Lumières sur la sécurité

vendredi 27 février 2026

Beaucoup de nos lecteurs savent probablement que le système d'exploitation Android repose sur le noyau Linux monolithique, optimisé pour les appareils mobiles. Ce noyau implémente les fonctions essentielles du système d'exploitation, telles que la gestion de la mémoire, des processus et des ressources matérielles, ainsi que la sécurité. Cela ne signifie pas pour autant qu'Android est une simple distribution Linux de plus, car l'architecture multi-niveaux du système comprend, à part le noyau, de nombreux composants qui permettent au périphérique physique de fonctionner, contrôlent le fonctionnement des applications et déterminent en fin de compte l'expérience utilisateur. Cependant, c'est du noyau Linux que la fonction de sécurité fondamentale des systèmes de type Unix a été transférée vers le système d'exploitation Android : le mécanisme de gestion des droits d'accès et la logique de ce que l'on appelle l'accès root (ou droits root). Dans cette publication, nous aborderons l'accès root dans le contexte des logiciels antivirus sur Android, et explorerons les avantages et les risques associés.

Que sont les droits root et pourquoi sont-ils nécessaires ?

Sur tous les systèmes d'exploitation généralistes, y compris Android, iOS, Linux, macOS et Windows, les applications s'exécutent sous un nom d'utilisateur spécifique et disposent d'un ensemble spécifique de droits ou de privilèges. Ceci illustre l'un des principes fondamentaux de la sécurité informatique, appelé modèle de contrôle d'accès. Ce modèle décrit comment le système contrôle les ressources (fichiers, mémoire, processus, connexions réseau et composants matériels) auxquelles une application peut accéder. Il s'agit essentiellement d'un mécanisme d'isolation et de restriction qui protège le système d'exploitation et les données contre les comportements erronés ou malveillants des programmes et contre les actions de l'utilisateur lui-même. Apple offre un exemple frappant d'application des restrictions les plus strictes avec son système iOS, où chaque application s'exécute dans un environnement isolé et où ni un programme ni l'utilisateur lui-même ne peuvent accéder aux composants du système d'exploitation (sauf en cas d'exploitation de vulnérabilités).

Mais revenons à Android. Les droits root sous Android constituent un niveau d'accès spécifique au système d'exploitation, équivalent aux droits de superutilisateur dans les systèmes d'exploitation de type Linux. Par défaut, l'accès root est désactivé et le système est configuré pour offrir un niveau de sécurité relativement adéquat : les applications s'exécutent dans un environnement isolé avec des droits limités, et un mécanisme d'autorisations surveille l'accès des programmes aux ressources et aux données de l'appareil. Il est à noter que les processus système de confiance s'exécutent avec des privilèges élevés, y compris l'accès root ; sans cela, le système d'exploitation ne fonctionnerait pas correctement. Ces processus constituent le fonctionnement interne du système Android, un domaine où ni l'utilisateur ni les programmes tiers ne sont autorisés à intervenir. Cependant, contrairement à iOS, où cet accès est presque totalement bloqué, l'architecture d'Android offre à l'utilisateur et aux applications tierces la possibilité technique d'obtenir les droits root, et donc un contrôle total sur le système d'exploitation.

L'accès root repose sur le concept UID (User ID - identifiant utilisateur) issu de Linux. Il s'agit d'un identifiant unique, une valeur numérique, attribué sous Linux à un compte utilisateur et aux processus exécutés sous ce compte. Il est important de noter une différence architecturale significative entre Linux multi-utilisateurs traditionnel et Android mobile. Sous Android, un UID n'est pas attribué à un compte utilisateur, mais à une application spécifique (dans ce cas, l'application ou le processus peut être qualifié d'utilisateur « logique »). Ainsi, les UID servent à isoler les programmes et à restreindre l'accès : toutes les applications non système s'exécutent sous des UID restreints, que le système utilise pour contrôler leurs droits d'accès aux données et aux zones système externes.

