← Retour au blog
·10 min read

C'est quoi un Panic PIN ? Comment les codes de contrainte protègent vos photos

Un Panic PIN ouvre un coffre leurre quand on vous force à déverrouiller votre app. Fonctionnement des codes de contrainte, cadre légal et apps compatibles.

Sécuritéblog.displayTags.sécuritéblog.displayTags.vie privée
TL;DR

Un Panic PIN est un code secondaire qui ouvre un coffre leurre quand on vous contraint à déverrouiller votre app. Au lieu de montrer vos vraies photos, il affiche un espace secondaire crédible. Cet article explique comment fonctionnent les codes de contrainte, le cadre légal autour du déverrouillage forcé, et ce qu'il faut chercher dans une app coffre qui prend la coercition au sérieux.

Le problème que le chiffrement ne résout pas

Le chiffrement empêche de lire des données sans la clé. Il ne fait rien quand quelqu'un est à côté de vous et exige la clé.

Ce scénario a un nom en recherche en sécurité : l'attaque au tuyau en caoutchouc. L'attaquant ne casse pas les maths. Il fait pression sur la personne qui détient le mot de passe. L'« attaquant » peut être un voleur, un partenaire violent, un agent des douanes ou les forces de l'ordre avec un mandat.

Aucune quantité de chiffrement ChaCha20-Poly1305 ne vous aide une fois que vous tapez le bon PIN sous pression. Le coffre s'ouvre. Les photos sont visibles. C'est fini.

Un Panic PIN est conçu précisément pour combler ce manque.

Comment fonctionne un Panic PIN

Le concept vient de l'industrie de la sécurité. Les systèmes d'alarme domestique utilisent des codes de contrainte depuis des décennies : entrez un code spécial et l'alarme semble se désarmer, mais alerte silencieusement la société de surveillance. Les banques utilisent des alarmes silencieuses déclenchées par des PIN spécifiques. Bruce Schneier a discuté des codes de contrainte pour systèmes biométriques dès 2017.

Dans un coffre-fort photo, le Panic PIN fonctionne ainsi :

  1. Vous définissez un PIN principal qui ouvre votre vrai coffre avec vos vraies photos
  2. Vous définissez un Panic PIN — un code différent
  3. Si contraint, vous entrez le Panic PIN à la place
  4. L'app ouvre un espace secondaire qui ressemble et fonctionne comme un vrai coffre
  5. Vos photos réelles restent chiffrées et invisibles

La personne qui regarde voit un coffre déverrouillé. Elle voit des photos (celles que vous avez placées dans l'espace leurre). Elle n'a aucune raison de soupçonner un second niveau. Vous avez obéi à sa demande sans exposer vos vraies données.

C'est le déni plausible appliqué au stockage photo.

La réalité juridique : on peut vous forcer à déverrouiller votre téléphone

En France

L'article 434-15-2 du Code pénal punit de 3 ans d'emprisonnement et 270 000 € d'amende le refus de remettre une convention de déchiffrement aux autorités, dans le cadre d'une enquête judiciaire. Le Conseil constitutionnel a validé cette disposition en 2018, en estimant qu'elle ne portait pas une atteinte disproportionnée au droit de ne pas s'auto-incriminer.

Aux États-Unis

Les tribunaux sont divisés. Le Neuvième Circuit a jugé en 2025 que les forces de l'ordre pouvaient imposer le déverrouillage biométrique (empreinte, Face ID) avec un mandat. Le Circuit de D.C. a pris la position inverse début 2025. Les codes PIN bénéficient d'une protection plus forte sous le Cinquième Amendement, mais les résultats varient selon la juridiction.

Aux frontières

Les agents des douanes américains peuvent fouiller les appareils électroniques aux points d'entrée sans mandat. Le Knight First Amendment Institute a documenté des milliers de ces fouilles par an.

Le chiffrement protège vos photos contre la lecture sans la clé. Un Panic PIN vous protège quand quelqu'un peut vous contraindre à fournir la clé. Ce sont deux problèmes différents.

Trois approches des codes de contrainte dans les apps

Toutes les implémentations de Panic PIN ne se valent pas. L'implémentation détermine si la fonctionnalité offre une vraie protection.

1. Effacement des données au code de contrainte

Entrez le code de contrainte et l'app efface tout. GrapheneOS propose un PIN de contrainte qui efface l'appareil à la saisie.

Le problème : un coffre vidé est suspect. Si quelqu'un vous force à ouvrir une app et qu'elle est vide, il sait que vous avez détruit des preuves. Dans un contexte judiciaire, les tribunaux peuvent tirer des inférences défavorables de données détruites.

2. Écran leurre sans vraie fonctionnalité

Certaines apps affichent un faux écran d'accueil ou un coffre vide. C'est mieux qu'un effacement, mais fragile sous examen. Un coffre vide censé être votre « vrai » stockage photo ne tient pas si la personne regarde attentivement. Si vous prétendez utiliser un coffre photo mais qu'il contient zéro photo, la tromperie est évidente.

3. Espace secondaire pleinement fonctionnel

Le Panic PIN ouvre un coffre qui fonctionne comme un vrai coffre. Il a ses propres photos, son propre chiffrement, son propre stockage. Vous y mettez quelques photos leurres — photos de vacances, mèmes, ce qui paraît crédible. Quand quelqu'un exige l'accès, le Panic PIN ouvre cet espace, et il ressemble exactement à un coffre normal et utilisé.

C'est l'approche la plus solide car l'espace leurre est indistinguable d'un espace principal. Pas de signal d'alarme « coffre vide ». Pas de preuve de suppression. La personne voit un coffre avec des photos dedans et n'a aucun moyen technique de déterminer qu'un second espace chiffré existe.

