Une vérification annoncée pour cet été
Présenté le 13 mai parmi les nouveautés de sécurité Android, Key Verifier concerne les conversations chiffrées de bout en bout dans Google Messages. Google prévoit son arrivée plus tard cet été sur les appareils équipés d’Android 10 ou d’une version ultérieure. L’annonce ne signifie donc pas que le réglage est déjà accessible à tous.
Le principe repose sur les clés publiques de chiffrement associées aux interlocuteurs. Google prévoit une vérification dans Contacts, par scan d’un QR code ou comparaison de nombres. Le code devient un moyen visuel de rapprocher ces informations, sans avoir à recopier une longue suite à la main.
Le QR sert à comparer une clé
Ce QR n’est pas présenté comme un lien vers une page à consulter. Il participe à une vérification entre deux personnes, dans le parcours prévu par Google. Se rencontrer pour comparer les informations permet de s’appuyer sur une personne reconnue plutôt que sur le seul nom affiché à l’écran.
C’est une différence utile avec les QR de menus, de paiement ou de publicité. Leur apparence ne révèle pas leur fonction : c’est l’application qui interprète les données qui donne un sens à la lecture. Notre guide du fonctionnement des QR explique ce lien entre contenu encodé et usage.
Un numéro identique peut cacher un changement
Google cite le cas d’un numéro récupéré par un attaquant et utilisé sur un autre appareil, notamment après un détournement de carte SIM. Le statut du contact ne serait alors plus vérifié. Le signal invite à reprendre contact par un moyen déjà connu avant de faire confiance à une demande inhabituelle.
Une perte de vérification demande une explication ; elle ne suffit pas, à elle seule, à prouver une attaque. Un changement légitime d’appareil peut aussi modifier les clés utilisées. Le bon réflexe consiste à confirmer ce changement avec la personne concernée et à refaire la vérification dans le parcours officiel.
Une protection ciblée, avec un rôle précis
Vérifier les clés d’un échange ne garantit pas que chaque affirmation du contact est vraie, qu’une pièce jointe est sûre ou qu’un paiement demandé est justifié. La fonction vise la confiance dans l’interlocuteur d’une conversation chiffrée ; ce n’est pas une certification générale des messages reçus.
Pour les autres QR rencontrés au quotidien, le guide de sécurité Qurl aide à examiner le contexte et la destination. Notre lecteur affiche du contenu décodé ; il ne remplace pas Key Verifier et ne valide pas les clés d’un contact Google.