Dans le cadre du RGPD, Apple est tenu d’apporter tout le soin possible à la sécurisation des données qui lui sont confiées (ce qui n’implique pas qu’il a le droit le lire ces données…) et à rapporter sans délai les fuites potentielles. On aime ou on n’aime pas mais ça peut se défendre.

Par contre, ce qui m’interpelle plus que de savoir comment Apple a fait pour détecter un accès illégitme (ce qui peut se faire sans consulter les données personnelles, c’est déjà comme ça que fonctionnent les antivirus), c’est surtout de savoir comment Apple a pu déterminer lesquels de ses clients étaient des “militants”…

Merci de me donner (enfin) raison… Rappel :

[…] c’est surtout de savoir comment Apple a pu déterminer lesquels de ses clients étaient des militants…

Et donc ?

Je donne un argument en faveur du fait que, globalement, Apple est responsable de certaines données de certains de ses clients, ce qui lui impose des mesures de sécurité et une obligation de signalement.

Le fait qu’un client soit en Thaïlande n’interdit pas, que je sache, d’appliquer le même niveau de sécurité et de vigilance que celui imposé par le RGPD ou ses équivalents hors Europe…

Je reste moi aussi persuadé que les tentatives d’intrusion ont été détectées automatiquement de par un pattern reconnu par la couche de sécurité de l’OS ou de iCloud (ou son nom actuel s’il en a changé), et que toutes les personnes à qui c’est arrivé ont reçu la notification.

Il se fait simplement que les malwares ainsi détectés sont vraisembablement ciblés et injectés individuellement, et donc concernent essentiellement des opposants à ceci ou cela, ce qui explique que le message soit envoyé pour l’essentiel à des opposants. Ou alors à d’autres personnes qui n’en ont simplement pas fait mention. Si je recevais personnellement ce genre de message, je ferais certes attention, mais je n’alerterais pas la presse pour autant…

Tout ça pour dire que je reste persuadé qu’Apple ne fait rien de moralement répréhensible (et notamment ne tente pas de me soutirer mon numéro de carte de crédit ou ma date de naissance, démarche d’autant plus idiote qu’ils les connaissent déjà) et ne fait qu’exploiter ses propres logs système.

Cumbalero a dit:

Et donc, comme ces ressortissants ne sont pas européens, le RGPD ne s’applique pas, point barre.

OK, je ne perds plus mon temps à tenter de te faire comprendre ce principe de responsabilité (que tu as pourtant parfaitement compris, mais puisque j’ai eu le malheur de donner le RGPD en exemple, tu le ressors éternellement comme argument vu que tu n’en as pas d’autre)

Pas plus que les lois chinoises.

Tu as lu l’article Wikipedia sur le RGPD. C’est bien. Mais peut-être que les lois thailandaises s’appliquent, et qu’elles aussi s’inspirent peu ou prou du RGPD ?

Quand Apple prévient des activistes en Thaïlande prévient que l’Etat thailandais les surveille

Il ne prévient pas que l’État thailandais les surveille, il prévient que des personnes utilisent le logiciel espion Pegasus pour compromettre leur appareil en passant par un service en ligne contrôlé par Apple. Or comme ils ne peuvent pas explicitement nommer ce logiciel, mais qu’il n’est accessible qu’aux États, Apple utilise une périphrase.

Périphrase accessoirement dûment relue par une armée d’avocats. Mais oui, les commentateurs d’un forum sont plus au courant de ce qui est permis ou non.

De plus “state-sponsored attackers” ne veut pas nécessairement dire que c’est leur propre État, c’est peut-être les services US qui ont essayé…

il n’est pas plus dans son rôle que s’il disait à des activistes français que la DGSI les traque.

