Les identités numériques

carnet de recherche vie privée données personnelles identité numérique dispositif identitaire sciences de l'information et de la communication facebook google réseaux socionumériques

C’est juillet, c’est vie privée !

Dans la série C’est mardi, c’est privacy : ça s’est passé cet été (et parfois un peu avant…). Et du coup, c’est long comme un bouchon sur l’A7. Alors, je vous propose la session pour les juilletistes (partie 1, que vous avez sous les yeux) et la session pour les aoutiens (partie 2, …qui arrivera dans une quinzaine de jours :-).

 Les privacy policies, ennemies de la vie privée ?

  • L’Attorney General de Californie invite à un choc de simplification pour les privacy policies. Plusieurs pistes de réflexion sont envisagées : améliorer la lisibilité, éclairer les mécanismes de collecte, les calibrer selon le service proposé, proposer un choix et conduire l’utilisateur vers les privacy policies de ses partenaires. Mis à part ce dernier point, rien de bien neuf. Pourtant, le document met l’accent sur le dispositif Do Not Track, alors même que les firmes tendent à le délaisser (Yahoo! au printemps, AOL tout récemment), aidées en cela par le lobby de la pub.
  • États-Unis toujours : l’Uniform Law Commission (une association visant à harmoniser les débats juridiques quand ils concernent le niveau fédéral – plus de détails ici…) propose d’uniformiser les règles relatives à l’identité numérique post-mortem. En effet, les réseaux sociaux mettent en œuvre différents dispositifs pour les défunts : fermeture pure et simple du compte, délégation à un tiers certifié, accès complet aux comptes et aux fichiers, etc. Et les États font de même, rajoutant leurs règles en plus de celles des éditeurs. Des règles que de toute façon que très peu lisent de leur vivant. Justement, la commission – qui vise à l’universalité, au moins à l’échelon fédéral – voudrait que pour chaque compte un légataire ait accès aux comptes et fichiers – accès mais pas contrôle (fiduciary access to digital assets) : pas de copie des fichiers (mais on peut toujours écouter les MP3), ni de mails expédiés au nom du défunt (mais on peut toujours lire son courrier).  Le Delaware a été le premier à légiférer selon cette préconisation. Du coup, les partisans d’un respect de la vie privée estiment qu’il y a atteinte à l’intimité : ce n’est pas parce que le titulaire est décédé que disparaissent les droits qu’il avait sur sa correspondance, ses abonnements, ses fichiers. La vie privée devrait-elle s’éteindre avec la vie ?
  • Un nouveau paradigme serait-il en train de prendre forme ? Le paradigme actuellement en vigueur, c’est la notification et le consentement, dont on se rend compte qu’ils sont difficiles à satisfaire. Comment obtenir un consentement éclairé quand la notification ne peut résumer la complexité des processus ? Dès lors, il appartient aux opérateurs des systèmes d’information de se saisir de cette responsabilité et de sécuriser les traitements de données personnelles. De nombreux travaux (la CNIL en juin 2012, l’UK ICO en février 2014, l’IAPP et le G29 en avril 2014, et enfin le cabinet Hunton&williams en juin 2014) approchent la régulation de la vie privée par une gestion des risques (et non plus des droits). La réforme européenne sur la protection des données personnelles est d’ailleurs le lieu d’intenses débats entre ces deux paradigmes (qui peuvent tout à fait se combiner comme le remarque le G29). [Cependant, le prochain départ de Neelie Kroes ou de Viviane Reding risque de compliquer le processus, en rajoutant de nouveaux participants au débat]. Comme le rappelle l’Information Commissioner, la mesure des risques sur la vie privée (Privacy Impact Assessment) s’intègre complètement dans la logique du Privacy by Design : il s’agit de mesurer les risques qu’un processus de traitement des données personnelles fait encourir à la vie privée. De nombreuses organisations conduisent ce genre d’audit (qui n’est pas obligatoire), avec les titulaires des données personnelles (salariés, clients), les DSI, les juristes, les prestataires et tous les partenaires impliqués dans le processus de traitement. Cela peut tout à fait – cela doit même – rentrer dans le profil de poste d’un CIL ou d’un CPO. Il en ressort:
    1. une consolidation du système d’information réduisant les risques de failles de sécurité (data breach, j’y reviendrais plus loin)
    2. de nouvelles règles de confidentialité (privacy policies) impliquant généralement de minorer le process et l’empan des données personnelles
    3. une mise en conformité avec la législation (par exemple la loi de ’78).

