Un téléphone PGP ne se résume pas à une application de chiffrement installée sur un smartphone classique. La distinction repose sur l’ensemble de la chaîne : système d’exploitation durci, gestion des clés intégrée au niveau matériel, absence de services Google ou Apple transmettant des métadonnées en continu.
La majorité des offres commerciales étiquetées « téléphone crypté PGP » se contentent de superposer une couche applicative à un Android stock. Ce qui laisse intact le problème principal : la fuite de métadonnées réseau et la surface d’attaque du baseband.
Baseband et métadonnées : la faille que le chiffrement PGP ne couvre pas
Le chiffrement PGP protège le contenu d’un message ou d’un mail. Il ne masque ni l’identité de l’émetteur, ni celle du destinataire, ni les horodatages, ni la localisation du terminal. Sur un smartphone connecté à un réseau cellulaire, le modem baseband communique en permanence avec les antennes-relais, indépendamment du système d’exploitation visible par l’utilisateur.
Un mobile « vraiment introuvable » exige donc deux couches distinctes : le chiffrement du contenu par PGP et la neutralisation des canaux de fuite hors applicatif. Concrètement, cela signifie désactiver ou isoler le baseband (ce que proposent certains firmwares durcis), couper les services de localisation au niveau matériel et non logiciel, et renoncer à toute carte SIM nominative.
Les appareils dé-googlisés tournant sous GrapheneOS ou CalyxOS suppriment la couche Google Play Services, ce qui élimine une part significative de la télémétrie. Mais le baseband reste actif tant qu’une carte SIM est insérée. Nous recommandons, pour un usage à haut niveau de confidentialité, de coupler un OS durci avec un mode Wi-Fi seul, en passant par un VPN ou Tor pour les échanges chiffrés.
Clés PGP sur mobile : génération, stockage et rotation
Générer une paire de clés PGP directement sur un téléphone Android reste possible via OpenKeychain ou des forks maintenus. La question porte moins sur la génération que sur le stockage de la clé privée. Sur un ordinateur de bureau, une Yubikey ou une carte OpenPGP offre un stockage matériel isolé. Sur mobile, la clé privée réside dans le stockage interne de l’application, protégée par le chiffrement du disque et le mot de passe de l’appareil.
Ce modèle tient tant que le terminal n’est pas saisi physiquement. La jurisprudence française a renforcé le cadre pénal sur ce point : la Cour de cassation a confirmé en 2024 que le code de déverrouillage peut être traité comme une clé de déchiffrement au sens de la loi lorsqu’un appareil intègre un moyen de cryptologie. Refuser de communiquer ce code expose à des poursuites distinctes de l’infraction initiale.
Rotation et révocation des clés
Une clé PGP sans date d’expiration sur un mobile est un risque dormant. Nous recommandons une sous-clé de chiffrement à rotation annuelle, la clé maître restant hors ligne (sur un support air-gapped). OpenKeychain permet d’importer des sous-clés sans exposer la clé maître sur le terminal.
- Générer la clé maître sur un ordinateur déconnecté, exporter uniquement les sous-clés vers le mobile
- Fixer une expiration de douze mois sur chaque sous-clé de chiffrement et de signature
- Publier le certificat de révocation sur un serveur de clés dès la création, pour pouvoir révoquer même en cas de perte du terminal
- Sauvegarder la clé maître sur un support physique chiffré, stocké séparément du téléphone
Chiffrement des mails PGP sur Android : Thunderbird et alternatives
Thunderbird pour Android intègre nativement la prise en charge d’OpenPGP, sans dépendance externe depuis les versions récentes. L’application détecte les clés stockées dans OpenKeychain et propose le chiffrement à la composition si la clé publique du destinataire est disponible dans le trousseau local.
Pour les utilisateurs qui privilégient un client plus léger, FairEmail offre une intégration comparable avec OpenKeychain. Le choix du client de mail importe moins que la vérification de deux points : le client ne stocke pas de brouillons en clair sur un serveur distant, et il ne transmet pas de métadonnées via des services push liés à Google ou Apple.
L’extension Mailvelope, populaire sur desktop pour le chiffrement PGP dans un navigateur, n’a pas d’équivalent fonctionnel fiable sur mobile. Sur Android, le couple OpenKeychain + client mail compatible reste la seule architecture recommandable.
Limites du chiffrement mail sur mobile
Même avec un chiffrement PGP actif, l’objet du mail, les adresses de l’expéditeur et du destinataire, ainsi que les en-têtes SMTP restent en clair. Pour un usage où l’identité des correspondants doit rester confidentielle, le mail chiffré PGP ne suffit pas. Il faut alors passer par des protocoles de messagerie conçus pour masquer les métadonnées (type Briar ou Cwtch, qui fonctionnent en pair-à-pair via Tor).
Contexte réglementaire européen et impact sur les téléphones PGP
Le projet européen dit « Chat Control » vise à imposer un scan côté client des messages avant chiffrement. L’Union européenne a prolongé le régime temporaire de scan volontaire des messages jusqu’en avril 2028, tandis que la version contraignante (« Chat Control 2.0 ») reste en négociation. Si ce texte aboutit, tout chiffrement de bout en bout deviendrait contournable par conception sur les applications distribuées via les stores officiels.
Pour les utilisateurs de téléphones PGP, la conséquence directe est la suivante : seuls les terminaux fonctionnant avec des applications installées hors store (sideloading) et un OS sans services Google conserveraient un chiffrement réellement de bout en bout. Les appareils iOS seraient les plus exposés, Apple contrôlant strictement la distribution d’applications.
En Irlande, un texte en préparation prévoit des pouvoirs d’accès légal couvrant l’exploitation des données contenues dans des téléphones saisis. La tendance réglementaire va clairement vers un élargissement des capacités d’accès étatique aux terminaux chiffrés, ce qui renforce l’intérêt d’une architecture PGP décentralisée où la clé maître n’est jamais présente sur le téléphone.
Critères de sélection d’un téléphone PGP fiable
- OS dégooglisé vérifié (GrapheneOS, CalyxOS) avec mises à jour de sécurité mensuelles documentées
- Compatibilité matérielle avec le verrouillage du bootloader après installation de l’OS alternatif (les Pixel de Google sont les seuls au permettre proprement)
- Absence de services push propriétaires : notifications via UnifiedPush ou polling local uniquement
- Possibilité de désactiver le modem cellulaire indépendamment du Wi-Fi, au niveau matériel si possible
- Support d’OpenKeychain ou d’une implémentation GPG native pour la gestion des clés et le chiffrement des fichiers
Les offres commerciales « clé en main » facturent souvent plusieurs centaines d’euros de configuration pour un résultat reproductible par un utilisateur averti en quelques heures. Le matériel compte moins que la rigueur de la configuration et la discipline d’usage quotidien : pas de compte Google résiduel, pas de sideloading d’applications non auditées, rotation des sous-clés respectée.
Un téléphone PGP correctement configuré reste l’un des rares outils permettant de conserver la maîtrise complète de ses communications chiffrées. La pression réglementaire actuelle rend cette maîtrise plus difficile à maintenir, mais pas encore impossible, à condition d’accepter les contraintes d’un écosystème entièrement décentralisé et hors cloud.
