Rencontre avec Exodus Privacy : traquer les “trackers”

Quand on s’intéresse à nos smartphones et que l’on se penche sur la question de la vie privée, on comprend mieux la dimension biblique du nom choisi par cette association française, tant la révélation est vertigineuse. Cette interview est une première pierre pour en savoir un peu plus sur les chemins empruntés par nos données et sur la nature des informations que nous choisissons d’offrir à ... À qui, au fait ?

Rencontre avec Xakan, membre d’Exodus, qui nous donne des nouvelles de l’asso et nous fait part de ses réflexions personnelles.

Le profilage publicitaire ciblé a transformé nos données personnelles en une importante source de revenus. On pense souvent aux GAFAM Gafam Acronyme reprenant les initiales des multinationales géantes du web (Google (Alphabet), Apple, Facebook (Meta), Amazon et Microsoft). Le terme évoque par extension les problèmes politiques que posent ces compagnies : monopoles économiques, grandes fortunes des dirigeant·e·s et précarité des conditions de travail des employé·e·s les moins qualifié·e·s, omniprésence de leurs outils, rétention et exploitation des données personnelles, surveillance, capacité d’influence des décisions politiques et domination complète de la société numérique des câbles physiques aux contenus, des programmes aux appareils.  [1], mais que peut-on dire des autres agents qui ont intérêt à utiliser ces données ? Les marques de téléphone elles-mêmes, par exemple, ou bien des États, ou encore des organisations qui utiliseraient des logiciels malveillants ?

C’est assez compliqué à déterminer, car on n’a pas de visibilité dessus. On peut faire des suppositions, mais ça reste de l’ordre de la spéculation. Il n’y a rien d’officiel, et c’est un terrain sur lequel on ne va pas s’aventurer avec Exodus – parce que, justement, on n’a rien de concret. Mais ça profite au final à toute personne qui peut acheter les données, à ce qu’on appelle les « brokers (courtiers) » de données. Les informations qui sont récupérées sur les applications sont centralisées par des agences : des entreprises qui sont spécialisées dans la collecte de données et qui les recoupent avec ce qu’elles ont pu récupérer sur nous ailleurs, pour constituer des profils qu’elles revendent ensuite à des tarifs plus ou moins élevés.

Le prix dépend du nombre de personnes que l’on veut cibler, selon le type de recherche : je me souviens de l’exemple d’un listing de mille personnes intéressées par les aspirateurs sans fil, qui était à vendre au prix d’une centaine de dollars. Le prix dépend donc du type de données, de la qualité du recoupage, et puis tout cela profite à celle..ux qui le demandent. Après, à part ces entreprises, on n’a pas de visibilité sur ce qui est fait exactement. Dans le cas des applications qui contiennent un « malware », un logiciel malveillant, ou autre, savoir d’où elles viennent, c’est un travail de recherche en sécurité.

En ce qui concerne les industries, il y a au minimum une partie des données qui vont être utilisées à des fins propres, au sein de leurs différentes branches, pour savoir ce qui séduit le plus le public : on va alors observer le confort par rapport à une diagonale d’écran, la fréquence d’utilisation, les moments où le produit est utilisé et comment l’améliorer en fonction de cela, la performance de leurs propres applications, c’est-à-dire la durée pendant laquelle elles parviennent à retenir la personne sur l’application, etc. Toutes ces métriques sont importantes parce que les entreprises ont intérêt à ce que l’on utilise leur produit le plus possible.
Les marques se distinguent donc, notamment, par la qualité des métriques qu’elles vont être capables de proposer. Les téléphones Samsung, par exemple, n’utilisent pas un Android Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. « pur » : il y a une surcouche logicielle proposée par Samsung, qui vient se superposer à la couche Android Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. développée par Google, et chacune a sa spécificité. On ne va pas retrouver la même version 12 d’Android Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. chez Samsung que chez Xiaomi ou d’autres entreprises. Chaque entreprise vient ajouter sa petite touche, ses propres applications, son « store » (son magasin d’applications) sur lequel elle a intérêt à faire ses ventes, etc.

Dans le rapport publié en 2022 qui fait le point sur les cinq ans d’existence d’Exodus Privacy, certains chiffres sont impressionnants : plus de 145 000 applications passées au crible, plus de quatre cents types de pisteurs différents. Et pourtant, votre analyse se limite aux applications pour Android Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. qui sont disponibles gratuitement. On est amené à se demander l’ampleur de tout ce qui ne rentre pas dans ce cadre : que pourriez-vous nous en dire ? Est-ce que, par exemple, Apple fait pire ?

