Le gouvernement américain qui a sanctionné Huawei a-t-il intégré le SDK de Huawei dans l'application officielle de la Maison-Blanche ?

Auteur : Deep Tide TechFlow

Le 27 mars, l’administration Trump a lancé une application officielle d’actualités, qui prétend offrir aux utilisateurs un accès « sans filtre » aux informations de la Maison-Blanche.

Mais plusieurs audits de sécurité indépendants ont révélé, en 48 heures, un fait assez ironique : le paquet d’installation de cette application intègre des composants de suivi de Huawei. Or Huawei est justement une entreprise chinoise que le gouvernement américain a lui-même inscrite sur une liste noire de sanctions pour des raisons de sécurité nationale.

En plus de cela, l’application demande toute une série d’autorisations système bien au-delà des besoins d’une application d’actualités : géolocalisation GPS, reconnaissance d’empreintes, démarrage automatique au lancement du système, etc. Sur la plateforme X, la publication officielle a rapidement été accompagnée de notes communautaires d’avertissement.

Une application qui publie des communiqués et retransmet en direct le président : pourquoi aurait-elle besoin d’accéder à vos empreintes ?

Après avoir mené une analyse de rétro-ingénierie de l’application de la Maison-Blanche (version 47.0.1), l’expert en sécurité Sam Bent l’a analysée via Exodus Privacy. Exodus Privacy est une plateforme open source d’audit de la vie privée des applications Android, utilisée pour détecter les traqueurs intégrés et les demandes d’autorisations ; elle est largement employée dans la communauté de recherche sur la confidentialité. Les résultats montrent que l’application de la Maison-Blanche intègre 3 traqueurs, dont l’un est Huawei Mobile Services Core (le composant central des services mobiles Huawei).

IBTimes a ensuite publié de manière indépendante un rapport confirmant cette même découverte. L’analyste juridique mitchthelawyer a également publié un article sur Substack pour confirmer la conclusion du rapport Exodus. Trois sources indépendantes convergent vers le même fait : l’application officielle de la Maison-Blanche contient bien du code SDK Huawei.

Il faut préciser que Huawei Mobile Services Core est lui-même un SDK de poussée et d’analyse fourni par Huawei pour l’écosystème Android mondial ; de nombreuses applications destinées aux marchés internationaux l’intègrent pour fonctionner avec les téléphones Huawei.

Le fait qu’il figure dans le paquet d’installation ne signifie pas qu’il envoie activement des données à Huawei. Mais le problème, c’est :

Le gouvernement américain interdit, au nom de la sécurité nationale, à ses entreprises de faire des affaires avec Huawei, alors que sa propre application officielle du président embarque du code Huawei. Sur Hacker News, les commentaires sont sans détour : c’est très probablement une configuration par défaut des sous-traitants, et les décideurs de la Maison-Blanche ne savaient peut-être même pas que le SDK Huawei était présent. « Mais cela pourrait être encore plus inquiétant que le fait qu’il soit volontairement intégré. »

Une liste d’autorisations digne d’un outil système, une politique de confidentialité qui date d’un an

Les autorisations demandées par l’application de la Maison-Blanche incluent : géolocalisation GPS précise, reconnaissance biométrique d’empreintes, lecture/écriture de stockage, démarrage automatique au lancement, fenêtre flottante recouvrant d’autres applications, analyse des réseaux Wi‑Fi et lecture des pastilles de notifications. En comparaison, AP News fournit des notifications d’actualités et des informations sur des catastrophes, avec beaucoup moins d’autorisations nécessaires.

Selon l’article d’IBTimes, le développeur de l’application admet que le plugin technique « n’a manifestement pas retiré de code pertinent » destiné à supprimer les permissions de localisation.

Le problème le plus important réside dans la politique de confidentialité. Selon des recoupements entre les articles d’IBTimes et ceux de mitchthelawyer sur Substack, la politique de confidentialité applicable à l’application de la Maison-Blanche a été mise à jour pour la dernière fois le 20 janvier 2025, soit une année entière avant la mise en ligne de l’application. Cette politique ne couvre que l’accès au site web, l’abonnement par e-mail et les pages de réseaux sociaux ; elle ne mentionne en rien des éléments comme l’application mobile, le suivi GPS, la collecte de données de localisation, l’accès à la biométrie, etc. Lorsque les utilisateurs cliquent sur « J’accepte », ils acceptent un document qui ne couvre en réalité pas les actions effectuées par l’application.

