Depuis la modification de l’article 5(3) de la directive 2002/58/CE, l’Union Européenne oblige les sites Internet à recueillir le consentement des utilisateurs lorsque des cookies utilisés pour le traçage sont déposés. Vous l’avez peut-être remarqué, un bandeau apparaît dorénavant sur certains sites.

En cette période de révélations fracassantes sur la surveillance globale menée notamment par la NSA, on pourrait penser qu’il s’agisse de broutilles. Néanmoins, toute avancée aussi minime soit-elle est bonne à prendre, surtout si elle permet de mieux comprendre le fonctionnement du réseau et les pratiques de traçage en général.

En effet, n’oublions pas que la surveillance d’État tire profit de la collecte et de l’accumulation centralisée de données par les entreprises du web (lorsqu’on a le Patriot Act, il ne suffit plus que de se baisser pour les ramasser). C’est donc aussi grâce à ces immenses bases de données qu’il est plus aisé de surveiller, et c’est par la normalisation, et par l’incompréhension de ces méthodes, que les États liberticides continuent leurs pratiques dans une indifférence résignée face à l’apparente complexité du phénomène.

La CNIL a donc publié une petite vidéo pédagogique expliquant le fonctionnement des cookies, lesquels intéressent en principe chacun des internautes, ainsi que des conseils pour mieux comprendre la directive européenne et se mettre en conformité si l’on administre un site.

(Je ne m’étends pas sur le scénario présentant une fois de plus la femme comme étant chiante, jalouse, colérique, et qui a besoin de son compagnon pour lui expliquer comment fonctionne un ordinateur, mais bon…)

Des outils sont disponibles pour gérer ses cookies, j’ai par exemple évoqué ici l’excellent Cookie Monster, une extension Firefox qui permet de n’accepter que les cookies de sites désignés par l’utilisateur.

Entre la validation d’une Hadopi et d’une loppsi II, la CNIL travaille quand même un peu sur les questions de vie privée.
Suite à son enquête, elle révèle que les iPhones communiquent des informations la nuit, sur les relais wifi rencontrés le jour.

Steve Jobs est mort la semaine dernière, mais comme diraient ses fans, son esprit est toujours parmi nous! Suite à la polémique qui avait été lancée en avril dernier puis réactualisée il y a peu, la CNIL a mené l’enquête.

Celle-ci conclue donc que les données de connexions aux bornes WIFI conservées par le smartphone, seraient bien envoyées aux serveurs d’Apple, mais anonymement parait-il.

« L’iPhone envoie à Apple des informations sur les points d’accès WiFi qu’il a « vus » dans les heures ou les jours précédents. Ces points d’accès WiFi sont identifiés par leur adresse MAC associée à la force du signal mesuré et la position géographique (GPS) du téléphone au moment de la mesure (ainsi que d’autres données techniques complémentaires, à l’exclusion du SSID). »

La CNIL précise tout de même que:

« les communications entre l’iPhone et Apple ne contiennent pas d’identifiant unique ou autre information permettant d’identifier le téléphone », et que « ce choix technique, confirmé récemment dans un courrier par Apple, rend cette collecte en principe anonyme et élimine donc largement le risque de traçage des personnes. »

Rappelons que ce qui n’était pas un problème pour la firme de Cupertino dans un premier temps (la collecte d’informations), s’est traduit par une mise à jour du système, et que les questions posées par la CNIL suite à cette affaire n’ayant pas été éclaircies par Apple, l’entreprise s’était vue sanctionnée pour manquement caractérisé à la loi Informatique et Libertés.

La présente affaire n’est probablement pas réglée puisque, si la CNIL annonce vouloir s’assurer que le système ne serve pas à tracer les usagers, c’est qu’il réside toujours un doute.

Elle précise également que « cette analyse technique ne préjuge pas de la conformité de ce dispositif au regard de la loi Informatique et Libertés »

Rien qui ne puisse mettre en confiance…

Vous en avez marre de voir Google Map partout? Marre de dire à Google où vous allez? Optez pour OpenStreetMap!

Une solution libre!

Vous connaissez wikipédia? Et bien c’est pareil. Les cartes et les modifications sont entièrement réalisées collaborativement par les internautes, et elles sont en plus sous licence libre! (ce qui n’est pas le cas de Google Map).
Comme pour la célèbre encyclopédie, l’alchimie fonctionne et l’entraide donne des résultats. Vous pourrez vérifier par vous même, Troufillon-les-Oies semble être répertorié au bon endroit!

Et respectueuse de la vie privée!

