Presque tous les téléphones mobiles nuisent gravement à leurs utilisateurs de deux manières : ils suivent leurs mouvements et ils écoutent leurs conversations. C'est pourquoi nous les appelons « le rêve de Staline ».

La géolocalisation des utilisateurs est une conséquence du fonctionnement de la téléphonie mobile: le réseau a besoin de savoir quelles antennes-relais sont au voisinage du téléphone, de manière à communiquer avec lui par l'antenne la plus proche. Cela fournit au réseau des données de géolocalisation qu'il conserve des mois ou des années. Voir ci-dessous « Géolocalisation par le réseau mobile ».

L'écoute des conversations fait intervenir une porte dérobée universelle dans le processeur qui communique avec le réseau téléphonique.

De plus, les systèmes d'exploitation non libres des téléphones dits « intelligents » ont des fonctionnalités malveillantes spécifiques, décrites dans Malveillance des systèmes d'exploitation d'Apple et Malveillance des logiciels de Google.

De nombreuses applis pour smartphones sont malveillantes également. Voir les rubriques ci-dessous.

Addiction

• Les applis de rencontre exploitent leurs utilisateurs ; leurs fonctionnalités de base exigent un abonnement onéreux et elles sont conçues pour être addictives.

• Beaucoup de jeux populaires sur mobiles sont basés sur un système de récompense aléatoire appelé gacha qui est particulièrement efficace sur les enfants. Une des variantes de gacha est illégale au Japon depuis 2012, mais les autres variantes incitent toujours les joueurs à dépenser de manière compulsive des sommes extravagantes pour des babioles virtuelles.

Portes dérobées

Le processeur de communication de chaque téléphone a une porte dérobée universelle qui est souvent utilisée pour forcer le téléphone à transmettre toutes les conversations qu'il entend.

Cette porte dérobée peut prendre la forme de bogues qui sont restés non corrigés pendant 20 ans. Le choix de laisser ces failles de sécurité en place est l'équivalent moral de la création d'une porte dérobée.

La porte dérobée est dans le « processeur du modem », dont le rôle est de communiquer avec le réseau hertzien. Dans la plupart des téléphones, le processeur du modem a le contrôle du micro et en général il a aussi la capacité de réécrire le logiciel du processeur principal.

Quelques modèles de téléphone sont spécialement conçus pour que le processeur du modem ne contrôle pas le micro et par conséquent ne puisse pas changer le logiciel du processeur principal. Ils ont tout de même une porte dérobée, mais au moins elle est incapable de transformer le téléphone en appareil d'écoute.

Il semble que la porte dérobée universelle soit également utilisée pour forcer les téléphones à transmettre même quand ils sont éteints. Cela signifie que leurs mouvements sont suivis et que la fonction d'écoute peut être rendue opérante.

• Des téléphones Android subventionnés par le gouvernement américain sont livrés avec des logiciels publicitaires préinstallés et une porte dérobée pour installer des applis non souhaitées par l'utilisateur.

  Le logiciel publicitaire est une version modifiée d'une appli essentielle servant à la configuration du système, et la porte dérobée a été ajoutée subrepticement à un programme dont le rôle avoué est d'être une porte dérobée universelle pour le micrologiciel.

  Autrement dit, un programme dont la raison d'être est malveillante a un objectif secondaire malveillant caché. Le tout se surajoute à la malveillance intrinsèque d'Android.

• Une appli très populaire de Google Play contenait un module conçu pour installer furtivement un logiciel malveillant sur l'ordinateur de l'utilisateur. Les développeurs de l'appli s'en servaient régulièrement pour forcer l'ordinateur à télécharger et exécuter le code de leur choix.

  Voilà un exemple concret de ce que à quoi s'exposent les utilisateurs d'une appli non libre. Ils ne peuvent jamais être complètement sûrs qu'elle est sans danger.

• Les téléphones Xiaomi sont livrés avec une porte dérobée universelle à l'usage de Xiaomi dans le processeur d'application.

  Elle est différente de la porte dérobée universelle utilisable par l'opérateur téléphonique local, qui existe dans le processeur du modem.

• La bibliothèque Android privatrice de Baidu (Moplus) a une porte dérobée qui peut « uploader des fichiers » et aussi installer des applis de force.

  Elle est utilisée par 14 000 applications Android.

• Une version chinoise d'Android a une porte dérobée universelle. Presque tous les modèles de téléphones mobiles ont une porte dérobée universelle sur la puce modem. Alors, pourquoi Coolpad se donnerait-il la peine d'en introduire une autre ? Parce que celle-ci est sous son contrôle.

• Les Galaxy de Samsung qui tournent sous des versions privatrices d'Android sont livrés avec une porte dérobée qui permet l'accès à distance aux fichiers stockés dans l'appareil.

Pratiques trompeuses

• Beaucoup d'applis Android dupent leurs utilisateurs en leur demandant de décider quelles permissions doit avoir le programme, et ensuite ne tiennent pas compte de ces permissions.

  Le système Android est censé éviter les fuites de données en exécutant les applis dans des « bacs à sable » isolés, mais les développeurs ont trouvé moyen d'accéder aux données par d'autres moyens. Il n'y a rien que l'utilisateur puisse faire pour les en empêcher, puisque le système et l'appli sont tous deux privateurs.

DRM

« Gestion numérique des restrictions », ou « DRM », désigne les fonctionnalités conçues pour limiter ce que les utilisateurs peuvent faire avec leurs ordinateurs.

• L'appli Netflix pour Android force la connexion à utiliser les DNS de Google. C'est l'une des méthodes employées par Netflix pour faire appliquer les restrictions géographiques imposées par les studios de cinéma.

Insécurité

Contrairement au reste de la page, ce paragraphe répertorie des bogues qui ne sont pas (n'étaient pas) intentionnels, et donc ne peuvent pas être qualifiés de malveillants. Nous les signalons pour réfuter l'idée préconçue que les logiciels privateurs prestigieux n'ont pas de bogue grave.

