Malgré le fait que les smartphones soient de plus en plus surnommés « mouchards de poche » (et c’est bien mérité), lorsqu’on en possède un, on a bien envie de s’en servir pour tous ses usages habituels. Pour beaucoup, Twitter est un moyen d’information quotidien, et ce malgré ses nombreux défauts (non repect des données personnelles, système centralisé, licence propriétaire etc.).
Nous allons voir comment limiter au maximum les dégâts question vie privée, tout en profitant de cet outil de veille.

« Mouais, encore un truc à la con »

L’une des solutions les plus employées passe par l’utilisation de l’application officielle de Twitter. Cette option-là est à oublier tout de suite si vous avez un tant soit peu de respect pour vos données privées. Jetez un œil sur les permissions requises, ça vaut le détour:

• accès au stockage
• accès au numéro de téléphone
• accès au carnet d’adresse
• géolocalisation
• etc.

Il sera donc préférable d’utiliser une application libre et moins intrusive. Vous pouvez tester par exemple Twidere, qui se trouve notamment sur le dépôt d’applications Fdroid.

Cette dernière a l’avantage de pouvoir être paramétrée pour utiliser un proxy. On va donc s’en servir, et passer par le réseau Tor, ce qui aura de multiples avantages:

• Faire chier votre opérateur et tous ceux qui pourraient analyser votre trafic
• Conserver un peu d’anonymat si votre compte Twitter n’est pas nominal
• Isoler l’activité relative à votre compte de ce que vous pourriez faire à côté de cela
• Accéder au réseau s’il est censuré dans votre pays
• [Optionnel] Participer à l’avènement de la cryptoanarchie en augmentant le volume de données non espionnables qui transitent sous les yeux de nombreux curieux
• [Optionnel] Vous la péter en société ou aux repas de famille

Bon ok, mais comment on fait alors?

Pour passer par le réseau Tor sur votre smartphone, il va vous falloir Orbot, et Orweb, le navigateur associé. Le tout est assez intuitif et facile d’utilisation.
À partir de là, deux solutions se posent à vous:

1. « Torrifier » Twidere directement depuis Orbot (mais il faut être root sur sa machine)
   → Paramètres / Transparent proxying, puis Select Apps et vous cochez Twidere
2. Vous allez dans les paramètres Réseau de Twidere, cochez Proxy Http, remplissez locahost pour l’hôte du proxy, puis 8118 pour le port du proxy

Personnellement je préfère l’option n°2, car le gros défaut de la première, c’est que si vous n’êtes pas connecté à Tor, l’application fonctionnera tout de même, et se connectera donc de façon non sécurisée, révélant ainsi votre position voire votre identité. On a vite fait de cliquer par mégarde sur une icône, surtout avec du tactile. En configurant la connexion par un proxy, pas de Tor: pas de connexion au réseau.

Vous pourrez ensuite obliger Twidere à utiliser Orbot pour ouvrir les liens qui se trouvent dans votre fil, ce qui évitera de laisser des traces dans votre navigateur habituel, et surtout d’être trop facilement identifiable par son empreinte, ou tout simplement par les boutons de partage présents sur les pages que vous visiterez.

Quelques « détails » pour ne pas tout foutre en l’air…

Autre chose pour les personnes désirant être un poil plus discrètes: Twidere tourne en tâche de fond même si vous pensez l’avoir fermé. Vous pourriez donc utiliser Tor pour quelque chose de tout à fait différent, et être trahi par l’application qui continuerait à se connecter à votre compte Twitter.

Vous devriez donc activer les options développeur en cliquant quelque chose comme 8 fois sur « Numéro de build » dans « À propos du téléphone » (Paramètres). Un nouveau menu « Options pour développeurs » apparaîtra, et il vous sera possible de cocher « tuer avec le bouton retour ». Ceci fait, un appui long sur « retour » fermera réellement vos applications.

Enfin, les DNS utilisés par Twitter sont ceux de Google. Cela peut se changer dans les paramètres, pour quelque chose d’un peu plus respecteux de votre vie privée…

Pour renforcer encore un peu le contrôle de votre smartphone Android, reportez-vous à la catégorie Outil/Android de ce site…

Problème récurrent lorsque l’on parle de données personnelles sur les smartphones, la question des permissions allouées aux applications fait souvent mal. Qu’un fond d’écran ou une lampe torche puissent accéder à votre carnet d’adresse, à l’espace de stockage, et communiquer avec le réseau, c’est tout à fait injustifé, et potentiellement dangereux. Qui sait précisément ce que peuvent communiquer certaines applis?

Afin de reprendre un minimum de contrôle sur son appareil et surtout sur sa vie privée, un petit firewall peut s’avérer utile. AFWall+ fait ce travail (fork de DroidWall qui a été racheté par Avast), et vous pourrez vous le procurer notamment sur Fdroid. C’est évidemment sous licence libre GPLv3, donc mangez-en sans retenue.
Note: vous devrez avoir rooté votre téléphone pour vous en servir. [edit] Cela peut remettre en cause la garantie, mais au stade où nous en sommes, un choix est à faire avec les mouchards de poche: la garantie, ou la vie privée. En effet, beaucoup d’applications indispensables nécessitent cette manipulation.

