucune application permettant d’activer cette fonctionnalité. Si vous souhaitez bénéficier de cette fonctionnalité, vous aurez besoin d’un smartphone capable de fonctionner sous GrapheneOS (tous les appareils Google Pixel), puis vous devrez installer le système d’exploitation sur l’appareil.

Beaucoup de personnes pourraient estimer qu’un code d’urgence pourrait renforcer leur sécurité, qu’il s’agisse de cadres supérieurs ou de diplomates voyageant dans des pays hostiles ou à haut risque d’enlèvement, ou encore de journalistes, de militants et de collaborateurs d’organisations non gouvernementales dans des États autoritaires.

Je connais également des personnes qui utilisent ce type de fonctionnalité pour leur sécurité personnelle ou leur tranquillité d’esprit.

Et de toute façon, ce sont vos données, alors pourquoi ne pourriez-vous pas les effacer en quelques clics ?

Le parquet des Etats-Unis a inculpé Tunick en vertu de l’article 18 U.S.C. § 2232 (destruction de biens pour empêcher une saisie légale), qui prévoit jusqu’à cinq ans d’emprisonnement. Ses avocats demandent la suppression des preuves en invoquant le quatrième amendement (saisie sans mandat), et une décision est attendue dans le courant de l’année.

Mais il n’y a pas qu’aux États-Unis que l’utilisation d’un code d’accès en cas de contrainte puisse vous causer des ennuis. Au Royaume-Uni et dans l’Union européenne, plusieurs lois régissent la remise d’appareils et de codes d’accès, à l’instar de celle actuellement examinée dans l’affaire américaine, bien qu’aucune n’ait encore été mise à l’épreuve par le déclenchement d’un code d’accès en cas de contrainte.

La Fondation GrapheneOS, une association à but non lucratif basée en Ontario, au Canada, affirme que « la création et l’utilisation de GrapheneOS sont fortement protégées par la Constitution américaine » et que « les lois visant à les rendre illégales ou à exiger un affaiblissement de la sécurité seraient inconstitutionnelles ».

En recherchant des cas similaires, je suis tombé sur un arrêt de la Cour fédérale de justice allemande datant de mars 2025, dans lequel une analyse juridique concluait selon laquelle contraindre un suspect à utiliser son empreinte digitale pour déverrouiller un téléphone ne viole pas les garanties contre l’auto-incrimination, car cela ne nécessite pas la « participation active » du suspect, contrairement à la saisie d’un mot de passe.

Il est intéressant de noter que même GrapheneOS ne propose pas de fonctionnalité de « biométrie sous contrainte » permettant de contourner ce type de décisions judiciaires.

C’est très simple : vos données sont perdues et votre téléphone est réinitialisé aux paramètres d’usine.

À ce stade, vous disposez peut-être d’une sauvegarde dans le cloud et d’un code d’accès que vous êtes le seul à connaître, ou bien vous devrez peut-être repartir de zéro.

Ce résultat dépend de votre niveau de préparation et des efforts que vous êtes prêt à consacrer à ce type de sécurité.

Si vous ne pouvez pas installer GrapheneOS, plusieurs options s’offrent à vous, mais aucune n’est aussi complète qu’un code d’urgence.

Vous pouvez utiliser la fonctionnalité d’effacement intégrée aux appareils Android et iOS, mais cette fonctionnalité n’est ni aussi rapide ni aussi fluide que l’utilisation d’un code d’urgence. Elle nécessite que l’appareil soit déverrouillé et ne fonctionnera pas si le niveau de la batterie est trop faible. Il existe également des fonctionnalités d’effacement à distance intégrées à iOS et Android qui, une fois activées, déclenchent un effacement. Cette fonctionnalité nécessite également l’accès à un deuxième appareil et le temps nécessaire pour effectuer l’opération.

Il existe également des applications dotées de codes d’urgence intégrés. Par exemple, la version pro de Strongbox inclut une option permettant de définir des codes d’urgence pour ouvrir une base de données factice ou effacer toutes les données de l’application.

Je me trouvais en voyage dans un pays d’Afrique du Nord (dont je tairai le nom) qui n’apprécie guère les drones.

Je n’avais pas de drone, mais j’avais un sac sur lequel figurait en gros le nom d’un fabricant de drones. Ce sac a attiré l’attention à la douane au moment de mon départ. J’avais également sur moi une Apricorn Aegis Secure Key 3z, une clé USB qui se distingue par son clavier intégré.

Tout le contenu de la clé était chiffré (et je ne pense pas qu’il y ait eu quoi que ce soit d’important dessus, à part mon itinéraire de voyage et des copies de mes documents). Cependant, craignant qu’elle ne soit confisquée (ce qui n’a finalement pas été le cas), j’ai rapidement et discrètement effacé le contenu de la clé, la transformant en une clé vierge.

Le processus a été rapide, simple et efficace. Et ma décision ne m’a causé aucun souci par la suite.