En bon service Google qui se respecte, Google Map enregistre tout ce que vous faites.
Les différentes affaires de violation de la vie privée, liées au développement de  StreetView, ne font pas non plus reluire le blason de ce service.

On s’en souvient, les Google cars ont été incriminées dans des affaires de vols de données personnelles en se connectant aux réseaux wifi des riverains croisés lors de leurs prises d’images.
La CNIL avait d’ailleurs infligé une amende record de 100 000€ à Google après avoir constaté la récupération d’identifiants SSID et d’adresses MAC par les Google cars.

Le même type d’affaire a pu être observé en Belgique et dans plusieurs pays d’Europe.

Astuce pour Firefox

Si vous souhaitez intégrer directement OpenStreetMap dans votre barre de moteurs de recherches, vous pouvez installer le module Add to Search Bar pour Firefox.
Celui-ci vous permettra de faire de n’importe quelle page appropriée, un moteur intégré à votre barre.

Il suffit ensuite d’aller sur OpenStreetMap, de vous rendre sur « voir la carte », et de cliquer sur « ajouter OpenStreetMap Search » dans la barre des moteurs de recherche.

En voulant montrer à quelqu’un quelles étaient les traces que nous pouvions laisser sur les sites que nous visitons, j’ai eu l’idée de présenter la partie administrateur de celui-ci. C’est grâce à StatPress, (module de statistiques de fréquentation) que je peux avoir accès aux informations sur les visiteurs.
L’exemple a semblé être parlant. Afin, de reprendre cette démonstration, je vais partager avec vous quelques secrets de coulisses.

Peu importe le site, lorsque vous naviguez, vous fournissez des informations sur vous et votre ordinateur. C’est presque inévitable car lorsque vous posez une question à un site (afficher une page par exemple), il faut que celui-ci sache à qui rendre le résultat (note : les choses sont ici très vulgarisées).

Nous allons voir à partir de deux cas, à quel point il est facile de connaître certaines informations de base sur les visiteurs d’un site.

Premier cas

L’utilisateur a ici probablement utilisé un proxy anonymisateur ou une solution de ce type. On remarque en effet que certains champs ne sont pas renseignés.
Nous savons tout de même:

1. Adresse IP de l’internaute (ou du proxy si utilisé)
2. Système d’exploitation de l’internaute (ou du proxy)
3. Navigateur Web (idem)
4. Reverse (nom de la machine correspondant à l’adresse IP). Peut renseigner sur la localisation de l’internaute…
5. …voire sur son fournisseur d’accès à internet.
6 et 7. Site consulté ayant redirigé vers Révolte Numérique (ici Google).
8. Mots-clés utilisés pour arriver sur Révolte Numérique.

Il est difficile de savoir quelles sont les informations exactes dans ce cas car si l’internaute a utilisé un proxy, il y a de grandes chances que les éléments visibles concernent le proxy et non l’utilisateur (c’est le but justement!).

Deuxième cas

Le cas présent semble plus « classique ». L’internaute navigue sans protection particulière.
En plus de ce que nous avons appris dans le premier cas, nous avons:

9. Pays dans lequel l’internaute s’est connecté.
10. Ville dans laquelle l’internaute s’est connecté.
11. User Agent. On retrouve le système d’exploitation mais avec plus de détails. On sait que l’utilisateur utilise Linux et plus précisément Ubuntu 10.10, qu’il navigue avec la version 3.6.18 de Firefox et qu’il a un ordinateur avec un processeur 64 bits (X86_64).
12. Pages ouvertes avec la date et le temps passé sur chaque page (humm… y’en a qui lisent vite je trouve! 😉 )

C’est tout?

C’est déjà pas mal je trouve!
StatPress se charge ensuite de donner un peu plus de sens à toutes ces informations:

-Journées où il y a le plus de visites
-Systèmes d’exploitations les plus répandus chez les utilisateurs
-Navigateurs Web les plus répandus chez les utilisateurs
-Moteurs de recherche les plus utilisés pour arriver sur le site
-Mots-clés les plus utilisés pour arriver sur le site
-Sites référençant Révolte Numérique renvoyant le plus de personnes
-Pays de connexion les plus représentés
-Pages les plus lues
–Adresses IP des internautes qui fréquentent le plus le site
-…

Vous remarquerez que cela donne quelques informations intéressantes pour qui administre un site.
Mais tout cela repose sur des données que VOUS fournissez à TOUS les sites que vous consultez. Sans protection, nous passons nos journées  😉  à semer des informations sur le web.
Celles-ci, et bien d’autres sont également conservées par les fournisseurs d’accès et les serveurs pendant un an (obligation posée notamment par la Loppsi II)…

J’ajoute enfin que StatPress est un outil de base qui n’est pas particulièrement perfectionné.
De plus, certains autres reposent sur des modes de fonctionnement bien plus intrusifs comme par exemple, les web bugs. L’un des plus répandus, Google Analytics, permet également à Google de connaître toutes ces informations.
En espérant que cela en interpelle certains…

Avec un tout petit peu plus d’efforts, il est possible d’en savoir un peu plus sur vous.