• Un chercheur en sécurité a découvert que le navigateur intégré à TikTok pour iOS injecte dans les pages web externes du code JavaScript pouvant enregistrer les frappes. Ce code est capable de suivre toutes les activités de l'utilisateur et de récupérer n'importe quelle information personnelle saisie sur ces pages. Nous n'avons aucun moyen de vérifier la déclaration de la société TikTok selon laquelle il n'est là que pour des raisons techniques. Certaines des données auxquelles il accède pourraient bien être enregistrées sur les serveurs de l'entreprise et même communiquées à des tiers. Cela ouvre la porte à une surveillance étendue, y compris par le gouvernement chinois (avec lequel TikTok est lié indirectement). Il y a aussi un risque que ces données soient volées par des crackers et utilisées pour lancer des attaques de maliciels.

  Les navigateurs intégrés à Instagram et Facebook se comportent de manière similaire. La différence principale est qu'Instagram et Facebook permettent aux utilisateurs d'accéder aux sites tiers avec leur navigateur par défaut, tandis que TikTok rend ceci presque impossible.

  Le chercheur n'a pas étudié les versions pour Android des navigateurs intégrés, mais nous n'avons aucune raison de supposer qu'elles sont plus sûres que les versions pour iOS.

  (Notez que cet article utilise le terme « hackers » à mauvais escient.)

• Parmi 21 antivirus pour Android étudiés par des chercheurs en sécurité, huit se sont révélés incapables de détecter un virus de test. Tous demandaient des permissions à risque ou contenaient des traceurs publicitaires, et sept étaient plus dangereux que la moyenne des 100 applis Android les plus populaires.

  (Notez que cet article qualifie ces applis privatrices de free (dans le sens de « gratuites »). Il aurait dû dire plutôt gratis.)

• Siri, Alexa et tous les autres systèmes de commande vocale peuvent être piratés par des programmes qui envoient les commandes sous forme d'ultrasons inaudibles par les humains.

• Certains téléphones de Samsung envoient des photos aux contacts de leur propriétaire de manière aléatoire.

• De nombreux appareils sous Android peuvent être piratés via leur puce Wi-Fi à cause d'un bogue dans le micrologiciel [firmware] non libre de Broadcom.

• La CIA a exploité des vulnérabilités présentes dans les téléviseurs et téléphones « intelligents » pour fabriquer un logiciel malveillant qui se sert de leur micro et de leur caméra pour espionner, tout en les faisant paraître inactifs.

• Les applis mobiles servant à communiquer avec une voiture intelligente, mais imprudente, sont très mal sécurisées.

  Et de plus, la voiture contient un modem cellulaire qui dit en permanence où elle se trouve à Big Brother. Si vous possédez une voiture de cette sorte, vous seriez bien avisé de débrancher le modem afin de désactiver le pistage.

• Des téléphones Samsung possèdent une faille de sécurité qui permet d'installer un logiciel de rançon en passant par un SMS

• WhatsApp possède une fonctionnalité qui a été décrite comme une « porte dérobée » car elle permet aux gouvernements d'annuler son chiffrement.

  Les développeurs disent que ce n'était pas prévu pour être une porte dérobée et ils peuvent très bien avoir raison. Mais il reste une question cruciale : est-ce que cette porte dérobée est vraiment opérationnelle ? Puisque le programme n'est pas libre, nous ne pouvons pas le vérifier en l'étudiant.

• Les jouets « intelligents » Mon amie Cayla et i-Que peuvent être contrôlés à distance par un mobile ; il n'est pas nécessaire d'y avoir accès physiquement. Ceci permettrait à des crackers d'écouter les conversations de l'enfant et même de lui parler à travers ses jouets.

  Cela signifie qu'un cambrioleur pourrait dire à l'enfant de déverrouiller la porte d'entrée pendant que Maman a le dos tourné.

• Les messages « effacés » de WhatsApp ne sont pas complètement effacés. Ils peuvent être récupérés par différents moyens.

• Voici une critique à moitié aveugle de la sécurité d'une appli pisteuse. Elle a mis en évidence des failles béantes permettant à n'importe qui de fouiner dans les données personnelles de l'utilisateur. Mais elle ne se préoccupe aucunement du fait que l'appli envoie les données personnelles à un serveur, où le développeur les récupère en totalité. Ce « service » est pour les pigeons !

  Ce serveur a sûrement une « politique de confidentialité », qui sûrement ne vaut rien puisque c'est le cas de presque toutes.

• Un bogue dans la bibliothèque privatrice ASN.1, qui est utilisée dans les relais de téléphonie aussi bien que dans les téléphones cellulaires et les routeurs, permet à des tiers de prendre le contrôle de ces systèmes.

• le système « Smart Home » (maison intelligente) de Samsung a une grosse faille de sécurité ; des personnes non autorisées peuvent le contrôler.

  Samsung prétend que c'est une plateforme « ouverte » et que le problème est donc en partie la faute des développeurs d'applis. C'est évidemment le cas si les applis sont du logiciel privateur.

  Un truc portant le nom de « Smart », quel qu'il soit, va très probablement vous avoir jusqu'au trognon.

• De nombreuses applis privatrices de paiement transmettent les données personnelles de manière non sécurisée. Le pire, toutefois, est que le paiement n'est pas anonyme.

• De nombreuses applis pour smartphones utilisent des méthodes d'authentification non sécurisées quand vous stockez vos données personnelles dans des serveurs distants. De ce fait, vos informations personnelles (adresses de courriel, mots de passe ou données de santé, par exemple) restent vulnérables. Beaucoup de ces applis étant privatrices, il est difficile, voire impossible, de savoir lesquelles présentent un risque.

• Une appli qui empêche le « vol d'identité » (accès aux données personnelles) en sauvegardant les données de l'utilisateur sur un serveur spécial a été désactivée par son développeur qui y avait découvert une faille de sécurité.