On peut avoir tendance à penser qu’Apple est plus sécurisé, parce que les applications qui viennent de l’App Store sont contrôlées de manière un peu plus stricte que celles qui sont sur le Play Store de Google, mais ça reste un système informatique qui a ses failles et rien n’est fiable à 100%. Par exemple, Linux Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. est réputé plus sécurisé que Windows Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. ou Mac, et dans le fond c’est vrai, mais c’est aussi parce qu’étant beaucoup moins utilisé, il a moins d’intérêt pour les courtiers de données, donc les efforts sont concentrés ailleurs. Ici, c’est pareil : il n’y a pas de raison que le tracking soit développé différemment sur l’une ou l’autre plate-forme. On peut raisonnablement imaginer que la même application fonctionne de manière analogue partout.

Nous, on se base sur ce qu’on appelle les en-têtes de classe, qui sont une partie du code, et qui nous permettent d’identifier à quel type de fonctionnalité cela fait référence, à quelle entreprise la fonctionnalité correspond. Souvent, c’est un travail qu’on fait à la main : quand on découvre une nouvelle classe que l’on ne connaît pas, on va chercher des informations qui permettent de le classer comme traqueur ou non. On travaille avec une plate-forme collaborative de soumission de pisteurs [NDLR : Exodus Tracker Investigation Platform]. Cette analyse des en-têtes de classe est spécifique à la façon dont sont construites les applications Android Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. .

En ce qui concerne les applications prévues pour l’iOS Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. d’Apple, on n’y a pas accès de la même manière : il faudrait décompiler l’application, ce qui est totalement illégal en France, et c’est pour ça qu’on ne le fait pas. L’autre solution pour savoir ce que font les applications Apple, ce serait d’avoir un proxy Proxy
proxy?, Un proxy est une machine placée entre notre ordinateur (ou notre smartphone) et le service que l’on souhaite consulter sur internet. Du fait de sa position, elle peut rediriger mais aussi observer et analyser les connexions réseau qui transitent par son intermédiaire.  [2] intermédiaire, pour analyser le trafic réseau qui en sort – ce qui est parfaitement légal : on peut mettre une machine intermédiaire chez nous qui analyse tous les paquets qui sortent et aller voir avec quoi ça communique.

Le problème, c’est que c’est du travail manuel, et qu’on n’a pas assez de temps à dédier à ça. Si on avait plus de temps à y consacrer, on pourrait avec ce type d’analyse observer le comportement d’une application et se rendre compte, par exemple, qu’elle communique avec Google Ads, la régie publicitaire de Google, ou une autre régie publicitaire. C’est quelque chose qui pourrait exister. On avait voulu le faire à un moment donné. On s’était dit « un mois, une app ! » et puis on n’en a pas fait une seule. C’est un problème de temps : on a tous..tes soit des familles, soit plusieurs assos, soit tout ça à la fois… On est quelques bénévoles et on fait ça comme on peut.

En termes de chiffres, on a bien évolué depuis le rapport puisqu’on a dépassé récemment les 300 000 applications, mais il faut compter dedans plusieurs versions d’une même application, car les traqueurs peuvent évoluer d’une version à l’autre. Par exemple, on nous a récemment contacté sur Twitter pour nous demander de mettre à jour la revue que nous avions faite d’une application, qui précédemment était effectivement pleine de traqueurs, mais sur laquelle un gros boulot avait été fait.

D’ailleurs, nous sommes nous-mêmes en train de mettre à jour notre propre application : il va y avoir une grosse refonte, dont on a déjà fait une partie en 2022. On continue à chasser les bugs, à la rendre compatible avec les dernières versions. Donc on a analysé plus de 300 000 applications, mais ce ne sont pas forcément des applications distinctes. C’est vrai que c’est déjà énorme, vu l’histoire d’Exodus, qui a été créée en presque deux jours sur un coup de tête après une discussion dans un bar…
C’est assez fou.

Parmi nos projets, on a aussi un kit pédagogique à terminer, que l’on voudrait proposer dans les médiathèques, et une révision de l’infrastructure de notre plateforme, dont le but est de fournir un meilleur service… Et puis nous allons continuer à communiquer : à publier des billets de blog, à participer à des événements, à sensibiliser localement aussi, dans la mesure du temps disponible. Nous sommes tous et toutes bénévoles, à l’exception, ponctuellement, de quelques prestataires qui sont plutôt du secteur de la communication, comme l’équipe qui a travaillé sur le kit pédagogique. On travaille étroitement avec nos partenaires, parce qu’on veut quand même garder une certaine identité. Après tout, Exodus Privacy reste une association politique et il y a des messages qui sont importants pour nous.

