Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Dan Hoffman, Juniper Networks : « Toute application est un espion en puissance »

novembre 2012 par Dan Hoffman, Chief Mobile Security Evangelist chez Juniper Networks

Les appareils et les applications mobiles ne sont désormais plus des gadgets, mais des outils totalement intégrés dans nos vies. L’institut d’études Gartner prévoit d’ailleurs que le nombre d’applications mobiles téléchargées doublera cette année, pour atteindre le chiffre de 45 milliards. Ces programmes deviennent de plus en plus sophistiqués et sont désormais incontournables aussi bien pour les applications professionnelles les plus cruciales que pour se connecter avec des amis lorsque l’on voyage, ou encore lorsque l’on souhaite utiliser un portefeuille virtuel.

Si ces applications facilitent la vie, elles sont, pour une multitude de développeurs et de régies publicitaires, l’occasion de collecter des informations concernant nos activités. Ces applications leur permettent d’exploiter les fonctionnalités des appareils sans que les entreprises, les particuliers et les organisations publiques qui les installent ne sachent bien souvent avec qui ils partagent des données personnelles, ni pour quelles raisons. Même s’il leur est demandé d’accorder toute une liste de permissions lors de l’installation d’une application, la plupart des utilisateurs n’en connaissent pas les tenants et les aboutissants. Bien souvent, ils n’ont de toute façon pas la formation appropriée pour savoir en quelles applications ils peuvent avoir confiance.

Le plus inquiétant est le fait que de nombreuses applications collectent des informations, ou demandent des permissions sans que les fonctionnalités mises en avant ne le justifient. Un problème déjà constaté par le passé, notamment dans des articles de presse dénonçant des applications très populaires qui recueillent des données sans raison légitime ou en envoient à des tierces parties lorsque l’appareil est hors tension. Des révélations qui ont déclenché de vives réactions. Et, le plus grand flou subsiste quant au respect de la vie privée dans l’écosystème applicatif.

Afin de dresser un état des lieux, le centre de surveillance des menaces mobiles MTC de Juniper Networks a passé au crible plus de 1,7 million d’applications disponibles sur la plate-forme de téléchargement Google Play, entre mars 2011 et septembre 2012.

Les principales conclusions

Juniper Networks a trouvé un nombre significatif d’applications dont les permissions et fonctions sont susceptibles d’exposer des données sensibles, ou d’accéder aux fonctionnalités des appareils sur lesquels elles sont installées sans en avoir la nécessité. Ces applications disposent des permissions suffisantes pour accéder à Internet et donc de transmettre des informations sensibles récoltées sur l’appareil. A noter que les applications gratuites sont plus prônes à accéder à des données personnelles que les applications payantes. Dans le détail, les applications gratuites sont plus susceptibles de géolocaliser (à 401 %) et d’accéder aux carnets d’adresses de l’utilisateur (à 314 %) que leurs homologues payantes.

 24,14 % des applications gratuites disposent des permissions nécessaires pour géolocaliser alors que les applications payantes sont seulement 6,01 % à pouvoir le faire ;

 6,72 % des applications gratuites disposent des permissions nécessaires pour accéder à votre carnet d’adresses contre 2,14 % des applications payantes ;

 2,64 % des applications gratuites disposent des permissions nécessaires pour envoyer des messages textuels (SMS) à votre insu, contre 1,45 % des applications payantes ;

 6,39 % des applications gratuites disposent des permissions nécessaires pour passer des appels en arrière-plan, contre seulement 1,88 % des applications payantes ;

 5,53 % des applications gratuites disposent des permissions nécessaires pour accéder à l’appareil photo d’un appareil, contre seulement 2,11 % des applications payantes.

L’utilisateur pisté à des fins publicitaires

L’analyse des disparités entre les applications gratuites et payantes confirme une idée répandue : les premières collectent des données que des régies publicitaires tierces exploitent pour diffuser de la publicité. Si c’est exact dans certains cas, Juniper note que le pourcentage d’applications travaillant avec les 5 principales régies publicitaires est inférieur à celui des applications pratiquant la géolocalisation (24,14 %). Une conclusion basée sur le passage au crible de 683.238 d’applications.