  Ce développeur semble être consciencieux dans ses efforts de protection des données personnelles contre les tiers en général, mais il ne peut pas les protéger contre l'État. Au contraire ! Confier vos données au serveur de quelqu'un d'autre, si elles ne sont pas chiffrées au préalable, revient à fragiliser vos droits.

• Grâce à la mauvaise sécurisation de WhatsApp, les écoutes deviennent un jeu d'enfant.

• La NSA peut aller chercher des données dans les smartphones, que ce soit les iPhones, les Android ou les Blackberry. Bien que l'article soit peu détaillé, il semble que cette opération n'utilise pas la porte dérobée universelle qui, on le sait, se trouve dans presque tous les téléphones portables. Il est possible qu'elle exploite différents bogues. Il y a de plus une multitude de bogues dans le logiciel de radio des téléphones.

Ingérence

Cette page décrit comment certaines applis mobiles importunent ou harcèlent l'utilisateur, ou bien lui causent des ennuis. Cela ressemble à du sabotage, mais le mot « sabotage » est trop fort.

• L'appli privatrice Push Service de Samsung envoie des notifications sur le téléphone de l'utilisateur concernant les mises à jour d'applis Samsung, en particulier le Gaming Hub, mais il s'agit rarement de changement de version. Souvent, les notifications du Gaming Hub sont simplement des pubs pour des jeux qu'ils pensent susceptibles d'être installés par les utilisateurs, d'après les données collectées. Mais le plus important, c'est que ces notifications ne peuvent pas être désactivées de manière permanente.

• L'appli WeddingWire sauvegarde les photos de mariage de l'utilisateur indéfiniment et les communique à d'autres sans lui donner le moindre contrôle sur ses données personnelles. De plus, l'appli montre de temps en temps ces vieux souvenirs à l'utilisateur, là aussi sans qu'il ait son mot à dire.

• Les téléphone Samsung sont livrés avec une version de l'appli Facebook qu'on ne peut pas supprimer. Facebook prétend qu'il s'agit d'une coquille vide, non fonctionnelle, mais on doit les croire sur parole et il y a toujours un risque que l'appli soit activée par une mise à jour automatique.

  La préinstallation de pourriciels avec un système d'exploitation non libre est pratique courante, mais en rendant impossible la suppression du pourriciel, Facebook et Samsung (parmi d'autres) vont encore plus loin dans le piratage des appareils des utilisateurs.

Manipulation

• L'appli de fertilité « Femm » sert secrètement d'instrument de propagande aux chrétiens natalistes. Elle propage la méfiance envers la contraception.

  De plus, elle espionne les utilisatrices, comme on peut s'y attendre de la part d'un programme non libre.

Sabotage

• Pour interdire la réparation de matériel Apple par des tiers, Apple code le numéro de série des iMonstres dans les composants d'origine. C'est ce qu'on appelle parts pairing (appariement des pièces). L'échange de pièces entre iMonstres du même modèle en état de marche cause des pannes et désactive certaines fonctionnalités. Le remplacement de pièces peut aussi déclencher des alertes persistantes à moins qu'il ne soit effectué par un atelier agréé par Apple.

• Une nouvelle appli publiée par Google permet aux banques et aux créditeurs de désactiver les appareils Android de leurs débiteurs s'ils omettent de payer en temps voulu. Lorsqu'un appareil est désactivé, son usage est restreint aux fonctionnalités de base comme les appels d'urgence et l'accès aux réglages.

• Depuis une mise à jour de septembre 2020, Samsung force ses utilisateurs de Hong Kong et Macau à utiliser un DNS public situé en Chine continentale pour leurs smartphones, ce qui est source de grande inquiétude, entre autres pour leur vie privée.

• Vingt-neuf applis d'amélioration de photos [beauty camera apps] qui se trouvaient sur Google Play avaient une ou plusieurs fonctionnalités malveillantes, parmi lesquelles le vol des photos, tandis qu'aucune amélioration n'était effectuée, l'envoi de pubs non désirées et souvent malveillantes aux utilisateurs et la redirection vers des sites de phishing qui volaient leurs données personnelles. De plus, l'interface utilisateurs de la plupart d'entre elles était conçue de telle sorte qu'elles soient difficiles à désinstaller.

  Bien entendu, les utilisateurs doivent désinstaller ces applis dangereuses s'ils ne l'ont déjà fait, mais plus généralement ils doivent éviter les applis non libres. Toutes les applis non libres comportent un risque, parce qu'on ne peut pas vérifier facilement ce qu'elles font en réalité.

• Apple et Samsung ont délibérément dégradé les performances des anciens téléphones pour forcer les utilisateurs à acheter leurs nouveaux modèles.

Surveillance

Voir plus haut ce qui concerne la porte dérobée universelle, présente dans presque tous les téléphones mobiles et permettant de les convertir en appareils d'écoute permanente.

• Le téléphone « intelligent » Pixel 9 envoie fréquemment aux serveurs de Google sa géolocalisation et sa configuration ainsi que des données permettant d'identifier l'utilisateur, ce qui suscite des inquiétudes quant au respect de la vie privée. De plus, il communique avec des services inutilisés et essaie périodiquement de télécharger des logiciels expérimentaux dont la sécurisation n'est pas garantie, le tout sans en informer l'utilisateur.

  Il y a pourtant un espoir : dans les Pixels plus anciens (jusqu'au 8a) ainsi que dans beaucoup de téléphones d'autres marques, il est possible de remplacer le système d'exploitation Android d'origine avec une version dégooglisée. Très certainement, Le Pixel 9 sera bientôt sur la liste.

• La société Yandex communique au FSB les données des clients de Yango, son entreprise de taxis. Le gouvernement russe (et quiconque a accès à ces données) obtient ainsi une foule de renseignements personnels, en particulier qui s'est rendu où, quand et avec quel chauffeur. Yandex prétend qu'elle respecte la réglementation européenne dans l'espace économique européen, en Suisse et en Israel. Mais qu'en est-il des autres pays ?