    Ces éléments peuvent considérablement jouer sur la réputation de l’organisation, et sur la confiance que lui accordent ses clients. Un exemple : un centre médical se fait cambrioler, plusieurs ordinateurs disparaissent. L’immeuble n’était pas sécurisé, les données n’étaient pas cryptées : 4.000.000 d’enregistrements ont été subtilisés. Les propriétaires ont été reconnus coupables de négligence (ça s’est passé l’été dernier à Chicago). Un autre exemple : le milliard de comptes piratés par des Russes cet été1. Encore un : l’adoption du BYOD en entreprise. Face aux risques et aux enjeux, la CNIL recommande d’adopter la méthode EBIOS pour sécuriser les données personnelles (Expression des Besoins et Identification des Objectifs de Sécurité, source : ANSSI).

Rachel versus Defcon

  • Les États-Unis souffrent d’une invasion de robocalls : du spam téléphonique à base de voix artificielle et qui profite à l’usurpation d’identité. Rachel, la plus célèbre de ces robots, a tant irrité les autorités que la FTC a décidé de l’éradiquer du paysage téléphonique. Et pour ce faire, rien de moins qu’un hackathon proposé en plein cœur du tout récent DefCon. Pourtant, dans cette communauté de hackers, si la FTC a aussi bonne presse que le Fisc ou la NSA, les enjeux ont apparemment motivé les troupes (ainsi que les $17.000 de récompense). Résultat : Nomorobo !

Allo ? On demande Philip K. Dick sur la ligne 2

PRISM, S02E17 et 18

  • Le Royaume-Uni reconnait la surveillance massive des réseaux sociaux, ainsi que l’écoute de conversations entre Britanniques (source : The Guardian, of course). A l’heure où plusieurs associations intentent une action juridique contre le GCHQ sur la base des infos de Snowden, le DG de l’Office of Security and Counter-Terrorism reconnait l’existence de telles pratiques (rapport de 48 pages), et les justifie en expliquant qu’il n’y a pas besoin d’un mandat pour interroger une plateforme étrangère (ce que sont Facebook, Twitter et la plupart des serveurs de mail). C’est avec le même argument que Facebook devait livrer des infos stockées sur ses serveurs irlandais. Selon cet officiel, le Parlement n’aurait pas su trancher quand le dispositif a été présenté (en 2000). Dans le doute, le GCHQ a espionné tant qu’il pouvait…
  • Microsoft, puis Facebook, puis l’ensemble de la Silicon Valley montent au créneau pour limiter les injonctions à transmettre les données clients aux autorités fédérales. Comme l’explique Le Monde, il s’agit moins de philanthropie que de business : en effet, quelle confiance les clients vont-ils accorder à des entreprises notoirement sous la houlette de l’administration américaine ? Et pourquoi ne pas aller voir ailleurs ? Tout n’est que réputation !
  • Pour se prémunir d’autres intrusions, celles des failles de sécurité, qui égratignent aussi la réputation d’un service numérique, Google dévoile son super-projet-top-secret-qu’on-voit pas-mieux-même-dans-les-pires-films-d’espionnage-avec-des-hackers-boutonneux-mais-cool-et-des-bombasses-mégageeks-et-des-écrans-tout-vert-et-qui-tapent-à-dix-doigts : j’ai nommé le Project Zero (ah.. bof, pas terrible comme nom)… Une super équipe de hackers recrutés pour déjouer les bugs de Google, mais pas que. Gare à la concurrence !
  • RAMPART-A, le dernier des acronymes dévoilé par Snowden, désigne la coopération de la NSA avec des nations-tierces (dont la France et surtout l’Allemagne). Il existerait ainsi plusieurs sites d’écoute des câbles sous-marins, permettant de collecter 3 téraoctets par seconde. WTF !!! [Source : FirstLook/The Intercept]

The secret documents reveal that the NSA has set up at least 13 RAMPART-A sites, nine of which were active in 2013. Three of the largest – codenamed AZUREPHOENIX, SPINNERET and MOONLIGHTPATH – mine data from some 70 different cables or networks. The precise geographic locations of the sites and the countries cooperating with the program are among the most carefully guarded of the NSA’s secrets, and these details are not contained in the Snowden files. However, the documents point towards some of the countries involved – Denmark and Germany among them.

Un pas de plus !

  • Ars Technica a testé le BlackPhone, un fork d’Androïd orienté confidentialité (j’en parlais ici) : je n’ai pas lu tout le debriefing mais les journalistes ont l’air content !

    So, we’ve verified it: Blackphone is pretty damn secure.

