iCloud : attention, votre espace de stockage ne vous appartient pas

Les termes et les conditions que vous acceptez lorsque vous activez iCloud cachent de nombreux pièges. En voici quelques-uns dont il vaut mieux être conscient.

Il y a quelques jours, 500 millions d’utilisateurs d’iTunes se sont retrouvés à l’improviste avec Songs of Innocence, le nouvel album de U2 dans leur espace de stockage. Il s’agissait d’un cadeau d’Apple, annoncé au cours de la keynote du 9 septembre. Mais les bénéficiaires n’ont pas tous apprécié.

Le problème n’a pas été musical, pas complètement en tout cas. Ce que beaucoup n’ont pas digéré, c’est de ne pas avoir pu choisir d’accepter ou non le cadeau en question. La chose a été perçue comme une violation d’un espace que l’on croyait privé et qui, de facto, a démontré de ne pas l’être: l’iCloud.

Naturellement, une grande entreprise ne ferait rien de ce genre si elle n’avait pas été autorisée par les utilisateurs eux-mêmes à le faire. Et cette autorisation est contenue dans le document long, rébarbatif et compliqué qui renferme les termes et conditions d’utilisation des services que nous décidons d’utiliser.

La question des contrats, qu’un utilisateur accepte généralement sans lire, est depuis toujours épineuse. Au cours de ces dernières années, par ailleurs, l’ensemble des grands noms d’Internet, Apple compris, se sont retrouvés plus d’une fois à devoir faire face à des hordes d’utilisateurs et d’associations de consommateurs furibondes.

Voici quelques exemples particulièrement sinistres d’abus de pouvoir autorisés par les consommateurs inconscients.

Certains ont dit non, la Norvège par exemple

Lorsqu’un utilisateur accepte les conditions d’utilisation d’iCloud, il accepte également le fait qu’Apple puisse les modifier sans lui fournir la moindre communication.

L’agence gouvernementale norvégienne de protection des consommateurs, Consumer Council of Norway, a publié en mai dernier, une plainte officielle dans laquelle elle condamne justement les termes contractuels prévus par Appel pour iCloud.

Le document présentant les termes et les conditions, que les utilisateurs doivent signer pour accéder au service, est trop long (8.600 mots) et trop compliqué à comprendre.

Termini e condizioniEn d’autres termes, ceux qui “signent” en cliquant sur la touche Accepter ne sont pas mis dans les conditions de savoir véritablement ce qu’ils sont en train d’accepter.

Et ce n’est pas tout. Apple, peut-on lire dans le document, viole également la loi norvégienne, et plus précisément la section 22 du Norway’s Marketing Act.

La clause incriminée est celle qui prévoit le droit pour l’entreprise de modifier les termes sans en informer les utilisateurs ayant souscrit. De cette manière, les consommateurs sont substantiellement dépouillés de leurs droits, alors qu’Apple s’en réserve en revanche une grande quantité.

On peut lire dans l’étude: “Recevoir une notification lorsque les conditions contractuelles sont modifiées devrait être considéré comme un droit minimum inaliénable. Le fait que ceci puisse être fait sans informer les utilisateurs est inacceptable”.

Difficile de ne pas être d’accord. Vous trouverez ici l’étude complète du Consumer Council of Norway sur les contrats de cloud computing.

Et Apple s’en lave les mains…

En 2012 deux avocats américains spécialisés en questions légales liées à la technologie, Sharon D. Nelson et John W. Simek de la Sensei Enterprises ont étudié les conditions que doivent accepter les utilisateurs d’iCloud lorsqu’ils activent le service. Leurs conclusions sont plutôt alarmantes.

Deux d’entre elles nous intéressent au premier chef.

GeolocalizzazioneTout d’abord, on nous fait remarquer que les données recueillies par les applications basées sur la géolocalisation peuvent être utilisées par Apple et par ses partenaires, mais sans spécifier ni comment ni pendant combien de temps ils les conservent. Ce qui veut dire que nous leur laissons carte  blanche.