• L'appli Pinduoduo espionne les autres applis et en prend le contrôle. De plus, elle installe d'autres maliciels qui sont difficiles à supprimer.

• Tim Hortons, une chaîne de cafés canadienne, a reçu une amende pour avoir sorti une appli qui piste les mouvements des gens pour apprendre où ils habitent, où ils travaillent et quand ils fréquentent ses concurrents.

• Le courtier en données X-Mode a acheté des données de localisation concernant 20 000 personnes, collectées par une centaine d'applis malveillantes.

• Presque toutes les applis de santé privatrices récoltent les données de l'utilisateur, ce qui inclut des informations sensibles sur sa santé, des identifiants de traçage et des cookies pour suivre ses activités. Certaines de ces applis traquent les utilisateurs sur différentes plateformes.

• L'appli TikTok pour smartphone collecte des informations et identifiants biométriques. Son éditeur récupère tout ce qui est à sa portée et fait ce qu'il veut avec.

• Le programme privateur Clubhouse est malveillant, et c'est aussi une catastrophe en matière de protection de la vie privée. Clubhouse collecte des données personnelles, en particulier des enregistrements de conversations. Que ces données ne soient pas chiffrées est secondaire, mais cela ajoute l'insécurité à la malveillance.

  Le numéro d'identification unique de l'utilisateur et celui du salon sont transmis en clair et Agora (entreprise qui développe l'appli) a probablement accès au fichier audio, et pourrait éventuellement laisser le gouvernement chinois y accéder aussi.

  Même si la sécurité de la transmission était suffisante, le fait de collecter des données personnelles resterait une violation condamnable du droit à la vie privée.

• Beaucoup d'applis développées par divers éditeurs pour une variété d'organisations font de la géolocalisation à l'insu de ces éditeurs et de ces organisations. En fait, ce sont certaines bibliothèques d'usage courant qui font le pistage.

  Ce qui est inhabituel ici, c'est que le développeur de logiciel privateur A incite par la ruse les développeurs de logiciel privateur B1…B50 à créer des plateformes qui permettent à A de faire du tort à l'utilisateur final.

• Il a été prouvé que certaines applis de Baidu collectaient des données personnelles sensibles pouvant servir à surveiller les utilisateurs leur vie durant. La vie privée d'1,4 milliards de gens partout dans le monde est ainsi compromise par ces applis privatrices. De plus, les données rassemblées par Baidu peuvent être communiquées au gouvernement chinois, ce qui constitue un danger pour certaines personnes.

• La plupart des applis sont des logiciels malveillants, mais l'appli de campagne de Trump, ainsi que celle de Modi [NdT: Narendra Modi, candidat aux élections présidentielles indiennes] l'est tout particulièrement, car non seulement elle espionne les utilisateurs pour son propre compte, mais elle aide des entreprises à les espionner.

  L'article dit que l'appli de Biden a globalement une approche moins manipulatrice, mais cela ne nous dit pas si elle a des fonctionnalités que nous considérons malveillantes, comme l'envoi au serveur de données que l'utilisateur ne lui a pas expressément demandé d'envoyer.

• Les téléphones Xiaomi rapportent une grande partie de ce que font les utilisateurs : lancer une appli, regarder un répertoire, aller sur un site web, écouter une chanson. Ils envoient également les identifiants de l'appareil.

  D'autres programmes non libres sont aussi des espions. Spotify et autres desservices constituent un dossier sur chaque utilisateur et le forcent à s'identifier pour payer. Dehors, dehors, satané Spotify !

  Forbes excuse ces mêmes fautes quand les coupables ne sont pas chinois, mais nous les condamnons quel que soit leur auteur.

• Google, Apple et Microsoft (ainsi que d'autres, probablement) enregistrent les points d'accès wifi et les coordonnées GPS des gens, ce qui permet de les localiser précisément même si le GPS est éteint, ceci sans leur consentement et en utilisant le logiciel privateur installé dans leur téléphone. Même si on leur demandait la permission, cela ne légitimerait pas nécessairement cette pratique.

• L'appli « Health Code » d'Alipay estime si l'utilisateur est infecté par le virus de la Covid-19 et en informe la police directement.

• L'appli de messagerie instantanée ToToc semble être un instrument d'espionnage pour le gouvernement des Émirats arabes unis. Ce pourrait être le cas de n'importe quel programme non libre, bonne raison d'utiliser plutôt du logiciel libre.

  Note : cet article utilise le mot free dans le sens de « gratuit ».

• Lorsqu'ils sont utilisés sur le lieu de travail, les iMonstres et les téléphones Android donnent aux utilisateurs des moyens puissants de surveillance et de sabotage s'ils y installent leur propre logiciel. De nombreux employeurs l'exigent. Pour l'employé, c'est simplement un logiciel privateur, aussi fondamentalement injuste et dangereux que n'importe quel autre logiciel privateur.

• L'appli de Facebook piste les utilisateurs même quand elle n'est pas activée, après les avoir incités à lui donner des permissions très étendues pour utiliser une de ses fonctionnalités

• Certaines applis non libres surveillant le cycle menstruel, en particulier MIA Fem et Maya, envoient des détails intimes de la vie de leurs utilisatrices à Facebook.

• Garder la trace des personnes qui ont téléchargé un programme privateur est une forme de surveillance. Il existe un programme privateur destiné au réglage d'un certain modèle de lunette de tir. Un procureur fédéral américain a exigé la liste des 10 000 personne ou plus qui l'ont installé.

  Avec un programme libre, il n'y aurait pas de liste des utilisateurs.

• Beaucoup de développeurs peu scrupuleux trouvent sans arrêt des moyens de contourner les paramètres utilisateurs, la réglementation et les fonctionnalités du système d'exploitation visant à mieux respecter la vie privée, de manière à récolter le plus possible de données privées.

