"""
There’s much more written about SafetyNet [https://koz.io/inside-safetynet/] in this teardown blog post, but it certainly seems we can identify some areas Google want to clamp down on. Firstly, they don’t like root, Xposed, and anything modifying the system partition. Secondly, it seems Google is considering detecting users that have ad blocking enabled – the SSL handshake checks on pubads.g.doubleclick.net certainly suggest to me that Google want to know if you’re blocking ads on your device. Considering that root is usually a pre-requisite there, but that the VPN API could potentially be used to do this without root, it looks like Google at least want to have an idea who (or how many people) are blocking ads. Ad blocking is a topical issue given the push from Apple to support it in the web browser (arguably to encourage people to use apps more, where they control the experience and can offer non-blockable ads), and these moves are interesting.
"""
Google n'aime pas qu'on puisse modifier son système Android, notamment pour outrepasser l'affichage de la publicité (/system/etc/hosts).
Avec Marshmallow, l'entreprise durcit la sécurité avec l'aide de SElinux:

1) Obligation de passer par une boot image modifiée pour obtenir les droits root. Ce qui implique, pour flasher cette image, d'avoir un bootloader qui est déverrouillable. Ce n'est pas le cas de la plupart des ordiphones android qui sont vendus sur le marché.

2) Dm-verify (http://source.android.com/devices/tech/security/verifiedboot/) passe en mode 'enforcing' dans Android M.. Ce qui va rendre plus compliqué les modifications systèmes (partition /system), même si on dispose des droits root. Cela peut s'outrepasser avec une bootimage modifiée, mais ... voir 1).