Parmi ces données, se trouvent les mouvements tracés à l’aide du GPS, l’ID de votre dispositif et l’ID Apple. Ajoutez à cela que les iPhone les plus récents disposent d’un lecteur d’empreintes digitales. Du coup, la vie de tout utilisateur d’un smartphone Apple est traçable jusque dans ses moindres détails.

En pratique, il est très facile pour Apple et ses partenaires de savoir qu’Untel habite à une certaine adresse, qu’il fait du footing trois fois par semaine, qu’il fréquente souvent des restaurants végétariens, qu’il aime l’Opéra ou qu’il ne se rend que dans des cinémas projetant des films en version originale.

Ce sont des informations qui, pour les fantomatiques partenaires d’Apple, valent une fortune sachant que nous les autorisons, en cliquant sur J’accepte, à les assembler et à les utiliser à des fins commerciales.

S’il est vrai que les données relatives à vos comportements sont prises en grande considération, on ne peut pas en dire autant de vos fichiers. Apple en effet ne prend aucune responsabilité quant à l’intégrité de que vous mettez sur iCloud.

Il est en effet dit, en lettres majuscules soulignées qu’ “APPLE NE GARANTIT PAS QU’AUCUN DES CONTENUS STOCKÉS OU AUXQUELS VOUS ACCÉDEZ VIA LE SERVICE NE SOIT PAS SUJET À UN DOMMAGE COMMIS PAR INADVERTANCE, ALTÉRATION, PERTE OU RETRAIT, SELON LES CONDITIONS DE CE CONTRAT. APPLE DÉCLINE TOUTE RESPONSABILITÉ SI DE TELS DOMMAGES, ALTÉRATIONS, PERTES OU RETRAITS DEVAIENT SE PRODUIRE.”.

En lisant tout cela, on a donc l’impression que, lorsqu’il s’agit d’utiliser nos données à des fins économiques, le soin avec lequel elles sont traitées est maximal, alors qu’en ce qui concerne les données qui n’intéressent que nous (nos documents, nos photos, nos contacts et tout le reste), personne ne prend de responsabilité. Et si quelque chose ne va pas bien, tant pis pour nous.

La triste histoire des courriers électroniques censurés

CensuraL’affaire qui suit ne concerne pas strictement les conditions d’utilisation d’un service mais, de manière générale, le pouvoir d’établir par ce biais des limitations sans que l’utilisateur n’en soit conscient. Dans ce cas, nous parlerons de courriels.

En février 2013, Macworld  publiait un article dans lequel il révélait que les adresses courriel d’iCloud (celles en @cloud.com qui sont assignées au moment où nous signons le contrat de clouding avec Apple) sont soumises à la censure.

En substance, si, à cette adresse, vous est envoyé un message courriel contenant une phrase “interdite”, il ne vous arrivera pas. Et de cette censure, il ne restera aucune trace.

Par ailleurs, il n’est pas nécessaire que la phrase se trouve dans le corps du message. Elle peut également être contenue dans une pièce jointe, par exemple un fichier PDF. Pas même les fichiers compressés (ZIP) n’échappent au contrôle.

On pourrait objecter qu’il s’agit du fonctionnement normal d’un filtre de lutte contre le spam. Mais il n’en est rien. Les instruments contre le courrier indésirable existent déjà, tant sur iCloud que sur Mail, et font en sorte que tout le courrier indésirable finisse dans le dossier Junk.

Des messages contenant des phrases interdites, en revanche, il ne reste de trace nulle part. Dans l’exemple repris par Macworld, c’est la phrase “barely legal teens” qui fait notamment les frais de la censure. Elle se réfère à des pages Internet pas particulièrement immaculées, mais elle peut aussi être utilisée sans aucune malice dans des contextes tout à fait licites.

Le problème est que la liste de phrases proscrites n’est pas connue et cela fait que le service n’est pas fiable, surtout si vous avez l’intention de l’utiliser comme adresse mail professionnelle.

Personne n’est à l’abri

Morale de l’histoire: il est important de lire et de comprendre ce que nous acceptons lorsque nous souscrivons un service. En cas contraire, se retrouver sans préavis avec un disque de U2 sur le cloud peut être le moindre de nos soucis possibles.

