Apprendre · simulateur GrapheneOS
Répétez les procédures avant même de recevoir le téléphone
Une reproduction en DOM+CSS des écrans GrapheneOS que vous toucherez vraiment — régler un PIN duress, lire l’écran de démarrage vérifié, accorder puis révoquer une session de support, dérouler une saisie, effacer un téléphone perdu. Tout tourne dans votre navigateur : aucun réseau, aucun cookie, aucun identifiant. C’est une reproduction de la procédure, avec ses limites indiquées ci-dessous — jamais l’OS lui-même.
Mission · sous contrainte
Réglez votre PIN duress
Un code qui, saisi sous contrainte, déclenche un effacement immédiat et irréversible. Le piège n°1 : il doit différer de votre vrai code.
Procédure réelleRéglages → Sécurité → Déverrouillage de l’appareil → Mot de passe duress (hardening-checklist §D).
- Réglages
Ouvrez « Sécurité ».
Tout le durcissement de haute valeur vit sous Sécurité. Rien ici ne peut être scripté à distance — c’est volontaire.
- Sécurité
Touchez « Déverrouillage de l’appareil ».
C’est ici que se règlent le code de verrouillage et le PIN duress — les deux secrets que vous seul connaissez.
- Déverrouillage
Touchez « Mot de passe duress ».
Le PIN duress est une fonction GrapheneOS : le saisir efface le téléphone. À n’utiliser qu’en dernier recours.
GrapheneOS — Duress password - Mot de passe duress
Choisissez un PIN duress DIFFÉRENT de votre vrai code (affiché ici : 246 913), puis confirmez.
Le piège : s’il est identique au vrai code, rien ne s’efface jamais. Il doit être un code distinct que vous pourrez donner sous contrainte.
⚠ Piège · Un PIN duress identique au vrai code n’efface rien — c’est le piège n°1 (⚠️ hardening-checklist §D). Choisissez un code distinct.
GrapheneOS — Duress password - Écran verrouillé
Testez-le : saisissez votre PIN duress sur l’écran verrouillé pour voir ce qui se passe (simulation).
Sur un vrai appareil, ce geste est irréversible et sans confirmation. Ici, c’est une reproduction marquée SIMULATION.
- Effacement (simulation)SIMULATION
Observez — puis terminez la mission.
Aucune donnée réelle n’existe ici. Sur un vrai téléphone, l’effacement est total et définitif : aucune récupération.
Ceci est une SIMULATION. Aucune donnée réelle n’existe et rien n’est réellement effacé.
Ce que vous venez de prouver
Vous savez régler un PIN duress distinct et vous avez vu, marqué SIMULATION, l’effacement qu’il déclenche. Le chemin de réglages est exactement celui de votre appareil.
Ce que cela ne protège PAS
- L’effacement est irréversible : aucune sauvegarde, aucun retour en arrière.
- Détruire des preuves peut avoir ses propres conséquences juridiques selon le contexte — ce n’est pas une échappatoire magique (ceci n’est pas un conseil juridique).
- Un adversaire tenant votre téléphone DÉVERROUILLÉ l’emporte : le PIN duress ne protège que l’état verrouillé.
Mission · intégrité
Vérifiez le démarrage attesté
L’écran jaune de démarrage vérifié et l’app Auditor : ce que l’attestation prouve, et ce qu’elle ne prouve pas.
Procédure réelleÉcran de démarrage vérifié (état jaune, clé GrapheneOS) + vérification locale via Auditor.
- Démarrage vérifié
Lisez l’écran jaune de démarrage vérifié, puis continuez.
L’état jaune signifie : le bootloader est verrouillé sur la clé GrapheneOS et refuse de démarrer un système non signé par cette clé. L’empreinte affichée identifie cette clé.
GrapheneOS — Verified boot - Auditor
Lancez une vérification locale avec Auditor.
Auditor compare l’état de démarrage mesuré à une référence de confiance. En local, un même appareil se vérifie lui-même ; en distant, un second appareil pairé atteste le premier.
GrapheneOS — Auditor / attestation - Résultat
Vérification réussie — terminez la mission.
Ce résultat prouve que l’OS démarré est bien celui signé et attendu, et que le démarrage vérifié est actif. Il ne dit rien de ce qui se passe APRÈS le démarrage.
Ce que l’attestation prouve
Vous savez reconnaître l’état jaune de démarrage vérifié et lancer une vérification Auditor. L’attestation prouve l’intégrité du système au démarrage.
Ce que cela ne protège PAS
- Elle ne prouve pas que l’appareil n’est pas surveillé, ni qu’aucune app installée n’est malveillante.
- L’attestation distante exige un second appareil de confiance et une connexion — sans cela, seule la vérification locale est possible.
