Semaine de la sécurité 30: vie privée, technologie et société

Le 12 juillet, la presse n'a pas encore confirmé officiellement les informations selon lesquelles Facebook aurait conclu un accord avec la Federal Trade Commission américaine concernant la fuite d'informations sur les utilisateurs. Le sujet principal de l'enquête de la FTC était les actions de Cambridge Analytica, qui en 2015 a reçu des données de dizaines de millions d'utilisateurs de Facebook. Facebook est accusé d'une protection insuffisante de la vie privée des utilisateurs, et si les messages sont confirmés, le réseau social paiera à la commission d'État américaine la plus grosse amende de l'histoire de 5 milliards de dollars.

Le scandale Facebook et Cambridge Analytica est le premier, mais en aucun cas le dernier exemple de discussion de problèmes techniques avec des méthodes complètement non techniques. Dans ce résumé, nous examinerons quelques exemples récents de telles discussions. Plus précisément, comment les problèmes de confidentialité des utilisateurs sont discutés sans tenir compte des caractéristiques spécifiques du fonctionnement des services réseau.

Exemple un: Google reCaptcha v3


La nouvelle version de l' outil de contrôle de robots Google reCaptcha v3 a été introduite en octobre 2018 . La première version de "captcha" de Google distinguait les robots des gens en reconnaissance de texte. La deuxième version a changé le texte en images, puis - ne les a montrées qu'à ceux qu'elle considérait suspects.


La troisième version ne demande rien, s'appuyant principalement sur l'analyse du comportement des utilisateurs sur le site. Chaque visiteur se voit attribuer une note spécifique, sur la base de laquelle le propriétaire du site peut, par exemple, forcer une demande d'autorisation via un téléphone mobile s'il considère que la connexion est suspecte. Tout semble aller bien, mais pas tout à fait. Le 27 juin, la publication Fast Company a publié un long article où, faisant référence à deux chercheurs, il identifie les problèmes de reCaptcha v3 en termes de confidentialité.

Premièrement, lors de l'analyse de la dernière version de CAPTCHA, il a été constaté que les utilisateurs connectés à un compte Google, par définition, obtiennent une note plus élevée. De même, si vous ouvrez un site Web via un réseau VPN ou Tor, vous êtes plus susceptible d'être marqué comme visiteur suspect. Enfin, Google recommande d'installer reCaptcha sur toutes les pages du site Web (et pas seulement celles où vous devez vérifier l'utilisateur). Cela donne plus d'informations sur le comportement des utilisateurs. Mais cette même fonctionnalité fournit théoriquement à Google une grande quantité d'informations sur le comportement des utilisateurs sur des centaines de milliers de sites (selon Fast Company, reCaptcha v3 est installé sur 650 000 sites, plusieurs millions utilisent des versions précédentes).

C'est un exemple typique d'une discussion ambiguë sur les technologies: d'une part, plus un outil utile de lutte contre les bots aura de données, meilleurs seront les propriétaires et les utilisateurs du site. D'autre part, le fournisseur de services accède à une vaste sélection de données et contrôle en même temps qui devrait être admis aux données numériques immédiatement et qui rend la vie difficile. De toute évidence, les partisans d'une confidentialité maximale, essayant de ne pas conserver de cookies inutiles dans leur navigateur, utilisant constamment des VPN, n'aiment pas du tout cette progression. Du point de vue de Google, il n'y a pas de problème: la société affirme que les données «captcha» ne sont pas utilisées pour le ciblage publicitaire, et la complication de la vie des pilotes de bot est une bonne raison de telles innovations.

Exemple 2: accès aux données dans les applications Android

Fin juin, la même commission fédérale du commerce des États-Unis a tenu une conférence PrivacyCon. Le rapport du chercheur Serge Egelman a été consacré à la façon dont les développeurs d'applications pour Android contournent les limites du système et reçoivent des données qui, en théorie, ne devraient pas être reçues. Dans une étude scientifique , 88 000 applications du Google Play Store américain ont été analysées, dont 1325 ont pu contourner les limitations du système.

Comment font-ils? Par exemple, l'application de traitement photo de Shutterfly accède aux données de géolocalisation, même si l'utilisateur leur en interdit. C'est simple: l'application traite les géotags stockés dans les photos auxquelles l'accès est ouvert. Le représentant du développeur commente raisonnablement que le traitement des balises géographiques est une fonctionnalité standard du programme utilisé pour trier les photos. Un certain nombre d'applications ont contourné l'interdiction d'accès à la géolocalisation en scannant les adresses MAC des points Wi-Fi les plus proches et en déterminant ainsi l'emplacement approximatif de l'utilisateur.



