Contenu

• Installer
• Ce que j'ai vu
• Les publicités
• Amazon AWS
• OK Google
• Qu'est-ce que Google sait de moi?
• Qu'en est-il de Facebook, Twitter et autres?
• Potentiel vs réel
• Emballer

La confidentialité numérique est un sujet brûlant. Nous sommes entrés dans une ère où presque tout le monde porte un appareil connecté. Tout le monde a une caméra. Beaucoup de nos activités quotidiennes - prendre l'autobus et accéder à nos comptes bancaires - se font en ligne. La question se pose, "qui garde une trace de toutes ces données?"

Certaines des plus grandes entreprises de technologie du monde font l’objet d’un examen minutieux sur la manière dont elles utilisent nos données. Que sait Google sur vous? Facebook gère-t-il vos données de manière transparente? Huawei nous espionne-t-il?

Pour tenter de répondre à certaines de ces questions, j'ai créé un réseau Wi-Fi spécial qui me permet de capturer chaque paquet de données envoyées depuis un smartphone sur Internet. Je voulais voir si certains de mes appareils envoyaient secrètement des données à des serveurs distants à mon insu. Est-ce que mon téléphone m'espionne?

Installer

Pour capturer toutes les données échangées depuis mon smartphone, il me fallait un réseau privé, un réseau où je suis le patron, où je suis la racine, où je suis administrateur. Une fois que j'ai le contrôle total du réseau, je peux surveiller tout ce qui entre et sort du réseau. Pour ce faire, j'ai configuré un Raspberry Pi en tant que point d'accès Wi-Fi. Je l'ai appelé avec imagination PiNet. Ensuite, j'ai connecté le smartphone en cours de test à PiNet et désactivé les données mobiles (pour être tout à fait sûr d'obtenir tout le trafic). À ce stade, le smartphone était connecté au Raspberry Pi mais rien d’autre. L'étape suivante consiste à configurer le Pi pour qu'il transfère tout le trafic qu'il envoie sur Internet. C’est la raison pour laquelle le Pi est un appareil aussi performant, car de nombreux modèles sont équipés à la fois de réseaux Wi-Fi et Ethernet. J'ai connecté l'Ethernet à mon routeur et maintenant, tout ce que le smartphone envoie et reçoit doit transiter par le Raspberry Pi.

Il existe de nombreux outils d'analyse de réseau et l'un des plus populaires est WireShark. Il permet la capture et le traitement en temps réel de chaque paquet de données transitant sur un réseau. Avec mon Pi entre mes smartphones et Internet, j'ai utilisé WireShark pour capturer toutes les données. Une fois capturé, je pourrais l’analyser à loisir. L'avantage de la méthode «capturer maintenant, posez des questions plus tard» est que je peux laisser l'installation en cours de nuit et voir les secrets que mon smartphone révèle au milieu de la nuit!

J'ai testé quatre appareils:

• Huawei Mate 8
• Pixel 3 XL
• OnePlus 6T
• Galaxy Note 9

Ce que j'ai vu

La première chose que j'ai remarquée, c'est que nos smartphones parlent à Google. beaucoup. Je suppose que cela ne devrait pas me surprendre - tout l'écosystème Android repose sur les services de Google - mais il était intéressant de voir comment, lorsque je réveille un appareil, il disparaît et vérifie votre compte Gmail et l'heure actuelle du réseau (via NTP). et tout un tas d'autres choses. J'ai également été surpris par le nombre de noms de domaine que possède Google. Je m'attendais à ce que tous les serveurs soient quelque chose.w Whatever.google.com, mais Google possède des domaines avec des noms comme 1e100.net (qui, je suppose, est une référence à un Googolplex), gstatic.com, crashlytics.com, etc.

J'ai vérifié et vérifié chaque domaine et chaque adresse IP que les périphériques de test ont contactés pour m'assurer de savoir à qui mon smartphone s'adressait.

En plus de parler à Google, nos smartphones semblent des papillons sociaux insouciants et ont un large cercle d'amis. Ceux-ci, bien sûr, sont directement proportionnels au nombre d'applications que vous avez installées. Si vous avez installé WhatsApp et Twitter, devinez quoi, votre appareil contacte régulièrement les serveurs de WhatsApp et Twitter!