Ceci étant dit, le reste n’est qu’une formalité. Vous n’aurez qu’à choisir pour chaque application si elle peut accéder au réseau local (il me semble que cela doit concerner le bluetooth et peut-être le NFC, mais c’est à confirmer), au wifi, ou au réseau mobile (Edge/3G/4G etc.).

AFWall+ peut fonctionner selon le principe de la liste blanche ou de la liste noire (on coche les applis qui peuvent accéder aux réseaux, ou on coche celles qui ne le peuvent pas); il suffit pour cela de cliquer sur le mode en haut de l’écran (il est par défaut en liste blanche).

Enfin, les applications système sont en rouge, afin de vous aider à ne pas trop foutre le bordel dans votre téléphone. Certaines peuvent être interdites de réseau sans problèmes, mais pour d’autres, cela peut entraver le fonctionnement normal de votre machine. Si vous ne savez pas de quoi il s’agit, il vaut mieux laisser l’accès, ou faire vos propres tests, ce qui aura l’avantage de vous faire un peu mieux comprendre le fonctionnement d’Android.

Il sera bien entendu nécessaire de désactiver le firewall une fois de temps en temps afin de laisser se faire les mises à jours. Mais attention, cela veut dire que les applications curieuses pourront alors communiquer des données personnelles à ce moment.

Vous l’aurez compris, si AFWall+ est un indispensable pour le contrôle de ses données, il ne peut être qu’un complément à une application de gestion des permissions qui elle garantira un blocage d’accès aux carnets de contacts et autres sésames de votre intimité.
Pour faire ce boulot, vous pourrez télécharger Privacy Guard ou mieux, installer CyanogenMod qui gère ça de façon native.

Vous vous souvenez de cette scène dans Minority Report, au court de laquelle le héros entre dans un centre commercial, et que les écrans de publicité scannent son iris pour pouvoir adapter les contenus diffusés? Si nous sommes encore bien loin de ce type de procédés, le principe de la publicité personnalisée et géolocalisée commence à se développer depuis quelques temps. Dans sa dernière mise à jour, l’assitant multifonctions pour Android, Google Now, franchit un pas décisif en proposant ce type de service à tous ses utilisateurs.

Consulter c’est vouloir acheter

Le principe est assez simple: à partir de vos recherches effectuées avec Google search, l’application Google Now prendra l’initiative de vous envoyer des notifications signalant la présence d’un produit déjà consulté sur la toile, au passage devant une boutique censée le vendre. Pour l’instant, les questions de stocks ne sont pas prise en compte, mais le développement des puces RFID dans les marchandises permettrait à l’avenir d’affiner les informations proposées. Autre interrogation: nous ne savons pas jusqu’à quand ce traçage peut remonter dans les historiques de consultation.

D’ici peu, vous passerez donc devant un magasin, et Google vous rappellera aimablement que vous aviez consulté une page concernant un produit situé à proximité, et que c’est le moment d’aller assouvir vos pulsions consommatrices, que le bonheur est à portée de main.

En lisant quelques commentaires sur la question, je suis tombé sur des critiques sous-entendant que la faille de ce système résidait dans le fait qu’elle considère que consulter c’est vouloir acheter, ce qui est faux pour beaucoup d’entre nous.

Certes, le net s’est à tel point transformé en boutique géante que nous tombons très régulièrement sur des offres commerciales, volontairement ou non, et que nous ne souhaitons pas acquérir tout ce que nous voyons. Mais y voir une erreur de la part de Google me semble illusoire. Le principe est en fait plutôt traditionnel dans la pub, et consiste à créer un besoin qui n’existe peut-être pas encore, et à installer l’image de la marque dans nos esprits, dans le champ des options possible au moment de l’achat.

Pour Google, cette application a pour but de « vous rappeler que vous voulez ce produit ». Cette phrase est en fait à ranger dans les slogans assurant la promotion de l’application, et non au rang d’une quelconque analyse de son utilité. Car lorsque les dirigeants de l’entreprise se lâchent un peu, c’est un tout autre discours qui émerge, beaucoup plus proche de l’idée de création du besoin:

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ? ».

Plus qu’un assitant, Google Now renforce donc un peu plus les stratégies des vendeurs de rêves, et les énormes capacités de la firme de Moutain View en tant que régie publicitaire.

Certes, tout cela peut paraître bien inoffensif.  Mais ces technologies se développant, il est tout à fait légitime de questionner la place qu’occupera demain le libre arbitre dans une société qui repose à ce point sur la suggestion et la prescription des comportements à tous les niveaux: ici celui des achats, mais parfois celui des interactions sociales (propositions d' »amis » sur les réseaux, et géolocalisation de ceux-ci), sur les des choix politiques (voir les campagnes 2.0 d’Obama et dans une moindre mesure de François Hollande), sur fonction des corps (normalisation, biométrie…) etc.