Depuis la fondation de votre association, nous avons connu des événements qui ont eu un impact important sur notre expérience numérique : il y a eu l’épidémie de Covid, mais aussi en 2018 l’introduction du règlement général de protection des données (RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia)  [3]). Quel est votre sentiment par rapport à la manière dont la question de la protection des données fait son chemin dans les esprits ? Observez-vous une évolution des comportements ? Diriez-vous que les choses ont changé au niveau de l’attention que les professionnel·le·s du secteur portent à la notion de vie privée ?

Le RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia) , finalement, c’est une évolution et un renforcement de la loi « Informatique et Libertés » de 1978 [NDLR : en France]. La protection des données, ça existe depuis une éternité ! C’est juste que ce n’était pas appliqué, tout comme le RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia) , d’ailleurs – qui n’est pas encore réellement respecté, parce que la CNIL n’accomplit pas sa mission ou de manière suffisante [NDLR : la Commission Nationale de l’Informatique et des Libertés ; l’équivalent belge est l’« Autorité de protection des données », l’APD]. Le jour où on commencera à mettre de vraies amendes, à toucher au portefeuille de sociétés qui font n’importe quoi – qui, par manque de temps par exemple, ne prennent pas la peine de développer une plate-forme qui leur est propre –, alors les gens agiront dans la bonne direction. Le problème, c’est que la CNIL en France condamne très peu, bien qu’elle reçoive des plaintes de partout. Je n’ai pas les chiffres en tête, mais par rapport à l’Espagne ou l’Allemagne, où c’est très indépendant, où ça tape fort et où ça a convaincu les gens,je sais qu’on est ridicule. Il y a quand même un problème d’application de la loi : la CNIL met énormément de temps à traiter les plaintes, ça peut prendre des mois et des mois… et il n’y a quasiment pas de suites, ni de condamnations. Du coup, les sociétés concernées ne se sentent pas très impliquées.

Je pense aussi que les personnes qui font du développement de manière indépendante sont plus sensibles à ces questions que les grosses entreprises où l’éternel problème est l’argent. Il faut sortir une application en dix jours ? Eh bien, en dix jours, on se retrouve avec une fonctionnalité qu’on est allé chercher toute faite dans une bibliothèque et qu’on ne maîtrise pas de bout en bout, parce qu’on n’a pas le temps de la développer soi-même. Dans ce cas, l’installation de pisteurs n’est pas nécessairement volontaire, c’est important à savoir. De manière générale, ça reste assez compliqué de faire un choix entre confort et facilité. Si on regarde d’autres outils qui font tourner une partie du net, comme Wordpress, qui est un outil libre – et même libriste Libriste Personne attachée aux valeurs, culture et usages associés aux logiciels libres. Ces personnes peuvent participer à leur promotion, leur fabrication, leur diffusion, à l’assistance des utilisateurices ou simplement les utiliser.  [4] –, on se rend compte que ce sont souvent des polices de caractères Google, les Google Fonts, qui sont utilisées. Et donc que tous les sites utilisant des thèmes Wordpress envoient des informations à Google LLC ou Google Ireland.

Les plaintes qui ont suivi l’introduction du RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia) ont sans doute servi à la sensibilisation, à différents niveaux : on peut se retrouver avec une plainte de la CNIL, ou bien des utilisatrices et utilisateurs signalent directement un problème. Il y a pas mal de gens qui adressent des plaintes de manière directe. Après tout, ça va déjà faire cinq ans que le RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia) est d’application, il serait temps d’être dans les clous !

C’est un sujet qui est régulièrement abordé dans les sphères techniques des réseaux sociaux : on voit qu’il y a pas mal de personnes sensibilisées au sujet, et qu’il y a effectivement des gens qui prennent la peine de s’adresser à la CNIL. Face à ces comportements, je pense que les développeur..ses ont mieux pris conscience du besoin de faire les choses proprement. Il y a même des guides qui sont sortis pour expliquer comment déposer une plainte, et qui encouragent monsieur et madame Tout-le-Monde à se dire : « Tiens, cette application ne m’autorise pas à l’utiliser si je n’accepte pas le traçage, ce n’est pas légal et je vais aller déposer plainte, même si je n’ai pas de connaissances techniques.  »

Des bénéfices et limites du RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia)

On peut prendre le cas, par exemple, de quelqu’un qui a entendu dire que l’utilisation de Gmail était interdite pour des données de santé, alors qu’on voit encore de nombreux cabinets médicaux qui ont une adresse Gmail. Étant donné que Google fait l’analyse complète du contenu de tous les mails, de toutes les pièces jointes et autres documents, ça va à l’encontre du principe de confidentialité des données médicales. Et depuis que Google se lance dans les assurances [NDLR : en 2020, la maison-mère de Google, Alphabet, a annoncé le début de ses activités dans les assurances-santé] on voit vite où ça peut aller, même si les données sont censées être anonymisées.

