Comment fonctionne Haris Shield
Ce que l’application lit sur votre téléphone, comment elle décide de ce qui constitue une menace, chaque connexion qu’elle établit — et comment vérifier tout cela sans nous croire sur parole.
Décrit la version actuelle, 1.0.13.
Ce que l’application lit par le câble
Votre téléphone est relié à votre ordinateur par son câble USB. Haris Shield le lit avec libimobiledevice (iPhone) et adb d’Android — les mêmes outils libres qu’utilisent les chercheurs en investigation numérique. Rien n’est installé sur le téléphone, et l’analyse se contente de lire : elle ne supprime, ne déplace et ne modifie rien. Tout ce qu’elle copie reste dans le dossier de l’application sur votre ordinateur.
iPhone
Informations sur l’appareil
Modèle, version et build d’iOS, numéro de série, présence d’un code d’accès, état d’activation, nom de l’appareil et fuseau horaire.
Rapports de plantage
Copiés sur votre ordinateur et lus à cet endroit. Les originaux restent sur le téléphone — l’application les copie, elle ne les déplace ni ne les supprime jamais.
Profils de configuration
Profils installés, inscription à un MDM, supervision et profils VPN — les moyens de gérer un téléphone ou de rediriger son trafic.
Profils de provisionnement
Qui a signé les applications de développement et d’entreprise présentes sur le téléphone, comparé aux noms des éditeurs de logiciels espions connus.
État de sécurité
Mode Isolement, mode développeur, et si la version d’iOS fait partie de celles connues pour être exploitées.
Un sysdiagnose que vous importez (facultatif)
Si vous créez un sysdiagnose sur le téléphone et importez l’archive, l’application lit aussi ses bases de données d’utilisation du réseau, l’historique d’exécution des processus, les bases de données d’utilisation des applications et des autorisations, ainsi que ses journaux réseau et processus.
Android
Informations sur l’appareil
Modèle, marque, version d’Android, niveau du correctif de sécurité et numéro de série.
Applications installées
Noms de paquets comparés aux logiciels de traque connus, applications masquées du lanceur, et provenance de chaque application (Play Store ou installation manuelle).
Autorisations
Quelles applications disposent d’autorisations de surveillance — SMS, journal d’appels, localisation, appareil photo, micro — et de combinaisons dangereuses de celles-ci, ainsi que les applications autorisées à en installer d’autres.
Accessibilité, administrateurs de l’appareil, accès aux notifications
Les trois points d’accès dont un logiciel de traque a généralement besoin pour lire l’écran, résister à la suppression et copier les notifications.
Processus et réseau
Processus en cours, connexions ouvertes à cet instant et cache du résolveur DNS, comparés aux serveurs et adresses IP de logiciels espions connus.
Certificats
Certificats racines installés par l’utilisateur, qui peuvent servir à lire le trafic chiffré, et applications signées avec des certificats de débogage ou de test.
Utilisation de la batterie, des données et des capteurs
Applications qui se réveillent la nuit, échangent beaucoup de données en arrière-plan ou utilisent l’appareil photo et le micro sans être à l’écran.
Réglages et journaux système
Débogage USB et sans fil, sources inconnues, Play Protect, et quelques entrées précises des journaux système liées à des logiciels espions connus.
Une analyse complète comprend aussi un examen de la confidentialité, un diagnostic matériel et, sur iPhone, la vérification des composants. L’analyse des sauvegardes chiffrées d’iPhone et la comparaison d’empreintes des fichiers d’applications Android sont en cours de développement ; elles ne font pas partie de la version actuelle.
Comment les résultats sont évalués
Une analyse se termine par l’un de trois résultats. La différence entre eux compte, alors voici exactement ce qu’il faut pour chacun.
Logiciel espion détecté
Uniquement en présence d’une trace concrète : un processus de logiciel espion connu dans l’historique d’exécution, une connexion ou une requête DNS vers un serveur de logiciel espion connu, un logiciel de traque connu auquel des accès ont été accordés, ou un profil provenant d’un éditeur de logiciels espions connu.