Naturellement, Apple n’est pas le seul à nous faire signer des documents de cet acabit. Les utilisateurs d’un autre écosystème qu’Apple doivent être tout aussi attentifs. Et pour nous aider, il existe un instrument particulièrement valide. Il s’agit du site tosdr.org, qui propose une extension bien utile pour comprendre, à chaque fois que vous cliquez sur Accepter, ce que cela comporte.

Vous êtes du genre à donner votre autorisation sans lire entre les lignes? Cet article de Samuel peut vous être très utile.

Article original de Pier Francesco Piccolomini – Softonic.com. Traduit et adapté de l’italien.

Un malware frappe à la porte de votre Android, vous le laissez entrer?

Chaque fois que l’on installe une application, il faut valider des permissions pour cette dernière. Que signifient-elles en réalité? Supposent-elles un danger pour votre sécurité ou votre vie privée?

Pour utiliser la caméra, la connexion à internet et autres fonctionnalités de votre smartphone, les applications demandent des permissions au système Android. Les applis s’installent uniquement si vous les accordez, et on peut seulement les accepter ou les refuser en bloc: c’est tout ou rien. Le problème, c’est quand une appli combine de nombreuses autorisations: les vérifier en détail est un exercice fastidieux, et on finit souvent par accepter tout sans y prêter attention.

Permissions - Google Play

Accorder les permissions à la légère peut avoir des conséquences désagréables, comme l’envoi de SMS ou la subtilisation de données personnelles, comme c’est arrivé avec ce virus. Vérifier les autorisations est une tâche qui prend moins d’une minute et peut vous éviter bien des désagréments à l’avenir (comme d’avoir à modifier tous ses mots de passe).

Mieux vaut donc passer en revue les permissions les plus souvent sollicitées par les applis. Voici la liste, accompagnée du détail des risques liés à ses autorisations, et quelques conseils pour s’en prémunir.

Achats intégrés: attention aux extorsions et aux arnaques

Derrière l’intitulé pourtant clair des “achats intégrés”, Android autorise les applis à effectuer des transactions sans passer par Google Play. Un jeu comme Candy Crush Saga, par exemple, permet d’acheter des objets qui aident à passer des niveaux, mais il existent d’autres applis qui utilisent ce procédé pour extorquer de l’argent sous couvert de  fonctionnalités parfois factices.

Le malware Fakedefender, par exemple, était un faux antivirus qui affichait des alertes de sécurité et proposait de nettoyer le téléphone, moyennant une transaction via l’application. Il existe également des jeux en apparence complets, qui proposent des achats intégrés depuis l’appli: lorsqu’un enfant y joue, il arrive parfois qu’il réalise un achat sans même s’en rendre compte.

Android Defender, le faux antivirus qui abusait des achats intégrés

Pour éviter les problèmes liés aux achats intégrés, il est possible d’activer la protection par mot de passe de Google Play. Cela évite au passage la plupart des achats compulsifs. Et surtout, il faut veiller à ne pas se laisser berner par les fausses promesses des applis.

Données mobiles et Wifi: la grande évasion des données perso?

Les autorisations de données mobiles et d’accès au Wifi sont relativement inoffensives, car elles sont nécessaires à la connectivité des applications. N’importe quelle appli qui se connecte à internet doit les solliciter. Or, ces permissions peuvent se révéler dangereuses lorsque, combinées avec d’autres, elles donnent le feu vert à l’appli pour communiquer des données personnelles.

Il faut être vigilant avec la combinaison Accéder aux contacts et Données mobiles, notamment. Pourquoi une appli de gestion de contacts, sans services en ligne, aurait besoin d’une connexion internet? Cela peut être lié à la publicité affichée par l’appli, mais mieux vaut s’en assurer. En cas de doute, il est possible de bloquer cette connexion au moyen d’un pare-feu (qui peut aussi servir à désactiver la publicité dans certains jeux).