Ai-je constaté des connexions néfastes avec des serveurs en Chine, en Russie ou en Corée du Nord? Non.

Les publicités

Une chose que votre smartphone fait souvent est de se connecter à Content Delivery Networks pour obtenir des annonces. Encore une fois, les réseaux auxquels il se connecte et leur nombre dépendent des applications que vous installez. La plupart des applications prises en charge par la publicité utiliseront les bibliothèques fournies par la régie publicitaire, ce qui signifie que le développeur de cette application n’a que peu, voire aucune connaissance de la façon dont les annonces sont réellement diffusées ou des données envoyées à la régie publicitaire. Les fournisseurs d'annonces les plus courants que j'ai vus étaient Doubleclick et Akamai.

En termes de confidentialité, ces bibliothèques d’annonces peuvent être un sujet controversé, car un développeur d’applications fait confiance à la plate-forme pour traiter correctement les données et n’envoyer que ce qui est strictement nécessaire pour diffuser les annonces. Nous avons tous constaté à quel point les plateformes publicitaires sont fiables au cours de notre utilisation quotidienne du Web. Les pop-ups, les pop-under, les vidéos en lecture automatique, les publicités inappropriées, les publicités qui occupent tout l'écran - la liste est longue. Si les annonces n’étaient pas si intrusives, il n’y aurait jamais de bloqueurs d’annonces.

Amazon AWS

J'ai constaté une bonne partie de l'activité réseau liée aux services Web d'Amazon (AWS). En tant que fournisseur majeur de serveurs cloud, Amazon est souvent le choix logique des développeurs d'applications qui ont besoin de bases de données et d'autres capacités de traitement sur un serveur, mais ne souhaitent pas conserver leurs propres serveurs physiques.

Dans l'ensemble, les connexions à AWS doivent être considérées comme inoffensives. Ils sont là pour fournir les services que vous avez demandés. Cependant, il met en évidence la nature ouverte des appareils connectés. Une fois que vous installez une application, il est possible qu'elle puisse envoyer toutes les données qu'elle a collectées à un malfaiteur, même via un fournisseur de services réputé comme Amazon. Android protège cette situation de plusieurs manières, notamment en appliquant des autorisations aux applications et à des services tels que Play Protect. C'est pourquoi les applications à chargement latéral peuvent être très dangereuses.

OK Google

Comme PiNet me permettait de capturer chaque paquet du réseau, je souhaitais savoir si Google m'espionnait secrètement en activant le microphone de mon Pixel 3 XL et en envoyant les données à Google. Lorsque vous activez la fonction de correspondance vocale sur le Pixel 3 XL, il écoute en permanence les phrases clés «OK Google» ou «Hé Google». L'écoute me semble toujours dangereuse. Comme tout politicien vous le dira, un micro ouvert est un risque à éviter à tout prix!

L'appareil est conçu pour écouter localement la phrase clé sans se connecter à Internet. Si la phrase clé n’est pas entendue, rien ne se passe. Une fois la phrase clé détectée, l'appareil envoie un extrait de code aux serveurs de Google pour vérifier s'il s'agit d'un faux positif. Si tout est vérifié, l'appareil envoie de l'audio à Google en temps réel jusqu'à ce qu'une commande soit comprise ou que le périphérique expire.

C'est ce que j'ai vu.

Il n'y a pas du tout de trafic réseau, même lorsque j'ai parlé directement au téléphone. À l'instant où j'ai dit «Hey Google», un flux de trafic réseau en temps réel a été envoyé à Google, jusqu'à l'interruption de l'interaction. J'ai essayé de tromper le Pixel 3 XL avec de légères variantes de phrase clé comme "Pray Google" ou "Hey Goggle". Une fois, j'ai réussi à le faire envoyer un extrait à Google pour validation ultérieure, mais l'appareil n'a pas reçu de confirmation, etc. L'assistant ne s'est pas activé.

Qu'est-ce que Google sait de moi?