  • Rien à voir, mais je tenais aussi à le signaler : Mozilla débarque chez Leclerc, où Firefox OS est enfin proposé à la vente en France, pour la modique somme de 79,99€. Deutsche Telekom s’y met aussi, sur le marché national et vers l’Europe de l’Est.
  • Bientôt une loi Drone Privacy aux Etats-Unis ? Non, mais au moins un référentiel de bonnes pratiques publiée par l’administration. Si certains estiment que c’est insuffisant, l’IAPP rappelle qu’il ne faut jamais faire de lois trop strictes au niveau du respect de la vie privée. Qu’il faut bien peser les inconvénients et les avantages. Ne serait-ce qu’en termes de journalisme : ce serait comme interdire son appareil photo à un reporter…
  • Dans la série databreach, les universités américaines sont souvent la cible des voleurs d’identité. Les campus US proposent à leurs étudiants une Student ID Card, qui sert à la fois de carte de paiement, de photocopie, etc. Bref, une vraie mine d’or, qui bien entendu attire tous les pirates. C’est pourquoi l’Université de Berkeley a décidé de se doter d’un CPO pour protéger la vie privée de ses étudiants. C’est pourquoi aussi Microsoft a décidé, en plus d’autres efforts engagés, de construire un programme de privacy literacy. Affaire à suivre, parce que comme le mentionne l’article de GovTech, ça résonne surtout avec un positionnement marketing et de beaux discours à dépasser. Mais moi, un titre pareil, ça me rappelle plusieurs comm’ que j’ai faites récemment, à l’ADBEN et à la SFSIC..
  • Nous sommes dans l’ère post-snowden, le respect de la vie privée imprègne les mentalités, y compris au travail, y compris au-delà du numérique. Une enquête US dévoile que les salariés sont de plus soucieux de leur confidentialité sur leur lieu de travail.
  • Post-Snowden toujours : dans un excellent article de Slate relatant toutes les fonctionnalités pro-privacy que Facebook a rajouté récemment (de WhatsApp à Dino le petit dinosaure), le journaliste W. Oremus relate les propos tenus par Zuckerberg lors d’une conférence avec des investisseurs. On devrait s’attendre prochainement à un nouveau produit, les privacy spaces, dans lesquels un véritable entre-soi numérique serait garanti. Affaire à suivre…

    L'avatar de Facebook

    Privacy Checkup sur Facebook

  • Post-Snowden encore, et cette fois du côté du LOL, la NSA se refuse à dévoiler les emails d’Edward Snowden, par respect pour sa vie privée ! 
  • LOL toujours : pour vanter les mérites de l’authentification forte, un journaliste dévoile son mot de passe Twitter. Sans intérêt pour pirater le compte… mais radical pour polluer sa boîte mail à chaque tentative de connexion, puis son mobile à chaque envoi d’un code par SMS.
  • Pas loin du LOL : Dans un rapport qui ne cite personne, l’ONU rappelle aux signataires du Pacte international relatif aux droits civils et politiques qu’ils devraient calmer leurs ardeurs bigbrotherienne, sinon… Sinon, quoi ?
  • Ce n’est que le début, mais une enseigne clame l’abandon de sa collecte de données personnelles. C’est Kashmir Hill qui relate, dans Forbes, l’histoire de Philz, cette chaine de café. Il y a 14 boutiques dans la baie de SF, et leur directeur, Jacob Jaber, avait décidé il y a quelques années de nouer un partenariat avec Euclid, lui permettant de suivre le comportement des clients dans ses cafés.  J. Jaber était alors présenté comme un pionnier du service de proximité personnalisé par le numérique.
    Euclid's Sticker

    Euclid’s Sticker

    Et puis marche arrière : aujourd’hui, il a enlevé le sticker Euclid, qu’il avait collé dans vitrine, et qui lui valait l’opprobre des geeks du coin (et il y en a beaucoup). En effet, le vent a tourné dans la baie, et la tempête Snowden a appris à relativiser les mirages de la technologie. we collect data because we can, whether we really need it or not. Mais c’est gratuit, le programme engrange tout, et on ne prend pas de décision là-dessus, explique le directeur de la chaîne. Alors si en plus la réputation en souffre… à quoi bon s’encombrer de ce genre de service.

  • Rien à voir : Microsoft a aussi mis en ligne son formulaire « droit à l’oubli ». On en parle sur le Wall Street Journal et c’est accessible ici !
  • Les capteurs Nest (domotique rachetée par Google) ont été piratés. Généreux, les pirates (des vrais, mais aussi des universitaires) mettent en ligne des patches pour se prémunir de ce genre d’attaques.