  Ainsi, on ne peut pas se fier aux règles contre l'espionnage. Ce qui peut nous inspirer confiance, par contre, c'est d'avoir le contrôle des logiciels que nous faisons tourner.

• Plusieurs applis pour Android pistent les utilisateurs même quand ils disent de ne pas leur donner accès à la géolocalisation.

  Cela fait intervenir une faille apparemment involontaire d'Android, qui est exploitée sciemment par les applis malveillantes.

• En dépit de l'engagement supposé d'Apple sur la confidentialité, les applis de l'iPhone contiennent des traceurs qui sont très occupés la nuit à envoyer des données personnelles de l'utilisateur à des tiers.

  L'article donne des exemples particuliers : Microsoft OneDrive, Mint (division d'Intuit), Nike, Spotify, le Washington Post, le Weather Channel (propriété d'IBM), le service Citizen d'alerte sur les délits, Yelp et DoorDash. Mais il est probable que la plupart des applis non libres contiennent des traceurs. Certains envoient des informations permettant d'identifier la personne, comme l'empreinte du téléphone, sa localisation exacte, l'adresse de courriel et le numéro de téléphone de l'utilisateur, ou même une adresse de livraison (dans le cas de DoorDash). Une fois que cette information a été collectée par la société, les paris sont ouverts quant à son utilisation.

• La BlizzCon 2019 a imposé l'utilisation d'une appli mobile privatrice pour accéder à l'événement.

  Cette appli est un logiciel espion qui peut récupérer une grande quantité de données sensibles, en particulier la localisation de l'utilisateur et son carnet d'adresses, et qui a un contrôle presque complet du téléphone.

• Les données collectées par les applis surveillant le cycle menstruel et la grossesse sont souvent accessibles aux employeurs et aux compagnies d'assurance. Bien que ces données soient « anonymisées et agrégées », on peut facilement retrouver quelle femme utilise l'appli.

  Ceci a des implications néfastes pour les droits des femmes à la non-discrimination dans l'emploi et au libre choix en matière de maternité. N'utilisez pas ces applis, même si quelqu'un vous propose une récompense pour cela. Il existe sur F-Droid une appli libre qui fait plus ou moins la même chose sans vous espionner, et une autre est en développement.

• Un grand nombre de téléphones sous Android sont livrés avec une quantité énorme d'applis non libres préinstallés qui ont accès à des données sensibles à l'insu de l'utilisateur. Ces applis cachées peuvent envoyer ces données à leur développeur, ou bien les transmettre à des applis installées par l'utilisateur, ayant accès à Internet mais pas d'accès direct aux données. Il en résulte une surveillance massive que l'utilisateur n'a absolument aucun moyen de contrôler.

• Le desservice MoviePass projette d'utiliser la reconnaissance faciale pour traquer les yeux des gens de manière à s'assurer qu'ils ne vont pas poser leur téléphone ou regarder ailleurs pour éviter les pubs – et les traceurs.

• Une étude portant sur 24 applis « santé » a montré que 19 d'entre elles envoient des données personnelles sensibles à des tiers, qui peuvent les utiliser à des fins de publicité intrusive ou de discrimination contre les personnes qui ont des problèmes médicaux.

  Lorsque l'utilisateur doit donner son « consentement », ce dernier est enfoui dans des conditions d'utilisation à rallonge, presque incompréhensibles. De toute façon, « consentir » à l'espionnage ne le légitime pas.

• Facebook proposait une bibliothèque privatrice qui était bien pratique pour faire des applis pour mobiles, mais envoyait aussi les données personnelles à Facebook. Un grand nombre de sociétés ont créé des applis de cette manière et les ont publiées, sans se rendre compte que toutes les données personnelles collectées iraient également chez Facebook.

  Cela montre que personne ne peut faire confiance à un programme non libre, pas même les développeurs d'autres programmes non libres.

• La base de données AppCensus donne des informations sur la manière dont chacune des applis Android use et abuse des données personnelles de l'utilisateur. Actuellement (en mars 2019), près de 78 000 applis ont été analysées, parmi lesquelles 24 000 (31%) transmettent l'identifiant publicitaire à des sociétés tierces et 18 000 (23% du total) l'associent à des identifiants de l'appareil pour que les utilisateurs ne puissent pas échapper au ciblage en le réinitialisant.

  La collecte des identifiants de l'appareil viole apparemment les règles édictées par Google. Mais il semble que Google ne s'en soit pas rendu compte et que, une fois informée, elle n'ait montré aucun empressement à prendre les mesures voulues. Cela prouve que les règles d'une plateforme de développement sont incapables d'empêcher les développeurs de logiciel non libre d'ajouter des fonctions malveillantes à leurs programmes.

• De nombreuses applis non libres ont une fonctionnalité de surveillance qui enregistre toutes les actions de l'utilisateur pendant qu'il interagit avec l'appli.

• Une recherche menée sur les 150 applis VPN gratuites les plus populaires proposées par Google Play révèle que 25% ne protègent pas la vie privée de leurs utilisateurs en raison de fuites DNS. De plus, le code source de 85% d'entre elles contient des permissions ou des fonctions intrusives, souvent utilisées pour envoyer de la publicité envahissante, qui pourraient aussi servir à espionner les utilisateurs. D'autres défauts techniques ont également été découverts.

  Une étude précédente avait par ailleurs montré que la moitié des 10 applis VPN gratuites les plus connues ont des politiques de confidentialité lamentables.

  (Il est dommage que les articles cités plus haut qualifient ces applis de free [qui peut vouloir dire « libre » ou « gratuit », suivant le contexte]. Elles sont gratuites, mais il ne s'agit pas de logiciel libre.)

