Et oui, ça y est, c’est dit: Facebook va cesser de ficher ses utilisateurs, et même de revendre les infos personnelles aux régies publicitaires sans leur accord! C’est Mark Zuckerberg himself qui l’a annoncé hier sur son blog. C’est que ça doit être vrai!

Facebook renaissance

Enfin! Tous ces médisants, ces pinailleurs qui ne passent leur temps qu’à cracher à la figure de cette grande entreprise sociale qu’est Facebook vont pouvoir refermer leur clapet car, Saint Mark a parlé et s’engage, la main sur le catalogue de la Redoute « à ce que Facebook devienne le leader en termes de transparence et de contrôle de la confidentialité. »
Vous pensâtes qu’il s’agissoit de pipeau?? Vous avez probablement raison!

Que Facebook se repentisse

C’est un peu la tendance en ce moment. Après les nombreuses casseroles dont le réseau s’est paré ces dernières années (reconnaissance faciale activée par défaut sans l’accord des utilisateurs, traçage des utilisateurs déconnectés et conservation indéfinie des informations des utilisateurs désinscrits, constitution de profils fantômes sur les non-inscrits, bouton « j’aime » traçant les internautes etc), l’étau semble s’être resserré autour de la boîte californienne.

Avec l’Allemagne, L’UE, et aujourd’hui la Federal Trade Commission (FTC) sur le dos, il fallait une réaction publique et significative, notamment pour stabiliser son image de marque avant une potentielle entrée en bourse l’été prochain.
Visiblement, l’accord avec la FTC donnerait lieu à des audits sur la sécurité des données des internautes pendant 20 ans! Rien que ça!

Des évolutions en perspective?

Des évolutions, il y en a déjà eu pas mal chez Facebook:

Mais des déclarations, il y en a eu beaucoup aussi! Comment faire confiance à quelqu’un qui est devenu l’une des plus grandes fortunes du monde en revendant, parfois en douce, des informations sur les internautes, lorsqu’il dit qu’il que tout ça c’est fini?

Probablement, si évolution il y a (et cela reste à mon avis tout à fait hypothétique), le but du jeu sera d’obtenir l’accord de l’usager, de la même façon que toutes les données postées sont faites propriété de Facebook par la simple signature des conditions d’utilisation.
Dans ce cas, oui, les utilisateurs seront « d’accord » pour fournir leurs données et participer à la création d’un fichier de plus de 800 millions de personnes, disponible pour les régies publicitaires et les services de renseignement de l’État américain. Et oui, Facebook respectera ses utilisateurs, car la revente des informations aura été approuvée par les utilisateurs.

Beaucoup de bruit pour pas grand chose en somme…

Ah! ils commencent à bien me plaire les Allemands! Ils l’avaient déjà ramenée contre la reconnaissance faciale instaurée par défaut sur tous les profils en début de mois, et ils continuent avec carrément l’interdiction du bouton « j’aime », ou « like » en VO. C’est une fois encore pour des raisons de non respect de la vie privée des utilisateurs que l’entreprise est condamnée. 

On va pas trop leur jeter de fleurs sinon ils vont prendre la grosse tête mais en ce moment, je cliquerai bien sur un bouton « j’aime l’Allemagne ».
Il semblerait que les institutions d’outre Rhin attachent une importance particulière à la défense de la vie privée des internautes teutons. Google en a fait les frais par l’intermédiaire de son service Street View en avril. Pour rappel, les voitures chargées de prendre les photos pour la vue réelle dans Google Map ont été mises en cause, suites à de nombreuses affaires révélant qu’elles collectaient des informations sur les habitants par le biais des réseaux Wifi.

Facebook est aujourd’hui la cible de la CNIL locale du land de Schleswig-Holstein. Les sites de la région ont donc jusque fin septembre pour retirer les boutons « j’aime » de leurs sites, sous peine de se voir infliger une amende de 50 000 euros.

Selon les accusateurs, ce bouton permettrait à Facebook de connaître les faits et gestes des internautes naviguant sur les sites qui en sont équipés.
La firme de Mark Zuckerberg n’a évidemment pas démenti mais a précisé qu’elle ne conservait les données que 90 jours (« vous êtes trop bon Monseigneur! »).

