Android 17 va renforcer la sécurité de l’écran de verrouillage en bloquant toute nouvelle saisie après 20 codes PIN ou mots de passe incorrects. Cette limite réduit fortement les possibilités de tester plusieurs combinaisons sur un téléphone perdu ou volé. Google ajoute aussi plusieurs protections pour éviter qu’un utilisateur ne verrouille accidentellement son propre appareil.
Android 17 limite fortement le nombre de codes testés
Google va durcir les règles appliquées après plusieurs erreurs sur l’écran de verrouillage. L’entreprise avait annoncé de nouvelles protections en mai, pendant l’événement The Android Show: I/O Edition, mais les détails montrent que le changement est plus important que prévu.
Dans les versions précédentes d’Android, le système autorisait de nombreux essais sur une longue période. Un attaquant pouvait donc tester des codes courants, notamment s’il connaissait certaines informations personnelles sur le propriétaire du téléphone, comme sa date de naissance ou un nombre qu’il utilise souvent.
Avec Android 17, cette méthode deviendra beaucoup moins efficace.
La limite passe de 1 800 essais à seulement 20
Sous Android 16, le nombre de tentatives autorisées restait relativement élevé. Le système permettait d’effectuer :
- 10 tentatives pendant la première minute ;
- 20 tentatives en six minutes ;
- 50 tentatives en 25 minutes ;
- 110 tentatives en 24 heures ;
- jusqu’à 1 800 tentatives sur cinq ans.
La nouvelle politique, introduite avec Android 16 QPR2 puis conservée dans Android 17, réduit fortement ces seuils :
- 6 tentatives pendant la première minute ;
- 7 tentatives en six minutes ;
- 8 tentatives en 25 minutes ;
- 12 tentatives en 24 heures ;
- 19 tentatives sur cinq ans.
Après la 20e tentative incorrecte, le système n’acceptera plus aucun nouvel essai.
Google veut bloquer les codes PIN trop faciles à deviner
Cette restriction vise les attaques fondées sur des codes prévisibles. De nombreuses personnes utilisent encore une date de naissance, des chiffres répétés, une suite simple ou un nombre lié à leur vie personnelle.
Une personne disposant de quelques renseignements sur le propriétaire du téléphone peut ainsi cibler les combinaisons les plus probables, plutôt que de choisir des codes au hasard.
En fixant une limite absolue de 20 erreurs, Google réduit considérablement les chances de trouver le bon code par essais successifs.
Un code incorrect répété ne comptera qu’une seule fois
Android 17 tiendra aussi compte des erreurs commises par le véritable propriétaire du téléphone. Lorsqu’un même code incorrect sera saisi plusieurs fois, il ne sera comptabilisé qu’une seule fois dans la limite autorisée.
Le système affichera un message précisant que la tentative répétée n’a pas été ajoutée au compteur. Un utilisateur persuadé d’avoir saisi le bon code ne risquera donc pas d’épuiser ses essais en répétant plusieurs fois la même combinaison.
Les codes différents continueront, eux, d’être décomptés séparément.
Des délais de verrouillage affichés plus clairement
Android 17 rendra également les messages d’attente plus faciles à comprendre. Pour les blocages prolongés, le système n’affichera plus uniquement une durée exprimée en secondes.
Le téléphone pourra indiquer « Réessayez dans 30 minutes », au lieu de « Réessayez dans 1 800 secondes ».
Cette modification ne change pas le niveau de protection, mais elle permet de connaître immédiatement la durée réelle du blocage.
Un raccourci pour récupérer plus facilement son compte
Google ajoutera aussi un raccourci de récupération sur l’écran de verrouillage. Celui-ci aidera l’utilisateur à retrouver les options permettant de restaurer l’accès à son compte depuis un autre appareil.
Cette fonction devrait être utile aux personnes qui ont réellement oublié leur code. Avec seulement 20 essais disponibles, elles pourront accéder plus rapidement aux outils de récupération au lieu de continuer à tester des combinaisons.
Les téléphones perdus ou volés seront mieux protégés
La nouvelle limite rendra les attaques par essais successifs beaucoup moins efficaces. Une personne en possession d’un téléphone verrouillé ne pourra plus tester des centaines ou des milliers de codes au fil du temps.
Cette protection renforce la sécurité des appareils contenant des données personnelles, des applications bancaires, des photos privées, des comptes en ligne ou des documents professionnels.
La mesure pourra être contraignante pour les utilisateurs qui oublient souvent leur code. L’exclusion des tentatives répétées, les messages plus lisibles et le raccourci de récupération devraient toutefois réduire les risques de blocage accidentel.
Samuel Le Goff suit l’actualité des smartphones, des systèmes d’exploitation mobiles et de l’intelligence artificielle depuis plus de 14 ans. Il couvre notamment Samsung, Xiaomi, Apple, Android, iOS et les grandes tendances du numérique.
