Getty Images
L’année dernière, Apple a adopté la transparence du suivi des applications, une politique obligatoire qui interdit aux créateurs d’applications de suivre l’activité des utilisateurs sur d’autres applications sans avoir préalablement reçu l’autorisation explicite de ces utilisateurs. Les défenseurs de la vie privée ont salué l’initiative et Facebook a averti qu’elle serait fatale aux entreprises qui s’appuient sur la publicité ciblée. Cependant, une étude publiée la semaine dernière suggère qu’ATT, comme on l’abrége généralement, ne freine pas toujours la collecte subreptice de données personnelles ou la prise d’empreintes digitales des utilisateurs.
Au cœur d’ATT se trouve l’exigence selon laquelle les utilisateurs doivent cliquer sur un bouton « Autoriser » qui apparaît lorsqu’une application est installée. Il demande : « Autoriser [app] pour suivre votre activité sur les applications et les sites Web d’autres entreprises ? » Sans ce consentement, l’application ne peut pas accéder au soi-disant IDFA (Identifier for Advertisers), un identifiant unique attribué par iOS ou iPadOS afin qu’ils puissent suivre les utilisateurs sur d’autres applications installées. Dans le même temps, Apple a également commencé à exiger des fabricants d’applications qu’ils fournissent des « étiquettes nutritionnelles de confidentialité » indiquant les types de données d’utilisateurs et d’appareils qu’ils collectent et la manière dont ces données sont utilisées.
Échappatoires, contournements et violations pures et simples
Le document de recherche de la semaine dernière a déclaré que si ATT fonctionne à bien des égards comme prévu, les lacunes du cadre ont également permis aux entreprises, en particulier aux grandes comme Google et Facebook, de contourner les protections et de stocker encore plus de données. Le journal a également averti que malgré la promesse d’Apple pour plus de transparence, ATT pourrait donner à de nombreux utilisateurs un faux sentiment de sécurité.
« Dans l’ensemble, nos observations suggèrent que, bien que les changements d’Apple rendent plus difficile le suivi des utilisateurs individuels, ils motivent un contre-mouvement et renforcent le pouvoir de marché existant des sociétés de contrôle d’accès ayant accès à de grandes quantités de données de première partie », ont écrit les chercheurs. « Rendre les propriétés de confidentialité des applications transparentes grâce à une analyse à grande échelle reste une cible difficile pour les chercheurs indépendants et un obstacle majeur à des protections de la vie privée significatives, responsables et vérifiables. »
Les chercheurs ont également identifié neuf applications iOS qui utilisaient du code côté serveur pour générer un identifiant d’utilisateur mutuel qu’une filiale de la société technologique chinoise Alibaba peut utiliser pour le suivi inter-applications. « Le partage d’informations sur les appareils à des fins de prise d’empreintes digitales serait contraire aux politiques d’Apple, qui ne permettent pas aux développeurs de » dériver des données d’un appareil dans le but de l’identifier de manière unique « », ont écrit les chercheurs.
Les chercheurs ont également déclaré qu’Apple n’est pas tenu de suivre la politique dans de nombreux cas, ce qui permet à Apple d’ajouter davantage au stock de données qu’il collecte. Ils ont noté qu’Apple exempte également le suivi à des fins «d’obtention d’informations sur la solvabilité d’un consommateur dans le but spécifique de déterminer le crédit».
Les représentants d’Apple ont refusé de commenter. Les représentants d’Alibaba n’ont pas immédiatement répondu à un e-mail sollicitant des commentaires.
Sur la base d’une comparaison de 1 685 applications publiées avant et après l’entrée en vigueur d’ATT, le nombre de bibliothèques de suivi utilisées est resté à peu près le même. Les bibliothèques les plus utilisées, notamment SKAdNetwork d’Apple, Google Firebase Analytics et Google Crashlytics, n’ont pas changé. Près d’un quart des applications étudiées ont affirmé qu’elles ne collectaient aucune donnée utilisateur, mais la majorité d’entre elles (80 %) contenaient au moins une bibliothèque de trackers.
En moyenne, la recherche a révélé que les applications qui affirmaient ne pas collecter de données sur les utilisateurs contenaient néanmoins 1,8 bibliothèques de suivi et contactaient 2,5 sociétés de suivi. Parmi les applications qui utilisaient SKAdNetwork, Google Firebase Analytics et Google Crashlytics, plus de la moitié n’ont pas divulgué l’accès aux données des utilisateurs. Le SDK de Facebook s’en sort légèrement mieux avec un taux d’échec d’environ 47 %.
Activation des thésauriseurs de données
Non seulement les divergences soulignent les limites de l’ATT, mais elles renforcent également le pouvoir de ce que les chercheurs ont appelé les «gardiens» et l’opacité de la collecte de données en général. Les chercheurs ont écrit :
Nos résultats suggèrent que les entreprises de suivi, en particulier les plus grandes ayant accès à de grandes quantités de première partie, suivent toujours les utilisateurs dans les coulisses. Ils peuvent le faire par le biais de diverses méthodes, notamment en utilisant des adresses IP pour lier des identifiants spécifiques à l’installation entre les applications et via la fonctionnalité de connexion fournie par des applications individuelles (par exemple, connexion Google ou Facebook, ou adresse e-mail). Surtout en combinaison avec d’autres caractéristiques des utilisateurs et des appareils, dont nos données ont confirmé qu’elles sont encore largement collectées par les sociétés de suivi, il serait possible d’analyser le comportement des utilisateurs à travers les applications et les sites Web (c’est-à-dire les empreintes digitales et le suivi des cohortes). Un résultat direct de l’ATT pourrait donc être que les déséquilibres de pouvoir existants dans l’écosystème de suivi numérique se renforcent.
Nous avons même trouvé un exemple concret d’Umeng, une filiale de la société de technologie chinoise Alibaba, utilisant son code côté serveur pour fournir aux applications un identifiant inter-applications dérivé des empreintes digitales… L’utilisation des empreintes digitales est en violation de la politique d’Apple. politiques et soulève des questions sur la capacité de l’entreprise à appliquer ses politiques. ATT pourrait finalement encourager un déplacement des technologies de suivi dans les coulisses, de sorte qu’elles soient hors de portée d’Apple. En d’autres termes, les nouvelles règles d’Apple pourraient conduire à encore moins de transparence autour du suivi que ce que nous avons actuellement, y compris pour les chercheurs universitaires.
Malgré ses défauts, ATT reste utile. Je ne vois aucun avantage réel à permettre à une application de suivre mon utilisation de toutes les autres applications installées sur mon téléphone pendant des mois ou des années. Le moyen le plus simple d’appliquer ATT consiste à accéder aux paramètres iOS> Confidentialité> Suivi et à désactiver « Autoriser les applications à demander le suivi ». Les personnes qui souhaitent une confidentialité iOS supplémentaire doivent désinstaller toutes les applications qui ne sont plus nécessaires ou envisager d’acheter une application telle que le pare-feu Guardian. En fin de compte, cependant, le suivi et les empreintes digitales des appareils sont susceptibles de rester sous une forme ou une autre, même dans le jardin clos d’Apple.