En plus des habitudes des 700 millions d’utilisateurs inscrits, Facebook cherche donc à espionner les comportements des autres internautes par le biais de ces petits boutons.
Celles et ceux qui ont un profil Facebook verront évidemment leurs informations croisées avec celles publiées et fournies volontairement lors de l’inscription (lesquelles sont devenues propriété de l’entreprise), afin que soit dressé un profil personnalisé des internautes.

Mon premier article sur les web bugs était une réponse à ce problème assez effrayant. Vous pouvez le relire si vous ne vous êtes pas encore munis de Ghostery!

Le début de l’histoire

La polémique enfle depuis que des chercheurs ont découvert en avril que l’iPhone et l’iPad 3G cachaient au fin fond de leurs systèmes, un fichier qui stocke tous les déplacements de leur utilisateurs grâce aux données de géolocalisation (ah c’est beau le progrès!).

À chaque sauvegarde ou synchronisation des données sur un ordinateur, ce fichier (consolidated.db) est également copié en clair.

N’importe quelle intrusion par un pirate sur la machine permettrait ainsi de reconstituer une cartographie de tous les déplacements.

Le plus fun est que si vous changez d’iPhone et que vous réitérez la manœuvre, le fichier incorpore les données antérieures.

Cette fonction était évidemment obligatoire (à moins de recourir à des modifications du logiciel, ce qui est interdit par la loi). C’est pas beau ça?
Une mise à jour a été proposée et avec laquelle il n’y aurait plus de transmission du fichier lors de la synchronisation voire même de stockage si la fonction géolocalisation est désactivée.

Les réactions

L’une des origines de la contestation vient aujourd’hui de la Corée du Sud. Il y a peu, un utilisateur a gagné un procès sur ce sujet.

C’est la Commission coréenne des communications (KCC) qui a cette semaine attaqué Apple à son tour pour les mêmes raisons. L’entreprise américaine a été condamnée à verser une amende d’environ 2000€. C’est un début, même si l’annonce récente que son capital a dépassé celui du gouvernement américain renforce encore un peu le caractère symbolique de cette peine.

27800 utilisateurs coréens d’iPhone et d’iPad devraient également saisir collectivement la justice la semaine prochaine.

Plus proche de chez nous, la CNIL française semble prendre exemple sur son homologue asiatique et a annoncé qu’elle était en train d’étudier le problème de la collecte de données de localisation par Apple. Nous en saurons plus d’ici l’automne aux dernières nouvelles.

Mais pourquoââ?

Pour rappel, dans les engagements de confidentialité (que vous avez acceptés si vous êtes utilisateur de ces produits), l’entreprise précise qu’elle s’autorise à « collecter, utiliser et partager des données de géolocalisation précises, y compris la localisation géographique en temps réel de votre ordinateur ou appareil Apple ».

Dans l’affaire qui nous intéresse ici, il est actuellement assez difficile pour l’instant d’avoir des certitudes sur l’utilité de cette collecte d’informations. La version officielle est que cela permettrait d’optimiser les services du téléphone.
Certains s’avancent cependant à envisager la mise en place de nouveaux services commerciaux qui profiteraient de ces données pour transmettre de la publicité ciblée.
La question se pose légitimement alors que Apple est en ce moment attaquée par deux groupes de législateurs américains pour avoir prétendument distribué des applications transmettant des informations personnelles des utilisateurs sans leur consentement, à des annonceurs tiers. Si cela se confirmait, peut-être aurions-nous davantage d’éléments sérieux pour spéculer…

Alors? Apple grand méchant loup?

Malheureusement c’est plus compliqué. Apple n’est pas la réincarnation de Lucifer… En fait, ils auraient bien voulu mais la concurrence est rude! On retrouve évidemment nos amis de chez Google qui n’ont toujours pas dit leur dernier mot!

