Apps de traçage de contacts : les données personnelles sont-elles à l’abri sur Android ?

Apps de traçage de contacts : les données personnelles sont-elles à l'abri sur Android ?

Selon des chercheurs de sécurité, des centaines d’applications installées sur des appareils Android ont eu accès à des données personnelles enregistrées par des API (Application Programming Interface) de Google et Apple.

AppCensus, une start-up américaine spécialisée dans l’analyse des pratiques de confidentialité des applications Android, a reçu près de 200 000 dollars du Department of Homeland Security (DHS) au début de l’année pour tester et valider la fiabilité des applications de traçage de contacts.

Les chercheurs de la société ont découvert que les smartphones Android enregistrant des données provenant d’applications utilisant le système de notification d’exposition (ENS) de Google et d’Apple enregistraient les principales informations de traçage des contacts dans le système d’exploitation de l’appareil.

publicité

Le stockage de données affaiblie avec Android et Google…

Toutes les applications ne peuvent pas lire les données stockées, mais Android et Google autorisent certains fabricants de matériel, opérateurs de réseau et partenaires commerciaux à pré-installer des applications “privilégiées”.

Dans un Xiaomi Redmi Note 9, par exemple, 54 apps sont autorisées à voir ces informations personnelles. Pour un Samsung Galaxy A11, c’est 89 apps qui y ont accès. “Elles reçoivent les informations médicales et autres informations personnelles des utilisateurs à la suite de la mise en place du système Google”, explique Joel Reardon, cofondateur d’AppCensus, dans un communiqué.

Google et Apple ont conçus un ENS l’année dernière. Il est destiné à aider les autorités sanitaires du monde entier à créer des applications de contact tracing compatibles avec les politiques de confidentialité des écosystèmes Android et iOS.

L’API développée par Apple et Google permet aux gouvernements de créer des applications décentralisées de recherche de contacts qui reposent sur le Bluetooth.

Les appareils équipés de l’application émettent des identifiants anonymes qui changent périodiquement. Ils sont appelés identifiants de proximité roulants (RPI – rolling proximity identifiers), qui sont diffusés par Bluetooth afin d’être “entendus” par les smartphones qui utilisent également l’application. En plus de diffuser les RPI, les appareils enregistrent donc également tous les RPI qu’ils entendent.

Si, par la suite, un utilisateur est testé positif à la Covid-19, les autorités sanitaires émettent une liste de tous les RPI rattachés au smartphone de cet utilisateur. Sur chaque appareil, une comparaison est établie entre la liste des RPI des personnes infectées et ceux enregistrés par l’application. Une notification est alors envoyée à l’utilisateur si un contact à risque est détecté.

Toutes les comparaisons sont effectuées localement sur le téléphone et, en principe, aucune donnée ne devrait quitter l’appareil, à moins qu’un utilisateur ne décide de communiquer aux services de santé qu’il a été testé positif à la Covid-19. C’est la raison pour laquelle Google et Apple qualifient leur système de décentralisé et ont présenté l’ENS comme protégeant la vie privée.

Un grand nombre d’utilisateurs ont désormais téléchargé des applications de recherche de contacts créées grâce à l’ENS d’Apple et de Google. Au Royaume-Uni, l’application NHS COVID-19 a été téléchargée plus de 21 millions de fois. L’application allemande CoronaWarn est utilisée par plus de 25 millions de personnes.

En France, sur ces cinq mois d’activité, l’application StopCovid a été téléchargée 2,5 millions de fois. StopCovid a ensuite été remplacé par TousAntiCovid, qui comptabilise aujourd’hui 10 millions de téléchargements. Contrairement aux applications allemandes et britanniques, ces applications utilisées en France n’utilisent pas l’ENS de Google et Apple.

Une menace pour la vie privée ?

Les résultats d’AppCensus montrent maintenant que la promesse de protection de la vie privée faite par les deux géants de la technologie présente certaines lacunes. Reardon et son équipe ont découvert que les RPI diffusés et ceux qui sont entendus peuvent être trouvés dans le système des smartphones Android. Et l’appareil enregistre également l’adresse Bluetooth MAC de l’appareil émetteur.

