Google a envoyé une vague d'avertissements à des développeurs d'applications Android spécifiques, leur réclamant d'être beaucoup plus clairs sur la façon dont ils collectent et traitent les données de localisation, au risquent de les voir retirées du Play Store, a appris Motherboard.

Google a ciblé des applications ayant travaillé avec Huq, une société qui collecte des données de localisation à partir d'applications pour smartphones, puis vend des produits basés sur celles-ci à diverses industries. Google semble également avoir supprimé certaines applications incriminées.

Cette décision intervient après que Motherboard a signalé que certaines applications affiliées à Huq envoyaient des données de localisation à l'entreprise même lorsque les utilisateurs le désapprouvaient explicitement. Huq est une entreprise basée au Royaume-Uni qui prétend collecter et traiter chaque jour plus d'un milliard d'événements de données de localisation, et affirme qu'elle obtient ces données à partir d'appareils dans 161 pays différents, selon le site Web de l'entreprise.

Lundi, The Markup avait de son côté révélé que l'application populaire de sécurité familiale Life360 vendait elle aussi des données de localisation précises sur ses dizaines de millions d'utilisateurs. Utilisée par 33 millions de personnes dans le monde, Life360 a été commercialisée comme un moyen pour les parents de suivre les mouvements de leurs enfants à l'aide de leurs téléphones portables. 

The Markup a cela dit appris que l'application vendait aussi des données sur la localisation des enfants et des familles à environ une douzaine de courtiers en données, qui les revendaient eux-mêmes « à pratiquement tous ceux qui souhaitent les acheter ». The Markup explique également comment désactiver la vente de vos données de localisation dans l'application Life360. Elle précise cela dit que Life360 « anonymise les données qu'elle vend, qui peuvent inclure l'identifiant publicitaire mobile d'un appareil, l'adresse IP et les coordonnées de latitude et de longitude collectées par l'application ». 

Life360 a par ailleurs racheté en novembre pour 205 millions de dollars l’entreprise de trackers Bluetooth Tile, un marché sur lequel Apple s’est lancé en avril avec ses AirTag.

Depuis le 1er décembre, certains fournisseurs d'accès Internet en Russie ont commencé à bloquer l'accès à Tor, déplore la fondation qui développe le logiciel d'anonymisation. Son propre site web a d'ailleurs officiellement été bloqué juste après la publication de leur billet à ce sujet.

Le mois dernier, elle lançait une campagne « Help Censored Users, Run a Tor Bridge » pour motiver plus de bénévoles à créer plus de ponts d'anonymisation, permettant de contourner la censure. TOR évoque « un grand succès », ayant atteint leur objectif de 200 nouveaux ponts obfs4 : « aujourd'hui, nous avons plus de 400 nouveaux ponts ».

Mais la nouvelle censure russe l'incite à en créer toujours plus, « pour garder les Russes en ligne ». La Russie serait en effet le pays dénombrant le deuxième plus grand nombre d'utilisateurs de Tor, avec plus de 300 000 utilisateurs quotidiens, soit 15% de tous les utilisateurs du logiciel.

The Moscow Times relève de son côté que Tor était devenu l'un des principaux outils de contournement de la censure, depuis que les autorités russes ont commencé à filtrer le web en 2014. Pour autant, et si Tor a donc eu des effets politiques dans le pays, « il est devenu de plus en plus évident que le projet Tor a permis le Dark Web, peuplé de pirates informatiques, de trafiquants de drogue et d'armes, et cette image était très loin de la communauté brillante et brillante d'activistes combattant des dictateurs ». 

Si de nombreux gangs et forums du « dark web » sont russes, et que les États-Unis font pression sur la Russie à ce sujet, cette censure de Tor relèverait moins de la lutte contre la cybercriminalité que d'un combat contre la protection de la vie privée : « tout au long de 2021, les censeurs Internet russes ont lancé une attaque systématique contre les technologies qui pourraient être utilisées par les utilisateurs du pays pour contourner la censure ».