Activité suspecte
Des éléments qui méritent un examen plus attentif sans constituer une preuve. Cela inclut l’exposition : une ancienne version d’iOS ou des correctifs de sécurité manquants rendent un téléphone plus facile à attaquer, ils sont donc signalés ici — jamais comme une infection. Avant la version 1.0.11, une ancienne version d’iOS était signalée à tort comme une infection ; c’est corrigé.
Aucune menace détectée
Aucune des traces connues de l’application n’a été trouvée. Cela ne garantit pas que le téléphone est sain — voir plus bas ce qu’aucun outil ne peut promettre.
Ce à quoi l’application compare
L’application est livrée avec une liste intégrée de noms de processus, de serveurs, d’adresses IP et d’applications de traque liés aux logiciels espions. Elle y ajoute les indicateurs du projet MVT, publiés par Amnesty International, Citizen Lab et d’autres chercheurs qui enquêtent sur Pegasus, Predator et les outils similaires.
Un nom ne compte que s’il apparaît en entier dans le journal. Les noms de processus courts de Pegasus, comme « bh », correspondaient auparavant à des mots comme « github » ; ce n’est plus le cas. Les noms qui sont aussi des processus système normaux d’iOS sont exclus, car les trouver ne prouve rien.
Pourquoi la liste d’indicateurs ne peut pas être falsifiée
- 1. Chaque nuit, notre serveur construit un ensemble à partir de l’index des indicateurs de MVT.
- 2. Il signe cet ensemble avec une clé privée Ed25519 qui n’existe que sur le serveur.
- 3. L’application vérifie la signature à l’aide de la clé publique qu’elle contient, et n’utilise l’ensemble que si elle correspond. Sinon, elle conserve le dernier ensemble valide.
Un faux ensemble — venant d’un réseau compromis ou de qui que ce soit d’autre — ne peut donc ni ajouter ni retirer d’indicateurs. Les résultats ne sont jamais envoyés non plus vers une liste partagée : c’est par des signalements non vérifiés d’utilisateurs que les listes de menaces se retrouvent empoisonnées.
Ce qui quitte votre ordinateur
Chaque connexion que l’application peut établir, relevée dans son code. Si vous surveillez son trafic (voir Vérifiez par vous-même plus bas), c’est la liste que vous devriez pouvoir cocher.
Dès que l’application est en ligne
Vérification de la licence et du solde
harisshield.com
Votre clé de licence et un identifiant d’ordinateur — un court hachage calculé à partir du nom de l’ordinateur, du nom d’utilisateur, du processeur, de l’architecture et de la taille de la mémoire. La réponse est une preuve de solde signée par notre serveur, qui permet à l’application de continuer à analyser hors ligne pendant 14 jours.
Décompte après chaque analyse
harisshield.com
Clé de licence, identifiant d’ordinateur, iOS ou Android, nombre de résultats, un identifiant d’analyse aléatoire et l’heure. C’est ainsi que les analyses sont décomptées de votre solde. Pas ce qui a été trouvé, et rien qui provienne du téléphone. Sans connexion, le signalement attend et est envoyé plus tard.
Ensemble d’indicateurs signé
harisshield.com
Un téléchargement des derniers indicateurs de logiciels espions (voir plus haut). Rien qui vous concerne, vous ou votre téléphone, n’est envoyé avec.
Recherche de mises à jour
harisshield.com
Une fois une clé de licence activée, l’application recherche des mises à jour au lancement puis toutes les quatre heures et télécharge les nouvelles versions, en envoyant la clé de licence pour que le serveur délivre le fichier.
Association d’un ordinateur à votre licence
harisshield.com
Lorsque vous associez un nouvel ordinateur : l’identifiant d’ordinateur et le nom de l’ordinateur, pour que l’e-mail de confirmation puisse vous indiquer quel ordinateur fait la demande.
Uniquement lorsque vous utilisez une fonctionnalité
Vérification des composants (dans une analyse complète d’iPhone)
checkcoverage.apple.com, support-sp.apple.com
Le numéro de série de l’iPhone, pour consulter auprès d’Apple le modèle et l’état de la garantie.
Vérification des certificats pendant une analyse Android
Serveurs avec lesquels le téléphone Android communique
L’application ouvre de brèves négociations TLS depuis votre ordinateur vers certains des serveurs publics avec lesquels le téléphone a des connexions HTTPS ouvertes (18 négociations au maximum par analyse), pour examiner leurs certificats. Ces serveurs voient l’adresse IP de votre ordinateur. Dans un moniteur réseau, cela apparaît sous le nom du processus openssl.