Les privilèges root suppriment cet isolement. Disposer des privilèges root pour une application quelconque signifie que son processus s'exécute avec l'UID 0. L'UID 0 correspond à la définition d'un superutilisateur logique, qui dispose d'un accès illimité à tous les fichiers, aux autres processus et aux ressources système, car le noyau du système d'exploitation n'impose aucune restriction aux processus exécutés avec cet identifiant. En pratique, cela signifie que l'utilisateur bénéficie d'un contrôle maximal sur son appareil grâce aux applications exécutées avec les droits root. Cela ouvre un large éventail d'options de personnalisation et de gestion du système, et c'est l'une des raisons pour lesquelles de nombreux utilisateurs préfèrent les appareils Android : l'accès root rend l'architecture relativement ouverte, encore plus flexible et personnalisable.

Il est important de comprendre qu'un appareil rooté n'autorise pas par défaut toutes les applications à utiliser les droits de superutilisateur (UID 0). Cela veut dire que l'utilisateur possède une capacité technique d'obtenir un accès root à un moment donné pour effectuer des actions nécessaires sur le système. Par conséquent, même sur un appareil disposant d'un accès root activé, la plupart des applications tierces s'exécutent toujours dans leur propre environnement isolé relativement sécurisé, avec un UID unique limité. Ce mécanisme peut être comparé à la possession de clés donnant accès au fonctionnement interne du système d'exploitation, que l'utilisateur peut confier à une application ou une autre.

Failles de sécurité naturelles

Vous avez probablement déjà deviné les conséquences d'une exploitation imprudente de cette caractéristique architecturale de Linux et d'Android. Dans nos publications, nous abordons souvent les problèmes de sécurité liés à l'utilisation d'un système disposant de privilèges élevés, qu'il s'agisse d'Android, de Windows ou de tout autre système d'exploitation. Examinons les plus évidentes.

Comme nous l'avons déjà mentionné, l'isolation des programmes est un outil de sécurité fondamental. Une application ayant obtenu un accès root est, pour ainsi dire, libérée de sa cage, et ses fonctionnalités intégrées ne sont plus limitées par le système. Elle peut ainsi lire des données provenant d'autres applications, y compris des données utilisateur, supprimer ou modifier des fichiers système, les envoyer sur le réseau, installer d'autres programmes, modifier les paramètres du système d'exploitation, et bien plus encore. Si toutes ces actions sont effectuées sur demande et sous le contrôle d'un utilisateur compétent, il s'agit d'un scénario possible. Si l'utilisateur n'a pas une confiance totale en ses actions et/ou si le programme qu'il utilise est instable, la situation est différente et plus dangereuse. Mais le pire, c'est lorsqu'un tel appareil se retrouve dans le collimateur d'un intrus ou d'un logiciel malveillant.

Les logiciels malveillants sophistiqués tentent d'élever leurs privilèges dans le système pour exécuter du code arbitraire, c'est-à-dire pour obtenir un contrôle total sur l'appareil. Dans un système où l'accès root est désactivé, cela est possible grâce à l'exploitation de vulnérabilités, un mécanisme plutôt complexe. Pour compromettre le système, il est nécessaire de contourner les mécanismes de protection du noyau et le système de sécurité en exploitant une faille logicielle afin de sortir du bac à sable. Une méthode beaucoup plus simple consiste à attaquer un smartphone "rooté" et à utiliser les droits root existants. Très souvent, ces chevaux de Troie se font passer pour des applications utiles et demandent ensuite un accès root. Si l'utilisateur clique sur « Autoriser », le cheval de Troie reçoit l'UID 0 pour effectuer des actions destructives.

L'exploitation des vulnérabilités permet une attaque plus furtive, car l'élévation de privilèges se produit en arrière-plan et sans que l'utilisateur ne soit sollicité. Cependant, ce scénario est plus rare qu'une attaque par cheval de Troie utilisant des méthodes d'ingénierie sociale, où tout commence par la tromperie et la négligence de l'utilisateur. Dans ce sens, les propriétaires d'appareils rootés courent un risque beaucoup plus élevé.

