Si les nouveautés d'Android 6.0 sont nombreuses pour le grand public, celles dédiées à la sécurité et au monde professionnel ont de quoi conquérir le cœur des entreprises. Du chiffrement intégral aux multiples améliorations de la gestion de flotte, tour d'horizon des ajouts cachés de Marshmallow.

En dehors des nouveautés visibles par le grand public, Android 6.0 apporte tout un lot d'améliorations pour la sécurité et les professionnels. Si certaines d'entre elles ont été largement mises en avant par Google, comme la lecture d'empreintes digitales sur les derniers Nexus, d'autres moins connues méritent que nous nous y penchions.

Parmi elles figurent de nombreuses améliorations pour la gestion des smartphones et tablettes en entreprise, comme un meilleur contrôle des applications et des simplifications pour les utilisateurs. Nous avons décidé de leur consacrer la dernière partie de notre dossier sur Android 6.0. Vous retrouverez les autres  parties de ce dossier par ici : 

• Permissions, Now on Tap, autonomie : toutes les nouveautés d'Android 6.0
• Android 6.0 : quels appareils auront droit à une mise à jour

Le chiffrement intégral par défaut sur les nouveaux appareils, s’ils sont assez rapides

Il s’agit d’un changement qui devait initialement faire partie des nouveautés d’Android 5.0. Google était finalement revenu sur sa décision à cause de problèmes de performances : l’activation du chiffrement intégral des données réclamait trop de puissance au processeur, et de nombreux terminaux affichaient une nette chute de réactivité.

Dans le document adressé aux constructeurs (PDF), Google indique désormais que ce chiffrement intégral est bien actif par défaut avec Android 6.0 dès que le nouveau terminal, qu’il s’agisse d’un smartphone ou d’une tablette, permet un chiffrement AES d’au moins 128 bits sur un flot de données au rythme minimal de 50 Mio/s (mébioctets par seconde). Il s’agit clairement d’une obligation pour le constructeur, et non d’un conseil.

Ce chiffrement concerne les dossiers /data et /sdcard et permet donc de couvrir toutes les données personnelles de l’utilisateur, même quand elles se trouvent sur une carte mémoire. Rien n’empêche cependant les possesseurs de smartphones actuels d’activer ce chiffrement, comme cela était déjà le cas depuis avec Android 5.0. Attention cependant aux éventuelles chutes de performances, même si la fonctionnalité peut être stoppée. Notez par ailleurs qu’en cas d’activation, il sera impossible de récupérer les données sur le terminal si la séquence de déverrouillage est perdue.

Les empreintes digitales gérées de manière centralisée

La reconnaissance digitale n’est pas une nouveauté en soi. Plusieurs constructeurs, notamment Samsung, la proposant depuis quelques années. Mais chacun y est allé de sa propre technologie, interfacée avec d’autres services maison, en particulier ceux liés au paiement.

Android 6.0 apporte une gestion centralisée des empreintes. Comme on peut s’y attendre, et comme c’est le cas d’ailleurs sur d’autres plateformes comme iOS avec TouchID, elle est directement reliée à la solution de paiement Android Pay. Pour l’utilisateur, cela ne changera pas forcément grand-chose dans la pratique, il s’agira simplement d’une autre manière de faire.

Évidemment, pour ceux qui utiliseront Android Pay, la situation sera différente. Ce système de paiement ne sera cependant disponible qu’aux États-Unis dans un premier temps, où il a été lancé il y a quelques semaines seulement. Sachez dans tous les cas qu’une fois cette solution en place un peu partout, les possesseurs de smartphones « rootés » ne pourront pas l’utiliser. L’infrastructure ne fonctionne que sur des droits limités pour des questions évidentes de sécurité, et Google ne souhaite pas créer un contexte propice au piratage, surtout pour une infrastructure impliquant des banques.