Discours promotionnel intégré et entrée de signalement pour l’immigration

L’application intègre un bouton de fonction « Envoyer un SMS au président ». Après avoir cliqué, le champ de texte du message se remplit automatiquement avec la phrase : « Greatest President Ever ! » (le plus grand président de l’histoire). Si l’utilisateur choisit d’envoyer, le système collecte son nom et son numéro de téléphone.

De plus, l’application intègre aussi un bouton de signalement ICE. ICE est l’Immigration and Customs Enforcement (Agence américaine de l’immigration et des douanes), chargée de l’application des lois en matière d’immigration et des opérations de renvoi. En cliquant sur ce bouton, on accède directement à la page de signalement de l’informateur d’ICE ; l’utilisateur peut signaler anonymement des personnes suspectées d’immigration illégale autour de lui.

Un outil de diffusion d’actualités gouvernemental en apparence, tout en servant d’entrée pour la collecte de données à des fins de propagande politique et de dénonciation. Moins de deux jours après son lancement, sur X, les utilisateurs ont ajouté une note communautaire (Community Note) aux publications officielles de la Maison-Blanche pour rappeler aux autres utilisateurs d’être vigilants quant aux risques pour la vie privée.

Pas seulement la Maison-Blanche : l’application du FBI diffuse des publicités, et la FEMA demande 28 autorisations

Dans la même enquête, Sam Bent a mené un audit Exodus sur plusieurs applications d’agences fédérales, et a constaté que l’application de la Maison-Blanche n’était pas un cas isolé.

L’application officielle du FBI « myFBI Dashboard » demande 12 autorisations et intègre 4 traqueurs, dont Google AdMob, un SDK de publicité. Une application officielle d’un organisme d’application de la loi diffuse des publicités ciblées tout en lisant les informations d’identité du téléphone de l’utilisateur.

L’application de la FEMA (Federal Emergency Management Agency) demande 28 autorisations ; sa fonction principale se limite à afficher les alertes météo et les emplacements des refuges.

L’application de gestion des passeports de la Customs and Border Protection (CBP) demande 14 autorisations, dont 7 sont classées comme « autorisations dangereuses », notamment le suivi de localisation en arrière-plan (même lorsque l’application est fermée) et la lecture/écriture complète du stockage. Dans l’écosystème des applications du CBP, la conservation des données faciales collectées peut durer jusqu’à 75 ans, et ces données sont partagées entre le Department of Homeland Security, l’ICE et le FBI.

À un niveau encore plus bas, au niveau de l’achat de données, le Department of Homeland Security, le FBI, le Department of Defense et la Drug Enforcement Administration achètent chaque jour plus de 15 milliards de points de données de localisation via des courtiers commerciaux comme Venntel. Cela couvre plus de 250 millions d’appareils, sans mandat de perquisition. En substance, cette opération contourne la protection de la vie privée des données de localisation des téléphones établie par la Cour suprême des États-Unis dans l’affaire Carpenter v. United States (2018).

Plusieurs commentateurs sur Hacker News ont résumé la logique commune de ces applications : le gouvernement encapsule des contenus publics qui pourraient être publiés via un site web ou un flux RSS, en les faisant passer par une distribution d’applications natives ; la seule explication raisonnable est d’obtenir des autorisations système que le navigateur ne fournit pas, notamment la localisation en arrière-plan, la biométrie, la lecture de l’identité de l’appareil et le démarrage automatique.

Le rapport 2023 de la Government Accountability Office (GAO) montre que, parmi 236 recommandations en matière de confidentialité et de sécurité émises depuis 2010, près de 60 % ne sont toujours pas appliquées à ce jour. Le Congrès a été deux fois conseillé d’adopter une législation globale sur la confidentialité sur Internet, mais aucune action n’a été entreprise à ce jour.