Pourquoi les applications bancaires ne peuvent-elles pas être sauvegardées et restaurées ?

Les applications bancaires n'identifient pas votre appareil. Elles utilisent plutôt des clés cryptographiques :

Lors de l'enregistrement de votre appareil, l'application génère une paire de clés asymétriques (RSA ou courbes elliptiques). La paire de clés est générée à l'intérieur du fichier AndroidKeyStore Un service de sécurité spécial qui utilise du matériel de sécurité permettant de générer et de stocker des clés cryptographiques. La clé publique est envoyée à la banque ou utilisée pour crypter les données stockées dans l'application sur l'appareil Android.

Ces clés ne quittent jamais l'élément de sécurité (ARM TrustZone, Google Titan, ou Samsung Knox), elles ne peuvent être utilisées que par l'application qui les a générées (stock device) mais ne peuvent pas être extraites, une sauvegarde est donc impossible. Avec les permissions Root, vous pouvez également communiquer avec ce service de sécurité de sorte que chaque application disposant de permissions Root puisse utiliser les clés stockées ; là encore, l'extraction ou la sauvegarde est impossible.

Par conséquent, si une application utilise cette réserve de clés, vous ne pouvez pas faire ce que vous voulez, les données et l'application sont liées à l'appareil, quoi que vous fassiez ou quelles que soient les autorisations dont vous disposez (par exemple, Root).

Dans le seul cas où l'application bancaire utilise la clé pour décrypter les données stockées localement, il serait théoriquement possible de pirater l'application, d'utiliser la clé pour décrypter les données stockées localement, puis de transférer les données vers un nouvel appareil, d'y générer une nouvelle paire de clés et de recrypter les données transférées. Mais il faudrait pour cela que des individus piratent chaque application bancaire, ce qui prendrait, même à un hacker chevronné, de quelques heures à quelques dizaines d'heures.