Qu’est-ce que le bootloader ?
Le bootloader est le premier programme qui s’exécute au démarrage d’un appareil Android. Il initialise le matériel et vérifie l’authenticité du système d’exploitation avant de lui passer le contrôle. Il décide si le système peut démarrer sur un logiciel fiable ou non.
Déverrouillage du bootloader
Déverrouiller le bootloader supprime les restrictions du fabricant et permet à l’utilisateur d’installer un firmware personnalisé (ROM, kernel, recovery, etc.). Cela donne un contrôle total sur l’appareil, mais réduit considérablement la sécurité.
Lorsque le bootloader est déverrouillé :
- L’appareil peut démarrer sur un système non signé ou modifié.
- Le Verified Boot est désactivé ou contourné.
- Une réinitialisation d’usine est généralement déclenchée pour protéger les données existantes.
- Les protections de chiffrement peuvent être compromises si un logiciel malveillant est installé.
Reverrouillage du bootloader
Reverrouiller le bootloader rétablit les contrôles de sécurité d’origine :
- L’appareil ne démarre que les firmwares signés numériquement par le fabricant.
- Le Verified Boot est réactivé pour garantir l’intégrité du système.
- Une réinitialisation d’usine est généralement effectuée pour éliminer tout code ou donnée non fiable résiduelle.
À quoi sert Verified Boot ?
Verified Boot applique une chaîne de confiance depuis le bootloader jusqu’au système d’exploitation. Il vérifie que chaque étape du démarrage est signée et non modifiée. En cas de détection de modification :
- L’appareil peut refuser de démarrer ou afficher un avertissement.
- Il empêche le chargement de malwares persistants au démarrage.
- Il garantit que les données utilisateur ne sont accessibles que par un logiciel fiable.
Comparaison sécurité : bootloader verrouillé vs déverrouillé
| Aspect | Bootloader verrouillé | Bootloader déverrouillé |
|---|---|---|
| Vérification d’intégrité | Verified Boot activé | Contourné ou désactivé |
| Modification du système | Non autorisée (images signées) | Autorisée (toutes images possibles) |
| ROM personnalisées | Interdit | Autorisé |
| Protection contre altération | Forte — altération bloque le démarrage | Faible — firmware modifié peut démarrer |
| Sécurité des clés de chiffrement | Élevée — liée au matériel et OS | Plus faible — accessible avec OS modifié |
| Confiance des applications | Complète — permet Google Wallet, etc. | Limitée — certaines apps refusent de fonctionner |
| Risque de malware persistant | Faible | Élevé — firmware malveillant persistant possible |
| Réinitialisation lors de changement | Oui — déverrouillage/reverrouillage efface les données | Oui — déverrouillage déclenche une réinitialisation |
Le bootloader déverrouillé peut-il être attaqué à distance ?
Pas directement.
Un bootloader déverrouillé n’introduit pas en soi une vulnérabilité à distance. Mais il augmente fortement les risques en cas d’attaque locale ou en chaîne :
- Risque d’attaque locale : avec un accès physique, un attaquant peut flasher un firmware malveillant, extraire des données ou contourner la sécurité.
- Amplification d’attaque à distance : si un appareil est compromis (via malware ou faille zero-day), l’attaquant peut :
- Obtenir un accès root plus facilement.
- Installer un malware persistant au niveau firmware, normalement bloqué par Verified Boot verrouillé.
- Éviter la détection ou la résistance des contrôles de sécurité standards.
Donc, même si un bootloader déverrouillé n’est pas une vulnérabilité distante directe, il aggrave les conséquences d’une compromission à distance, notamment en termes de persistance et furtivité.
Reverrouillage du bootloader dans iodéOS
Certains fabricants autorisent le reverrouillage du bootloader, d’autres non.
Ce reverrouillage peut être bloqué par des mécanismes de sécurité matériels qui empêchent toute tentative pour éviter de rendre l’appareil inutilisable (bricking) ou de compromettre son intégrité. De plus, certains fabricants désactivent cette possibilité pour préserver la garantie ou appliquer des restrictions propriétaires.
Vous trouverez ici la liste de nos appareils supportés et si nous reverrouillons leur bootloader ou non :
https://iode.tech/fr/appareils-pris-en-charge-officiellement-par-iodeos/