Historique des applis et du dispositif: l’historique et les favoris sont ici

Ces permissions permettent à une application de consulter les données du téléphone, comme les sites que vous avez consultés, les favoris ou les applis en cours d’exécution. Un navigateur internet, un gestionnaire de tâches ou une application de réseau social peuvent avoir besoin d’accéder à votre liste d’applications ou à vos marque-pages pour les consulter ou les modifier, mais ce n’est pas le cas d’un jeu, par exemple.

Si le navigateur web Google Chrome demande l’accès à vos favoris et à votre historique, c’est normal

Les risques pour la vie privée sont évidents: ces données personnelles sont très prisées par la NSA ou par n’importe qui, qui souhaiterait espionner vos habitudes de navigation. De même, si une appli ne gère pas la mémoire de votre téléphone, il n’y a aucune raison pour qu’elle accède à la liste des applications en cours d’exécution. Il faut toujours se demander s’il y a une raison légitime pour qu’une appli sollicite telle ou telle permission.

Identité et comptes: vos comptes à disposition de n’importe quelle appli

Les permissions d’identité permettent à une appli d’accéder à vos données personnelles, comme les connexions aux comptes que vous avez sauvegardées dans votre téléphone. Ça a du sens pour une application comme Facebook ou Twitter, mais beaucoup moins quand votre identité n’a rien à voir avec l’objet principal de l’application. Entre autres, un virus qui abuserait de cette permission pourrait aller jusqu’à effacer vos données de connexion.

Contacts, calendrier: attention à ne pas partager votre répertoire avec n’importe qui

Le principal danger de ces permissions réside dans la consultation de votre liste de contacts et des évènements du calendrier. Une appli malintentionnée pourrait supprimer des numéros de téléphone et des emails, ou effacer des évènements du calendrier sans votre autorisation (voire inviter des gens sans votre autorisation).

Le virus FireLeaker, par exemple, dérobait des numéros de téléphone et des adresses mail, puis les envoyait à un serveur contrôlé par des cybercriminels. Ces données étaient ensuite revendues à des entreprises qui envoient du spam sous forme d’emails ou de SMS.

Localisation: ce jeu doit-il vraiment savoir où vous vous trouvez en ce moment ?

Ce groupe de permissions donne accès aux capteurs de localisation, comme le GPS. Utile pour les cartes, les guides de voyage et les applis qui ajoutent des données géographiques à vos photos ou à vos publications. Mais si cette autorisation n’a rien à voir avec l’objet de l’appli, il faut y regarder à deux fois.

En plus d’être gourmande en batterie, la récupération des données de localisation peut être une entrave à la vie privée. Le malware TigerBot, découvert en 2012, envoyait la position GPS du téléphone, en même temps que d’autres données, comme des conversations ou des images enregistrées par le téléphone.

SMS: attention à l’envoi de messages surtaxés

Si vous voyez cette permission, demandez-vous pourquoi cette appli a besoin de recevoir, de lire ou d’envoyer des SMS. Parfois, la réception d’un texto est nécessaire pour s’inscrire à un service, mais en d’autres occasions, l’envoi de SMS surtaxés est une arnaque très lucrative.

En 2014, Panda Labs a découvert qu’une application de régime, téléchargée 300.000 fois, inscrivait les utilisateurs à un programme de SMS surtaxés, réalisant une escroquerie aussi simple qu’efficace.

Téléphone: quand une appli peut passer des appels à votre place

Ces permissions sont conçues pour des applis qui doivent composer des appels ou les gérer. Des services de messagerie comme LINE ou Whatsapp, des bloqueurs d’appels ou des répondeurs automatiques ont besoin de ce genre d’autorisation.

Mais pour des applis qui n’ont rien à voir avec la fonction téléphone, ces permissions peuvent supposer des appels surtaxés à votre insu. Le malware MouaBad, découvert en 2013 par Lookout, permettait aux cyberpirates d’effectuer des appels très couteux sans que le propriétaire du téléphone ne s’en rende compte.

MouaBad.P, le malware qui appelait des numéros surtaxés à votre insu

MouaBad.P, le malware qui appelait des numéros surtaxés à votre insu

Photos, données et archives: et si quelqu’un pouvait les consulter?

