ADINT : les marchands de pub vendent aussi les données GPS de militaires et d’espions
Ad débloqueurs
Un journaliste allemand a réussi à obtenir, gratuitement, d'un databroker américain, un échantillon de plus de 3 milliards de données géolocalisées révélant les déplacements d'environ 11 millions de téléphones portables. Y figurent notamment des milliers de militaires et d'employés de services de renseignement allemands, et américains. Un phénomène dont l'ampleur interpelle, alors même que les projets de législations visant à renforcer la protection de la vie privée achoppent depuis dix ans aux États-Unis.
Le 22 novembre à 09h02
12 min
Sécurité
Sécurité
La CNIL et la Commission nationale de contrôle des techniques de renseignement (CNCTR) organisaient la semaine passée un colloque intitulé « La surveillance dans tous ses états. Quelle éthique pour protéger nos libertés ? ». Sébastien Bourdon, vice-président d'Open Facto (dont l’objectif est de fédérer les acteurs de l'OSINT, ou renseignement d'origines sources ouvertes) et journaliste au Monde, y est notamment revenu sur sa récente enquête consacrée aux traces laissées par les gardes du corps d'Emmanuel Macron, Joe Biden et Vladimir Poutine sur l'application Strava.
En réaction, Nicolas Lerner, directeur général de la sécurité extérieure (DGSE), a quant à lui opportunément pointé du doigt les problèmes, encore plus grands, que pose l'ADINT (pour ADvertising INTelligence), du nom donné à la collecte de données publicitaires, potentiellement encore plus intrusives.
L'été dernier, Bayerischer Rundfunk (BR, le service public audiovisuel de la Bavière) et le média indépendant netzpolitik.org, défenseur des libertés numériques, ont ainsi révélé, dans toute une série d'articles, qu'il était possible de géolocaliser des personnes à l'intérieur de bâtiments de l'armée et des services de renseignement allemands.
Après un bref appel téléphonique, Sebastian Meineck, de netzpolitik.org, avait en effet réussi à obtenir, de la part d'un courtier de données états-unien, un fichier comportant 3,6 milliards de points de localisations collectés sur une période d'environ huit semaines fin 2023.
Il reste 83% de l'article à découvrir.
Déjà abonné ? Se connecter
Soutenez un journalisme indépendant,
libre de ton, sans pub et sans reproche.
Accédez en illimité aux articles
Profitez d'un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousADINT : les marchands de pub vendent aussi les données GPS de militaires et d’espions
-
Géolocalisés de l'école de leurs enfants jusqu'à des maisons closes
-
Suivre à la trace des forces spéciales des États-Unis jusqu'en Syrie
-
Faciliter le chantage, la traque, le harcèlement et l'humiliation publique
-
Des projets de loi mis au placard par les Républicains, en attendant Trump
Commentaires (33)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 22/11/2024 à 10h11
Le 22/11/2024 à 11h58
Même au Pentagone, ça fait juste hausser les épaules en se disant que c'est "inévitable". Quasiment tout le monde s'en fout...
Le 22/11/2024 à 12h34
Le 22/11/2024 à 12h23
Le 22/11/2024 à 12h40
J'imagine que si on empêche complètement l'affichage des pubs ça limite la surface d'exposition.
Je suppose aussi que désactiver l'identifiant publicitaire aide aussi.
Le 22/11/2024 à 12h53
Intuitivement, avec un bloqueur qui bloque les trackers, logiquement tu laisses moins de traces chez les publicitaires. Mais j'ai du mal à évaluer à quel point ce "moins de traces" va rendre compliquée une démarche adint. Est-ce qu'il en reste quand même suffisamment pour être bien traçable, ou est-ce que ça rend les choses vraiment compliquées ?
Le 22/11/2024 à 13h23
BR propose (en allemand) de vérifier/désactiver quelles app' ont accès à votre géolocalisation, et de réinitialiser ses identifiants publicitaires.
Le 22/11/2024 à 16h18
Le 04/12/2024 à 12h09
Modifié le 22/11/2024 à 16h17
Dans l'article on parle beaucoup de position GPS, qui induit normalement le tracking via des applications sur le téléphone, plus que via un site/navigateur, donc avoir un bloqueur de pub ne sert pas trop dans le cas présenté dans l'article. Cependant, ça aide quand même un peu.
EDIT : grillé par JMM. ^^'
Le 22/11/2024 à 13h50
Ce n'est pas suffisant, car la plupart des données GPS viennent d'autres applications.
