Samsung Knox

Comment ça marche

Knox commence dans le silicium. Samsung grave une racine de confiance matérielle dans ses processeurs, puis vérifie chaque étape du démarrage par rapport à elle : bootloader, noyau, système. Si une étape a été modifiée, un bit irréversible (le Knox warranty bit) bascule et les fonctions protégées par Knox refusent de s'exécuter. Samsung livre ce mécanisme depuis 2013, et le processeur sécurisé Knox Vault, introduit avec le Galaxy S21 en 2021, stocke désormais clés, codes PIN et données biométriques dans un matériel isolé.

Sur cette base, Samsung expose des réglages qu'Android standard n'offre pas : règles de pare-feu, contrôle des APN, blocage du port USB sauf pour la charge, réglages matériels fins sur les modèles durcis. Depuis qu'Android Enterprise est devenu la norme, ces réglages arrivent au MDM par OEMConfig via le Knox Service Plugin, et non plus par un agent propre à Samsung.

Viennent ensuite les services cloud. Knox Mobile Enrollment (KME) est l'équivalent Samsung du zero-touch de Google : un appareil acheté chez un revendeur Knox apparaît dans le portail KME et s'enrôle dans votre MDM au premier démarrage, sans QR code. Knox Configure et Knox Guard ajoutent la préconfiguration et le verrouillage antivol pour les clients qui en ont besoin.

Pourquoi c'est important pour une flotte

Samsung vend la majorité des appareils Android utilisés dans les entreprises européennes, donc Knox fait souvent la différence entre les contrôles applicables sur le papier et ceux que vous obtenez vraiment sur le terminal. Une règle de pare-feu ou un blocage USB qu'Android ne propose pas par défaut devient disponible parce que le constructeur l'expose.

Le volet attestation compte pour la conformité. Quand Knox indique qu'un appareil a démarré proprement, c'est une affirmation matérielle, pas une estimation logicielle. Les équipes sécurité soumises à NIS2, ou dont le SOC demande où en sont les appareils rootés, obtiennent une réponse qu'elles peuvent consigner.

La limite est évidente : Knox n'existe que chez Samsung. Une flotte mixte avec des scanners Zebra et des Pixel a besoin d'une couche de gestion qui traite Knox comme une extension constructeur parmi d'autres, pas comme le socle.

Comment Appaloosa le gère

Appaloosa gère les appareils Samsung via Android Enterprise et ajoute la couche Knox là où elle apporte quelque chose : enrôlement par Knox Mobile Enrollment ou par le zero-touch de Google, réglages Knox poussés via OEMConfig avec le Knox Service Plugin, et la même distribution d'applications, le même mode kiosque et le même effacement à distance que sur n'importe quel autre appareil Android. Tout se pilote depuis la console présentée sur la page MDM Android.