Vous ne le savez peut-être pas mais Google développe le système d’exploitation Androïd, lequel est installé sur 48% des smartphones dans le monde soit 107,7 millions d’unités (Apple n’occupe « que » 19% de parts de marché).
Grâce à Google Map, les utilisateurs sont incités (espérons que cela reste une « proposition ») à utiliser le service Latitude. Celui-ci permet de vous localiser et si vous le souhaitez de partager ces données avec vos correspondants (et inversement).

Certes, on reste dans le domaine du volontaire, mais jusqu’à quand? Les données sont-elles sécurisées? L’actualité nous montre tous les jours qu’en sécurité informatique, on est jamais trop prudents! 😉

Vous avez très certainement déjà entendu parler de Flash Player. Il s’agit d’un lecteur multimédia distribué par la société Adobe et qui est très fréquemment utilisé lors de la navigation sur le web. Par exemple, les vidéos que vous regardez sur Youtube ou Dailymotion sont affichées grâce à ce lecteur. Certains sites sont entièrement développés grâce à la technologie Flash. La place que cette dernière occupe aujourd’hui dans le quotidien des internautes est donc non négligeable.

Flash pose cependant un certain nombre de problèmes. Pour les personnes qui défendent les principes du logiciel libre, il n’est clairement pas un allié. Étant propriétaire, le format Flash ne peut en principe se lire que grâce au lecteur Flash. Cela signifie donc que si par hasard vous aviez l’idée saugrenue de voir une vidéo sur internet, le choix des outils serait assez limité. C’est ainsi qu’il s’est retrouvé installé sur d’avantage de machines que ne l’est Windows de Microsoft.
Le propre des logiciels ou des formats propriétaires est également de masquer la façon dont ils fonctionnent. Dans le cas présent, il est impossible de savoir précisément ce qui ce passe sur notre ordinateur.

Les cookies LSO

Les cookies LSO (Local Shared Object) ou « cookies Flash » sont de petits fichiers qui s’enregistrent sur l’ordinateur de l’usager sans prévenir et sans autorisation. Ils résistent à la manipulation qui consiste à effacer les cookies « traditionnels » par le biais du navigateur web. Il y a quelques temps, ils s’incrustaient même lors de la navigation privée.
Autant dire que Flash pose un sérieux problème en ce qui concerne la vie privée et le droit à maîtriser les informations qui transitent par nos machines.

Les cookies LSO permettent donc de tracer les déplacements des internautes ayant utilisé la technologie Flash (soit à peu près tout le monde).
Les site auxquels vous avez accédé, les types de contenus, les paramètres de connexion et de navigation y sont enregistrés. N’ayant pas de date d’expiration, ils permettent de servir de base pour recréer des cookies « traditionnels » qui eux, ont une date d’expiration. Leur but est bien de contourner le peu de contraintes les encadrant et de neutraliser les outils proposés pour s’en prémunir par les navigateurs web. Ils n’attendent donc que vous pour être mis à la poubelle!

Où se cachent-ils?

Avant d’aller à la corbeille, passez par la case:

Linux: ~/.Macromedia/#SharedObjects
~/.Macromedia/macromedia.com

Windows: C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\#
C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\macromedia.com\

Mac: ~/Library/Preferences/Macromedia/Flash Player/#SharedObjects/
~/Library/Preferences/Macromedia/Flash Player/macormedia.com/

 Comment limiter les nuisances?

• Plutôt que d’effacer manuellement les cookies LSO, il est possible de télécharger betterprivacy. Cette extension pour Firefox vous permettra de les supprimer à chaque fermeture du navigateur par exemple.

• Le site de Flash propose une désactivation afin d’empêcher tout stockage sur les ordinateurs mais plusieurs personnes ont rapporté que cela ne fonctionnait pas chez eux. C’est également mon cas.

• Youtube et Dailymotion proposent maintenant l’affichage des vidéo grâce au langage htlm5. C’est une alternative qui se développe de plus en plus et qui permet de passer par l’un de vos lecteurs vidéo plutôt que par celui de Adobe. C’est plutôt une bonne nouvelle dans notre cas!
  Rendez-vous sur www.youtube.com/html5 ou www.dailymotion.com/html5

• Attention: l’extension Flashblock de Firefox ne fonctionne pas pour les cookies LSO. Elle est censée isoler le contenu Flash et ne permettre d’y accéder qu’en cliquant sur la cible mais je me suis rendu compte qu’en réalité le contenu était tout de même téléchargé. Même sans débloquer la vidéo, le cookie est déposé sur votre ordinateur.