BoringSSL remplace officiellement OpenSSL

OpenSSL est l’implémentation libre des protocoles SSL et TLS que l’on trouvait pratiquement partout jusqu’à récemment. La faille HeartBleed a cependant créé une onde de choc et des « forks » sont apparus. BoringSSL est l’un d’eux et correspond aux efforts de Google pour proposer une alternative viable et surtout plus sécurisée. Le groupe de Mountain View a donc décidé de remplacer OpenSSL par sa solution dans Android 6.0.

Simplifier la vie des administrateurs dans les entreprises

Le modèle BYOD (Bring Your Own Device, « Apportez votre propre appareil ») est devenu courant en entreprise, mais certaines préfèrent toujours passer par une gestion centralisée des appareils. Dans les structures qui adoptent cette solution, certains outils manquent toujours à l’appel, et Google était conscient que les administrateurs avaient besoin de certaines fonctionnalités supplémentaires pour gérer un parc mobile plus efficacement. L’éditeur a donc renforcé certaines API, en a apporté de nouvelles et a enrichi son offre Android for Work, lancée en février.

Plusieurs nouvelles capacités ont donc été ajoutées pour les appareils ayant un profil spécifique pour le travail (Work Profile). Via une API dédiée, les administrateurs vont pouvoir par exemple surveiller de près la quantité de données consommée par tout ou partie des applications professionnelles. Il y a une séparation nette de ces dernières avec les applications classiques, considérées comme personnelles donc, que l’utilisateur installe depuis la boutique Google Play.

Cet ajout peut avoir de multiples intérêts. Il peut bien entendu aider à observer les surconsommations de données dans le cadre d’une optimisation éventuelle. Mais pour les employés en déplacement, la consommation des données peut entrainer une facturation spécifique sur son forfait. L’entreprise peut alors vérifier précisément la part qu’elle représente et rembourser l’utilisateur sur cette base. 

Automatiser des tâches potentiellement rébarbatives

L’API DevicePolicyManager évolue de son côté pour prendre en charge une éventuelle application tierce ou interne dont la mission sera de configurer un accès VPN ou de simplifier l’installation des certificats de sécurité. Un ajout réclamé par les entreprises qui souhaitaient y consacrer moins de temps. L’idée est de pouvoir envoyer directement sur les terminaux des profils de configuration ou des certificats, supprimant l’étape de paramétrage par l’utilisateur ou le service informatique et les avertissements parfois « anxiogènes ».

Dans un autre domaine, Android 6.0 permet aux entreprises tout un ensemble de règles qui devraient nettement faciliter la vie de tout le monde. Par exemple, un administrateur peut définir sur un appareil une certaine configuration Wi-Fi que l’utilisateur ne pourra pas supprimer par erreur (ou volontairement d’ailleurs). Même chose pour une réinitialisation de l’appareil, qui peut être bloquée (Factory Reset Protection). Quant aux applications maison, elles peuvent recevoir automatiquement les mises à jour sans que l’utilisateur n’ait à vérifier quoi que ce soit. Notez d’ailleurs que les applications « pro » seront désormais signalées par une icône de petite valise dans la barre de statut.

Des appareils « kiosques » beaucoup plus figés

Android 6.0 ajoute également de nouvelles capacités à des appareils dont la configuration est particulière et qu’on surnomme souvent les « kiosques ». Google appelle ces appareils « COSU » de son côté, pour « corporate-owned, single-use », autrement dit des appareils appartenant à l’entreprise et dédiés à une utilisation unique. Il s’agit tout simplement de terminaux « figés » et qui ne servent la plupart du temps qu’un seul objectif : lancer une application ou un service unique, par exemple pour la gestion des stocks ou une démonstration quelconque.

Dans la pratique, les configurations n’étaient pas aussi figées qu’elles auraient dû l’être, et les utilisateurs avaient encore la capacité de « dérégler » (par accident ou non) les paramètres mis en place. Désormais, Android 6.0 permet de bloquer de nombreux éléments, dont le clavier virtuel et la barre de statut. Le safe boot peut lui aussi être activé ou non, au choix de l’entreprise.