Moniteur réseau en direct
ipinfo.io
Les adresses IP auxquelles votre téléphone se connecte pendant que le moniteur tourne — les adresses des serveurs, pas la vôtre — pour afficher leur pays et leur propriétaire. Si vous avez saisi votre propre jeton ipinfo, il est envoyé aussi.
Vérification des fuites
haveibeenpwned.com
L’adresse e-mail que vous saisissez. La vérification nécessite votre propre clé API Have I Been Pwned ; sans elle, la requête est tout de même envoyée mais ne renvoie aucun résultat.
Rapports d’erreur — désactivés tant que vous ne cochez pas la case
harisshield.com
Uniquement une liste fixe de champs : version de l’application, système d’exploitation, architecture, étape qui a échoué, type et code d’erreur, nom de la fonction, iOS ou Android, et un hachage de 8 caractères de la clé de licence. Jamais de messages d’erreur, de chemins de fichiers, d’informations sur le téléphone, de résultats, ni votre clé de licence ou votre e-mail.
Anciennes clés de licence uniquement
api.lemonsqueezy.com
Les clés qui ne commencent pas par HRS- ont été vendues via Lemon Squeezy et y sont activées et vérifiées, avec la clé et l’identifiant d’ordinateur.
Après des échecs d’activation répétés
harisshield.com
L’identifiant d’ordinateur et le nombre de tentatives échouées, pour qu’une clé ne puisse pas être devinée par force brute.
Jamais envoyé
- Messages, photos, contacts, journaux d’appels ou e-mails
- La liste des applications du téléphone
- Les rapports de plantage ou votre sysdiagnose
- Ce qu’une analyse a trouvé, ni le rapport d’analyse lui-même
Les résultats et rapports d’analyse restent dans le dossier de l’application sur votre ordinateur jusqu’à ce que vous les supprimiez ou choisissiez de partager un PDF.
Le mode hors ligne, et ce qu’il ne couvre pas
Le mode hors ligne, dans les réglages de l’application, arrête le téléchargement des indicateurs, les recherches d’adresses IP du moniteur réseau et la vérification des fuites. Il n’arrête pas la vérification de la licence et du solde, la recherche de mises à jour, la consultation du numéro de série ni la vérification des certificats sur Android.
Pour une analyse sans aucune connexion, déconnectez l’ordinateur d’Internet. Une fois que l’application a été en ligne au moins une fois, elle continue d’analyser pendant 14 jours au maximum grâce à sa dernière preuve de solde signée, avec les indicateurs dont elle dispose déjà. Le décompte des analyses est envoyé lorsque vous vous reconnectez.
Ce qu’aucun outil ne peut promettre
Aucun outil ne peut prouver qu’un téléphone est sain
Haris Shield trouve des traces connues. Le projet MVT dit la même chose de son propre outil : les indicateurs publics ne suffisent pas pour déclarer un appareil sain.
Les logiciels espions les plus avancés peuvent rester cachés
Les outils de la catégorie de Pegasus sont conçus pour laisser le moins de traces possible, et de nouvelles versions sont utilisées avant que quiconque ait publié des indicateurs à leur sujet. Ils peuvent échapper à cette analyse, comme à toute autre.
« Aucune menace détectée » ne veut pas dire « en sécurité »
Cela signifie qu’aucune des traces connues n’est apparue. Si votre situation vous expose à un risque réel, demandez un deuxième avis aux experts indiqués plus bas, quel que soit notre résultat.
Où nous en sommes
Certaines choses ne sont pas encore terminées. Vous devez savoir lesquelles.
Pas encore notarisé par Apple
C’est pourquoi macOS indique que le développeur ne peut pas être vérifié et que vous devez choisir Ouvrir quand même la première fois. La signature Apple Developer ID et la notarisation sont en cours de mise en place.
Pas encore signé pour Windows
C’est pourquoi Windows affiche « Windows a protégé votre ordinateur ». La signature du code est en cours de mise en place. Tant que les deux ne sont pas en place, le système d’exploitation ne peut pas confirmer qu’un fichier vient de nous — les sommes de contrôle ci-dessous le peuvent.