Ne perdons pas de vue non plus que les messages publicitaires sont en pleine mutation « grâce » au réseau, et que ceux-ci se font de plus en plus viraux (partagés volontairement sur les réseaux à l’occasion de buzz par exemple), incluant le consommateur à la source (leur contenu est orienté par la récolte des données privées, le succès ou non validé par le partage et les commentaires outrés ou approbateurs) etc.

Le format somme toute très classique de l’annonce identifiée comme telle que propose Google Now n’est sans aucun doute qu’une première étape d’un long processus en développement.

Reste la certitude enfouie en chacun de nous, que notre volonté ne craint pas de si grossières manipulations.
Fin avril, Google affichait pourtant une croissance de 19% de son chiffre d’affaires à 15,42 milliards de dollars…

Alors? Qui va gagner le pari?

Il en a été question à mainte et mainte reprises ici, le modèle de l’entreprise Google repose quasi exclusivement sur la récolte de données personnelles en vue de personnaliser davantage les publicités et résultats affichés par le moteur de recherche et les sites traitants avec des partenaires. En clair, Google est une régie publicitaire proposant des services qui ont pour fonction d’augmenter ses bases de données sur les utilisateurs et leurs centres d’intérêts.

Hégémonie et coups fourrés

Ses services sont très nombreux, et bien souvent les plus populaires. Le moteur de recherche est de loin le plus utilisé en France et dans de nombreux pays, Android est premier sur le marché des OS mobiles, Youtube draine des flux monstrueux de données, Gmail, Google Maps ou encore Google Drive, sont des références dans leurs domaines. Inutile de parler également des Chrome Books, lesquels ne laissent absolument aucune porte de sortie pour échapper aux serveurs du géant de Moutain View.

Il y a peu, le logiciel libre Firefox tenait le haut du pavé dans le domaine des navigateurs web. Les possibilités en terme de personnalisation offertes par l’ouverture du code ont incontestablement participé à la popularisation d’un web plus ouvert, et adaptés à nos besoins. Mais aujourd’hui, Google Chrome est devenu le premier navigateur, et renforce la domination de Google dans les technologies web.

Supposé plus simple et plus rapide, il n’inquiète que peu de gens, et s’installe parfois sans même prévenir. C’est le cas en particulier avec le très célèbre antivirus gratuit Avast. Notons que cette méthode d’installation liée à un autre logiciel fait irrésistiblement penser aux vieux adwares (programmes publicitaires) et sypwares (programmes espions) qui s’installent sournoisement sur notre machine, ajoutant telle ou telle barre de recherche envahissant notre navigateur, ou ces programmes dont on ignore la présence et qui communiquent bien des informations vers des serveurs dont on ne soupçonne l’existence à priori.

Pourquoi Google Chrome est-il un spyware?

À peine sorti en 2008, le navigateur avait déclenché les foudres de certains internautes, et était accusé de cacher des fonctionnalités malveillantes. La polémique s’était notamment orientée vers un petit programme au fonctionnement louche et qui aurait permis à Google de continuer à tracker les utilisateurs même après avoir desinstallé le navigateur.

Et lorsque l’on jette un œil sur la définition de logiciel espion sur Wikipédia, on tombe là-dessus:

Un logiciel espion (aussi appelé mouchard ou espiogiciel ; en anglais spyware) est un logiciel malveillant qui s’installe dans un ordinateur dans le but de collecter et transférer des informations sur l’environnement dans lequel il s’est installé, très souvent sans que l’utilisateur en ait connaissance. L’essor de ce type de logiciel est associé à celui d’Internet qui lui sert de moyen de transmission de données.

Voyons donc comment se comporte le navigateur de Google, et constatons à quel point cette définition lui sied bien.

Dans l’avis de confidentialité de Google Chrome, on trouve ceci:

Sur les informations récoltées:

« Lorsque vous utilisez un navigateur, y compris Chrome, pour contacter les serveurs Google, Google reçoit par défaut des informations de connexion standards comprenant l’adresse IP de votre système, ainsi qu’un ou plusieurs cookies. »

Chaque copie du navigateur est identifiable également par un numéro unique, facilitant sans nul doute la reconnaissance des utilisateurs en ligne. Des statistiques peuvent également être envoyées à Google concernant l’usage fait du logiciel à l’installation.

Mais Google est aussi partageur:

« Pour accéder à certains contenus, il est possible que le navigateur Chrome pour Windows, Chrome OS ou le Chromecast doive transmettre à divers partenaires de contenu et sites Web un identifiant unique stocké sur votre système, à l’aide d’Adobe Flash Access. »

« Les tiers auxquels votre identifiant unique est transmis peuvent l’associer aux informations personnelles que vous leur communiquez. L’utilisation par Google d’un identifiant unique dans le but de fournir des contenus depuis les serveurs Google est soumise aux règles de confidentialité Google. »

Mais à quoi peuvent-elles bien servir?

