Google propose un DRM renforcé pour contrôler le marché sur Android

Guillaume Champeau - publié le Mercredi 28 Juillet 2010 à 11h59 - posté dans High-Tech

Google propose désormais aux développeurs d'applications pour Android de vérifier lors du lancement de leur application si l'utilisateur a bien acheté le logiciel, et de bloquer l'exécution dans le cas contraire. Le DRM n'est proposé qu'aux seuls développeurs qui passent par la plate-forme officielle, Android Market.

L'un des avantages reconnus aux téléphones Android par rapport aux iPhone est la moindre emprise que possède Google sur les utilisateurs et les développeurs. Là où Apple n'autorise la distribution des applications que sur l'App Store, et oblige ses clients à jailbreaker leur iPhone pour se libérer de cette restriction, Google permet aux développeurs de fournir leurs applications en passant par d'autres plate-formes que son Android Market. Mais il compte bien miser sur la peur du piratage pour convaincre les éditeurs de rester fidèles à la la plate-forme officielle.

Google a en effet dévoilé mardi l'ajout d'un nouveau système de protection contre le piratage pour les développeurs d'applications sous Android 1.5 et supérieur, qui ne fonctionne qu'avec les seules applications distribuées sur l'Android Market. Il est destiné à terme à remplacer totalement le système de chiffrage des fichiers des applications que proposait jusque là la firme de Mountain View.

Avec ce DRM baptisé Android Market Licensing, les développeurs pourront vérifier lors du lancement de l'application si l'utilisateur possède bien une copie légitime du logiciel. Si ça n'est pas le cas, l'application pourra être bloquée, ou exécutée dans un mode amoindri, par exemple en désactivant certaines fonctionnalités réservées aux copies légales. La vérification peut être ordonnée à chaque lancement, ou selon une fréquence plus importante définie par le développeur s'il ne veut pas empêcher l'exécution du logiciel lorsque l'utilisateur n'est pas connecté à Internet.

Concrètement, les applications qui utilisent les librairies du système Android Market Licensing passent par le client Android Market installé sur le mobile, lors de chaque lancement. Le client propriétaire de Google collecte alors "les informations nécessaires à propos de l'utilisateur et de l'appareil, tel que le nom du compte utilisateur Google primaire de l'appareil, l'IMSI, et d'autres informations" (ce qui n'est pas très précis...). Il envoie le tout au serveur de contrôle, qui vérifie que l'utilisateur désigné a bien acheté le logiciel sur l'Android Market, et renvoie une réponse que seule la clé publique stockée dans le code source de l'application permet de déchiffrer.

"Android Market Licensing est conçu pour vous permettre d'appliquer des contrôles de licences à des applications que vous publiez à travers Android Market et que les utilisateurs téléchargent depuis le Market. Le service n'est pas conçu pour vous permettre d'accéder à des applications qui ne sont pas publiées à travers Android Market ou qui fonctionnent sur des appareils qui n'offrent pas le client Android Market", explique Google dans une notice destinée aux développeurs.

Ainsi, Google souhaite offrir un avantage unique aux développeurs qui seraient tentés, sinon, de proposer leurs applications sur d'autres plate-formes où la commission sur les ventes est moindre, voire nulle. Il vise aussi directement les fabricants de téléphones et les opérateurs mobiles qui souhaitent profiter de la nature open-source d'Android pour installer leurs propres plate-formes d'applications à la place de l'Android Market.

Orange, par exemple, va commercialiser un téléphone d'entrée de gamme sous Android à seulement 1 euro, fabriqué par le Chinois Huawei, qui mettra en avant ses propres applications plutôt que l'Android Market. Ce qui empêchera sur ce téléphone toute exécution d'une application utilisant la librairie Android Market Licensing.