Une méthode un peu plus «criminelle» pour contourner les restrictions a été découverte dans 13 applications: une application peut avoir accès à l'IMEI du smartphone. Il l'enregistre sur une carte mémoire, d'où d'autres programmes qui n'ont pas accès peuvent le lire. Ainsi, par exemple, un réseau publicitaire chinois le fait, dont le SDK est intégré dans le code d'autres applications. L'accès à IMEI vous permet d'identifier de manière unique l'utilisateur pour le ciblage publicitaire ultérieur. À propos, une autre étude est liée à l'accès universel aux données sur la carte mémoire: la possibilité (théorique) de substitution de fichiers multimédias lors de la communication dans les messagers Telegram et Whatsapp a été révélée. En conséquence, les règles d'accès aux données dans la nouvelle version d'Android Q seront encore renforcées .

Exemple 3: identifiants Facebook en images


Il y a quelques années, un tel tweet pourrait, au mieux, lancer une discussion technique pour quelques dizaines de messages, mais maintenant les articles du blog Forbes écrivent à ce sujet. Depuis au moins 2014, Facebook a ajouté ses propres identifiants aux métadonnées IPTC des images qui sont téléchargées sur Facebook lui-même ou sur le réseau social Instagram. Les identifiants Facebook sont discutés plus en détail ici , mais personne ne sait exactement comment le réseau social les utilise.

Compte tenu de l'arrière-plan négatif de l'actualité, ce comportement peut être interprété comme "une autre façon de surveiller les utilisateurs, mais qu'est-ce qu'ils pourraient." Mais en fait, les identifiants dans les métadonnées peuvent être utilisés, par exemple, pour des interdictions de tapis de contenu illégal, et vous pouvez bloquer non seulement les référentiels au sein du réseau, mais également les scripts "téléchargés l'image et téléchargés à nouveau". Une telle fonctionnalité peut être utile.

Le problème de la discussion publique sur les questions de confidentialité est que les véritables caractéristiques techniques d'un service sont souvent ignorées. L'exemple le plus révélateur: une discussion sur les portes dérobées du gouvernement dans les systèmes de cryptage pour les messageries instantanées ou les données sur un ordinateur ou un smartphone. Les personnes intéressées par un accès sans problème aux données chiffrées parlent de la lutte contre la criminalité. Les experts en chiffrement ont fait valoir que le chiffrement ne fonctionne pas de cette façon, et l'affaiblissement intentionnel des algorithmes de chiffrement les rendra vulnérables pour tout le monde . Mais au moins, nous parlons d'une discipline scientifique vieille de plusieurs décennies.

Qu'est-ce que la confidentialité, quel type de contrôle sur nos données est nécessaire, comment contrôler la conformité à ces normes - il n'y a pas de réponse claire et générale à toutes ces questions. Dans tous les exemples de cet article, nos données sont collectées pour certaines fonctionnalités utiles, cependant, cet avantage n'est pas toujours pour l'utilisateur final (plus souvent pour l'annonceur). Mais lorsque vous regardez les embouteillages sur le chemin du retour, c'est aussi le résultat de la collecte de données sur vous et des centaines de milliers d'autres personnes.

Je ne veux pas terminer le post avec une conclusion stupide "ce n'est pas si simple", alors essayons de cette façon: plus loin, plus les développeurs de programmes, d'appareils et de services devront résoudre non seulement des problèmes techniques ("comment le faire fonctionner"), mais aussi socialement politique («comment ne pas payer d'amendes, ne pas se lire des articles en colère dans les médias et ne pas perdre la concurrence avec d'autres entreprises où il y a plus d'intimité au moins dans les mots»). Comment l'industrie va-t-elle évoluer dans cette nouvelle réalité? Aurons-nous plus de contrôle sur les données? Le développement des nouvelles technologies va-t-il ralentir en raison de la «pression publique», qui nécessite du temps et des ressources? Nous observerons cette évolution.

Avis de non-responsabilité: les opinions exprimées dans ce recueil ne coïncident pas toujours avec la position officielle de Kaspersky Lab. Chers rédacteurs recommandent généralement de traiter toute opinion avec un scepticisme sain.