Ah! ils commencent à bien me plaire les Allemands! Ils l’avaient déjà ramenée contre la reconnaissance faciale instaurée par défaut sur tous les profils en début de mois, et ils continuent avec carrément l’interdiction du bouton « j’aime », ou « like » en VO. C’est une fois encore pour des raisons de non respect de la vie privée des utilisateurs que l’entreprise est condamnée. 

On va pas trop leur jeter de fleurs sinon ils vont prendre la grosse tête mais en ce moment, je cliquerai bien sur un bouton « j’aime l’Allemagne ».
Il semblerait que les institutions d’outre Rhin attachent une importance particulière à la défense de la vie privée des internautes teutons. Google en a fait les frais par l’intermédiaire de son service Street View en avril. Pour rappel, les voitures chargées de prendre les photos pour la vue réelle dans Google Map ont été mises en cause, suites à de nombreuses affaires révélant qu’elles collectaient des informations sur les habitants par le biais des réseaux Wifi.

Facebook est aujourd’hui la cible de la CNIL locale du land de Schleswig-Holstein. Les sites de la région ont donc jusque fin septembre pour retirer les boutons « j’aime » de leurs sites, sous peine de se voir infliger une amende de 50 000 euros.

Selon les accusateurs, ce bouton permettrait à Facebook de connaître les faits et gestes des internautes naviguant sur les sites qui en sont équipés.
La firme de Mark Zuckerberg n’a évidemment pas démenti mais a précisé qu’elle ne conservait les données que 90 jours (« vous êtes trop bon Monseigneur! »).

En plus des habitudes des 700 millions d’utilisateurs inscrits, Facebook cherche donc à espionner les comportements des autres internautes par le biais de ces petits boutons.
Celles et ceux qui ont un profil Facebook verront évidemment leurs informations croisées avec celles publiées et fournies volontairement lors de l’inscription (lesquelles sont devenues propriété de l’entreprise), afin que soit dressé un profil personnalisé des internautes.

Mon premier article sur les web bugs était une réponse à ce problème assez effrayant. Vous pouvez le relire si vous ne vous êtes pas encore munis de Ghostery!

Le début de l’histoire

La polémique enfle depuis que des chercheurs ont découvert en avril que l’iPhone et l’iPad 3G cachaient au fin fond de leurs systèmes, un fichier qui stocke tous les déplacements de leur utilisateurs grâce aux données de géolocalisation (ah c’est beau le progrès!).

À chaque sauvegarde ou synchronisation des données sur un ordinateur, ce fichier (consolidated.db) est également copié en clair.

N’importe quelle intrusion par un pirate sur la machine permettrait ainsi de reconstituer une cartographie de tous les déplacements.

Le plus fun est que si vous changez d’iPhone et que vous réitérez la manœuvre, le fichier incorpore les données antérieures.

Cette fonction était évidemment obligatoire (à moins de recourir à des modifications du logiciel, ce qui est interdit par la loi). C’est pas beau ça?
Une mise à jour a été proposée et avec laquelle il n’y aurait plus de transmission du fichier lors de la synchronisation voire même de stockage si la fonction géolocalisation est désactivée.

Les réactions

L’une des origines de la contestation vient aujourd’hui de la Corée du Sud. Il y a peu, un utilisateur a gagné un procès sur ce sujet.

C’est la Commission coréenne des communications (KCC) qui a cette semaine attaqué Apple à son tour pour les mêmes raisons. L’entreprise américaine a été condamnée à verser une amende d’environ 2000€. C’est un début, même si l’annonce récente que son capital a dépassé celui du gouvernement américain renforce encore un peu le caractère symbolique de cette peine.

27800 utilisateurs coréens d’iPhone et d’iPad devraient également saisir collectivement la justice la semaine prochaine.

Plus proche de chez nous, la CNIL française semble prendre exemple sur son homologue asiatique et a annoncé qu’elle était en train d’étudier le problème de la collecte de données de localisation par Apple. Nous en saurons plus d’ici l’automne aux dernières nouvelles.

