Des chercheurs en scurit informatique ont dcouvert que plusieurs applications iPhone, dont Facebook, LinkedIn, TikTok et X/Twitter, contournent les rgles de confidentialit dApple pour rcolter des donnes utilisateur travers les notifications. Ces donnes ne sont pas ncessaires pour traiter les notifications, et semblent tre lies lanalyse, la publicit et au suivi des utilisateurs travers diffrents appareils et applications.
Lors de la confrence WWDC 2020, Apple a annonc quavec la sortie diOS 14, lIDFA (pour IDentifier For Advertisers, en franais identifiant de publicit ) serait dsormais une fonctionnalit exclusivement opt-in et que les utilisateurs devraient donner leur consentement explicite la fois lannonceur et aux applications pour les autoriser les suivre sur Internet .
Concrtement, avec la mise jour de son systme d’exploitation, notamment iOS 14, Apple allait apporter aux utilisateurs des paramtres de confidentialit pour rduire le ciblage publicitaire : il tait prvu que chaque application qui souhaite faire usage de ces identifiants demande aux utilisateurs d’opter pour le suivi lors du premier lancement de l’application.
Selon Facebook, lune des solutions qui seraient les plus durement touches par lapproche dApple est son outil publicitaire Audience Network. Ce dernier permet aux annonceurs d’tendre leurs campagnes Facebook et Instagram l’ensemble d’Internet au travers de milliers d’applications de haute qualit. Ce rseau d’audience de lentreprise aide les dveloppeurs de logiciels pour les plateformes mobiles fournir des publicits in-app cibles aux utilisateurs en fonction des donnes de Facebook. Facebook prtend quil ne serait plus daucune utilit si liOS 14 voyait le jour ainsi.
Facebook prvoyait alors un dficit de 10 milliards de dollars de revenus cause des fonctions de confidentialit sur iOS.
Mais les entreprises semblent dj avoir trouv une parade
Des applications pour iPhone, dont Facebook, LinkedIn, TikTok et X/Twitter, contournent les rgles de confidentialit d’Apple pour collecter des donnes d’utilisateur par le biais de notifications, selon des tests effectus par des chercheurs en scurit de Mysk Inc, une socit de dveloppement d’applications. Ces derniers ont effectu des tests sur plusieurs applications populaires et ont observ les donnes quelles envoyaient des serveurs distants lorsquun utilisateur interagissait avec une notification.
Par exemple, les tests ont montr que lorsque vous interagissez avec une notification de Facebook, l’application collecte les adresses IP, le nombre de millisecondes coules depuis le redmarrage de votre tlphone, la quantit d’espace mmoire libre sur votre tlphone et plusieurs autres informations. La combinaison de ces donnes est suffisante pour identifier une personne avec un haut niveau de prcision. Les autres applications testes ont recueilli des informations similaires. LinkedIn, par exemple, utilise des notifications pour savoir dans quel fuseau horaire vous vous trouvez, la luminosit de votre cran et l’oprateur de tlphonie mobile que vous utilisez. Mysk a dclar que LinkedIn recueillait galement toute une srie d’autres informations qui semblent spcifiquement lies une campagne publicitaire (un porte-parole de LinkedIn a qualifi cette affirmation d’inexacte). Il convient de noter que le fait qu’une application puisse recueillir ces informations ne signifie pas qu’elle les utilise.
Les chercheurs ont t surpris de constater que cette pratique tait largement utilise. Qui aurait su quune action aussi innocente que de supprimer une notification dclencherait lenvoi de beaucoup dinformations uniques sur lappareil des serveurs distants ? Cest inquitant quand on pense au fait que les dveloppeurs peuvent faire cela la demande , a dclar Tommy Mysk, lun des chercheurs.
Cette dcouverte met en lumire une faille dans les rgles de confidentialit dApple, qui interdit aux applications de faire du fingerprinting, une technique qui consiste suivre les utilisateurs et leur envoyer des publicits cibles en se basant sur plusieurs dtails apparemment anodins sur leur appareil. Apple a mis en place de nombreux paramtres et protections pour donner aux utilisateurs le contrle sur la collecte et lutilisation de leurs donnes, mais il semble que certaines applications trouvent des moyens de les contourner.
La raction des entreprises
Nous n’utilisons pas les notifications comme un moyen de collecter des donnes sur les membres des fins de publicit ou d’analyses connexes, de suivi entre appareils ou entre applications , a dclar un porte-parole de LinkedIn. Les donnes collectes sont uniquement utilises pour confirmer qu’une notification a t envoye avec succs et, de manire transitoire, pour mettre en file d’attente l’exprience de l’application au cas o le membre choisirait de lancer l’application en rponse la notification, sans jamais tre partages l’extrieur . Le porte-parole a dclar que les donnes ne sont jamais partages l’extrieur.
Meta, qui possde Facebook, a fait une dclaration similaire. Les rsultats ne sont pas exacts. Les gens se connectent notre application sur leur appareil et donnent la permission d’activer les notifications , a dclar Emil Vazquez, porte-parole de Meta. Nous pouvons priodiquement utiliser ces informations, mme lorsque l’application n’est pas en cours d’excution, pour nous aider fournir des notifications opportunes et fiables, en utilisant les API d’Apple. Cela est conforme nos politiques .