Il faut donc utiliser un bloqueur de trackers au niveau OS, et pas navigateur.
Un truc comme NextDNS, PiHole, Blokada... sera beaucoup plus efficace et complet.
Le 22/11/2024 à 12h50
Le 22/11/2024 à 13h14
Le 23/11/2024 à 08h54
Modifié le 23/11/2024 à 08h56
Les forces de police dans certains comtés aux US ont des abonnements à des softs de localisation/téléphones ce qui leur permets de savoir qui il y avait à tel moment sur tel lieu sans passer par la case demande judiciaire (trop contraignant d'après eux). Un abo. sur certaines coute seulement 100$/mois quant ce n'est pas l'état fédéral ou le département (FBI, LAPD, etc...)qui fait l'investissement total quant il n'en abuse pas lui-même (exemple avec les migrants au Texas).
Voir :
https://www.eff.org/deeplinks/2022/08/how-law-enforcement-around-country-buys-cell-phone-location-data-wholesale
https://theconversation.com/what-is-fog-reveal-a-legal-scholar-explains-the-app-some-police-forces-are-using-to-track-people-without-a-warrant-189944
https://theintercept.com/2024/04/02/surveillance-tech-new-york-state-police/
https://theintercept.com/2020/12/23/police-phone-surveillance-dragnet-cellhawk/
https://theintercept.com/2021/09/21/surveillance-social-media-police-microsoft-shadowdragon-kaseware/
https://theintercept.com/2023/11/16/lexisnexis-cbp-surveillance-border/
Bon j'arrête là vu le nombre de softs et d'achats par les forces de police US sinon la liste serait interminable si je reprenais ces 12 dernières années.
Comme le dit @Tanyuu, ça fait 15 ans que les organismes de défense des droits civique se cassent les dents à empêcher la revente de données voir à faire adopter un RGPD US.
Le 22/11/2024 à 16h40
Pour ma part, j'ai très rarement la localisation d'activée, et très peu d'applis qui y ont accès.
Après vérification, 4 applis qui ont le droit d'accéder à ma localisation "pendant qu'elles s'exécutent" (2 applis de navigation hors ligne, 1 de test satellites, 1 qui fait du Bluetooth et réclame la permission de localisation alors que plus nécessaire depuis Android 12, ceci dit elle n'a pas accès au réseau).
Pour les rares cas où je veux faire tourner une appli qui exige ma position mais que je ne souhaite pas la communiquer, j'utilise un "simulateur de position".
Une idée du risque que j'ai de faire partie de leurs jeux de données ?
Modifié le 23/11/2024 à 13h58
En sélectionnant Never pour l'accès à la géolocalisation pour GOOGLE un pop-up s'affiche :
"If you deny this permission, basic feature of your device may not function as intended"
Du bluff pour faire peur... ? Peut-être même qu'ils ont été jusqu'à écrire des routines pour créer des problèmes bidons exprès pour forcer l'utilisateur à lui redonner son accès...
Je vais essayer tiens donc...On verra bien...
Le 23/11/2024 à 02h43
Et clairement vu ma liste, les applis Google n'ont pas accès à la géo-localisation.
Le 23/11/2024 à 02h46
Modifié le 23/11/2024 à 07h46
Un peu comme le Wi-Fi d'ailleurs. Si on coupe le Wi-Fi, il est toujours actif derrière mais invisible.
Il faut activer les Developper Options et ensuite mettre sur OFF l'option Wi-Fi scanning car sinon il passe son temps à noter et enregistrer tous les réseaux WiFi aux alentours pour ensuite faire de la géolocalisation sans l'aide du GPS.
Quel est le % d'utilisateurs Android qui savent qu'il faut cliquer 7 fois de suite sur un mot en particulier dans Système/A Propos de.... pour ensuite faire apparaître un menu caché et décocher l'option Wi-Fi scanning...?
Faible le % à mon avis...
Le 24/11/2024 à 13h40
Pour min petit cas personnel j'espère n'être affecté par aucun (GrapheneOS).
Le 24/11/2024 à 13h43
Modifié le 25/11/2024 à 08h55
GrapheneOS, oui j'aurai bien voulu voir, mais avec du Xiaomi, c'est mort... D'ailleurs avec quasiment tous les mobiles Android c'est mort...
Que du Pixel de 6 à 9 et absolument rien d'autre...
Donc 95%+ des utilisateurs Android n'ont aucune chance (même s'ils voulaient) de basculer sur du GrapheneOS.
