[Actualité] CNIL : ces applis qui nous veulent du mal

Version imprimable

09/04/2013, 18h50
Miistik

[Actualité] CNIL : ces applis qui nous veulent du mal
La CNIL a rendu public aujourd'hui un rapport sur les applications capables de « piller » nos données.

En effet, des volontaires ont utilisé 6 iPhones en utilisation personnelle.

La CNIL et l'Inria, par le biais du projet Mobilitics, ont analysé les données enregistrées, stockées et diffusées par nos smartphones.
Les chercheurs de ces deux organismes ont développé un outil capable de capter et d'enregistrer toutes les données que récoltent les applications que nous téléchargeons et utilisons au quotidien.

Le résultat est effroyable : 9 Go de données ont été récoltés et 189 applications ont été utilisées, et cela en seulement 3 mois !

Quelques résultats significatifs :
- 9 applications sur 10 accèdent au réseau sans notre accord ;
- 4 sur 10 connaissent le numéro de série du Téléphone (UDID chez Apple) ;
- 3 sur 10 peuvent nous géolocaliser.
http://www.developpez.com/public/ima.../cnilinria.png

Selon Geoffrey Delcroix : Ainsi, « rien qu'en récoltant l'UDID, le développeur peut potentiellement savoir quelle est la liste des applications téléchargées par l'utilisateur et connaître par conséquent son mode de vie, ses habitudes de consommation, etc. Mais ce ne sont que des hypothèses, l'usage de ces données restent encore très opaque ».

Source : Rapport CNIL

:fleche: Après ce constat alarmant, qu'en pensez-vous ?

:fleche: À l'heure ou nous disposons de DropBox, accès à nos e-mails, nos comptes bancaires etc. sur nos smartphones, vous sentez-vous en sécurité ?

:fleche: Où la protection de notre vie privée commence-t-elle ?

:fleche: Pensez-vous que les nouvelles technologies ne sont pas assez contrôlées sur ce point là ?

Édité par Hinault Romaric
10/04/2013, 11h36
gangsoleil

Citation:

Envoyé par Miistik

Le résultat est effroyable : 9 Go de données ont été récoltées et 189 applications ont été utilisées et cela en seulement 3 mois !

Je pense que tu n'as pas compris : le but de l'etude etait justement de collecter des donnes, pour les analyser. Donc plus il y a de donnees, mieux c'est, et ca n'a rien d'effroyable.

Citation:

Quelques résultats significatifs :
- 9 applis sur 10 accèdent au réseau sans notre accord.
- 4 sur 10 connaissent le numéro de série du Téléphone (UDID chez Apple).
- 3 sur 10 peuvent nous géolocaliser.

Le probleme est de savoir si l'application a besoin d'acceder a ces donnees, et dans la majorite des cas, la reponse est non. C'est bien plus la qu'est le probleme.
Pour l'UDID, Apple a deja communique sur le fait qu'ils devraient interdire prochainement (quand ?) l'acces a l'UDID.

On note toutefois un net progres sur l'acces au carnet d'adresse (8%) et au calendrier (2%), ce qui est a priori mieux qu'il y a quelques annees (ou pas mal d'applications y accedaient).

Citation:

A l'heure ou nous disposons de DropBox, accès à nos emails, nos comptes bancaires etc ... sur nos smartphones, vous sentez-vous en sécurité ?

DropBox ne doit pas etre utilise si tu veux securiser tes donnees, puisqu'il a ete montre que les clefs de chiffrement sont utilisees pour dechiffrer le contenu pour ne stocker qu'une seule occurence de celui-ci.

Pour le reste, le fait que le jeu A ait acces au net alors qu'il n'en a pas besoin n'a absolument rien a voir avec l'application (supposement) securisee de ta banque, qui accede aussi au net. Personne n'a montre de probleme de securite dans ce sens a ma connaissance.

La question qui se pose, a la rigueur, est de savoir ce qui peut etre fait des donnees. Dans le pire des cas, les donnees collectees sont revendues a des annonceurs publicitaires. C'est genant du point de vue de la vie privee, mais pas dangeureux.

Ce que je trouve dangeureux, c'est l'utilisation que font les gens des outils : la plupart ne sont pas verrouilles par code, la plupart contiennent des donnees trop sensibles pour etre gardees dessus, quasiment aucun n'est muni d'antivirus, et les gens font n'importe quoi.
De plus en plus de sites proposent de stocker les numeros de CB "pour faciliter le paiement" et gagner 10 secondes pour l'utilisateur[*]. Combien disent comment sont gardees les donnees, avec quelle garantie ? Aucun, pas meme Amazon a ma connaissance (site qui oblige pourtant a enregistrer sa carte).