Le fait est que les conditions d’utilisation de Google ou de Facebook, par exemple, demanderaient une à deux semaines de lecture à une seule personne tellement c’est long. Donc personne ne les lit, ni ne sait exactement ce qu’elles contiennent, alors que ces sociétés sont très bien armées de leur côté et font ce qu’elles veulent. Et puis, on n’est pas à l’abri d’un piratage… Je vais prendre un exemple un peu moche, mais qui est peut-être le plus courant : si une personne trompe sa..on partenaire et veut éviter que ça se sache, il vaut mieux ne pas en parler sur Facebook, même dans ses messages privés. On n’est pas à l’abri du fait qu’un jour Facebook ou Google puissent avoir tous les droits dessus. Et on a lu dans la presse il n’y a pas longtemps que des personnes employées par Facebook pouvaient ressortir des messages qui avaient pourtant été supprimés [NDLR : d’après les révélations en juillet 2022 d’un ancien employé, Brennan Lawson, qui a entamé des poursuites judiciaires contre Meta]. Donc c’est que ces messages ne sont pas vraiment supprimés : ça reste susceptible d’être analysé, ça reste des données.

L’avantage du RGPD RGPD Le règlement général sur la protection des données est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Il renforce et unifie la protection des données pour les individus au sein de l’Union européenne. (Wikipédia) , c’est que ça permet aux gens de mieux se rendre compte de la problématique des données. Mais cette conscientisation est très, très variable : on rencontre des jeunes qui ont conscience de ce qu’i..els laissent échapper, mais qui préfèrent continuer à utiliser Snapchat parce que l’application leur fait passer du bon temps. Et on ne peut pas leur en vouloir, à quatorze ou quinze ans, de vouloir passer du bon temps comme on l’a tous et toutes fait. Simplement, on n’avait pas accès aux mêmes technologies : à cet âge, je n’avais qu’un téléphone qui affichait deux lignes, avec Itineris [NDLR : ancien service de téléphonie mobile de France Télécom]. L’enjeu c’est de les sensibiliser à faire au mieux et à prendre certaines précautions : par exemple, si on veut que quelque chose reste confidentiel, il ne faut simplement pas le poster sur un réseau social.

La sensibilisation fait partie des chantiers d’Exodus, c’est dans ce but que nous participons aux Journées du Logiciel Libre de Lyon par exemple. Dans ce dernier cas, ça reste un public assez averti, mais on rencontre aussi des gens qui ont une notion de la vie privée plus approfondie, avec peut-être une dimension historique : la génération de mes parents par exemple, qui sont des enfants de l’après-guerre et qui ont entendu leurs parents parler de l’importance de la vie privée et de pouvoir garder des informations pour soi ; des gens conscients de ce que peut faire un État quand il possède des informations qu’il ne devrait pas avoir, entre autres. Les profils sont assez variés, mais on sent que les gens se sensibilisent petit à petit, se demandent pourquoi tel ou tel aspect est problématique. Nous, on discute, on n’essaie pas de forcer. Notre but, c’est d’informer pour que chacun..e fasse ses choix de façon éclairée : moi-même, je suis le premier à utiliser un Macbook, par exemple, mais c’est en connaissance de cause et j’adapte mon usage.

D’après mon expérience, en dehors des activités d’Exodus proprement dites, lors d’une « install party » par exemple, il arrive très régulièrement que l’on réponde à des demandes de personnes de tous âges qui débarquent en disant : « J’en ai marre, installez-moi un Android Systèmes d’exploitation 
Système d’exploitation 
systèmes d’exploitation
système d’exploitation
Operating System
iOS
Android
Windows
Linux
macOS Un système d’exploitation consiste en un logiciel qui permet à une machine d’exécuter d’autres logiciels. Windows, macOS ou Linux sont des systèmes d’exploitation pour les ordinateurs. iOS et Android sont des systèmes d’exploitation utilisés par les smartphones. libéré ». On utilise alors /e/, Lineage ou Sailfish, il existe plusieurs systèmes alternatifs pour smartphones. On remarque aussi un intérêt grandissant vis-à-vis d’une certaine sobriété numérique : on a conscience que l’on passe trop de temps sur nos machines, sur nos téléphones, et que le fait d’utiliser un système alternatif, en limitant l’accès à certaines activités, libère du temps pour autre chose. Ça a un effet au niveau de la vie privée, mais aussi de l’environnement ou du bien-être.