- Elle n’empêche pas un adversaire physique disposant de votre appareil déverrouillé.
Mission · support attendu
Accordez puis révoquez une session RustDesk
Le meilleur levier d’honnêteté : c’est VOUS qui ouvrez, VOUS qui voyez l’écran, onsecret n’a aucun accès permanent, et vous révoquez à tout moment.
Procédure réelleRustDesk : vous lisez l’ID + le mot de passe à usage unique, vous accordez la capture d’écran par session, puis vous révoquez (FICHE-CLIENT.md).
- RustDesk — au repos
Vous ouvrez RustDesk et lisez au support votre ID + le mot de passe à usage unique.
Rien ne se passe sans votre geste : la session est toujours à votre initiative. Le relais est auto-hébergé par onsecret, pas un cloud tiers.
onsecret — support attendu (fiche client) - Autorisation par session
Accordez « Capture d’écran » pour cette session.
La capture d’écran ne peut pas être pré-accordée : Android l’exige à chaque session (MediaProjection). C’est une garantie, pas une contrainte.
- Session en cours
Observez ce qu’onsecret voit — et ce qu’il ne voit jamais.
onsecret ne voit que l’écran que vous partagez, cette session. Votre navigation, vos messages, votre VPN et vos clés ne transitent jamais par nous.
onsecret — support attendu (fiche client) - Révocation
Terminez la session / retirez l’autorisation.
Vous pouvez couper à tout moment. Une fois la session terminée, onsecret n’a plus aucun accès — il n’y a pas d’agent permanent sur un téléphone non-rooté.
- Accès terminé
L’accès a disparu — terminez la mission.
C’est la preuve du modèle « attendu » : l’accès n’existe que pendant la session que vous avez ouverte et acceptée.
Le modèle de confiance
Vous avez ouvert, accordé, vu la frontière voit / ne voit jamais, puis révoqué. onsecret n’a aucun accès permanent, aucune porte dérobée, et ne voit jamais votre trafic.
Ce que cela ne protège PAS
- Pendant la session, l’écran que vous partagez est visible : fermez ce qui est sensible avant d’accorder.
- Le canal est chiffré de bout en bout sur notre relais, mais vous accordez votre confiance à onsecret le temps de la session.
- La révocation est immédiate côté session ; elle ne « rappelle » pas ce qui a déjà été montré à l’écran.
Mission · saisie
Votre téléphone est saisi
Ce que le PIN duress, l’auto-redémarrage (état BFU) et le verrouillage USB-C font réellement — et ce qu’ils ne font pas.
Procédure réelleScénario composite chaînant les défenses BFU / USB-C / duress (hardening-checklist §D + copie produit pixel-8a).
- Appareil saisi
Un adversaire tient votre téléphone, verrouillé. Continuez.
Point de départ honnête : au repos et verrouillé, vos données sont déjà chiffrées. C’est la première protection, avant tout réglage.
- Auto-redémarrage → BFU
Le délai d’auto-redémarrage s’est écoulé. Continuez.
Après redémarrage automatique, le téléphone revient en état BFU (Before First Unlock) : les clés ne sont plus en RAM, l’extraction à froid devient bien plus dure. Un délai plus court élève la barre.
GrapheneOS — Auto reboot - Câble branché → USB-C
On branche un câble sur le téléphone verrouillé. Continuez.
« Charge seule quand verrouillé » (aapm_usb_data_protection) coupe le lien de données USB tant que l’appareil est verrouillé : l’accessoire ne dialogue pas avec le système.
GrapheneOS — USB-C port control - La limite honnête
Lisez la limite, puis terminez la mission.
Si le téléphone était DÉVERROUILLÉ au moment de la saisie, ou si vous êtes contraint de le déverrouiller, aucun de ces réglages ne vous sauve. Un adversaire déterminé avec un appareil déverrouillé l’emporte toujours.
Ce que chaque défense achète
BFU rend l’extraction à froid coûteuse, le verrouillage USB-C ferme le port de données, le PIN duress permet un effacement sous contrainte. Ensemble, ils élèvent le coût d’une saisie sur appareil verrouillé.
Ce que cela ne protège PAS
- Aucun réglage ne protège un téléphone déverrouillé au moment de la saisie.
- Le déverrouillage contraint (légal ou physique) reste hors de portée de la technique — préparez-vous en amont (données sensibles hors de l’appareil, pochette Faraday, clé Tails).
- Ceci n’est pas un conseil juridique ; les pouvoirs de contrainte varient selon les juridictions (voir EFF).
Mission · perte / vol
Téléphone perdu → Find My Device
Le flux réel de localisation / effacement à distance, auto-hébergé et sans Google — avec ses limites « au mieux ».