Bref, oui, il y a les mechants vendeurs d'applications qui font tout et n'importe quoi, mais il ne faut pas oublier non plus les cretins d'utilisateurs qui font aussi tout et n'importe quoi.

Lien vers le site de Mobilitics sur la page d'Inria : https://team.inria.fr/privatics/mobilitics/
[*]en vrai, le but est d'accelerer le temps de la commande pour que l'utilisateur n'annule pas son "achat coup de coeur", c'est a dire qu'il ne prenne pas le temps de reflechir au fait qu'il ait ou non besoin de l'objet -- mais c'est un autre debat.
10/04/2013, 14h23
MagnusMoi

C'est Bien pour cela que j'ai toujours un 3310 ! :ccool:

Je suis sans doute vieux con 8O, mais pour moi un téléphone sert seulement à téléphoner :aie:!

Maintenant, oui, je l'avoue je programme des fois pour mobile :roll:, mais il faut bien plumer les pigeons ... euh gagner sa vie je veux dire :P
10/04/2013, 14h26
ram-0000

Citation:

Envoyé par Miistik

Le résultat est effroyable : 9 Go de données ont été récoltés et 189 applications ont été utilisées, et cela en seulement 3 mois !

Citation:

Envoyé par gangsoleil

Je pense que tu n'as pas compris : le but de l'etude etait justement de collecter des donnes, pour les analyser. Donc plus il y a de donnees, mieux c'est, et ca n'a rien d'effroyable.

Pas tout à fait d'accord, la quantité de données récoltées est quand même énorme même si pour cette étude, c'est tant mieux que cela soit si "effroyable" car sinon, pas d'étude possible ou alors des résultats biaisés.

Un autre résultat (dans un monde idéal ou utopique) aurait pu être 0 octets de données collectés et donc la conclusion aurait été "toutes les applis utilisées sont respectueuses de la vie privée de l'utilisateur" (mais là, le réveil sonne et je me réveille :aie:).
10/04/2013, 14h32
CHbox

Citation:

Envoyé par MagnusMoi

C'est Bien pour cela que j'ai toujours un 3310 ! :ccool:

Je suis sans doute vieux con 8O, mais pour moi un téléphone sert seulement à téléphoner :aie:!

Maintenant, oui, je l'avoue je programme des fois pour mobile :roll:, mais il faut bien plumer les pigeons ... euh gagner sa vie je veux dire :P

Je faisais la même réflexion il y a encore moins d'un an avec mon vieux Sagem Myx2-2, mais je dois bien l'avouer le smartphone ça change la vie, je ne dis pas que c'est indispensable mais ça offre un certain confort, pour checker rapidement des trucs sur internet, mes mails, ou jouer dans mes temps perdus c'est franchement pratique.

Ceci dit je suis hs, je pense que les applis ont trop tendance à prendre plus que ce dont elles ont besoin, et ça me fait peur quand je vais sur l'onglet "Autorisations" du Google play parfois.
10/04/2013, 14h36
ram-0000

Citation:

Envoyé par CHbox

Ceci dit je suis hs, je pense que les applis ont trop tendance à prendre plus que ce dont elles ont besoin, et ça me fait peur quand je vais sur l'onglet "Autorisations" du Google play parfois.

Quoi ? Tetris qui demande Internet, la localisation GPS, l'accès au répertoire et la possibilité d'envoyer des SMS (je l'ai vu récemment sur le Google Play), tu trouves que c'est trop ? T'es pas joueur :P
10/04/2013, 15h04
martopioche

Le gros reproche que j'aurai à faire à cette étude est son aspect "basque". Donner ces données brut a de quoi effrayer, c'est vrai. Néanmoins, cette étude a été réalisée sur iOS où l'utilisateur peut refuser de donner accès au carnet d'adresse, calendrier et géolocalisation. Ensuite, il n'est pas précisé la nature par exemple de l'accès au réseau. Une application payante y accède pour valider la licence par exemple.

Enfin, on va se retrouver dans des situations paradoxales. Sur Android par exemple (je passe à l'autre du fait que je sais plus facilement retrouver la doc :) ) Google incite à accéder aux comptes pour faciliter la personnalisation ( http://developer.android.com/trainin.../identify.html ) et éviter les interactions laborieuses.

Maintenant, l'interrogation quand à savoir si on a trop d'informations confidentielles sur son mobidule, pas plus que le PC... Mais certaines informtions sont juste plus accessibles.
10/04/2013, 15h25
gangsoleil

Citation:

Envoyé par martopioche

Néanmoins, cette étude a été réalisée sur iOS où l'utilisateur peut refuser de donner accès au carnet d'adresse, calendrier et géolocalisation.

Refuser la geolocalisation, oui. Le reste, non. Du moins je n'ai jamais trouve...