« Les informations envoyées à Google lorsque vous utilisez Chrome sont traitées en vue de l’exécution et de l’amélioration du navigateur et d’autres services Google. Les informations envoyées à d’autres opérateurs de sites Web sont soumises aux règles de confidentialité de ces sites. Chrome stocke des informations sur votre système dans le but d’améliorer ses performances, et de vous fournir des fonctionnalités et des services utiles. » [???]

Sur les recherches effectuées:

« Lorsque vous saisissez des URL ou des requêtes dans la barre d’adresse de Chrome (l’omnibox), ou dans le champ de recherche du lanceur d’applications, les premières lettres peuvent être transmises à votre moteur de recherche par défaut afin que des prédictions de termes ou d’URL vous soient automatiquement proposées. »

« De plus, pour les utilisateurs connectés, le texte que vous saisissez dans le champ de recherche du lanceur d’applications peut être envoyé à Google afin que des recommandations vous soient proposées pour vos contacts et les applications que vous recherchez éventuellement. »

Marque pages, Historique de navigation, Téléchargements, et sites consultés sont eux-aussi enregistrés analysés, et bien sûrs mis en relation avec votre compte si vous en avez un:

« Si vous vous connectez au navigateur Chrome, à Chrome OS ou à un appareil Android sur lequel Chrome a été préinstallé avec votre compte Google, la fonctionnalité de synchronisation est alors activée. Nous stockons certaines informations associées à votre compte Google sur nos serveurs, telles que les favoris, l’historique et d’autres paramètres. »

Mais Chrome vous aide à parler toutes les langues…

« Lorsque vous utilisez la fonctionnalité de traduction de Chrome, le contenu que vous saisissez est envoyé au moteur de recherche Google afin d’être traduit. »

… Et aussi à mieux maîtriser la votre…

« Lorsque vous utilisez la fonctionnalité de vérification orthographique de Chrome, qui est basée sur la même technologie que celle de la recherche Google pour détecter les fautes d’orthographe, le texte saisi est envoyé à Google pour vous proposer des suggestions de corrections orthographiques et grammaticales. »

Si vous utilisez des outils de reconnaissance vocale et que vous avez accepté l’envoi de statistiques, « d’autres informations sont envoyées à Google, y compris l’URL du site Web sur lequel vous utilisez la saisie vocale, la version de votre système d’exploitation, ainsi que le fabricant et la marque de l’appareil et du matériel audio que vous utilisez. »

Vous utilisez la fonction de géolocalisation intégrée au navigateur? Google sera heureux d’envoyer vers ses serveurs « certaines informations concernant votre réseau local aux services de géolocalisation de Google afin de déterminer votre position approximative. »

Cela peut comprendre:

« [Des] caractéristiques des routeurs Wi-Fi et les identifiants des antennes-relais les plus proches de vous, la puissance du signal de votre connexion Wi-Fi ou de votre mobile, ainsi que l’adresse IP actuellement attribuée à votre appareil. Nous utilisons ces informations pour déterminer votre position, ainsi que pour améliorer le fonctionnement et la qualité de Chrome et des services de géolocalisation de Google. »

« Dans le but d’aider à améliorer la fonctionnalité de navigation sécurisée, vous pouvez envoyer des données supplémentaires lorsque vous consultez un site qui semble contenir des logiciels malveillants.« 

Et en navigation privée?

« Le navigateur communique de plus régulièrement avec les serveurs de Google afin d’estimer à quels moments les personnes se connectent, pendant combien de temps etc. »

 Sous Android

N’oublions pas les terminaux mobiles, qui représentent une part grandissante des moyens d’accès au web. Installé par défaut, Chrome se montre assez gourmand en permissions. Jugez par vous-même:

Parmi les spécificités mobile: si vous avez autorisé l’accès à la géolocalisation par les applications Google, Chrome pourra par exemple s’en servir pour vous présenter des résultats personnalisés. L’un des marchés émergeant développe en effet des propositions de publicités ciblées lorsque l’on passe devant un magasin par exemple.

En bref

Enfin, et quelque soit le type de terminal, n’oublions pas qu’en tant que logiciel privateur (non libre), il n’est possible de connaître le fonctionnement de Chrome que par ce que ses concepteurs veulent bien nous en dire. Seul le logiciel libre nous permet de connaître exactement la manière dont les programmes se comportent.

Firefox sera donc préférable à Chrome, mais il sera tout de même nécessaire d’apporter quelques modifications, car là encore, l’hégémonie de Google en a fait un relais à sa récolte de données personnelles.

Il existe également Chromium, qui est le projet libre sur lequel est basé Chrome.