Mais pourquoââ?

Pour rappel, dans les engagements de confidentialité (que vous avez acceptés si vous êtes utilisateur de ces produits), l’entreprise précise qu’elle s’autorise à « collecter, utiliser et partager des données de géolocalisation précises, y compris la localisation géographique en temps réel de votre ordinateur ou appareil Apple ».

Dans l’affaire qui nous intéresse ici, il est actuellement assez difficile pour l’instant d’avoir des certitudes sur l’utilité de cette collecte d’informations. La version officielle est que cela permettrait d’optimiser les services du téléphone.
Certains s’avancent cependant à envisager la mise en place de nouveaux services commerciaux qui profiteraient de ces données pour transmettre de la publicité ciblée.
La question se pose légitimement alors que Apple est en ce moment attaquée par deux groupes de législateurs américains pour avoir prétendument distribué des applications transmettant des informations personnelles des utilisateurs sans leur consentement, à des annonceurs tiers. Si cela se confirmait, peut-être aurions-nous davantage d’éléments sérieux pour spéculer…

Alors? Apple grand méchant loup?

Malheureusement c’est plus compliqué. Apple n’est pas la réincarnation de Lucifer… En fait, ils auraient bien voulu mais la concurrence est rude! On retrouve évidemment nos amis de chez Google qui n’ont toujours pas dit leur dernier mot!

Vous ne le savez peut-être pas mais Google développe le système d’exploitation Androïd, lequel est installé sur 48% des smartphones dans le monde soit 107,7 millions d’unités (Apple n’occupe « que » 19% de parts de marché).
Grâce à Google Map, les utilisateurs sont incités (espérons que cela reste une « proposition ») à utiliser le service Latitude. Celui-ci permet de vous localiser et si vous le souhaitez de partager ces données avec vos correspondants (et inversement).

Certes, on reste dans le domaine du volontaire, mais jusqu’à quand? Les données sont-elles sécurisées? L’actualité nous montre tous les jours qu’en sécurité informatique, on est jamais trop prudents! 😉

Était-il sérieux d’attendre quelque chose du eG8? La question se pose, et plus encore après le sommet. Nombreux ont été les personnes et les organisations qui se sont méfié de cet événement et ils ont eu raison. La CNIL, qui semble faire de plus en plus de la figuration, avait avant même le commencement du sommet dénoncé l’absence de temps consacré à la protection de la vie privée sur le net.

Premier élément révélateur des ambitions de Sarkozy: le casting. Tout d’abord: l’organisation était prise en charge par Publicis (groupe leader de la communication).  Présents à se sommet, les plus grand requins et prédateurs des internautes: Google, Facebook, Orange, Amazon, E-bay, Universal etc… Toute la clique quoi. L’invitation des quelques personnalités appartenant au monde du libre n’a pas permis de faire diversion. (On a pu noter la présence de Jimmy Wales le fondateur de Wikipédia; John Perry Barlow l’un des initiateurs de la « déclaration d’indépendance du cyber-espace »; Tristan Nitot, président de Mozilla Europe ou encore Lawrence Lessig qui a développé les licences Creative Commons. Le constat est qu’ils ont malheureusement d’avantage servit de cautions que de contre-pouvoirs.)

Tout était joué d’avance ou presque. Le Times lui-même prétendait quelques jours avant que le texte final était rédigé depuis un moment! Le sommet a donc surtout été une gigantesque plage publicitaire à portée mondiale: Pour se donner une idée des enjeux: il fallait verser 250 000 euros pour les sponsors qui voulaient profiter de l’affichage de leur marque sur les panneaux officiels et des premières loges pour les débats. Et question logos, on en a eu pour notre argent!

Confettis et compagnie.
Sarko a essayé de convaincre tout le monde qu’il était le président 2.0; qu’il passait ses nuits à chater sur msn tout en peaufinant son profil Facebook alors qu’il y a peu, il refusait à son ministre Bernard Kouchner l’organisation d’un sommet pour la défense de la liberté d’expression et le soutien des dissidents numériques de pays comme l’Iran. Il en fallait plus pour l’empêcher de prononcer un assez grotesque discours au cours duquel internet a été réduit a un vulgaire outil permettant de faire toujours plus de pognon. Et l’ego des stars-PDG de Google, Facebook etc a bien été flatté: la paternité du web leur a carrément été attribuée par notre cher président (ne le prenez pas mal populace d’internautes !) Pendant de très longues minutes, il n’a cessé de courtiser tout en faisant croire à la nécessité d’adopter une posture régulatrice pour le web. Et c’est là que ça se complique:
Oui, Sarko rêve d’un internet contrôlé…hum ! régulé. Les luttes contre la pédopornographie et pour le respect de la sacro-sainte propriété intellectuelle viennent justifier cette entreprise de censure du net. Il faut comme d’habitude émouvoir ! Et oui, violer les petits enfants c’est pas bien, et non on est pas content que Johnny il soit tellement pauvre à cause des impôts qu’il doive se barrer en Suisse, alors on va pas en plus allumer le feu et télécharger illégalement « Gabrielle » pour mettre sur notre baladeur mp3!