Publié par Guillaume Champeau, le 28 Juillet 2010 à 11h59
 
 
25
Commentaires à propos de «Google propose un DRM renforcé pour contrôler le marché sur Android»
 

1
2
Meego vaincra ! Jolie couteau dans le dos ... :(
croustibat, le 28/07/2010 - 15:18
Il y a un point qui me chiffonne ... Androïd, c'est un logiciel libre, non ? Donc on doit pouvoir avoir les sources, non ? Déja que sans les sources, ce genre de protection tient péniblement quelques semaines, je pense que dans l'heure qui suivra la mise en marche de ce truc il sera déja cracké .

jvachez? T'as changé de pseudo? :)
Non ce n'est pas parce que quelque chose est open-source qu'il a des failles à gogo... bien au contraire!

Le DRM-by-google utilise le principe du chiffrement asymétrique. En gros, l'application est chiffrée (sauf le LVL). L'API fait une requête au store pour une session de déverrouillage (on peut imposer une nouvelle clef par session de déchiffrement cf. la cascade de boot géré par une puce TPM), Google vérifie les droits et envoie la clef, l'appli est déchiffrée puis le code exécuté.

Ce serai une approche qui, techniquement, me semble élégante et solide
leto13, le 28/07/2010 - 18:58
Heu! A quoi sert une appli si tu n'a pas de connection internet?
Alors, sur Android, sans internet j'utilise quelques applis quand même :
- Astrid Tasks (une todo-list)
- Mobile Maps (une appli GPS)
- TuneWiki (pour lire et organiser de la musique)
- quelques jeux (pour patienter)
- L'appareil photo et la caméra (pour faire photos et vidéos)
- Le téléphone !
- la radio FM
- le dictaphone
- le lecteur de DivX
- la visionneuse PDF et le lecteur d'eBooks

En fait si, un smartphone ça peut servir sans internet :)
lildadou, le 28/07/2010 - 19:32
jvachez? T'as changé de pseudo? :)
Non ce n'est pas parce que quelque chose est open-source qu'il a des failles à gogo... bien au contraire!

Le DRM-by-google utilise le principe du chiffrement asymétrique. En gros, l'application est chiffrée (sauf le LVL). L'API fait une requête au store pour une session de déverrouillage (on peut imposer une nouvelle clef par session de déchiffrement cf. la cascade de boot géré par une puce TPM), Google vérifie les droits et envoie la clef, l'appli est déchiffrée puis le code exécuté.

Ce serai une approche qui, techniquement, me semble élégante et solide

je ne suis pas un multi non :D
Tel que je le vois, ce genre de "protection" se casse facilement par une attaque de type man in the middle. Avec le code source, on peut facilement déterminer à quel moment le programme sera déchiffré; a partir de la, il est plutot facile de le mettre en clair (un gros dump de la zone mémoire ou le prog est stocké, au pire) et de supprimer la requete au serveur de google derriere pour avoir comme tu dis "une solution élégante" .
leto13, le 28/07/2010 - 18:58
comment fonctionnent ces applis a l'etranger si on desactive le roaming ?

Heu! A quoi sert une appli si tu n'a pas de connection internet?

Tu peux faire des jeux, t'en servir de GPS aussi si tu as les cartes intégrées ce qui est indispensable à l'étranger vu le prix de la 3G

1
2
Télécharger
Samsung Kies
Divers - Synchronisez votre mobile Samsung avec votre ordinateur.
 
Cube 2 :
Tir subjectif (FPS) - FPS Open Source
 
Web Album Maker
Photo numérique - Concepteur d'albums photo pour sites web
 
RegCleaner
Nettoyeurs - Nettoyage de la base de registre
 
AOL Instant Messenger (AIM)
Communication - AIM, client messagerie de AOL
 
Juillet 2010
 
Lu Ma Me Je Ve Sa Di
28 29 30 1 2 3 4
5 6 7 8 9 10 11
12 13 14 15 16 17 18
19 20 21 22 23 24 25
26 27 28 29 30 31 1
2 3 4 5 6 7 8
Matoumba
EntrepreNantes
Numerama est un site du réseau PressTIC