“Bien sûr, l’information doit être enregistrée quelque part afin d’établir le traçage des contacts. Mais cela devrait être en interne, dans l’ENS”, explique à ZDNet Gaetan Leurent, chercheur à l’Institut national de recherche en sciences et technologies du numérique (INRIA), qui n’a pas participé à la recherche. “Il est troublant que ces informations aient été stockées dans le journal du système. Il n’y a aucune raison valable de la mettre là”.

Bien que les RPI et les adresses Bluetooth MAC soient aléatoires et anonymes, AppCensus a identifié plusieurs façons dont les données pourraient être utilisées pour mener des actions de piratage.

Combinés à d’autres ensembles de données, les RPI pourraient être utilisés pour déterminer si un utilisateur a été testé positif à la Covid-19, s’il a été en contact avec une personne infectieuse, ou même si deux personnes se sont rencontrées.

“L’ensemble du système de contact tracing est censé préserver la vie privée et éviter exactement ce type de fuite d’informations”, explique M. Leurent. “Donc, cela va vraiment à l’encontre de toute la protection qui est censée être à la base du protocole”.

Dans ce cas, la solution est simple : il suffit que Google empêche son ENS d’enregistrer des données dans le journal système de l’appareil. M. Reardon a souligné que le problème n’était pas un défaut essentiel au suivi des contacts, mais plutôt une erreur de mise en œuvre du système.

Pourtant, AppCensus rapporte que lorsque les chercheurs ont divulgué le problème à Google, le géant de la recherche n’a pas reconnu ou corrigé le problème. Au bout de 60 jours, les analystes ont décidé de suivre les propres recommandations de Google sur les bug bounties et de rendre leur analyse publique.

Un porte-parole de Google a déclaré à ZDNet : “Nous avons été informés d’un problème où les identifiants Bluetooth étaient temporairement accessibles sur certaines applications pré-installées. Après avoir été mis au courant, nous avons entamé le processus nécessaire pour examiner le problème, envisager des mesures d’atténuation et finalement mettre à jour le code.”

“Ces identifiants Bluetooth ne révèlent pas l’emplacement d’un utilisateur ou ne fournissent aucune autre information d’identification et nous n’avons aucune indication sur cette situation – ni même si une application était au courant.” Selon Google, le déploiement de la mise à jour sur les appareils Android a commencé il y a plusieurs semaines et sera terminé dans les prochains jours.

Une application récente et moins fiable

Pour M. Leurent, qui a mené des recherches approfondies sur les problèmes de confidentialité liés aux applications de contact tracing, cette affaire s’inscrit dans un débat plus large sur les avantages et les risques de cette technologie.

Les publications précédentes du chercheur ont montré que, quelle que soit la mise en œuvre, il y a inévitablement un risque pour la vie privée lorsqu’il s’agit d’utiliser des technologies numériques pour la recherche des contacts. “La question de savoir s’il s’agit d’un problème grave ou non doit être débattue”, explique-t-il, “mais je pense que nous avons vraiment besoin d’évaluer ces risques et ces avantages. Pour les applications de recherche des contacts, nous n’avons jamais vraiment eu de débat sur le sujet.”

“Ces applications sont utilisées depuis un an maintenant et nous avons encore très peu d’informations sur leur fonctionnement. Mon intuition est que les bénéfices ne sont pas très élevés.”

Des recherches publiées par des scientifiques de l’Alan Turing Institute et de l’Université d’Oxford ont récemment montré des résultats préliminaires encourageants pour l’appli NHS COVID-19, avec des calculs expérimentaux concluant que la technologie avait potentiellement évité jusqu’à 600 000 cas positifs à travers le Royaume-Uni.

Cependant, les chercheurs eux-mêmes ont admis qu’il était scientifiquement difficile d’obtenir une compréhension complète de l’efficacité de l’application, en raison des nombreux facteurs qui auraient pu influencer les résultats.

Des critiques, quant à elles, ont fait valoir à plusieurs reprises que les applications de contact tracing manquent de précision et ne présentent pas d’avantages pertinents tant qu’elles ne sont pas adoptées par une grande majorité de la population.

Source : ZDNet.com

Leave a Reply

Your email address will not be published. Required fields are marked *