Citation:

Ensuite, il n'est pas précisé la nature par exemple de l'accès au réseau. Une application payante y accède pour valider la licence par exemple.

Euh non, pas forcement, puisque tu payes a l'achat. Neanmoins, lorsque j'achete un tetris, je ne vois pas de raison pour qu'il accede au reseau sans me prevenir, quelle que soit la version que j'achete.

Citation:

Google incite à accéder aux comptes pour faciliter la personnalisation ( http://developer.android.com/trainin.../identify.html ) et éviter les interactions laborieuses.

Google pousse toujours a la "personnalisation" et a l'utilisation de donnees personnelles : c'est grace a ca qu'ils gagnent de l'argent. Neanmoins, ce n'est pas "normal" pour autant.
10/04/2013, 17h57
martopioche

Citation:

Envoyé par gangsoleil

Refuser la geolocalisation, oui. Le reste, non. Du moins je n'ai jamais trouve...

Apple ne l'implémentait pas depuis le début, c'est depuis la version d'iOS suivant le "scandale" Path. IOS te demande confirmation qu'une app accède au service de localisation, contacts, calendriers, rappels et photos (dont l'accès est aussi assimilé à de la géolocalisation). Tout est révocable dans Réglages>Confidentialité.

Citation:

Euh non, pas forcement, puisque tu payes a l'achat. Neanmoins, lorsque j'achete un tetris, je ne vois pas de raison pour qu'il accede au reseau sans me prevenir, quelle que soit la version que j'achete.

Une application piratée, tu ne la paye pas. Une vérification de licence se fait n'importe quand.

Citation:

Google pousse toujours a la "personnalisation" et a l'utilisation de donnees personnelles : c'est grace a ca qu'ils gagnent de l'argent. Neanmoins, ce n'est pas "normal" pour autant.

Là on parle de ce qu'ils incitent les devs à faire, cela n'a aucune incidence sur Google et leur collecte. En soi, ils n'ont pas tord.
11/04/2013, 10h50
lafubil93

On a que ce qu'on mérite

Je suis persuadé que tous hormis quelques bobos branchouille en ont rien à faire de savoir s'ils sont trackés ou pas.

Est-ce important après tout ?

On vient , nous même comme des grands,
-donner notre géoloc à notre provider mobile (et à Google)
-d'étaler la moitié de notre vie sur Facebook, (oui mais bon....)
-confier notre correspondance privé à Gmail, (que ferais sans gmail ?)
-confier nos documents privés à Gdrive...(servez vous c'est gratuit)
-payer par CB nos achats (géoloc du DAB, type d'achat etc..)
-nos photos à Picassa ( donc voila, grave, ziva, mdr, lol, ptdr )

alors savoir si le dernier Tetris nous géocalise ou connait notre UDID...
11/04/2013, 11h19
gangsoleil
- donner notre géoloc à notre provider mobile (et à Google) --> Non. Le provider mobile est oblige de connaitre ta localisation de par l'utilisation de les antennes relai que tu utilises, cela me semble normal. Un peu comme quand je vais dans une librairie, le vendeur sait ou je suis... Par contre, le fait que mon IP soit systematiquement geolocalisee, c'est deja plus embetant, ne serait que lorsque tu es a l'etranger et que tu fais des recherches : c'est sympa d'avoir des reponses dans la langue du pays, mais pas top lorsque tu ne la parles pas (ou que le pays a plusieurs langues).
- d'étaler la moitié de notre vie sur Facebook, (oui mais bon....) --> Non, toute personne qui fait un peu attention a sa privee n'a pas de profile sur FB, ni ne passe son temps a twitter.
- confier notre correspondance privé à Gmail, (que ferais sans gmail ?) --> bah je ne l'utilise pas, et je vais tres bien. Et ce depuis de tres nombreuses annees. Je n'ai jamais compris ce qu'apportait gmail que les autres hebergeurs mails ne proposent pas, mais bon, ce n'est pas le debat.
- confier nos documents privés à Gdrive...(servez vous c'est gratuit) --> Ca va pas non ? Et pourquoi pas a Dropbox aussi, qui garde les clefs de dechiffrement...
- payer par CB nos achats (géoloc du DAB, type d'achat etc..) --> le vendeur sait que tu achetes chez lui, et je ne crois pas que Visa ou MasterCard (pour ne prendre que les deux principaux) vendent les donnees. Par ailleurs, comme ils ne vendent pas directement leurs services aux utilisateurs, l'utilisation qu'ils peuvent faire des donnees est moindre. Neanmoins, le fonctionnement (tres) discret de ces societes peut effectivement poser un probleme s'ils vendent les donnees.
- nos photos à Picassa ( donc voila, grave, ziva, mdr, lol, ptdr ) --> non plus