• No script pourra être utilisé à la place mais il est un peu plus délicat à configurer. Ce sera probablement l’objet d’un prochain article.

Se passer de Flash?

Malgré le constat émis au début de cet article, il est en réalité envisageable de se passer de Flash. Et en plus, cela n’implique pas forcément de renoncer à vos soirées vidéos sur Youtube! 😉
L’une des propositions les plus alléchantes est certainement Gnash. Il s’agit d’un lecteur libre développé par la Free Software Foundation et ayant pour but remplacer le lecteur d’Adobe.
Cette solution libre est très intéressante et plutôt au point, mais elle ne permet malheureusement pas toujours d’afficher certains sites entièrement gérés en flash (c’est le cas pour Deezer par exemple) et elle peut contenir encore quelques bugs.
Edit: Gnash gère également les cookies LSO. Il convient donc de garder BetterPrivacy mais il faudra modifier dans les options, le répertoire dans lequel il ira chercher ces cookies. Il ne sera plus macromedia mais gnash/SharedObjects.

Une autre extension de Firefox permettra d’élargir les possibilités offertes par Gnash (notamment pour Dailymotion qui semble encore poser problème): GreaseMonkey. Grâce à elle, vous allez pouvoir ajouter de nouvelles fonctionnalités au navigateur. Vous ajouterez pour cela le script Linterna Màgica (cliquez sur « Userscript (not compressed) », sur « Download » (dans la nouvelle page) puis sur « Installer » dans la fenêtre qui s’ouvre) ou encore ViewTube (cliquez sur installer) qui prend en charge de nombreux lecteurs aussi. Une fois fait, les vidéos s’ouvriront dans un nouveau lecteur (si cela ne marche pas chez vous, téléchargez VLC) au lieu de passer par celui d’Adobe.

Le développement du html5 et des balises <video> qui permettent d’inclure des vidéos sans faire appel au lecteur Flash est certainement l’une des voies les plus intéressantes pour les personnes qui souhaitent se débarrasser de Flash.
(L’article traite ici principalement de la question de la vidéo mais cela n’est pas l’unique façon d’utiliser Flash, loin de là! Heureusement, de nombreuses autres possibilités offertes par le html5 développeront les outils pour se prémunir contre les dangers de Flash pour notre vie privée. Il faudra patienter encore un peu le temps que cela soit suffisamment intégré.)

Non non, ça n’est pas une blague ni un scénario de film de science fiction! Les cramés de technologie ne seront pas bien surpris mais tout de même: les technologies de reconnaissance des visages prennent place sur le réseau social Facebook! Déjà réputé pour son entreprise de fichage progressif de la population mondiale (700 millions de profils), le joujou du milliardaire américain Mark Zuckerberg se perfectionne. Les photographies publiées sur le site seront désormais analysées afin de les mettre en correspondance avec les visages déjà « taggués » sur Facebook. Lorsqu’une personne voudra publier une photo sur laquelle vous figurez,  il sera proposé de l’associer à votre nom si les analyses ont été concluantes. Plus de 100 millions de photographies sont tagguées tous les jours sur le réseau.

Le plus incroyable dans cette affaire réside dans la méthode: les paramètres de sécurité des internautes ont été modifiés par Facebook et la fonction activée par défaut!
Il n’y a pas à dire, Zuckerberg a quand même bien réussi son coup pour se permettre une telle négation du droit à la vie privée. Le laxisme d’une majorité des utilisateurs de Facebook en matière de confidentialité de leurs données et de droit à l’image fait qu’il n’est même plus besoin de prendre des pincettes… Après tout, c’est tellement cool le progrès technique!