Droit de réponse…

En droit de réponse et en guise de loyauté, laissons la parole à Éric Schmidt, président du Conseil d’Administration de Google et ancien PDG, lequel défend fort bien la philosophie de ses produits:

« C’est un futur où vous n’oubliez rien. Dans ce futur nouveau, vous n’êtes jamais perdu. Nous connaîtrons votre position au mètre près et bientôt au centimètre près. Vous n’êtes jamais seul, vous ne vous ennuyez jamais, les idées ne viennent jamais à vous manquer. »

« Google a pour règle d’aller jusqu’au bord de ce qui pourrait vous donner la chair de poule et de ne pas aller plus loin. Je dirais qu’implanter des choses dans votre cerveau franchit cette ligne rouge. Du moins pour l’instant, jusqu’à ce que la technologie s’améliore. »

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ?” « .

Le meilleur des monde…

Cette semaine, c’est la stupeur chez les utilisateurs de smartphones Samsung (en tout cas pour ceux qui se sentent concernés par leur vie privée en ligne). Le développeur Paul Kocialkowski, de chez Replicant, un système basé sur Android, alternatif et se voulant entièrement libre, a découvert ce qui est présenté comme une backdoor dans certains terminaux de la marque: Nexus, Nexus S, Galaxy S, S2, Note, ainsi que les tablettes Galaxy Tab 2 de 7 et 10,1 pouces et les Note 2 (détail).

Le problème se situerait au niveau du modem:

« Nous avons trouvé un programme propriétaire tournant sur les applications du processeur en charge du protocole de communication avec le modem. Il s’y trouve une backdoor qui autorise le modem à exécuter des opérations sur le système de fichier. Le programme est présent sur les terminaux Galaxy et il permet au modem de lire, d’écrire et de supprimer des fichiers sur le stockage du téléphone. Sur plusieurs modèles de téléphones, le programme dispose de suffisamment de droits pour accéder et modifier les informations personnelles de l’utilisateur »

Paul Kocialkowski

Autrement dit, ce sont carnets d’adresses, photos, fichiers et mots de passe qui sont concerné, mais aussi l’activation de la caméra ou du micro. Néanmoins, le programme ne se comporterait pas exactement de la même manière selon les appareils et les application installées.

Le débat est ouvert quant aux intentions de Samsung, ou même quant à sa connaissance du problème. Quoi qu’il en soit, nous savons aujourd’hui que l’Internet mobile constitue un élément central des stratégies de ciblage pour la publicité prédictive, mais aussi pour les agences comme la NSA. Volontaire ou non, cette ouverture dans la vie privée des utilisateurs s’avère très inquiétante, d’autant plus qu’elle concerne des terminaux très populaires.

Une fois encore, les technologies privatives prouvent leur incapacité à fonctionner de manière transparente et à assurer la sécurité des utilisateurs. S’il est évidemment possible d’insérer ce genre de fonctionnalité malveillante dans un logiciel libre, nous avons avec eux plus de chances de les repérer et d’y remédier.

La nouvelle n’est donc pas une grande surprise, mais elle a de quoi décourager et pose un certain nombre de questions. Pour Jeremy Zimmermann de la Quadrature du Net, l’un des grands enseignements de l’affaire PRISM est qu’on ne peut plus avoir une confiance aveugle en nos ordinateurs. Le débat sur le logiciel libre, s’il est loin d’être arrivé à son terme, aboutit petit à petit à des avancées. Mais l’urgence imposée par l’ampleur des révélations de cet été nous rappelle toute la complexité qu’entraîne la volonté de contrôler son informatique. Ainsi, les alternatives dans le hardware libre (le matériel), peinent à s’imposer et à rivaliser avec les produits grand public. On pourra jeter un œil ici pour s’en rendre compte.

Cette affaire pose donc pour l’instant plus de questions qu’elle n’apporte de réponses, car l’utilisation de ROM alternatives comme Replicant ou CyanogenMod ne permettraient pas nécessairement de se prémunir de la chose. De plus, il est raisonnable d’envisager que Paul Kocialkowski n’ait peut-être pas été le premier à remarquer la faille. Quel en a été l’usage? Par qui? Vouloir se protéger est-il illusoire? Une fois encore, les utilisateurs sont laissés à l’incertitude, et les nouveaux outils connectés se montrent encore un peu plus comme étant particulièrement sensibles et imprévisibles en matière de sécurité.

[Édit: TextSecure abandonne le chiffrement des SMS. L’application SMSSecure doit pouvoir la remplacer]
La nouvelle est tombée la semaine dernière, CyanogenMod propose dorénavant le chiffrement des SMS par une intégration de TextSecure par défaut dans la version Nightly 10.2. Cette nouvelle ne surprend guère après les révélations sur l’espionnage de la NSA par Edward Snoden cet été, et les multiples autres affaires révélant la collaboration de nombreux pays occidentaux dans cette surveillance des communications.

La France s’est d’ailleurs retrouvée sous les projecteurs ces derniers jours par la médiatisation de la fronde lancée contre la loi de programmation militaire, laquelle renforce les possibilités d’écoute des communications (notamment en temps réel) par les services de renseignement.