La situation liée à des logiciels malveillants ciblant Android est compliquée par un certain nombre de facteurs supplémentaires qui vont au-delà de l'exploitation des droits root. Premièrement, il permet d'installer des applications tierces à partir de fichiers APK, dont l'utilisateur n'a aucun moyen de vérifier la sécurité. Deuxièmement, des logiciels malveillants peuvent également se trouver dans des catalogues d'applications officiels, tels que Google Play.

Il est important de rappeler que les logiciels malveillants n'ont pas nécessairement besoin d'un accès root pour causer des dommages importants ou voler des données. Ainsi, un cheval de Troie peut fonctionner via le système d'autorisations des applications, utilisé pour partager l'accès aux ressources système communes après approbation de l'utilisateur. Un exemple classique est celui d'une application lampe torche qui demande l'accès aux contacts, aux SMS, au GPS ou à d'autres ressources. Dans ce cas, le cheval de Troie dissimulé reste à l'intérieur des mesures de sécurité du système, car il se trouve dans son propre environnement isolé (sandbox), et c'est l'utilisateur qui lui a accordé l'accès aux données. Malheureusement, il est souvent beaucoup plus facile de tromper quelqu'un que de rooter des appareils modernes et mis à jour.

Une telle variété de menaces, associée aux volumes de données sensibles que nous stockons et traitons sur les appareils mobiles, rend nécessaire l'utilisation d'une protection antivirus fiable.

Fonctionnement de l'antivirus dans le contexte de l'accès root

Doctor Web estime que le logiciel antivirus doit fonctionner pleinement et efficacement sur les appareils sans accès root. L'obtention des droits d'administrateur est une opération non standard (bien que techniquement prévue), et l'utilisateur doit être conscient des risques et des conséquences possibles de ses actions. Ainsi, l'antivirus Dr.Web pour Android ne nécessite pas d'accès root de la part de l'utilisateur et, de plus, ne garantit pas officiellement un fonctionnement stable sur les appareils rootés. Au contraire, l'accès root est considéré comme une vulnérabilité majeure de l'appareil, comme nous l'avons expliqué précédemment. Cependant, Dr.Web peut exploiter l'accès root dont il dispose déjà pour effectuer des analyses plus approfondies.

Par exemple, si un appareil est rooté, l'utilisateur peut sélectionner les dossiers /sbin et /data, situés dans le dossier racine, pour les analyser. Ces répertoires sont des zones système critiques d'Android ; un utilisateur ordinaire ou une application standard ne peut donc pas y accéder sans accès root, en particulier dans les versions récentes du système d'exploitation. Cependant, cela ne signifie pas que les avantages liés à l'obtention d'un accès root l'emportent sur les risques. En matière de sécurité, c'est le contraire. Dr.Web est en mesure de protéger efficacement le système, même lorsqu'il est exécuté dans un environnement isolé (sandbox) disposant des autorisations nécessaires. Le moniteur de fichiers SpIDer Guard est en mesure de surveiller les modifications apportées au système sans accès root et avertir de la suppression, de l'ajout ou de la modification de fichiers exécutables. Ceci est réalisé en rendant la zone système lisible, ce qui est suffisant pour les contrôles de signature et heuristiques. De plus, l'antivirus utilise des mécanismes système standard lors de son fonctionnement : par exemple, le mécanisme de suivi des événements du système de fichiers, grâce auquel Dr.Web peut suivre les modifications apportées aux répertoires système. La limitation est que, sans accès root, l'antivirus ne pourra ni empêcher les modifications dans les zones restreintes ni les effectuer lui-même.

Ainsi, l'absence de l'accès root rend l'appareil plus sûr et le logiciel antivirus plus facile à utiliser. Il continue de protéger efficacement l'appareil contre diverses menaces, tout en rendant extrêmement difficile pour les logiciels malveillants de s'échapper de l'environnement isolé et de devenir inaccessibles à l'antivirus. Avec un accès root, l'antivirus peut acquérir des capacités supplémentaires pour neutraliser les menaces, mais les menaces elles-mêmes acquièrent également des capacités comparables. Parallèlement, l'appareil devient beaucoup plus vulnérable, notamment en raison d'actes imprudents ou de l'ignorance de l'utilisateur.