Versions
La version Mac fonctionne uniquement sur Apple Silicon, et la version Linux uniquement sur x86-64. Voir la page de téléchargement.
Vérifiez par vous-même
Un outil de sécurité demande beaucoup de confiance. Voici des moyens réels et indépendants de vérifier que Haris Shield fait ce que décrit cette page — et de faire vérifier votre téléphone par quelqu’un d’autre que nous.
1. Vérifiez le programme d’installation
Envoyez-le sur VirusTotal. Déposez le fichier téléchargé sur virustotal.com et environ 70 moteurs antivirus l’analysent. Regardez quels moteurs signalent quelque chose et comment ils le nomment, pas seulement leur nombre.
Comparez la somme de contrôle SHA-512. Si la somme de contrôle de votre fichier correspond à celle ci-dessous, c’est exactement le fichier que nous avons publié. Ce sont les mêmes valeurs que vérifie le système de mise à jour de l’application.
Version 1.0.13 :
macOS · Haris Shield-1.0.13-arm64.dmg
128 Mo
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 Mo
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 Mo
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 Mo
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Terminal)
shasum -a 512 <nom du fichier>
Linux (terminal)
sha512sum <nom du fichier>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <nom du fichier>
Les majuscules et minuscules n’ont pas d’importance lors de la comparaison.
2. Surveillez le trafic réseau de l’application
Lancez l’un de ces outils pendant l’analyse. Vous devriez voir Haris Shield communiquer avec harisshield.com et, uniquement lorsque vous utilisez les fonctionnalités concernées, avec les services de la liste ci-dessus. La connexion avec le téléphone lui-même passe par l’USB et n’apparaît pas comme du trafic Internet.
Mac
- LuLu
Gratuit et libre, d’Objective-See. Demande votre accord avant qu’une application établisse une nouvelle connexion sortante et indique sa destination.
- Little Snitch
Payant, d’Objective Development. Affiche chaque connexion par application, en direct et sur une carte.
Windows
- TCPView
Gratuit, de Microsoft Sysinternals. Liste chaque connexion ouverte avec le processus auquel elle appartient.
- GlassWire
Existe en version gratuite. Indique à quels hôtes se connecte chaque application.
- Windows Defender Firewall
Intégré. Bloquez complètement Haris Shield si vous voulez vérifier que l’analyse fonctionne toujours sans réseau.
Linux
- OpenSnitch
Gratuit et libre. Demande, application par application, l’autorisation des connexions sortantes, comme LuLu.
3. Obtenez un deuxième avis sur votre téléphone
Aucun de ces organismes n’a de lien avec nous. Si vous êtes journaliste, militant ou toute autre personne susceptible d’être ciblée, contactez directement les lignes d’assistance — c’est leur travail au quotidien.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
Outil d’investigation libre et gratuit pour iPhone et Android, conçu pendant le projet Pegasus. Il s’utilise en ligne de commande et s’adresse aux techniciens et aux enquêteurs, pas à une vérification rapide par soi-même. Haris Shield utilise les mêmes indicateurs publics.
- iVerify Basic
iVerify
Une application pour iPhone et Android, d’une entreprise indépendante de sécurité mobile. Elle recherche les signes de logiciels espions de type Pegasus depuis le téléphone lui-même — un deuxième regard utile, sous un autre angle.
- Digital Security Helpline
Access Now
Une aide gratuite, 24 heures sur 24, en plusieurs langues, pour les journalistes, militants, défenseurs des droits humains et groupes de la société civile qui pensent être ciblés.
- Security Lab — Get help
Amnesty International
Un soutien pour les journalistes, militants et organisations de la société civile exposés à des attaques numériques ciblées comme Pegasus.
- Coalition Against Stalkerware
stopstalkerware.org
Un annuaire, pays par pays, des lignes d’assistance et associations d’aide pour les personnes qui craignent qu’un partenaire ou un proche surveille leur téléphone. Consultez-le depuis un appareil auquel cette personne n’a jamais eu accès.
Vous avez trouvé sur cette page quelque chose qui ne correspond pas à ce que fait l’application ? Dites-le-nous à support@harisshield.com. Voir aussi notre politique de confidentialité.