De plus en plus de personnes s’intéressent donc à la sécurité et à la confidentialité des échanges. Cela mène naturellement des acteurs de la communication à traiter plus sérieusement cette question, comme l’a fait l’équipe Cyanogen.

Si le chiffrement des SMS était déjà possible grâce à des applications comme TextSecure, le proposer par défaut est une avancée aussi importante que l’adoption du https pour les sites de commerce il y a plusieurs années (bien qu’étant encore de moindre portée), accompagnant alors le mouvement de légalisation de la cryptographie pour le grand public. C’est en cela qu’il s’agit d’une avancée majeure, d’un pas vers la normalisation du chiffrement des SMS, et accessible à tous.

Pour rappel, l’intérêt du chiffrement est multiple: celui de renforcer la confidentialité des échanges par la cryptographie, mais aussi d’authentifier l’identité de l’interlocuteur à qui l’on s’adresse. De plus, en cas de vol de l’appareil, les SMS stockés ne peuvent plus être lus par l’agresseur.

Pas de tuto pour cette manip’ donc, puisque tout se règle automatiquement entre utilisateurs de CyanogenMod ou entre un terminal sous CM et un autre utilisant TextSecure. 🙂

Malgré l’image un peu plus respectable dont jouit encore Twitter, il ne doit pas y avoir méprise: le réseau fonctionne comme beaucoup sur le principe de « si c’est gratuit c’est que vous êtes le produit ». Depuis le 17 avril, le réseau permet aux annonceurs de cibler leurs annonces en fonction des mots-clés utilisés par les abonnés. De nouvelles perspectives de traçage sont à prévoir.

L’épicerie du coin

Jusqu’à présent, ce sont les centres d’intérêt des utilisateurs qui servaient à « proposer » des messages sponsorisés. Désormais, les mots-clés utilisés permettront d’aller encore un peu plus loin. L’argumentaire proposé par le réseau est d’ailleurs bien rodé. En effet, grâce à cela, les amateurs de musique pourront profiter d’informations locales (l’annonce d’un concert par exemple) et se verront ainsi mis au courant de quelque chose qui les intéresse, près de chez eux. Dans ce contexte, le côté « local » passe presque pour du commerce de proximité, un label genre « producteur du coin ». C’est assez cocasse et bien amené.

« J’irai où tu iras » (Céline Dion)

Le véritable « avantage » dans cette affaire c’est d’augmenter la proximité géographique ET temporelle des annonces. Grâce aux dispositifs nomades (smartphones, tablettes…), il va être possible d’associer localisation de l’internaute et profil établi. Par exemple, vous pourrez recevoir une publicité pour un magasin de vêtements se trouvant à proximité si cela est jugé pertinent par rapport à l’analyse du contenu de vos tweet. Ce modèle est sans nul doute l’avenir proche pour l’ensemble du modèle de traçage publicitaire en ligne (il se pratique déjà dans certaines régions).

« Non, Non, rien a changé » (Les Poppys)

Évidemment Twitter jure sur la vie de sa grand-mère qu’il n’y aura pas plus de publicité proposée. Quoi qu’il en soit, un nouveau cap a été franchi et il convient de toujours garder en tête que ce réseau social comme d’autres, n’a pour objectif que d’augmenter ses profits en établissant des profils des utilisateurs pour les annonceurs publicitaires. Selon le cabinet spécialisé eMarketer, Twitter viserait le milliard de recettes pour 2014.

La publicité, c’est sur le poste fixe comme sur le smartphone, un truc qui me soûle au plus haut point (je tiens à conserver un cerveau disponible pour autre chose). Si vous faites comme moi partie des irresponsables profiteurs qui utilisent Adblock Plus au détriment des gentils sites qui ne vivent que de la pub et bradent le contenu de votre boîte crânienne, vous êtes certainement devenus carrément allergiques à toutes ces saletés visuelles et autres agressions sonores. Pas de panique, le smartphone ne restera pas une zone de non droit!

AdAway est une application libre (GPLv3) que vous pourrez trouver sur Google Play Store ou encore sur FDroid, un dépôt alternatif de logiciels libres. Elle fera le ménage dans votre navigateur et dans les applications, et ce en utilisant le fichier hosts.
Pour pouvoir la lancer, il vous faudra avoir un accès root sur votre téléphone. Le reste est extrêmement intuitif et simple d’utilisation. La rubrique « Aide » répondra à vos éventuelles questions et problèmes rencontrés.

Pour les curieux, voici un p’tit aperçu de l’appli par AdroTesteur:

Quand on est habitué à Linux sur l’ordinateur et qu’on passe au smartphone, ça fait un peu mal… Plus de bidouillage, des applications propriétaires installées par défaut sans qu’on puisse y toucher, des données personnelles envoyées dans tous les sens etc. Blurp! Heureusement, point de fatalité, CyanogenMod permet de reprendre un peu le contrôle de son appareil!