 0,75 % des applications affichent des publicités de la régie AdMob ;
 4,10 % des applications affichent des publicités de la régie AirPush ;
 1,51 % des applications affichent des publicités de la régie Millennial Media ;
 0,32 % des applications affichent des publicités de la régie AdWhirl ;
 2,34 % des applications affichent des publicités de la régie Leadbolt.

Cela nous permet donc de penser que plusieurs applications collectent des données pour des motifs autres que publicitaires.

Des permissions qui peuvent être indûment exploitées

D’autres activités sont potentiellement plus préoccupantes : certaines applications demandent les permissions nécessaires pour émettre des appels vers l’extérieur, envoyer des SMS et utiliser l’appareil photo des terminaux sur lesquels elles sont installées, dans les trois cas de manière clandestine. Une application capable de passer un appel téléphonique à votre insu pourrait être utilisée pour écouter tout aussi clandestinement vos conversations en face à face lorsque vous vous trouvez à proximité de votre appareil mobile. De même, l’accès à la fonction appareil photo pourrait permettre à une tierce partie de se procurer des vidéos et photos du lieu où l’appareil se trouve, comme en a été récemment faite la démonstration avec le spyware PlaceRaider (en anglais). L’envoi de SMS clandestins peut également servir à s’emparer subrepticement d’informations sensibles stockées sur un appareil. Un acte furtif qui peut porter préjudice financièrement à l’utilisateur si l’application communique avec des services facturant l’échange s’il envoie des SMS surtaxés, par exemple.

Des catégories d’applications inquiétantes

L’étude du MTC de Juniper s’est intéressée à différentes catégories d’applications. Pour certaines, il apparaît que les permissions demandées outrepassent les besoins de l’application. Pour ces applications, nous avons croisé les niveaux de permissions requis avec les fonctionnalités de l’application décrites. Notre analyse a pointé les applications disposant de capacités supplémentaires inconnues de l’utilisateur, et qui collectent officieusement des informations sans que le fonctionnement basique de l’application ne le justifie.

Cartes et casinos

Les applications de jeux de cartes et casino s’inspirent de la réalité, à des fins de divertissement. Dans cette catégorie, on recense :
 94 % d’applications gratuites qui disposent des permissions requises pour passer des appels sortants, sans aucune justification ;
 83,88 % d’applications gratuites qui disposent des permissions requises pour utiliser l’appareil photo sans décrire le type d’usage qui en est fait ;
 84,51 % d’applications gratuites qui disposent des permissions nécessaires pour envoyer des SMS, sans en expliquer la raison.

Jeux de course

Les jeux de course sont, de loin, la catégorie la plus inquiétante. Elle contient un nombre anormalement élevé d’applications qui ont été retirées du marché pendant les semaines de notre étude. Un retrait qui peut s’expliquer de différentes manières. Google peut ainsi en être à l’origine, ayant des doutes quant à des motivations malveillantes, avec des développeurs capables de mettre à disposition une application à des fins de hameçonnage de données ou phishing. Le retrait d’une application peut aussi provenir du développeur qui ne souhaite, tout simplement, plus la proposer gratuitement. Pendant la durée de notre analyse du marché, cette catégorie s’est révélé la plus riche en applications pointées par le MTC comme étant des logiciels malveillants nouvellement apparus :

 99 % des applications payantes et 92,42 % des applications gratuites de cette catégorie disposent des permissions suffisantes pour envoyer des SMS, sans fournir aucune justification ;
 50 % des applications gratuites disposent des permissions suffisantes pour utiliser l’appareil photo sans en expliquer la raison ou l’usage qui en est fait ;
 94,54 % des applications gratuites ayant la capacité de passer des appels sortants le font sans en expliquer la raison ou l’usage qui en est fait.

Zoom sur les conclusions approfondies

L’analyse a révélé des éléments inattendus concernant l’usage légitime des permissions accordées. Nous avons examiné des cas pour lesquels les permissions accordées et la collecte de données étaient totalement justifiées, même si la raison n’était pas évidente de prime abord. Pour le vérifier, nous avons installé les applications afin d’appréhender pleinement leurs fonctionnalités et avons contacté plusieurs développeurs.