D’après toi, ma centrale d’alarme n’est pas dans son rôle quand elle me signale que quelqu’un s’introduit chez moi, dès lors que la porte a été ouverte par un passe-partout vendu exclusivement à des services officiels ?

des islamistes, par exemple

Le sempiternel Wikipediades familles…

Analogie grotesque. La centrale d’alarme que tu as installée ou fait installée

Et bardaf, comme prévu, réponse à côté de la plaque typique de l’adversaire qui ne tente pas de comprendre les interventions des autres, mais juste y trouver des failles exploitables.

Relis bien ce que j’ai dit : est-ce que mon alarme doit laisser quelqu’un pénétrer illégalement chez moi sans me prévenir sous le simple prétexte qu’il appartient aux forces de l’ordre ?

ne fouille pas tes données à ton insu. Je doute que les utilisateurs concernés ont mandaté Apple pour cela.

Tu n’as aucune preuve qu’Apple fouille les données juste de vagues suppositions. Tu doutes, tu penses, c’est ton droit, mais ça ne fait pas de ton avis une vérité universelle.

Si Apple avait simplement envoyé le message “Attention, l’activité de nos serveurs nous laisse à penser que quelqu’un essaie d’installer un logiciel espion sophistiqué votre téléphone en passant par votre compte iCloud pour tenter de […] Comme ce logiciel n’est pas destiné à être déployé à grande échelle, nous pensons que vous avez été ciblé personnellement.” ça ne t’aurait posé aucun problème, tu n’y aurais vu aucun message politique, tu aurais mis ça sur le compte d’une règle firewall bien étudiée. Et pourtant à part le libellé du message, le procédé aurait été exactement le même.

Apple n’a pas prévenu 100% des utilisateurs concernés.

Tu n’en sais rien… Seuls quelques uns se sont manifestés, mais ça ne prouve pas qu’ils sont les seuls à l’avoir reçu. Pour reprendre ton exemple, si un membre d’Al Quaida avait reçu la notification, je ne pense pas qu’il s’en serait ouvert à Reuters…

Cumbalero a dit:

qui a demandé à Apple de générer ce genre d’alarme?

Comme tu les dis toi-même dans un message précédent en insistant lourdement, les CLUF incluent la possibilité pour Apple de vérifier la conformance des éléments clés du téléphone, comme le bootloader et ou des modules d’iOS en examinant des données de télémétrie (oui, bon… on va pas s’écharper aussi sur ce terme-là) internes à l’OS…

Une analyse des fichiers utilisateurs dans iCloud c’est pas une fouille de données?

Où as-tu vu qu’Apple analyse les fichiers iCloud ? Vraie question. Où dans la news est-il écrit explicitement que c’est en scannant les fichiers personnels existants et/ou entrants qu’Apple a pu détecter l’intrusion ? D’autant plus que c’est un peu con, c’est trop tard. Et ce encore d’autant plus plus plus qu’il serait particulièrement improbable qu’il suffise d’ajouter un fichier dans un backup iCloud pour véroler un téléphone à distance.

Il est par contre beaucoup plus vraisemblable (encore une fois je n’affirme rien, j’applique simplement mes connaissances très lacunaires en pentesting pour trouver une explication réaliste) que l’attaque vise à se connecter indirectement au téléphone en exploitant (par exemple) une faiblesse dans les métadonnées des protocoles push de iMessage ou Facetime. Et là, bah oui, Apple est parfaitement en droit de détecter des paquets vérolés vu que c’est sur son propre réseau (non, pas besoin d’invoquer la neutralié du net dans ce cas) qu’ils transitent, et qu’il ne s’agit pas de données personnelles (et non, un numéro de téléphone de 65537 chiffres en numération Maya n’est pas une donnée personnelle…).

Et ça aurait été la même chose pour moi: Apple est-il légitime à observer l’activité de mon compte iCloud?

Dans ton cas, il y est fortement incité par … le RGPD .

Je pense raisonnablement que parmi toutes les cibles françaises, […]

Oui donc on en revient à mon premier message, où je me demandais comment Apple détermine qui est un “militant” ou pas… Sur ce point, et ce point seulement, on est raisonnablement sur la même longueur d’onde.