Nous avons parcouru un long chemin depuis l’Internet des années 90 et du début des années 2000. Pas seulement en termes de technologie, de capacités et de culture, mais aussi dans l’attitude que la plupart d’entre nous adoptons lorsqu’ils accèdent au net. À cette époque, la plupart des utilisateurs avaient une volonté militante de garder pour eux toute information personnelle ou d’identification au-delà de l’a/s/l occasionnel (et souvent complètement fictif), et avant qu’eBay et Amazon ne normalisent les achats en ligne, il était même inouï de saisir un numéro de carte de crédit. Sur Internet d’aujourd’hui, nous faisons toutes ces choses avec un abandon imprudent, et pour aggraver les choses, la plupart d’entre nous transportons un appareil qui non seulement contient toutes nos informations personnelles, mais rapporte également tout sur nous, de nos habitudes de navigation à nos emplacements, retour aux bases de données pour être stockées indéfiniment.
On a toujours su que les deux systèmes d’exploitation mobiles populaires pour ces appareils, iOS et Android, « téléphonent à la maison » ou rapportent des données nous concernant à divers serveurs. Mais ce que les systèmes d’exploitation eux-mêmes ont fait était en grande partie une question de spéculation, en particulier pour les appareils Apple qui font des choses que seul Apple peut vraiment savoir avec certitude. Alors qu’Apple garde ses mystères pour lui et ne peut donc pas faire entièrement confiance, Android est beaucoup plus ouvert, ce qui permet paradoxalement aux entreprises (et aux utilisateurs malveillants) d’espionner plus facilement les utilisateurs, mais permet également à ces utilisateurs de protéger plus facilement leur vie privée. les leurs. Grâce à ce récent rapport de confidentialité sur plusieurs versions différentes d’Android (avertissement PDF), nous en savons un peu plus sur ce que font spécifiquement les applications système, quelles informations elles collectent et où elles les envoient, et exactement quelles versions de Android est ce qu’il y a de mieux pour ceux d’entre nous qui prennent la confidentialité au sérieux.
La vraie recherche confirme les soupçons
Le rapport examine six « saveurs » différentes d’Android et ce que chacun fait dans les coulisses. Les chercheurs ont étudié les systèmes d’exploitation de Samsung, Xiaomi, Huawei et Realme qui produisent également leurs propres appareils, mais ont également examiné deux systèmes d’exploitation alternatifs basés sur Android — LineageOS et /e/OS — qui peuvent être installés sur certains appareils et personnalisés. pour la confidentialité si l’utilisateur le souhaite. /e/OS est conçu dans un souci de confidentialité, tandis que LineageOS est plutôt un remplacement instantané qui ne se concentre pas spécifiquement sur la confidentialité. Il n’est pas surprenant que les quatre versions d’Android personnalisées par les fabricants d’appareils rapportent une tonne de données utilisateur, ou que tout appareil avec un package Google Apps (GApps) rapporte un flux apparemment sans fin d’informations utilisateur aux serveurs Google, mais certains d’entre eux les résultats spécifiques que l’équipe de recherche a trouvés valent vraiment la peine d’être notés.
Tout d’abord, le document souligne que toutes ces entreprises sont trivialement capables de relier des appareils aux utilisateurs. Les entreprises associent les numéros IMEI et autres identifiants d’appareils à d’autres données utilisateur, ce qui fait de la liaison de ces comptes un simple jeu de connexion. Cela s’explique en grande partie par le ciblage des publicités, mais toutes ces entreprises partageront également ces informations sans discernement avec diverses agences gouvernementales. Ils ne sont pas non plus parfaitement sécurisés, de sorte que tout attaquant black-hat qui a accès à ces informations l’aura également. Cela ne devrait pas être trop surprenant, mais la nouvelle information ici est que les chercheurs ont également découvert que ces données sont partagées entre les entreprises. Par exemple, Samsung et Google semblent partager leurs données entre eux. Swiftkey, une application de clavier populaire, envoie également des informations à Microsoft via Google. Il s’agit d’un réseau assez complexe de partage de données et de services d’une entreprise pour soutenir les efforts de collecte de données d’une autre. Certains de ces efforts de collecte de données incluent également des détails tels que l’utilisation d’applications horodatées et la collecte de contacts personnels. Alors qu’une grande partie des informations que les systèmes d’exploitation collectent réellement sont parfois obscurcies, il est clair que tout ce qui est fait sur l’un de ces appareils pourrait aussi bien être enregistré comme s’il s’agissait d’un flux Twitch car il existe des preuves suggérant que littéralement tout pourrait être surveillé par quelqu’un (ou un logiciel), jusqu’aux frappes d’un utilisateur.