CyanogenMod est un système d’exploitation (en fait on dit « ROM » pour Read Only Memory), libre et conçu pour les smartphones et tablettes. Il est basé sur Android. Très populaire chez les utilisateurs de smartphones, cette ROM permet un plus grand paramétrage de l’interface et propose de nombreuses fonctionnalités comme le réglage plus fin au niveau du processeur. Autre grand avantage pour beaucoup, elle est installable sur de nombreux appareils, même sur ceux pour lesquels les dernières versions d’Android n’auront pas été prévues.

Les libristes seront donc également satisfaits de constater que nativement, CyanogenMod ne contient que des logiciels libres (mis à part les drivers). Pas d’applis Google non plus donc! Pour celles et ceux qui souhaiteront tout de même les ajouter (notamment pour le Play Store), vous les trouverez dans un fichier séparé à installer.

Les puristes (ce n’est pas une maladie hein! 😉 ) pourront eux compenser Google Play Store par le dépôt d’applis libres Fdroid (pensez à autoriser les sources inconnues dans Paramètre / Sécurité) et pourquoi pas le compléter des quelques applications orientées sécurité / vie privée de The Guardian Project (il faut pour cela ajouter le dépôt https://guardianproject.info/repo/ dans Fdroid). On y trouve notamment Orbot et Orweb, permettant de se connecter au réseau Tor grâce à son smartphone.

Pour télécharger CyanogenMod, rendez-vous sur le site officiel.
Actuellement la dernière version stable est la 9 (correspond à IceCream Sandwich), mais les 10 et 10.1 (qui permettent donc d’obtenir Jelly Bean), sont tout à fait utilisables bien qu’elles soient en nightly build (en cours de développement avec mise à jour quotidienne).

Pour ceux qui ne connaissent pas la manœuvre pour l’installation, la vidéo de Korben sur le sujet vous en donnera les clés pour CM10 sur le Galaxy S3.

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

Cette première vidéo est une conférence de Skhaen, l’un des protagonistes du mouvement hacktiviste Telecomix. Elle traite de la cryptographie et de la sécurité dans les communications, de leurs principes de fonctionnement, mais aussi des applications disponibles pour se protéger de la surveillance, notamment sous Android. Si vous ne comprenez rien à tout ça et/ou que vous souhaitez en connaître davantage sur les outils sécurisés disponibles, installez-vous dans le canap’!

Qui fait le malin tombe dans le ravin… Nous ferions mieux de nous rappeler cette maxime!
De plus en plus nous voyons apparaître des systèmes de déblocage, ou de lancement d’applications pour ordinateurs (au sens large), et qui utilisent la biométrie: empreintes digitales, reconnaissance faciale, reconnaissance vocale etc…

Dans le cas présent, le système de déblocage du dernier système Android « Ice Cream Sandwitch », utilise justement la reconnaissance faciale. Je vous laisse voir par vous même ce que ça apporte d’un point de vue sécurité!

Donc mis à part se faire plaisir en ayant le dernier gadget inutile ou en se prenant pour James Bond, quel intérêt à un tel dispositif, qui de l’aveu même de ses concepteurs, n’est que très peu sécuritaire?
Notons que le téléphone lui même n’est pas ce qui se fait de mieux en terme de sécurité des données, nous avons pu le constater avec l’iPhone dont le fonctionnement est assez similaire aux terminaux Android.

Quel intérêt donc, à intégrer la biométrie dans le quotidien, en faisant croire au gens que l’usage de ces technologies pour le « civil » est une affaire de confort?

Quel intérêt à développer ces systèmes informatisés et de plus en plus utilisés pour la surveillance, s’il faut toujours une personne à côté pour vérifier qu’il n’y a pas fraude au niveau de l’utilisation?

Je vous pose la question, et vous invite à lire l’article de Jean-Marc Manach Plus de fichiers = plus de fuites  sur le piratage des données personnelles de quelques élus UMP.
Bien que le sujet ne soit pas exactement le même, il y a certainement là quelques outils pour une réflexion sur la frénésie des bases de données.

Entre la validation d’une Hadopi et d’une loppsi II, la CNIL travaille quand même un peu sur les questions de vie privée.
Suite à son enquête, elle révèle que les iPhones communiquent des informations la nuit, sur les relais wifi rencontrés le jour.

Steve Jobs est mort la semaine dernière, mais comme diraient ses fans, son esprit est toujours parmi nous! Suite à la polémique qui avait été lancée en avril dernier puis réactualisée il y a peu, la CNIL a mené l’enquête.

Celle-ci conclue donc que les données de connexions aux bornes WIFI conservées par le smartphone, seraient bien envoyées aux serveurs d’Apple, mais anonymement parait-il.