• Pour remédier à ce problème, allez à paramètres de compte / « Personnaliser les paramètres” / “Ce que d’autres partagent“, et désactivez “Suggérer à mes amis les photos où j’apparais“.
• Vous pouvez également fermer votre compte ce qui sera encore plus efficace pour protéger votre vie privée! 😉

Édit: depuis fin septembre la fonctionnalité a été temporairement désactivée: http://www.numerama.com/magazine/23807-facebook-interrompt-la-reconnaissance-faciale-en-europe.html

Peut-on encore avoir confiance en Firefox? C’est la question que l’on est en droit de se poser après la découverte qui a été faite sur l’un des modules que son site met à disposition: Ant Video Downloader.

Le chercheur indépendant Simon Newton s’est rendu compte que ce module qui sert à télécharger ou visionner des vidéos, collecte des informations sur ses utilisateurs comme: les adresses des sites visités ainsi que l’heure de connexion, des informations sur le navigateur et des cookies pro à chaque utilisateur et permettant donc de les identifier.

Ce comportement a été également observé lors de l’utilisation du mode navigation privée de Firefox, de VPN ou encore du réseau Tor.  (cf: http://www.developpez.com/actu/32229/Firefox-Ant-Video-Downloader-trace-les-utilisateurs-Mozilla-oblige-de-retirer-l-extension-populaire-de-sa-galerie/)

La réaction de Firefox est dans cette affaire peu rassurante. Certes, la fondation Mozilla qui finance le projet n’est pas responsable de la programmation du module qui était d’ailleurs présenté comme étant  en phase expérimentale. Mais elle a tout de même déclaré que la collecte d’informations n’est pas forcément contraire à ses critères d’admissibilité (!). Sept millions de téléchargements ont été effectués pour cette extension qui a été retirée selon Mozilla mais qui est à l’heure de l’écriture de ce post toujours (à nouveau?) disponible sur le site. Aucun avis ne fait mention de cet incident et seuls les commentaires d’utilisateurs informent les internautes du danger que comporte son utilisation!

Des web bugs, vous en croisez sur quasiment toutes les pages que vous visitez… Ah… c’est pas un virus alors… donc c’est pas grave..? ben si quand même un peu. C’est vrai que c’est plus trop la mode de parler de ces trucs là. Quand c’est apparu dans les années 2000, c’était comme de sortir les dossiers du pentagone après que Julian Assange soit passé par là! C’était, et impensable, et inadmissible. Aujourd’hui on a oublié.

Il s’agit donc de tous petits objets au départ de la taille de un pixel (et donc invisibles), et récupérant des informations sur les personnes qui visitent une page et s’appuyant sur la mise en place d’un cookie (on en trouve également dans les mails). Ce sont des traceurs dont les principaux concepteurs sont les agences de marketing. Ils sont l’un des outils qui permettent de transformer le web en un immense centre commercial dans lequel on pointerait devant chaque rayon visité. Les buts sont donc souvent le profilage marketing et la statistique de fréquentation. De nombreux webmaster s’en servent également pour savoir combien de personnes fréquentent leur site ou quelles pages sont visitées ce qui dans cette perspective peut être une utilisation légitime.
Dans la majorité des cas, c’est anonyme. Mais comment sont traitées les informations récoltées, ça, c’est une autre affaire. Google s’en sert également pour développer ses propositions lors de nos recherches parait-il. Facebook, l’un des plus grand fichier de données personnelles au monde (actuellement près de 700 millions de profiles), pose régulièrement ce genre de traceurs. L’un d’eux a permis ainsi de mettre en relation les données récoltées avec votre compte si vous en aviez un (voir Facebook Beacon). Anonymat dites-vous?

Que faire?

Heureusement, il y a des solutions! L’une d’elle consiste à télécharger un module pour le navigateur Firefox:
Ghostery ( http://www.ghostery.com/).
Les mouchards seront alors affichés pour chaque page, et il sera possible d’en connaître l’utilité, et bien sûr de les bloquer.

Note: les propriétaires jouent sur ambiguïté de la mise à disposition du code source mais cette extension n’est pas un logiciel libre. Noscript peut, pour les partisans du libre, faire office de remplaçant.

Pour celles et ceux qui ne savent pas installer un modules pour Firefox, cliquez sur l’image pour voir la vidéo: