Un résident d'Atlanta risque des poursuites fédérales après avoir déclenché, lors d'un contrôle douanier, la fonction de mot de passe de contrainte de GrapheneOS. Celle-ci est prévue pour effacer complètement le contenu d'un téléphone. C'est la première fois qu'une inculpation de ce type vise l'usage de cette fonctionnalité.
Samuel Tunick a été inculpé par le ministère de la Justice américain pour avoir, selon l'accusation, sciemment effacé les données de son téléphone devant des agents des douanes. Mais peut-on être poursuivi pour avoir activé une fonction de sécurité intégrée à son propre appareil ?
Une fonction de sécurité transformée en chef d'accusation
Le 24 janvier 2025, Samuel Tunick atterrit à l'aéroport Hartsfield-Jackson d'Atlanta. Il est orienté vers une inspection secondaire. Il ignore alors qu'un agent de la sécurité intérieure a diffusé, trois heures plus tôt, un signalement le présentant comme suspecté d'activités terroristes. En cause : son association supposée avec Defend the Atlanta Forest, un mouvement opposé à la construction d'un centre de formation policière surnommé "Cop City".
Pendant l'interrogatoire, les agents concentrent leurs questions sur des images d'abus sexuels sur mineurs. Selon The Guardian, qui rapporte l'affaire, Tunick demande quatre fois à parler à un avocat. Chaque demande est refusée. Aucun mandat n'est présenté, et ses droits ne lui sont pas notifiés. Il finit par communiquer un code d'accès à son téléphone. L'écran devient noir, clignote plusieurs fois, puis l'appareil redémarre. Les données viennent d'être effacées.
Ce code correspond à la fonction de mot de passe de contrainte de GrapheneOS, le système d'exploitation open source basé sur Android que Tunick avait installé sur son Google Pixel. Contrairement au code de déverrouillage habituel, cette combinaison alternative déclenche une réinitialisation immédiate de l'appareil. Le téléphone a tout de même été saisi. Les procureurs fédéraux ont ensuite inculpé Tunick pour destruction de biens dans le but d'empêcher une saisie légale, en vertu de l'article 2232(a) du code pénal américain, un texte rarement mobilisé dans ce type de dossier.
Un procès qui questionne les droits numériques à la frontière
La défense de Tunick a déposé une requête pour écarter les preuves obtenues. Selon ses avocats, la fouille reposait sur un prétexte : l'enquête visait en réalité son engagement militant, pas la recherche de contenus illicites. Les autorités douanières justifient l'absence de mandat par un argument déjà avancé par le passé : tant qu'un voyageur n'est pas autorisé à entrer sur le sol américain, ses droits constitutionnels s'appliqueraient différemment. Une première audience s'est tenue le 20 juillet devant le tribunal fédéral d'Atlanta. Une décision sur la requête de suppression des preuves n'est pas attendue avant fin octobre.
Plusieurs spécialistes en sécurité numérique, dont Bill Budington de l'Electronic Frontier Foundation et Runa Sandvik, fondatrice du cabinet Granitt, indiquent n'avoir jamais vu de poursuites fondées sur l'usage d'un mot de passe de contrainte. Sandvik recommande, pour les prochains voyages, de traverser les frontières avec un appareil vidé de ses données personnelles, puis de récupérer ses données une fois arrivé à destination via le cloud.
Le sujet des fouilles de téléphones aux frontières n'est pas nouveau. Nous rapportions en février dernier les alertes de la DGSI sur des cas de fouilles ou de manipulations de téléphones déverrouillés lors de déplacements professionnels à l'étranger. En France, GrapheneOS est également dans le collimateur des autorités, dont certaines n'hésitent pas à reprendre le vieil amalgame entre protection renforcée de la vie privée et dissimulation d'un crime. Face à des menaces de poursuite judiciaire, l'équipe de GrapheneOS a quitté la France et un porte-parole nous expliquait que des forks frauduleux sont distribués librement, usurpant la marque et l'image de GrapheneOS.