Procédure réelleFind My Device auto-hébergé (fmd.onsecret.net), livraison via ntfy/UnifiedPush (hardening-checklist §C + FICHE-CLIENT.md).
- Console FMD
Depuis un autre appareil, ouvrez votre console FMD auto-hébergée. Continuez.
Le serveur FMD est le vôtre (fmd.onsecret.net), pas Google. Les commandes arrivent au téléphone via ntfy (UnifiedPush) — GrapheneOS n’a pas de FCM.
Find My Device (FMD) — projet - Localiser
Envoyez une commande « Localiser ».
La localisation est « au mieux » : elle suppose le téléphone allumé, en réseau, et capable de recevoir la notification ntfy. Aucune donnée ne transite par un tiers.
- EffacerSIMULATION
Si l’appareil est irrécupérable, envoyez « Effacer » (simulation).
L’effacement à distance est lui aussi « au mieux » et irréversible. Il n’aboutit que si l’appareil reçoit la commande — sinon, le chiffrement au repos reste votre protection.
Ceci est une SIMULATION. Aucune donnée réelle n’existe et rien n’est réellement effacé.
- Effacement envoyé (simulation)SIMULATION
Commande simulée — terminez la mission.
Ici rien n’est réellement effacé. Sur le terrain, la réussite dépend entièrement de la connectivité de l’appareil au moment de la commande.
Ceci est une SIMULATION. Aucune donnée réelle n’existe et rien n’est réellement effacé.
Localiser / effacer, honnêtement
Vous connaissez le flux FMD auto-hébergé : localiser puis, en dernier recours, effacer — sans Google, sur votre propre serveur.
Ce que cela ne protège PAS
- Inopérant si le téléphone est éteint, hors réseau, ou en état BFU sans réseau : ce n’est pas une garantie.
- La vraie première ligne est le chiffrement au repos : un téléphone verrouillé volé est déjà illisible.
- L’effacement est irréversible et « au mieux » — ne comptez pas dessus comme unique protection.
Exercice · confiance
Support à distance : voit / ne voit jamais
Un exercice court, centré sur la frontière de ce qu’onsecret voit pendant une session — et la révocation.
Procédure réelleTable « voit / ne voit jamais » de la FICHE-CLIENT.md, rendue interactive.
- Session en cours
La session est ouverte. Comparez ce qu’onsecret voit et ne voit jamais.
À gauche : l’écran que vous partagez, cette session. À droite : tout le reste — navigation, messages, VPN, clés — qui ne passe jamais par onsecret.
onsecret — support attendu (fiche client) - Révoquer
Coupez la session pour retirer l’accès.
Vous gardez la main : couper la session retire tout accès immédiatement.
- Accès terminé
Accès retiré — terminez l’exercice.
Aucun accès ne subsiste. C’est le modèle attendu : rien sans votre geste.
La frontière, en clair
onsecret ne voit que l’écran partagé pendant la session que vous ouvrez, et rien après révocation.
Ce que cela ne protège PAS
- Fermez les contenus sensibles avant de partager votre écran.
- La confiance est réelle pendant la session : le support voit ce que vous montrez.
Exercice · Tails
Démarrer un PC sur la clé Tails
Session amnésique qui ne laisse aucune trace sur le PC — et ce contre quoi elle ne protège pas.
Procédure réelleMenu de démarrage firmware → greeter Tails (persistance désactivée) → vérifier l’image (produit cle-tails).
- Menu de démarrage
Choisissez de démarrer sur la clé USB.
On force le firmware à démarrer sur la clé Tails plutôt que sur le disque interne. Le système du PC n’est pas touché.
- Greeter Tails
Démarrez Tails (persistance désactivée par défaut).
Tails est amnésique : rien n’est écrit sur le disque du PC ; à l’extinction, la session disparaît. La persistance chiffrée est un choix explicite, désactivé par défaut.
- Vérifier l’image
Vérifiez l’authenticité de l’image Tails, puis terminez.
Avant de faire confiance à une clé Tails, vérifiez sa signature. Une clé onsecret est préparée et scellée, mais la vérification reste votre garantie ultime.
Tails — vérifier et démarrer
Amnésique, pas invincible
Vous savez démarrer un PC sur la clé Tails et pourquoi vérifier l’image. La session ne laisse rien sur le disque du PC.
Ce que cela ne protège PAS
- Tails ne protège pas contre un firmware/BIOS compromis ni un enregistreur de frappe matériel.
- Votre trafic reste visible sauf usage de Tor ; l’anonymat n’est pas automatique.
- Une clé non vérifiée peut être piégée : vérifiez toujours l’image.