• L'appli de météo Weather Channel enregistre la géolocalisation des utilisateurs sur les serveurs de la société. Cette dernière fait l'objet d'une poursuite exigeant qu'elle informe les utilisateurs de ce qu'elle va faire avec les données.

  Nous pensons que cette action en justice s'intéresse à un problème annexe. Ce que fait la société avec les données est secondaire. Son tort principal est de se les accaparer.

  D'autres applis météo, en particulier Accuweather et WeatherBug, suivent l'utilisateur à la trace.

• Environ 40 % des applis gratuites pour Android rapportent à Facebook les actions de l'utilisateur.

  Souvent, elles envoient l'« identifiant publicitaire » de la machine pour que Facebook puisse corréler les données envoyées de la même machine par diverses applis. Certaines envoient à Facebook des informations détaillées sur les activités de l'utilisateur dans l'appli ; d'autres disent seulement qu'il l'utilise, mais ce simple renseignement est souvent très instructif.

  Cet espionnage se produit que l'utilisateur ait un compte Facebook ou non.

• L'appli de Facebook a obtenu le « consentement » à l'envoi automatique au serveur des journaux d'appel des téléphones Android tout en dissimulant l'objet de ce « consentement ».

• Certaines applis Android pistent les téléphones des utilisateurs qui les ont supprimées.

• L'appli pour la retransmission en direct du football espagnol suit les déplacements de l'utilisateur et écoute via le micro.

  Ainsi elle fait office d'espionne au service de l'application des licences.

  Nous supposons qu'elle implémente aussi la gestion numérique des restrictions – qu'il n'y a aucun moyen de sauvegarder un enregistrement. Mais nous ne pouvons pas en être sûr d'après l'article.

  Si vous apprenez à donner beaucoup moins d'importance aux sports, vous en tirerez de nombreux avantages. Dans ce cas particulièrement.

• Des chercheurs ont étudié 5 855 applis et montré que plus de 50 % d'entre elles sont des espions qui collectent de l'information sur leurs utilisateurs et 40 % sont des mouchards. Ils n'ont pu détecter que certaines méthodes d'espionnage dans ces applis privatrices, car ils n'ont pu examiner leur code source. Les autres pourraient utiliser d'autres méthodes.

  Voici la preuve que les applis privatrices agissent généralement contre l'intérêt de leurs utilisateurs. Pour protéger leur vie privée et leur liberté, les utilisateurs d'Android doivent se débarrasser du logiciel privateur, c'est-à-dire : 1) éliminer Android lui-même en passant à Replicant, et 2) éviter les applis privatrices en utilisant le dépôt F-Droid, qui ne contient que du logiciel libre et avertit de manière très visible si une appli contient des fonctionnalités nocives.

• Grindr enregistre lesquels de ses utilisateurs sont séropositifs et fournit cette information à des sociétés.

  Grindr ne devrait pas posséder tant d'info sur ses utilisateurs. L'appli devrait être conçue pour que les utilisateurs se communiquent ce genre d'info les uns aux autres sans passer par la base de données du serveur.

• MoviePass espionne encore plus les utilisateurs qu'ils ne l'avaient anticipé. Cette appli et le desservice associé enregistrent leurs déplacements avant et après le cinéma.

  Ne vous laissez pas pister ; payez comptant !

• Les logiciels de pistage sont omniprésents dans les applis Android populaires, et ils sont quelquefois très futés. Certains peuvent suivre les mouvements de l'utilisateur dans un magasin physique en notant les réseaux wifi qu'il utilise.

• Les applis d'aide à la conduite intégrant de l'intelligence artificielle peuvent suivre tous vos mouvements.

• L'appli Sarahah envoie tous les numéros de téléphone et adresses de courriel présents dans le carnet d'adresse de l'utilisateur sur le serveur du développeur.

  (Notez que cet article emploie à mauvais escient l'expression free software dans le sens de « logiciel gratuit ».)

• Une vingtaine d'applis Android malhonnêtes ont enregistré des appels téléphoniques et les ont envoyées à des fouineurs, ainsi que des textos et des courriels.

  Google n'a pas forcé ces applis à espionner ; au contraire, elle a essayé d'empêcher ça de diverses manières et a supprimé ces applis après avoir découvert ce qu'elles faisaient. Donc nous ne pouvons pas mettre sur le dos de Google ce comportement fouineur particulier.

  Cependant, Google redistribue des applis Android non libres et donc partage la responsabilité de l'injustice qu'entraîne leur caractère privateur. De plus, cette société redistribue ses propres applis non libres (par exemple Google Play), qui sont malveillantes.

  Est-ce que Google aurait pu faire plus pour empêcher ces applis de tricher ? Il n'y a aucun moyen systématique pour Google, ni pour les utilisateurs d'Android, d'inspecter les applis privatrices exécutables pour voir ce qu'elles font.

  Google pourrait demander le code source de ces applis et l'étudier pour déterminer si elles font du tort aux utilisateurs d'une façon ou d'une autre. Si ce contrôle était fait correctement, l'espionnage pourrait être plus ou moins évité, sauf si les développeurs d'applis étaient assez astucieux pour le déjouer.

  Mais puisque Google développe ses propres applis malveillantes, nous ne pouvons pas lui faire confiance pour nous protéger. Nous devons exiger la publication du code source, pour que nous puissions compter les uns sur les autres.

• Les applis du réseau express régional de San Francisco (BART) espionnent les utilisateurs.

  Avec des applis libres, les utilisateurs pourraient s'assurer qu'elles ne les espionnent pas.

  Avec des applis privatrices, on peut seulement espérer qu'elles ne le font pas.

• Une étude a découvert 234 applis Android qui pistent les utilisateurs en écoutant les ultrasons émis par des balises placées dans certains magasins, ou par des programmes de télévision.

• Faceapp semble avoir des capacités de surveillance très étendues, à en juger par ses exigences en matière d'accès aux données personnelles.