Au cours de l'été, Roskomnadzor, le Service fédéral de supervision des communications, des technologies de l'information et des médias de masse a ainsi « bloqué les deux principaux VPN, puis le navigateur populaire Opera a supprimé la prise en charge de son VPN. En septembre, huit autres VPN populaires ont été bloqués. Et puis Apple a désactivé son service Private Relay en Russie, conçu pour chiffrer tout le trafic quittant l'appareil de l'utilisateur afin que personne ne puisse l'intercepter. Apple a déjà été contraint de l'éteindre en Chine, en Biélorussie, en Colombie, en Égypte, au Kazakhstan, en Arabie saoudite, en Afrique du Sud, au Turkménistan, en Ouganda et aux Philippines, citant des "exigences réglementaires" dans ces pays. C'est maintenant au tour de la Russie. »

Comme repéré par Jérôme Rabenou, un décret a été publié au Journal officiel afin d’ajouter cette possibilité pour les particuliers.

« Dans cette hypothèse, il supprime la vérification d'identité effectuée par le service du Casier judiciaire national, puisque cette vérification est effectuée en amont par le téléservice FranceConnect ».

Le décret précise en outre qu’il « supprime la possibilité de se voir remettre en mains propres le bulletin n° 3 si le demandeur se présente au service. En effet, ce document est délivré par voie électronique sécurisée en quelques minutes lorsqu'il ne porte mention d'aucune condamnation ».

L’avis de la CNIL sur ce sujet est disponible là.

La filiale du groupe Dassault nous indique que « le Cigref a salué la publication du cadre de conformité et de labellisation des services proposés au sein de Gaia-X (Compliance and Labelling framework) », faisant référence à un communiqué publié en début de semaine.

David Chassan, directeur de la stratégie chez 3DS Outscale, se dit de son côté « ravi que nos engagements portés pour le développement d'un Cloud de confiance initiés en France en 2010 et maintenant, poursuivis au niveau européen au travers de Gaia-X soient reconnus ».

Une publication qui intervient alors qu'en coulisses se joue l'avenir de la certification européenne équivalente à SecNumCloud au sein de l'ENISA et de la place définitive qu'elle aura au sein des labels de Gaia-X. 

De son côté, l'hébergeur français Hosteur a annoncé quitter à son tour le projet quelques jours après le départ de Scaleway, précisant que « l’ouverture aux entreprises extra-européennes, largement soutenue par le gouvernement allemand et néerlandais, ouvertement pro américains, a toujours posé problème aux vrais adhérents du projet que peuvent être les français, les italiens ou les espagnols ». 

« Il ne s’agit pas d’une décision stratégique mais plutôt morale pour HOSTEUR. Continuer cette collaboration en sachant que le projet est saboté de l’intérieur par les GAFAM est non seulement une perte de temps mais également une traîtrise vis-à-vis de nos clients car aucun objectif essentiel du projet ne sera respecté : souveraineté, confidentialité des données et réversibilité », ajoute son PDG, Laurent Escart.

Dans un communiqué, les deux entreprises disent vouloir « apporter une réponse opérationnelle aux acteurs publics et économiques, notamment Opérateurs d’Importance Vitale (OIV), souhaitant accélérer leur transformation digitale et garantir la souveraineté de leurs données sensibles ».

Il évoquent des solutions déjà mises en place avec le ministère de la Transition écologique, mais aussi un datahub en mode SaaS, une plateforme certifiée HDS pour les données de santé, etc.

On a bien entendu droit aux labels marketing maison, comme la « Trusted Digital Platform » de Sopra Steria, elle-même labellisée Open Trusted Cloud par OVHcloud, ce qui signifie notamment que l'hébergement est effectué dans l'infrastructure SecNumCloud de l'hébergeur.

On regrette néanmoins que dans ses publicités, Sopra Steria s'approche de la ligne rouge, évoquant un « PaaS de confiance », un terme qui n'est pas choisi au hasard et qui fait référence au « cloud de confiance » vanté par l'État. Mais cette dénomination est rattachée à la qualification SecNumCloud de l'ANSSI, que n'a pas l'offre de Sopra Steria et cela pourrait induire les clients en erreur. En effet, la qualification SNC n'est pas « contaminante ». 

Ainsi, utiliser une infrastructure qualifiée ne suffit pas, un éditeur doit la demander pour chacune de ses solutions logicielles, ce que devra faire Sopra Steria pour son PaaS s'il veut obtenir le sésame plutôt que de jouer sur les mots.