Des chercheurs ( Laurent Simon et Ross Anderson) de l'Université de Cambridge ont ainsi tenu une étude sur 21 smartphones de seconde main opérant sur des versions d'Android allant de la 2.3.x ( Gingerbread) jusqu'à la version 4.3 ( Jelly Bean) pour tenter de mettre en évidence le fait que le "Factory Reset" ne tiendrait pas ses promesses. Et les résultats sont effectivement cinglants pour Android.

Android_bugdroid-GNT  La procédure automatique est ainsi censée effacer toute trace d'un précédent usage et de rétablir l'appareil dans son état d'origine, comme s'il venait d'être acheté. Dans la pratique, le résultat est bien différent. Toutes les marques sont concernées, et selon les estimations des chercheurs, ce sont 500 millions de smartphones circulant dans le monde qui seraient touchés par le problème.

Lors de la procédure, il a été établi que 80 % des smartphones conservaient des données du précédent utilisateur. Pire, les chercheurs ont pu récupérer des données d'authentification Google leur permettant d'accéder à des comptes précédemment configurés sur l'appareil ( Gmail, et services associés). Les chercheurs ont pu récupérer des emails, des SMS des historiques de chat... ainsi que des vidéos et des photos.

Le problème est que le terme de "Factory Reset " est inexact, puisque la procédure n'implique pas le formatage complet de l'appareil. En réalité, la procédure fait simplement disparaitre le chemin permettant d'accéder aux zones de mémoire précédemment utilisées. Ce n'est que lorsque le nouvel utilisateur utilise son smartphone et réinstalle des données sur ces secteurs que les données sont véritablement perdues.

En sachant où regarder et fouiner, il est donc possible de récupérer des données parfois sensibles sur les terminaux. Une des parades au problème serait de chiffrer l'ensemble des données du smartphone, de sorte que si des données venaient à être récupérées, elles seraient inutilisables. Mais tous les smartphones ne proposent pas cette option actuellement. Et puisque le smartphone conservera toujours une partie des données, il pourrait être possible de récupérer suffisamment d'éléments permettant de pirater la clé de chiffrement.

Finalement, la seule solution efficace serait que les constructeurs installent leur propre système d'effacement des données. L'étude ne dit pas ce qu'il en est d'Android 5.0 et déclinaisons, on ne sait ainsi pas si Google a lui-même résolu le problème entre temps.