Google propose un service appelé Takeout qui vous permet de télécharger toutes vos données à partir de Google, de manière ostensible, afin que vous puissiez migrer vos données vers d'autres services. Cependant, c'est également un bon moyen de voir quelles données Google a sur vous. Si vous essayez de tout télécharger, l’archive résultante peut être énorme (peut-être plus de 50 Go), mais cela inclura toutes vos photos, tous vos clips vidéo, tous les fichiers que vous avez enregistrés sur Google Drive, tout ce que vous avez chargé sur YouTube, tous vos e-mails. , etc. Pour vérifier la confidentialité, je n'ai pas besoin de voir les photos que Google a, je le sais déjà. De même, je connais mes e-mails, mes fichiers sur Google Drive, etc. Toutefois, si j'exclus ces éléments multimédias volumineux du téléchargement et que je me concentre sur l'activité et les métadonnées, le téléchargement peut être assez petit.

J'ai récemment téléchargé mon Plats à emporter et j'ai fouillé pour voir ce que Google sait de moi. Les données arrivent sous la forme d'un ou de plusieurs fichiers .zip contenant des dossiers pour chacun des domaines suivants: Chrome, Google Pay, Musique Google Play, Mon activité, Achat, Tâches, etc.

Plonger dans chaque dossier montre ce que Google sait de vous dans cette zone. Par exemple, il existe une copie de mes favoris Chrome et une copie des listes de lecture que j'ai créées sur Google Play Music. Au début, il n'y avait rien d'étonnant. Je m'attendais à une liste de mes rappels, car je les ai créés à l'aide de Google Assistant. Google doit donc en avoir une copie. Mais il y avait une ou deux surprises, même pour quelqu'un d'aussi «féru de technologie» que moi.

Le premier était un dossier d’enregistrements MP3 contenant tout ce que j’avais dit à moi. Il y avait aussi un fichier HTML avec une transcription de toutes ces commandes. Pour clarifier, il s’agit des commandes que j’ai données à l’assistant Google après son activation avec «Hey Google». Honnêtement, je ne m'attendais pas à ce que Google conserve un fichier MP3 contenant toutes mes commandes.OK, j’ai bien compris qu’il était intéressant, sur le plan technique, de pouvoir vérifier la qualité d’Assistant, mais je ne pense pas que Google ait besoin de conserver ces fichiers audio. C’est un peu beaucoup.

Il y avait également une liste de tous les articles que j'ai jamais lus sur Google Actualités, un enregistrement de chaque fois que je jouais au Solitaire et toutes les recherches que j'ai effectuées sur Google Play Music depuis près de cinq ans!

Il s’avère que Google traite tous vos e-mails à la recherche d’achats et les enregistre.

Celui qui m'a vraiment choqué était dans le dossier Achats. Ici, Google avait une trace de tout ce que j'avais acheté en ligne. Le produit le plus ancien date de 2010, lorsque j'ai acheté des billets d'avion. Le fait est que je n’ai pas acheté ces billets, ni aucun de ces articles, via Google. J'ai des notices d'achat d'articles provenant d'Amazon, d'eBay et d'iTunes. Il y a même des disques de cartes d'anniversaire que j'ai achetées.

En creusant plus profond, j’ai commencé à trouver des achats que je n’avais pas faits! Après quelques critiques sérieuses, il s’avère que ces enregistrements sont le résultat du traitement par Google de mes courriels et de la détermination des achats que j’ai effectués. Vous avez probablement déjà vu cela surtout en ce qui concerne les vols. Si vous ouvrez un courrier électronique d’une compagnie aérienne, Gmail a la gentillesse de mettre quelques informations sommaires sur votre vol dans un onglet spécial en haut de la page.

Il s’avère que Google traite tous vos e-mails à la recherche d’achats et les enregistre. Lorsque quelqu'un vous envoie un e-mail sur un objet acheté, Google peut même le analyser par inadvertance comme un achat que vous avez effectué!

Qu'en est-il de Facebook, Twitter et autres?