Si une appli a besoin de stocker des archives, elle va demander l’autorisation de modifier ou éliminer du contenu de la mémoire de votre smartphone. Il est difficile de savoir dans quels cas cette permission sera utilisée de forme abusive, par exemple pour voler ou effacer des données.

Certains virus sont capables de prendre le contrôle du téléphone et d’envoyer des photos ou autres fichiers sur internet. L’appli Pixer, qui est encore disponible sur Google Play, abuse de ce type de permission et récupère les images des utilisateurs sur ses propres serveurs.

Appareil photo, micro: des permissions dignes de films d’espionnage

Quand on laisse une appli accéder à l’appareil photo ou au micro, elle peut enregistrer des images ou des sons depuis votre téléphone mobile. C’est tout à fait légitime pour des applications comme Instagram, Skype ou Facebook. Dans d’autres cas, il faut être vigilant.

placeraider

PlaceRaider, une appli capable de prendre des photos au hasard et de reconstituer des pièces entières

L’appli PlaceRaider est un exemple d’abus de ce type de permissions, accordées trop facilement: créée par une équipe de chercheurs américains, elle est capable de prendre des photos à votre insu et de reconstituer des pièces entières. L’espionnage jusque chez vous.

Numéro de série et données d’appels: la carte d’identité de votre téléphone

Derrière ces intitulés, Android autorise les applications à connaître en détails votre téléphone. Ceci implique d’accéder à des données comme le numéro IMEI, qui est un peu la carte d’identité du téléphone. Il est assez facile à récupérer pour le propriétaire du téléphone.

Un exemple des données qui sont accessibles à travers les permissions d'identité du téléphone

Un exemple des données qui sont accessibles à travers les permissions d’identité du téléphone

A partir d’un IMEI valide, une personne malintentionnée pourrait cloner votre téléphone et réaliser des appels; la facture serait pour vous. Il est également possible de bloquer un smartphone en le déclarant comme volé à la police. Le virus BadNews est un exemple de malware de ce type.

“Autres”: un fourre-tout potentiellement dangereux

En plus des permissions classiques d’Android, une appli peut solliciter d’autres autorisations uniques. Il est très important de les repasser en détails, quand cet intitulé apparaît. Certaines sont très sensibles, comme la lecture de vos messages sur les réseaux sociaux, l’accès total au réseau ou le contrôle de certaines fonctionnalités du smartphone. Il n’y a pas de limite: la catégorie “Autres” peut dissimuler une permission qui va mettre en péril la sécurité de vos données privées.

La règle d’or: être vigilant et utiliser des analyseurs de permissions

En cas de doute, on peut toujours poser une question aux auteurs de l’application. Il est possible de leur écrire un message depuis Google Play, ou bien un commentaire, en attendant une réponse. Les commentaires des autres utilisateurs (et la note de l’appli) sont autant de pistes pour savoir si une application est sécurisée et fiable. Devant une appli douteuse, il ne faut rien installer sans s’être informé un minimum auparavant.

Et les applis déjà installées? Il existe des utilitaires qui se consacrent à vérifier les permissions de tous les logiciels installés dans votre téléphone ou votre tablette. Un bon exemple est F-Secure App Permissions, qui scanne toutes les autorisations utilisées par vos applis et révèle les cas les plus suspicieux pour que vous puissiez décider de les conserver ou non, en connaissance de cause.

F-Secure App Permissions donne une note à chaque appli selon les permissions sollicitées

F-Secure App Permissions donne une note à chaque appli selon les permissions sollicitées

A travers cet exposé, il peut sembler que toutes les permissions vous veulent du mal. C’est loin d’être le cas: elles sont indispensables au bon fonctionnement de la plupart des applis. La manière de laquelle Android gère ces permissions, cependant, est loin d’être rassurante, puisqu’elle laisse la porte ouverte à des erreurs d’inattention qui peuvent coûter cher. Et il est très facile de laisser passer une permission abusive…

Sources des images: Google Play, Tudocelular, MIT, CodePainters, TheDroidGuy

A lire:

Article original de Fabrizio Ferri-Benedetti – Softonic.com. Traduit et adapté de l’espagnol.