• Des utilisateurs sont en train d'attaquer Bose en justice pour avoir distribué une appli espionne en complément de ses écouteurs. Plus précisément, l'appli enregistrait les noms des fichiers musicaux écoutés, ainsi que le numéro de série unique de l'appareil.

  On reproche à Bose d'avoir fait cela sans le consentement des utilisateurs. Est-ce que ce serait devenu acceptable si les clauses en petits caractères de l'appli avaient dit que l'utilisateur donnait son accord ? Jamais de la vie ! Dès le départ, il aurait dû être illégal de concevoir cette appli pour espionner.

• Il peut y avoir collusion entre des paires d'applis Android pour transmettre les données personnelles des utilisateurs à des serveurs. Une étude a trouvé des dizaines de milliers d'applis qui sont dans ce cas.

• Verizon a annoncé une appli privatrice optionnelle qui sera préinstallée sur certains de ses mobiles. L'appli communiquera à Verizon les informations sur les recherches de l'utilisateur que Google obtient normalement lorsqu'ils utilisent son moteur de recherche.

  Actuellement, l'appli est préinstallée sur un seul modèle et l'utilisateur doit donner explicitement son accord avant qu'elle prenne effet. Cependant, cela reste un logiciel espion – un logiciel espion « optionnel » est toujours un logiciel espion.

• Un vibrateur informatisé espionnait ses utilisateurs au moyen de l'appli privatrice de contrôle.

  L'appli rapportait la température du vibrateur de minute en minute (donc, indirectement, s'il était au contact d'un corps humain), ainsi que la fréquence de vibration.

  Remarquez l'inadéquation complète de la réponse proposée : un label au moyen duquel les fabricants feraient des déclarations sur leurs produits, plutôt que du logiciel libre vérifiable et modifiable par les utilisateurs.

  Le fabricant du vibrateur a été poursuivi en justice pour avoir collecté des masses de données personnelles sur la manière dont les gens l'utilisaient.

  La déclaration de cette société selon laquelle elle anonymisait les données est peut-être sincère, mais cela n'a pas vraiment d'importance. Si elle avait vendu les données à un courtier en données, le courtier aurait pu découvrir qui était l'utilisateur.

  À la suite de cette action en justice, la société a été condamnée à verser 4 millions de dollars canadiens à ses clients.

• L'appli de Meitu pour éditer les photos envoie des données personnelles à une entreprise chinoise.

• L'appli d'Uber piste les déplacements du client avant et après la course.

  Sur cet exemple, on voit qu'« obtenir le consentement de l'utilisateur » pour la surveillance ne le protège pas de la surveillance de masse.

• Un article de recherche a étudié 283 applis VPN pour Android du point de vue de la confidentialité et de la sécurité. Voici sa conclusion : « En dépit des promesses de confidentialité, de sécurité et d'anonymat faites par la plupart des applis VPN, des millions d'utilisateurs peuvent être victimes à leur insu des garanties de sécurité fallacieuses et des pratiques abusives que ces applis leur infligent. »

  La liste suivante, non exhaustive, est tirée de cet article. Elle répertorie des applis VPN privatrices qui pistent les utilisateurs et portent atteinte à leur vie privée.

  SurfEasy

  Comprend des bibliothèques comme NativeX et Appflood, destinées à pister l'utilisateur et à lui envoyer des pubs ciblées.

  sFly Network Booster

  Demande les permissions READ_SMS et SEND_SMS lors de l'installation, ce qui veut dire qu'il a un accès complet aux textos de l'utilisateur.

  DroidVPN et TigerVPN

  Demandent la permission READ_LOGS pour lire les journaux des autres applis, et aussi ceux du système. Les développeurs de TigerVPN l'ont confirmé.

  HideMyAss

  Envoie du trafic à LinkedIn. De plus, cette appli conserve des journaux détaillés et peut les transmettre au gouvernement britannique sur sa demande.

  Service VPN HotspotShield

  Injecte du code JavaScript dans les pages HTML renvoyées aux utilisateurs. Le but avoué de cette injection est d'afficher des pubs. Cette appli utilise cinq bibliothèques de pistage environ. En outre, elle redirige le trafic de l'utilisateur par valueclick.com (un site de publicité).

  WiFi Protector

  Injecte du code JavaScript dans les pages HTML et utilise également cinq bibliothèques de pistage. Ses développeurs ont confirmé que l'injection de JavaScript par la version gratuite de l'appli sert au pistage des utilisateurs et à l'affichage de pubs.

• Certains téléphones portables sont vendus avec un logiciel espion qui envoie une masse de données en Chine.

• La nouvelle appli de Facebook Magic Photo scanne les collections de photos de votre téléphone mobile pour reconnaître des visages et suggère que vous fassiez circuler la photo que vous venez de prendre en fonction des personnes qui sont dessus.

  Cette fonctionnalité d'espionnage semble nécessiter un accès en ligne à une banque de données de visages connus, ce qui signifie que les photos seront probablement envoyées par le réseau aux serveurs de Facebook et à des algorithmes de reconnaissance faciale.

  Si c'est le cas, plus aucune des photos des utilisateurs de Facebook ne sera privée, même s'ils ne les ont pas téléversées à ce service.

• L'appli de Facebook écoute en permanence, pour espionner ce que les gens écoutent ou regardent. De plus, elle peut analyser leurs conversations pour leur envoyer des pubs ciblées.

• Une application qui contrôle les tests de grossesse peut non seulement espionner toute une variété de données personnelles stockées dans le téléphone ou sur le serveur, mais aussi les altérer.

• Les applis qui incluent le logiciel de surveillance Symphony rapportent quels programmes passent à la radio et à la télévision dans leur voisinage, et aussi ce que les utilisateurs envoient sur divers sites comme Facebook, Google+ et Twitter.

• L'extension naturelle de la surveillance des gens au moyen de « leur » téléphone est le logiciel privateur ; c'est une garantie qu'ils ne pourront pas « déjouer » la surveillance.

