Les fonctions les plus basiques de nos smartphones peuvent être utilisées pour récupérer des informations personnelles. C’est ce que nous apprennent de nouvelles révélations venant du Congrès américain.
« Parce qu'Apple et Google fournissent des services de notification push, ils peuvent être secrètement contraints par les gouvernements à communiquer ces informations ». La lettre adressée par le sénateur démocrate Ron Wyden au ministère de la justice étasunien a le mérite d’être claire sur les risques pour la vie privée que peuvent représenter les notifications qui arrivent sur nos smartphones.
Prétextant avoir reçu un « tuyau confidentiel », l’élu demande à Washington de faire toute la lumière sur ce nouveau vecteur d’espionnage que « certaines agences gouvernementales de pays étrangers utilise ». Histoire d’enfoncer le clou, Google et Apple ont reconnu que cette méthode est bel et bien utilisée pour obtenir des informations personnelles sur les propriétaires de certains smartphones. Mais comment diable une bête notification peut-elle livrer des informations personnelles sur un internaute ?
Comment l’espionnage par notifications fonctionne-t-il ?
Comme le détaillait le développeur David Libeau, membre de l’association Exodus Privacy, début 2023, un bon paquet de notifications qui arrivent sur nos smartphones passent en fait d’abord par les serveurs de Apple et Google. Si votre application de messagerie est en veille et qu’un message arrive pour vous, il va transiter par ces serveurs tiers avant d’arriver sur votre téléphone, où un outil dédié s’occupera de « réveiller » l’application qui vous montrera enfin qu’un message est arrivé sur votre compte.
C’est le principe d’une notification « push », par opposition aux notifications classiques qui ne fonctionnent que quand une application est en premier plan et a un accès immédiat à Internet. Ces dernières établissent un contact direct entre le téléphone et le serveur visé, sans transiter par chez Google ou Apple. Les notifications push, au contraire, ont été pensées pour éviter qu’une application ne se connecte constamment à Internet pour vérifier la présence de nouveaux messages, ce qui viderait considérablement la batterie de nos appareils mobiles.
Petit problème du coup, « cela signifie qu'Apple et Google servent d'intermédiaires dans le processus de transfert des données […] comme un bureau de poste digitale » où les informations qui y passent ne sont pas souvent chiffrées. Le contenu d'un message, sa date d’envoi, de réception ainsi que sa provenance et sa destination sont donc visibles par Google et Apple… et donc par les forces de l’ordre si une demande dans ce sens est faite.
Des garde-fous à mettre en place
Il est possible de chiffrer une partie de ces données ou de contourner ces problèmes en réveillant l’application via une notification vide, pour que le logiciel aille ensuite chercher directement le contenu d’un message sur ses serveurs, et pas sur ceux d’Apple ou Google. C’est notamment comme cela que l’application de messagerie Signal fonctionne.
Loin d'exiger une refonte complète du système de notification, le sénateur Ron Wyden voudrait simplement laisser à Google et Apple la liberté de communiquer sur le nombre de demandes qui lui sont faites via ces canaux, ce que « le gouvernement fédéral a empêché jusque là », a avoué Apple.
Source : Reuters, davidlibeau.fr