Et deux en arrière…

  • Facebook va partager ses données avec l’institut Nielsen. Âge et sexe des téléspectateurs seront ainsi agrégés aux autres données, qui serviront aux clients publicitaires à mieux profiler leurs audiences. Facebook est le roi de ce genre de partenariat (cf. la base xAxis)
  • HTML5 de plus en plus pointé du doigt, tant sont grandes les portes qu’il ouvre à la capture de données. Parmi les chevaux de Troie, l’API Canvas et l’identification qu’elle fait de votre navigateur, le rendant unique à travers le web (on parle de Canvas Fingerprinting). The HackerNews nous explique le côté technique (où l’on apprend par exemple que le service AddThis est le champion du profilage) tandis que le blog de l’IAPP relate les tentatives pour l’encadrer.
  • Google sort Google Fit, un service de santé par objets connectés et reliés au cloud, avec tableau de bord, partage entre amis et tutti quanti. Coïncidence, Apple a diffusé son HealthKit Framework une semaine avant…  Pour l’instant, il s’agit d’un jeu d’API, mais on est en droit de s’interroger (chez Forbes par exemple) : cela donnera-t-il des apps indépendantes ou un véritable service made by Google ? Autrement dit, qui détiendra vos infos de santé ? A suivre…
  • Un juge US a autorisé une entreprise à obtenir l’identité de commentateurs anonymes qui pourrissaient son produit sur CraigList et Amazon. J’hésite à mettre cette info dans cette rubrique : il y a toujours lieu de protéger l’identité (des internautes et des autres), mais dans cette affaire, comme le souligne HotHardware, il semble qu’il y ait une intention maligne au départ, celle de détruire la réputation d’un produit (certes critiquable, un brûleur de calories assez douteux). On a là un mélange détonant : anonymat et réputation, qui réduit la protection de la vie privée quand il s’agit de défendre le business… Cela mérite réflexion. D’autant plus qu’à l’inverse, dans la perspective du Big Data, les outils de désidentification (ou d’anonymisation) se révèlent inopérants, d’après des chercheurs de Princeton. Ces derniers critiquent en fait un papier de Castro & Cavoukian (instigatrice du privacy-by-Design). Lire la synthèse sur IT News.
  • Identité toujours, celle d’Anna, victime de viol : Slate analyse le récit publié par le New York Times, dans lequel une jeune fille décide de passer outre l’anonymat que requiert traditionnellement le genre de violence qu’elle a subi. Au contraire, pour assoir sa crédibilité et montrer à tous la cruauté du crime qu’on a perpétré sur elle, Anna décide de tout dévoiler, et le journal décide de tout publier : son âge, des photos, des enregistrements de sa voix. Tout, sauf son nom : car c’est le dernier identifiant dont a besoin Google pour la retrouver. Comment rendre sa vie publique à l’ère de Google ? C’est le titre de l’article, et une autre stratégie que réclamer le droit à l’oubli.

R.I.P. Privacy

  • La Chine se sert des lois pro privacy pour enfermer un opposant au régime : en effet, Pu Zhiqiang, en tant que membre des New Citizen’s Movement, appelle les dirigeant du pays à plus de transparence. Ces derniers devraient ainsi faire étalage de leurs patrimoines et de leurs bulletins de santé. Dans le paradigme dictatorial de la Chine, cela se traduit une menace de divulgation de données personnelles, ce qui se traduit également par 3 ans de prison ferme.
  • Un prof’ de fac en Arizona se présente comme un anti-privacy activist, cherche à financer via Kickstarter son projet One Year Without Privacy. Tout, tout, vous serez tout sur sa vie privée via noahdyer.tv. L’argument : dans un monde sans vie privée, même le gouvernement et ses agents devraient faire preuve de la plus totale transparence.
  • Bientôt les robots ! Ils seront partout, d’autant plus qu’ils seront évidemment visible, à la différence des nanocapteurs de l’Internet of Things. Visibles, et voyeurs ! Une nouvelle menace pour la vie privée ?

Et dans le reste du monde

  • Faut-il s’en réjouir ? En mode souveraineté des données, la Russie va bannir tout service en ligne qui ne stockerait pas les données personnelles sur le territoire national. Sont concernés des sites comme Facebook, Google, etc, etc. qui ont jusqu’à septembre 2016 pour migrer les données. Sinon, on peut déjà imaginer les troupes de Novorussia envahir la Silicon Valley. Comme le signale  TechCrunch, la Russie est le pays où réside encore aujourd’hui E. Snowden : est-ce à dire que la Russie va devenir le paradis anti-NSA que tout le monde libre espère ? WTF ! Plus sérieusement, mais en mode hypothèse, j’évoquais dans un billet précédent plusieurs possibilités pour protéger les données personnelles : j’évoquais la piste des paradis de données (trust centers), mais surtout celle des serveurs de quartier à la façon des réseaux sociaux de proximité.

Notes

  1. Au fait, j’ai créé une page reprenant les infos de base sur les principales failles de sécurité des 10 dernières années : c’est sur /databreach, j’en reparlerai bientôt…

Un commentaire pour C’est juillet, c’est vie privée !

Laisser un commentaire