Ces informations ne sont pas particulirement sensibles par rapport des lments tels que les donnes de localisation, mais elles sont prcieuses pour la publicit et d’autres fins. Ce que beaucoup de gens ignorent, c’est que la publicit cible et les autres atteintes la vie prive numrique ont pour but de dterminer votre identit. Les entreprises savent ce que vous faites sur leurs applications, mais elles ne savent pas toujours qui vous tes, et les donnes sont beaucoup moins utiles si vous ne savez pas qui elles appartiennent. Si les entreprises ne peuvent pas vous identifier, elles ne peuvent pas vous cibler avec des publicits.
Apple fournit un numro d’identification publicitaire spcialement conu pour faciliter la collecte de donnes et les publicits cibles, mais des paramtres tels que la commande « Ask App Not To Track » de l’iPhone bloquent ce numro d’identification publicitaire. En thorie, cela est cens empcher les entreprises de rassembler des informations sur vous et votre comportement provenant de diffrentes applications et d’autres parties de l’internet. Mais le fingerprinting est un moyen sournois de continuer le faire de toute faon.
Les applications peuvent collecter ce type de donnes lorsqu’elles sont ouvertes, mais la fermeture d’une application est cense interrompre le flux de donnes et empcher l’application de fonctionner. Cependant, il semble que les notifications offrent une porte drobe.
Comment a se passe ?
Apple fournit un logiciel spcial pour aider vos applications envoyer des notifications. Pour certaines notifications, l’application peut avoir besoin de jouer un son ou de tlcharger du texte, des images ou d’autres informations. Si l’application est ferme, le systme d’exploitation de l’iPhone la laisse se rveiller temporairement pour contacter les serveurs de l’entreprise, vous envoyer la notification et effectuer toute autre opration ncessaire. C’est au cours de cette brve priode que Mysk a repr la collecte de donnes.
Ils peuvent intentionnellement envoyer une notification un appareil cibl afin que l’application dmarre en arrire-plan et renvoie des informations , explique Mysk. Si une entreprise comme TikTok ou X/Twitter souhaite obtenir rapidement les adresses IP de 100 000 personnes dont l’application est ferme, il suffit d’envoyer une notification rapide. C’est poustouflant , a-t-il dclar.
Il est tout fait raisonnable qu’une application veuille analyser la faon dont les utilisateurs interagissent avec les notifications afin d’optimiser ses services. Toutefois, Mysk estime qu’il y a plusieurs raisons de penser que ce n’est pas la raison pour laquelle les applications collectent ces donnes.
D’une part, Apple fournit directement aux dveloppeurs d’applications des dtails sur ce qui se passe avec les notifications. Il n’est donc pas ncessaire de collecter des informations supplmentaires si vous savez ce qui s’est pass aprs avoir envoy une notification vos utilisateurs. En outre, de nombreuses donnes collectes par les applications ne semblent pas lies l’analyse du fonctionnement des notifications, comme l’espace disque disponible sur votre tlphone ou le temps coul depuis votre dernier redmarrage, explique Mysk.
De plus, d’autres entreprises avides de donnes envoient des notifications sans se rgaler de toutes ces autres informations. Lorsque Mysk a test Gmail et YouTube, par exemple, les applications n’ont collect que des donnes manifestement lies au traitement des notifications. Selon Mysk, si une entreprise comme Google peut vous envoyer une notification sans fouiller dans d’autres dtails, cela suggre que la collecte de donnes qu’il a repre avec les autres applications est effectue pour servir d’autres objectifs.
Il existe quelques explications potentiellement innocentes au problme des donnes de notification. Par exemple, les dveloppeurs laissent parfois dans leurs applications d’anciens codes qui excutent des fonctions dont les entreprises n’ont plus besoin. Il est thoriquement possible qu’une application comme LinkedIn soit configure pour collecter des donnes qui ne sont utilises aucune fin. Les chercheurs ont toutefois dclar qu’il tait difficile d’y croire.
Une modification prochaine des rgles du systme d’exploitation de l’iPhone pourrait amliorer la situation, mais il n’est pas certain qu’elle rsoudra le problme. partir du printemps 2024, les dveloppeurs d’applications devront expliquer pourquoi et comment ils utilisent certaines API qui, dans ce contexte, sont essentiellement des lments de logiciel que les applications utilisent pour communiquer entre elles et avec le systme d’exploitation de l’iPhone.
En thorie, cela pourrait obliger les entreprises rvler pourquoi elles vous surveillent et, si elles collectent des donnes des fins illgitimes, peut-tre devront-elles cesser de le faire. La mauvaise nouvelle, c’est qu’on ne sait pas trs bien comment Apple va faire appliquer cette loi , a dclar Mysk.
Sources : Apple (documentation sur les notifications), Apple (dcrire l’utilisation qui sera faite de l’API), Mysk (vido dans le texte)
Et vous ?
Que pensez-vous de la pratique des applications iPhone qui rcoltent des donnes en secret lorsquelles vous envoient des notifications ? Est-ce une violation de votre vie prive ou un moyen lgitime damliorer votre exprience utilisateur ?
Faites-vous confiance aux applications que vous utilisez sur votre iPhone ? Vrifiez-vous les paramtres de confidentialit et les autorisations que vous leur accordez ? Comment pouvez-vous vous protger contre le fingerprinting et le suivi des utilisateurs ?
Quel est le rle dApple dans cette affaire ? Pensez-vous quApple devrait renforcer ses rgles de confidentialit et sanctionner les applications qui les contournent ? Ou pensez-vous quApple devrait laisser les utilisateurs choisir librement les applications quils veulent utiliser et les donnes quils veulent partager ?