Ce qu'il faut vérifier dans une implémentation de Panic PIN

Si vous évaluez des apps coffre pour cette fonctionnalité, vérifiez ces points :

L'espace leurre stocke-t-il vraiment des photos ? Un écran blanc échoue immédiatement. Le leurre doit contenir du contenu crédible — des photos que vous y avez placées délibérément.

Le timing du Panic PIN est-il identique au vrai PIN ? Si la saisie du Panic PIN provoque un délai visiblement différent (déverrouillage plus lent, animation différente), un observateur attentif peut le détecter. La vérification du PIN doit prendre le même temps quel que soit le code saisi. En ingénierie sécurité, c'est la comparaison en temps constant — prévenir les attaques par canal auxiliaire temporel.

L'espace leurre peut-il être distingué de l'espace principal au niveau du système de fichiers ? Si quelqu'un avec des outils forensiques peut voir deux conteneurs chiffrés de tailles différentes, le déni plausible tombe. L'implémentation compte plus que le discours marketing.

Le Panic PIN est-il séparé du déverrouillage biométrique ? Si l'app utilise Face ID et que quelqu'un vous force à regarder le téléphone, le Panic PIN est contourné. Vous devez pouvoir désactiver la biométrie rapidement (sur iPhone : maintenez le bouton latéral + volume pour déclencher l'écran SOS, qui désactive Face ID jusqu'à la saisie du code).

Inner Gallery implémente un Panic PIN comme espace secondaire pleinement fonctionnel. Quand vous activez un Panic PIN dans l'app, sa saisie ouvre un vrai espace avec sa propre bibliothèque photo et son propre chiffrement ChaCha20-Poly1305. Vous y ajoutez les photos leurres qui ont du sens pour votre situation.

Détails techniques de l'architecture de sécurité :

  • Vérification du PIN en temps constant : une dérivation PBKDF2 factice s'exécute même pour le chemin du Panic PIN, normalisant le temps de réponse. Un observateur ne peut pas distinguer quel PIN a été saisi en se basant sur le timing.
  • Même UI, même comportement : l'espace Panic PIN s'ouvre avec les mêmes animations, la même disposition, les mêmes fonctionnalités que tout autre espace. Il n'y a aucun indice visuel.
  • Chiffrement par espace : chaque espace (y compris l'espace Panic PIN) a sa propre clé de chiffrement dérivée de son propre PIN. Accéder à un espace ne révèle rien sur l'existence ou le contenu des autres espaces.
  • Zéro métadonnée serveur : puisque Inner Gallery fonctionne entièrement sur l'appareil sans aucune permission réseau, il n'y a pas de log serveur, pas d'activité de compte et pas de sauvegarde cloud qui pourrait révéler l'existence de plusieurs espaces.

Un Panic PIN qui ouvre un écran vide échoue dès que quelqu'un regarde. Un Panic PIN qui ouvre un coffre fonctionnel avec de vraies photos offre un vrai déni plausible. La différence est dans l'implémentation.

Quand un Panic PIN est utile

Les scénarios de contrainte sont plus courants qu'on ne le pense :

  • Violences conjugales : un partenaire violent exigeant l'accès à votre téléphone est l'un des scénarios de coercition les plus fréquents. Le Centre Hubertine Auclert documente comment les cyberviolences conjugales incluent régulièrement l'accès forcé aux appareils.
  • Passages aux frontières : les douanes américaines ont effectué plus de 45 000 fouilles d'appareils en année fiscale 2024. Vous pouvez refuser, mais votre appareil peut être retenu.
  • Vol et agression : le vol de téléphone avec déverrouillage forcé est assez courant pour qu'Apple ait intégré la Protection en cas de vol dans iOS 17.3.
  • Pression au travail : quelqu'un en position d'autorité qui vous pousse à montrer votre téléphone est plus courant dans certains environnements professionnels qu'on ne l'admet.

Pour beaucoup, le scénario le plus réaliste n'implique pas les forces de l'ordre — c'est un partenaire, un membre de la famille ou une connaissance avec un accès physique au téléphone et le levier social pour exiger qu'on l'ouvre. Le dossier Caché d'iOS est insuffisant ici car il se déverrouille avec le même code d'appareil que l'autre personne connaît probablement.

Les limites du déni plausible

Un Panic PIN n'est pas un bouclier magique. Quelques réserves importantes :

L'analyse forensique peut trouver des traces. Un expert forensique avec un accès physique à l'appareil et des outils d'extraction comme GrayKey ou Cellebrite peut potentiellement détecter des traces de plusieurs conteneurs chiffrés, même sans pouvoir les déchiffrer. Le déni plausible fonctionne contre l'observation occasionnelle, pas nécessairement contre un examen forensique complet.

Détruire des preuves est illégal. Utiliser un code de contrainte à effacement pour détruire des données après une décision de justice peut entraîner des poursuites pour obstruction. Un Panic PIN qui affiche un espace leurre ne détruit rien — les vraies données restent chiffrées. Consultez un avocat si vous êtes dans une situation judiciaire.

Ça demande de la préparation. Un espace Panic PIN vide est suspect. Vous devez le remplir de photos leurres crédibles avant de vous retrouver dans un scénario de contrainte.

✅
Inner Gallery inclut un Panic PIN qui ouvre un espace secondaire pleinement fonctionnel et chiffré séparément — la forme la plus solide de déni plausible disponible dans une app coffre mobile. Combiné au chiffrement par fichier, zéro serveur et zéro analytics, il est conçu pour les situations où la vie privée est véritablement en jeu.

Lectures complémentaires :

Télécharger Inner Gallery