Différentes lois ont déjà entamé les libertés des internautes (Hadopi, Loppsi II etc) mais malheureusement (façon de parler), les législations ne sont pas toujours accordées au niveau international. C’est surtout là qu’est le problème et l’un des obstacles au rêve de « Chine-ternet » au niveau mondial de Sarko. Le discours des entreprises comme Google semble officiellement hostile à cette régulation par les États. Il y a beaucoup trop d’argent à perdre même si la loi n’est pas toujours un obstacle à la course au profit (cf: la numérisation à grande échelle de livre encore soumis au droit d’auteur). Mais il ne faut pas faire l’erreur de penser qu’elles sont pour autant pour le web libre car ces entreprises appliquent déjà à leur manière un filtrage du net. Elles fichent déjà les internautes et stockent déjà des tonnes de données sur nos habitudes de navigation, nos sources d’intérêts, notre profil etc. Il s’agit en fait plus probablement de savoir, qui dans cette affaire aura le plus gros bout de la couette! Reste à savoir dans quelles mesures ces différents acteurs seront capables de collaborer et de partager leur ambition commune d’un internet contrôlé par quelques uns.

Et maintenant ?
-Le eG8, préalable au sommet du G8 de Deauville a par ses débats, alimenté une déclaration commune rédigée par les chefs d’États:  http://www.g20-g8.com/g8-g20/g8/francais/en-direct/actualites/un-nouvel-elan-pour-la-liberte-et-la-democratie.1313.html Comme on pouvais l’attendre, rien de concret à se mettre sous la dents; rien que des déclarations généralistes mais surtout un rappel de la nécessité de préserver le droit à la propriété intellectuelle sur le net.

-A peine le eG8 était-il terminé que les réactions se faisaient entendre. Le CNN (conseil national du numérique) a pris ses fonctions en dénonçant la taxe dite « Google » qui devait être mise en application début juillet. Tirant une légitimité de la Silicone Valley mania du sommet, le CNN défend les intérêts de ses semblables (étant composé d’entreprises du secteur web) et s’insurge contre cette taxe. Devant ne représenter que 1% des revenus publicitaires touchés par l’entreprise, ce qui est loin de ruiner le mastodonte en position de quasi monopole, elle n’en reste pas moins une aberration pour le conseil. Il ne faudrait bien sûr pas accabler les entreprises innovantes (géolocalisation, filtrage des web mail, spywares…) pour des réformes soviétiques comme celle-là !

-Face à l’absence totale de légitimité de cette mascarade, un contre sommet s’est improvisé avec des organisations réfractaires comme la quadrature du net.

Quand on navigue, on est jamais anonymes. Nous laissons de nombreuses traces sur tous les sites, par nos requêtes, nos clics, nos choix de sites.  Il est par exemple possible de connaître du visiteur d’un site: son adresse IP, son fournisseur d’accès, son système d’exploitation, son navigateur, s’il accepte les cookies, s’il accepte le javascript, la page précédente visitée, la résolution de son écran ou encore l’heure affichée sur son ordinateur (permet de localiser).

Le site de la CNIL permet de faire le test afin de se rendre compte de cette fuite d’informations qui peuvent se révéler personnelles.

Lorsqu’on couple toutes ces informations avec celles liées à la navigation, on estime en général qu’il est possible de localiser une personne dans un rayon de 40m.

Les solutions pour se protéger sont nombreuses et peuvent se révéler contraignantes. Il s’agira bien souvent, et avant tout de changer ses habitudes. Il faudra selon les cas, peut-être trouver un autre moteur de recherche, ne plus accepter tous les cookies et les supprimer régulièrement, désactiver certaines fonctionnalités etc…

Attention: le mode navigation privée, proposé par Firefox notamment, est un premier pas mais ne protège en rien contre les informations stockées en dehors de votre ordinateur! Ça n’est pas parce que l’on ne garde pas de traces qu’il n’y a pas de témoins…