« L’iPhone envoie à Apple des informations sur les points d’accès WiFi qu’il a « vus » dans les heures ou les jours précédents. Ces points d’accès WiFi sont identifiés par leur adresse MAC associée à la force du signal mesuré et la position géographique (GPS) du téléphone au moment de la mesure (ainsi que d’autres données techniques complémentaires, à l’exclusion du SSID). »

La CNIL précise tout de même que:

« les communications entre l’iPhone et Apple ne contiennent pas d’identifiant unique ou autre information permettant d’identifier le téléphone », et que « ce choix technique, confirmé récemment dans un courrier par Apple, rend cette collecte en principe anonyme et élimine donc largement le risque de traçage des personnes. »

Rappelons que ce qui n’était pas un problème pour la firme de Cupertino dans un premier temps (la collecte d’informations), s’est traduit par une mise à jour du système, et que les questions posées par la CNIL suite à cette affaire n’ayant pas été éclaircies par Apple, l’entreprise s’était vue sanctionnée pour manquement caractérisé à la loi Informatique et Libertés.

La présente affaire n’est probablement pas réglée puisque, si la CNIL annonce vouloir s’assurer que le système ne serve pas à tracer les usagers, c’est qu’il réside toujours un doute.

Elle précise également que « cette analyse technique ne préjuge pas de la conformité de ce dispositif au regard de la loi Informatique et Libertés »

Rien qui ne puisse mettre en confiance…

Le début de l’histoire

La polémique enfle depuis que des chercheurs ont découvert en avril que l’iPhone et l’iPad 3G cachaient au fin fond de leurs systèmes, un fichier qui stocke tous les déplacements de leur utilisateurs grâce aux données de géolocalisation (ah c’est beau le progrès!).

À chaque sauvegarde ou synchronisation des données sur un ordinateur, ce fichier (consolidated.db) est également copié en clair.

N’importe quelle intrusion par un pirate sur la machine permettrait ainsi de reconstituer une cartographie de tous les déplacements.

Le plus fun est que si vous changez d’iPhone et que vous réitérez la manœuvre, le fichier incorpore les données antérieures.

Cette fonction était évidemment obligatoire (à moins de recourir à des modifications du logiciel, ce qui est interdit par la loi). C’est pas beau ça?
Une mise à jour a été proposée et avec laquelle il n’y aurait plus de transmission du fichier lors de la synchronisation voire même de stockage si la fonction géolocalisation est désactivée.

Les réactions

L’une des origines de la contestation vient aujourd’hui de la Corée du Sud. Il y a peu, un utilisateur a gagné un procès sur ce sujet.

C’est la Commission coréenne des communications (KCC) qui a cette semaine attaqué Apple à son tour pour les mêmes raisons. L’entreprise américaine a été condamnée à verser une amende d’environ 2000€. C’est un début, même si l’annonce récente que son capital a dépassé celui du gouvernement américain renforce encore un peu le caractère symbolique de cette peine.

27800 utilisateurs coréens d’iPhone et d’iPad devraient également saisir collectivement la justice la semaine prochaine.

Plus proche de chez nous, la CNIL française semble prendre exemple sur son homologue asiatique et a annoncé qu’elle était en train d’étudier le problème de la collecte de données de localisation par Apple. Nous en saurons plus d’ici l’automne aux dernières nouvelles.

Mais pourquoââ?

Pour rappel, dans les engagements de confidentialité (que vous avez acceptés si vous êtes utilisateur de ces produits), l’entreprise précise qu’elle s’autorise à « collecter, utiliser et partager des données de géolocalisation précises, y compris la localisation géographique en temps réel de votre ordinateur ou appareil Apple ».

Dans l’affaire qui nous intéresse ici, il est actuellement assez difficile pour l’instant d’avoir des certitudes sur l’utilité de cette collecte d’informations. La version officielle est que cela permettrait d’optimiser les services du téléphone.
Certains s’avancent cependant à envisager la mise en place de nouveaux services commerciaux qui profiteraient de ces données pour transmettre de la publicité ciblée.
La question se pose légitimement alors que Apple est en ce moment attaquée par deux groupes de législateurs américains pour avoir prétendument distribué des applications transmettant des informations personnelles des utilisateurs sans leur consentement, à des annonceurs tiers. Si cela se confirmait, peut-être aurions-nous davantage d’éléments sérieux pour spéculer…

Alors? Apple grand méchant loup?

Malheureusement c’est plus compliqué. Apple n’est pas la réincarnation de Lucifer… En fait, ils auraient bien voulu mais la concurrence est rude! On retrouve évidemment nos amis de chez Google qui n’ont toujours pas dit leur dernier mot!

Vous ne le savez peut-être pas mais Google développe le système d’exploitation Androïd, lequel est installé sur 48% des smartphones dans le monde soit 107,7 millions d’unités (Apple n’occupe « que » 19% de parts de marché).
Grâce à Google Map, les utilisateurs sont incités (espérons que cela reste une « proposition ») à utiliser le service Latitude. Celui-ci permet de vous localiser et si vous le souhaitez de partager ces données avec vos correspondants (et inversement).

Certes, on reste dans le domaine du volontaire, mais jusqu’à quand? Les données sont-elles sécurisées? L’actualité nous montre tous les jours qu’en sécurité informatique, on est jamais trop prudents! 😉