• Des « communications énigmatiques » n'ayant rien à voir avec la fonctionnalité de l'appli ont été découvertes dans les 500 applis gratuites pour Android les plus populaires.

  Cet article n'aurait pas dû décrire ces applis comme free – ce ne sont pas des logiciels libres. Pour être clair en anglais lorsqu'on parle de « coût nul », il faut dire gratis.

  L'article considère comme acquis que les outils analytiques habituels sont légitimes, mais est-ce valide ? Les développeurs n'ont pas le droit d'analyser ce que font les utilisateurs et comment ils le font. L'espionnage par des outils d'« analyse » est tout aussi répréhensible que par n'importe quel autre moyen.

• Les applications mobiles d'Android et iOS, dans une proportion supérieure à 73% et 47% respectivement, communiquent certaines données personnelles, comportementales ou de géolocalisation de leurs utilisateurs à des tiers.

• D'après Edward Snowden, certains services de renseignement peuvent prendre le contrôle des téléphones en leur envoyant des textos cachés au moyen desquels ils peuvent les allumer et les éteindre, écouter le micro, récupérer les données de géolocalisation, lire l'historique des appels, de la localisation et de la navigation sur le web, ainsi que lire le répertoire. Ce logiciel malveillant est conçu pour se camoufler de manière à échapper aux recherches.

• Comme la plupart des desservices « écorcheurs de musique », spotify est basé sur un logiciel malveillant propriétaire (DRM et fouinage). En août 2015, il a exigé de ses utilisateurs qu'ils se soumettent à un fouinage accru et certains commencent à réaliser que c'est de la malfaisance.

  Cet article montre leurs façons tordues de présenter le fouinage comme une manière de mieux « servir » les utilisateurs – qu'importe si c'est ce qu'ils veulent ou non. Voilà un exemple typique de l'attitude de l'industrie du logiciel privateur envers ceux qu'ils ont assujetti.

  Dehors, dehors, satané Spotify !

• De nombreux commerçants publient des applis qui demandent à espionner des données personnelles de l'utilisateur – souvent de toutes sortes.

  Ces sociétés savent que l'usage du téléphone-espion habitue les gens à dire oui à presque toutes les formes d'espionnage.

• Les téléphones Samsung sont livrés avec des applis que les utilisateurs ne peuvent pas supprimer ; elles envoient tant de données que cette transmission représente une dépense substantielle pour les utilisateurs. Il est clair que ladite transmission, ni désirée ni demandée, doit constituer une sorte d'espionnage.

• Une étude de 2015 a trouvé que 90% des applis Android gratuites et privatrices les mieux classées contenaient des bibliothèques de pistage. Pour les applis privatrices payantes, la proportion était de 60%.

  Cet article prête à confusion, car il décrit les applis gratuites comme « libres » [free] alors que la plupart ne sont pas du logiciel libre. De plus, il utilise le vilain mot « monétiser ». On peut avantageusement remplacer ce verbe par « exploiter » ; cela conviendra presque toujours parfaitement.

• les applis Android gratuites (mais non libres) se connectent en moyenne à une centaine d'URL spécialisées dans le pistage ou la publicité.

• Des scanneurs de QR-code privateurs d'utilisation courante espionnent l'utilisateur. Cela s'ajoute à l'espionnage effectué par l'opérateur téléphonique et peut-être par le système d'exploitation du téléphone.

  Ne vous laissez pas distraire par la question de savoir si les développeurs de l'appli demandent à l'utilisateur de dire « Je suis d'accord ». Ce n'est pas une excuse pour la malveillance du logiciel.

• De nombreuses applis privatrices pour appareils mobiles rapportent quelles autres applis l'utilisateur a installées. Twitter le fait d'une façon qui, au moins, est visible et optionnelle. Ce n'est pas aussi mal que ce que font les autres.

• La porte dérobée de Samsung permet l'accès à n'importe quel fichier du système.

• Le clavier Simeji est une version pour smartphone de l'éditeur espion de méthodes de saisie de Baidu.

• L'application non libre Snapchat a pour but principal de restreindre l'utilisation de données sur l'ordinateur de l'utilisateur, mais elle fait aussi de l'espionnage : elle essaie de récupérer le répertoire téléphonique de l'utilisateur.

• L'application Brightest Flashlight (litt., lampe de poche la plus brillante) diffuse des données personnelles, y compris de géolocalisation, à l'usage de certaines entreprises.

  La FTC (Commission fédérale du commerce) a critiqué cette application parce qu'elle demandait l'accord de l'utilisateur pour l'envoi de données personnelles à son développeur, mais pas pour l'envoi à d'autres sociétés. Ceci montre la faiblesse de la « solution » du style refusez-si-vous-n'aimez-pas-les-fouineurs : pourquoi une application lampe de poche devrait-elle envoyer de l'information à quiconque ? Une application lampe de poche libre ne le ferait pas.

• Les téléphones portables munis d'un GPS envoient des données de géolocalisation sur commande à distance et les utilisateurs ne peuvent pas les en empêcher (le gouvernement américain dit qu'à terme il va rendre le GPS obligatoire dans tous les téléphones portables neufs).

• La FTC déclare que les appareils mobiles destinés aux enfants ne respectent pas la vie privée (https://arstechnica.com/information-technology/2012/12/ftc-disclosures-severely-lacking-in-kids-mobile-appsand-its-getting-worse/).

• Certains fabricants ajoutent un logiciel de surveillance cachée tous azimuts comme Carrier IQ.

Prisons

Une prison est un système qui censure les programmes d'application.

• Feu Windows 8 pour « appareils mobiles » était une prison : il censurait le choix de l'utilisateur en matière de programmes d'application.

Tyrans

Un tyran est un appareil qui rejette tout système d'exploitation non « autorisé » par le fabricant.

• Les appareils mobiles livrés avec Windows 8 sont des tyrans.