J'imagine aussi que Xiaomi / Samsung ne veulent pas trop ouvrir les sources des drivers nécessaires ou un truc dans le genre...
et aussi que la team GrapheneOS doit être plus réduite que celle de LineageOS par exemple.
J'avais vu une fois seulement il y a quelques années quelq'un avec un Pixel à table (je dis à table car il était en face de moi à déjeuner à la cantine et que dans la rue, beaucoup plus dur de repérer un passant qui tient un Pixel entre ses mains... )
Tous les smartphones ont quasiment le même look et le même form factor maintenant, (le RAZR a fait un RAZ ... Ok c'est nul...)
Bref, un Pixel, ça court pas les rues...
Le 26/11/2024 à 22h50
https://grapheneos.org/faq#future-devices
Le support ne sera jamais aussi large que lineage, qui n'a absolument pas les mêmes objectifs en terme de sécurité. J'ai fini par acheter un pixel à contrecœur pour GrapheneOS, et je pense que la démarche inverse (tient, j'ai un pixel, si je mettait GrapheneOS dessus) est assez rare. Je ne regrette absolument pas ce choix, même si pendant un moment quelques fonctions n'étaient pas disponibles.
Android auto n'est fonctionnel que depuis quelques mois, et les play services n'étaient pas disponibles pendant pas mal de temps, sans solution alternative (on peut maintenant les installer, mais c'est optionnel et tout est sandboxé, sans privilèges particulier).
La seule limitation que j'ai en tête est le fait que certaines applications bancaires ne fonctionne pas, mais je n'ai jamais été concerné, et c'est peut être résolu (c'était lié à SaferyNet, qui est en cours d'abandon).
Les autorisations pour les applications Google sont nettement plus limitées que sur d'autres version d'Android, et je confirme que la localisation n'est pas nécessaire pour un usage courant. Jamais eu de soucis et ça a toujours été désactivé dans mon cas.
Le 25/11/2024 à 10h32
Modifié le 25/11/2024 à 11h15
J'avais confondu avec cette autre option qui elle est dans les Developper Options:
Wi-Fi scan throttling:
"Reduces battery drain and improves network performance"
J'avoue que je n'ai pas cherché dans le détail la fonctionnalité de cette option. Donc oui le scanning est désactivable simplement dans les options réseaux Android.
Edit:
"The throttling means foreground apps can only run four Wi-Fi scans every two minutes, while background apps are only allowed to run a scan once every 30 minutes."
Donc complètement différent du Wi-Fi scanning.
Le 26/11/2024 à 11h36
Donc, j'ai l'impression que même si tu désactives l'accès à la localisation sur certaines applications, elles y arriveront peut-être via "Services Google Play".
Et enlever des autorisations sur les "Services Google Play" semble risqué.
Le 26/11/2024 à 15h06
Le 26/11/2024 à 23h08
Je suppose que sans ça, certaines applications dépendantes de la fourniture de la géolocalisation (ou autre) par les Play Services ne vont plus fonctionner correctement.
Le 27/11/2024 à 15h01
Le 27/11/2024 à 20h07
Le 01/12/2024 à 08h40
J'ai installé un homeassistant pour gérer ma domotique, il y'a une tuile Bluetooth, qui liste notamment les beacons. En à peine une semaine, j'avais déjà 500 beacons différents vus : des voitures de livraison, des airtags... (sachant que c'est un PC fixe chez moi, je n'ai jamais eu d'inten,tion de collecter les va-et-viens de toutes ces personnes)
à un instant T toutes les apps qui voient se beacon sont au même endroit. Si au moins une a autorisé la collecte de localistaion, le broker connaît instantanément la position de tous les autres mobiles peu importe qu'il ait autorisé ou non la localisation GPS.
Sur le wifi c'est un peu plus statique mais c'est le même principe, si un seul de tes voisins a autorisé la localisation, une app peut positionner tous les APs visible par son téléphone. Que tu ais autorisé ou non l'accès au GPS une appli pourra te localiser simplement avec la liste des AP wifi visible par ton téléphone et en recoupant avec les données récoltées chez d'autres.
Le 02/12/2024 à 15h57
Android 12 ne requiert plus cette permission si tu jures sur l'honneur (dans ton manifest) ne pas tenter de localiser l'utilisateur.
Pour ma part, la protection est simple : pas de Bluetooth allumé.
A contrario le scan wifi depuis Android 10 requiert la permission "location".
Donc en principe pas de Bluetooth et pas de permission "location" ça devrait compliquer le tracking.