 Un grand nombre d’applications de jeux de cartes et casino, conçues par un développeur en particulier, ont la capacité d’utiliser la fonction appareil photo. La lecture du descriptif de l’application, que nous avons installée, ne renseignait pas clairement sur les raisons justifiant cette capacité. Contacté, le développeur a expliqué que dans la version payante, haut de gamme, de son application, une icône apparaît dans la barre des tâches pour permettre à l’utilisateur de prendre une photo et de s’en servir comme fond d’écran pour ses parties de jeu. Un usage social légitime qui n’était pas explicité clairement à l’utilisateur de prime abord.
 Pendant la phase initiale de notre étude des permissions relatives au passage d’appels sortants, nous avons été alarmés par le pourcentage – 12,51 % – d’applications de gestion de budget gratuites capables d’appeler l’extérieur sans passer par l’interface de composition du numéro. Même constat pour les 63,19 % d’applications qui ne fournissent pas de descriptif de cette possibilité. Néanmoins, après installation d’une partie de ces applications, sa pleine légitimité est apparue : les utilisateurs ont ainsi besoin de prendre contact avec leur établissement financier.

Conclusions

L’étude de la plate-forme Google Play par le MTC de Juniper Networks montre l’omniprésence du pistage des appareils mobiles. Il révèle aussi à quel point une meilleure communication, concernant la pertinence des fonctionnalités des applications pour l’utilisateur, serait positive. Nous espérons que notre étude apportera un bon éclairage sur le respect de la vie privée de la part des applications, et fournira les informations nécessaires pour comprendre les retombées en termes de confidentialité des utilisateurs et de protection des données internes aux entreprises. Nos recommandations aux industriels sont les suivantes :

 Etablir une corrélation entre les permissions et les fonctionnalités. Se contenter d’indiquer qu’une application dispose des permissions suffisantes pour géolocaliser un appareil, accéder au carnet d’adresses de l’utilisateur ou passer discrètement un appel sortant, ne suffit pas. Il faut expliquer pourquoi ces fonctionnalités sont nécessaires au bon fonctionnement de l’application. Décrire la relation entre une permission et une fonctionnalité serait ainsi bénéfique.

 Bien distinguer les différentes permissions. Il y a une différence de taille entre l’application Spyware qui passe un appel clandestinement pour écouter les conversations proches de l’appareil, et une application de gestion budgétaire qui permet d’appeler une agence bancaire locale directement depuis son interface. Or la façon dont les permissions sont actuellement présentées ne permet pas à l’utilisateur de faire la différence entre les deux. Il y a une marge d’amélioration évidente en termes de communication, pour accorder aux développeurs des permissions distinctes permettant de lancer les tâches différentes associées.

 La gratuité implique une certaine ouverture. Tout se paie dans le monde de la mobilité. Les utilisateurs qui optent pour des applications gratuites doivent, en contrepartie, fournir des informations. Souvent, le jeu en vaut la chandelle selon les applications, mais les utilisateurs ne sont pas tous conscients qu’ils sont suivis à la trace et n’ont donc pas pris une décision éclairée. Indiquer de façon concise et claire les raisons pour lesquelles certaines informations sont nécessaires faciliterait grandement le partage de données.  Expliquer peut rapporter beaucoup. Permettre aux utilisateurs de comprendre l’activité survenant sur leur appareil et l’usage fait de leurs données est plus important que de lister les permissions. Des utilisateurs avertis installeront les applications avec moins de suspicion. Ils seront en outre moins enclins à les désinstaller en voyant la quantité de permissions qu’on leur demande sans fournir d’explication.


Méthodologie

L’étude a été menée avec des applications pour Android. Apple ne fournit aucune information concernant ses applications ; il faut lui adresser directement toute question relative à sa plate-forme en ligne App Store ou demande de données statistiques sur le respect de la vie privée.

L’étude a été menée selon 4 angles majeurs :
 Analyse statistique des métadonnées des applications payantes et gratuites, réparties dans différentes catégories, afin d’établir les permissions demandées par chacune ;
 Analyse des descriptifs accompagnants les applications, pour déterminer si les demandes de permissions sont expliquées et justifiées de par les fonctionnalités de l’application ;
 Analyse statistique des applications afin d’établir une corrélation entre les permissions demandées et les besoins à des fins publicitaires ;
 Installation manuelle et passage au crible d’applications pour approfondir les conclusions et vérifier la méthodologie employée pour l’étude.




Voir les articles précédents

    

Voir les articles suivants