Les médias sociaux et la vie privée sont à certains égards contradictoires. Comme Harold Finch l'a déclaré dans l'émission télévisée Person of Interest sur les médias sociaux, «le gouvernement essayait de le comprendre depuis des années. Il s'avère que la plupart des gens étaient heureux de faire du bénévolat. »Grâce aux médias sociaux, nous publions volontiers des informations telles que des anniversaires, des noms, des amis, des collègues, des photos, des centres d'intérêt, des listes de souhaits et des aspirations. Ensuite, après avoir publié toutes ces informations, nous sommes choqués de constater qu’elles sont utilisées à des fins non prévues. Comme le disait un autre personnage célèbre au sujet d’une salle de jeu, il a déclaré: «Je suis choqué, choqué de voir que le jeu se déroule ici!

Tous les grands sites de médias sociaux, y compris Facebook et Twitter, ont des politiques de confidentialité qui couvrent de manière assez large. Voici un extrait de la politique de Twitter:

«En plus des informations que vous partagez avec nous, nous utilisons vos tweets, le contenu que vous avez lu, aimé ou retweeté, ainsi que d'autres informations pour déterminer les sujets qui vous intéressent, votre âge, les langues que vous parlez et d'autres signaux pour vous montrer un contenu plus pertinent. "

Alors, votre appareil se connecte-t-il à Twitter et permet-il à Twitter de déterminer des facteurs tels que votre âge, la langue que vous parlez et ce qui vous intéresse? Sûr.

Il vous décrit - et vous le laissez faire.

Voici la question clé: si je n'avais pas de smartphone, est-ce que cela empêcherait les entités de m'espionner si elles le voulaient?

Potentiel vs réel

Le plus gros problème avec les appareils connectés et les entités en ligne n'est pas ce qu'ils font, mais ce qu'ils pourraient faire. J'ai utilisé intentionnellement l'expression «entités», car les dangers liés à la surveillance de masse, à l'espionnage et au profilage ne concernent pas uniquement Google ou Facebook. Ignorant les erreurs logicielles réelles (bugs) ainsi que les modèles commerciaux standard des grandes entreprises en ligne, il est relativement prudent de dire que Google ne vous espionne pas. Facebook non plus. Le gouvernement non plus. Cela ne signifie pas qu’ils ne peuvent pas - ou ne le feront pas.

Un pirate informatique ou un espion du gouvernement est-il quelque part en train d'activer le micro de votre téléphone pour vous écouter? Non, mais ils pourraient. Comme nous l'avons vu récemment avec les événements entourant le meurtre de Jamal Khashoggi, des entités peuvent vous amener à installer une application qui vous espionne. Des entreprises comme Zerodium vendent aux gouvernements des vulnérabilités «jour-zéro» qui pourraient permettre l’installation d’applications malveillantes (comme Pegasus) sur votre appareil sans que vous le sachiez.

Ai-je vu une telle activité avec mes appareils? Non, mais je ne suis pas une cible probable pour une telle surveillance et cette supercherie. Cela pourrait encore arriver à quelqu'un d'autre.

Voici la question clé: si je n’avais pas de smartphone, est-ce que cela empêcherait les entités de m’espionner si elles le voulaient?

Avant le lancement des smartphones, tous les grands gouvernements du monde étaient déjà impliqués dans l'espionnage et la surveillance. La Seconde Guerre mondiale a probablement été gagnée en cassant le code Enigma et en accédant à l'intelligence cachée. Les smartphones ne sont pas à blâmer, mais il existe maintenant une surface d’attaque plus grande. En d’autres termes, il existe plus de moyens de vous espionner.

Emballer

Après mes tests, je suis convaincu qu'aucun des appareils que j'ai utilisés ne fait quoi que ce soit d'inhabituel ou de malveillant. Cependant, la question de la confidentialité n’est pas seulement un appareil qui n’est pas intentionnellement malveillant. Les pratiques commerciales de sociétés telles que Google, Facebook et Twitter sont très discutables et semblent souvent repousser les limites de la vie privée.

En ce qui concerne l’espionnage, il n’ya pas de fourgonnette blanche garée devant ma maison surveillant mes mouvements et dirigeant un microphone directionnel vers mes fenêtres. Je viens de vérifier. Personne ne pirate mon téléphone. Cela ne veut pas dire qu’ils ne peuvent pas.