Les chercheurs comparent cette activité de collecte de données endémique avec /e/OS, une version d’Android axée sur la confidentialité. /e/OS est un fork de LineageOS qui est spécifiquement consacré à la confidentialité, n’inclut aucun logiciel lié à Google et ne collecte essentiellement aucune donnée utilisateur à part des informations sur les mises à jour disponibles et certaines autres informations nécessaires. LineageOS n’est que légèrement meilleur que les offres Android des principaux fabricants lorsque le package GApps est installé avec, en grande partie parce que les applications système de Google sont si omniprésentes dans la collecte de données utilisateur. Il est possible d’utiliser LineageOS sans le package GApps, mais les chercheurs n’ont pas adopté cette approche et se sont largement concentrés sur /e/OS en tant que version de l’étude dégoogleisée.
Au-delà de cette étude
Bien que /e/OS soit certainement un excellent choix pour les utilisateurs de smartphones soucieux de leur vie privée, il y en a quelques autres qui méritent d’être mentionnés qui n’ont pas été inclus dans l’étude. Tirant la conclusion de cette recherche que le véritable violateur de la vie privée est GApps (tant que vous pouvez éviter les autres logiciels espions de Samsung et. al.), il est possible d’installer LineageOS sur un plus large éventail d’appareils que /e/OS prend actuellement en charge . Étant donné que l’installation de GApps est généralement téléchargée après l’installation de LineageOS et qu’il s’agit d’une étape facultative, cela peut simplement être omis.
De plus, si vous ne pouvez absolument pas vivre sans Google Maps ou Gmail, il existe un moyen d’accéder aux services Google sans les installer sur votre appareil. Un progiciel appelé MicroG est disponible, qui est un remplacement open source pour GApps et permet à l’utilisateur d’accéder aux services Google qui seraient autrement disponibles, mais restreint le suivi et la collecte de données utilisateur par Google de manière clé. Il existe un fork de LineageOS appelé « LineageOS pour MicroG » qui inclut ce package au lieu de GApps par défaut, bien qu’il y ait eu des querelles entre les responsables de ce projet et LineageOS concernant la manière dont MicroG accède aux services Google par usurpation de signature.
Pour ceux qui possèdent des appareils Google Pixel en particulier, il existe deux autres options de confidentialité. GrapheneOS est la Cadillac des versions d’Android axées sur la confidentialité et comporte un certain nombre d’améliorations pour améliorer la sécurité, telles que le sandboxing des applications, la mise en œuvre d’un démarrage sécurisé/vérifié, la désactivation des périphériques via des bascules et d’autres améliorations. CalyxOS est basé sur GrapheneOS et est similaire mais permet l’utilisation de MicroG et a des pratiques de sécurité moins intenses que GrapheneOS. Le seul inconvénient de ces versions d’Android est qu’elles sont conçues presque exclusivement pour le Google Pixel et nécessitent au minimum la confiance que Google n’a pas construit une sorte de porte dérobée matérielle dans leurs téléphones.
Android n’est pas la seule option
Il existe quelques autres options pour améliorer la confidentialité en ligne lors de l’utilisation d’un smartphone. Les téléphones Linux uniquement tels que le Pinephone sont disponibles mais ne sont pas aussi complets qu’Android. Certaines versions de Linux sont également disponibles pour les téléphones qui fonctionneraient autrement sous Android. Il est également probable qu’un iPhone représente une amélioration de la sécurité et de la confidentialité par rapport à un appareil Android d’usine de n’importe quel opérateur de services ou fabricant d’appareils majeur, bien que le fait que leur logiciel soit à source fermée et derrière un jardin clos rend cela extrêmement difficile à vérifier. Néanmoins, si un utilisateur n’est pas disposé à franchir tous ces obstacles pour installer /e/OS, GrapheneOS ou Ubuntu Touch, ou si son téléphone dispose d’un chargeur de démarrage verrouillé rendant impossible le flashage d’un nouveau système d’exploitation (ou si son appareil n’est tout simplement pas pris en charge), il est préférable de choisir un iPhone uniquement si toutes les autres options sont épuisées. Bien entendu, le seul autre L’option est de ne pas posséder du tout de smartphone, ce qui est sans doute le moyen le plus simple d’améliorer les problèmes de confidentialité avec ces appareils.
Le document détaille la méthodologie et comprend également des informations sur la manière dont ils ont déterminé les données envoyées à ceux qui sont curieux de connaître les détails. Il convient également de noter qu’ils soulignent qu’aucune de ces recherches n’examine les applications spécifiques qui pourraient être installées sur un téléphone et n’examine que les applications du système d’exploitation. Si vous installez des jeux freemium aléatoires, des applications bancaires ou Facebook sur votre installation GrapheneOS, par exemple, cela annulera probablement tous vos efforts de confidentialité. Le document en lui-même vaut la peine d’être lu, même pour ceux qui n’ont jamais pensé à leur vie privée en ligne auparavant, même s’ils ont grandi dans les années 90.
