Des millions de smartphones Android surveillés en douce
Google aura beau dire le contraire, Android souffre de problèmes de sécurité particulièrement importants (lire : Android est aussi sécurisé qu’iOS, d’après le patron de la sécurité d’Android). 700 millions de smartphones, de systèmes automobiles embarqués et d’autres appareils connectés sous Android comporteraient une porte dérobée placée ici par un logiciel susceptible de subtiliser les SMS et messages texte, localisation de l’utilisateur, carnets d’adresses, journaux d’appels. Ces informations sont transmises à un serveur en Chine, sans qu’on en connaisse l’objectif — surveillance des autorités chinoises ou publicité. Ou les deux…
Le New York Times, qui relate l’affaire, pointe le coupable du doigt : il s’agit de Shanghai Adups Technology Company, un éditeur dont le logiciel de surveillance est préinstallé dans les terminaux Android d’entrée de gamme, à destination d’une clientèle internationale. Même si les États-Unis ne sont pas nécessairement ciblés, le constructeur américain BLU Products a admis que cette porte dérobée était présente dans 120 000 de ses smartphones. La société a annoncé dans la foulée une mise à jour qui supprimait cette « fonction ».
Kryptowire, la société de sécurité qui a débusqué le mouchard, explique qu’il est impossible pour l’utilisateur de savoir si son smartphone le surveille ou pas (c’est le but généralement). Adups a développé ce logiciel pour « aider » un constructeur chinois à obtenir des informations sur les habitudes de ses clients. L’éditeur réitère que les utilisateurs américains n’étaient pas visés.
Adups est un fournisseur de deux constructeurs chinois parmi les plus importants, à savoir ZTE et Huawei (ce dernier nourrissant de grandes ambitions). Mais le mouchard a été conçu à la demande d’un fabricant chinois anonyme, qui utilise les informations subtilisées en douce pour son service d’assistance, jure l’éditeur.
Du côté de Google, on a demandé à Adups de retirer cette « fonction » de surveillance de l’utilisateur dans ses services, comme le Play Store. Mais cela ne concerne aucun smartphone Android en Chine, les constructeurs du cru adaptant l’OS à leur sauce, les services de Google n’étant pas disponibles au pays. Prévenues, les autorités américaines ont annoncé qu’elles allaient « identifier des stratégies de mitigation » contre le logiciel.
@robrob
Responsabilité de Google ou pas, le fait que celui puisse être possible sans que l'utilisateur soit averti est inquiétant
@Hideyasu
Ca n'arrive pas sur n'importe quel materiel mais sur un materiel specifique que le client a achete volontairement. A partir de la il n'y a pas grand chose a faire. Si ca arrivait sur des smartphones Google ou meme Samsung ce serait autre chose.
Il y a un problème de mise en forme de l'article, indiqué dès la première réaction. je n'utilise pas beaucoup les services de Google, car je ne souhaite pas être le produit d'une transaction, mais je ne vois pas en quoi un logiciel préinstallé par un constructeur est lié à la sécurité d'androïd.
Non, ce n'est pas normal, mais l'article fait un peu qu'informer les utilisateurs de mouchards pré-installés, il contient aussi des sous entendus et des accusations que n'importe qui avec un minimum de connaissance technologique peut nuancer ou expliquer.
Donc Facebook accèdes aux SMS ?
Accéder à la localisation, c'est normal, ne serait-ce que pour les applications genre GPS ...
Mais les SMS, je ne vois pas l'intérêt pour une application. Et pour ce qui est de protéger ça, tout en fournissant des infos, c'est possible, on le fait dans ma boite, cela s'appelle une api privée ... après que Google décide de ne pas le faire, c'est autre chose, mais le fait qu'ils demandent à l'entreprise de retirer cette "fonction" prouve qu'ils ne l'avait pas vu venir ... et qu'a priori, ils n'ont pas les moyens de l'empêcher autrement qu'en demandant aux applis de ne pas le faire !
Facebook prévoit un client SMS dans sa messagerie et propose des SMS de confirmation pour vérifier ton identité, qu'ils envoient au moment ou tu te logges.
Donc oui, ils ont besoin de l'accès aux SMS.
Accès aux SMS ne veut pas dire "lire tous tes SMS et les balancer sur un serveur"
Sauf si, par exemple, une agence de sécurité décide de détourner cette fonction.
@robrob
Tu peux ouvrir ton firmware et garder des apis privées, qui ne sont pas accessibles aux développeurs, c'est ce que fait Google d'ailleurs. Le fait que Google ne le fasse pas est un choix délibéré ou pas. Quoi qu'il en sois, si tu fais un système ouvert, la sécurité doit être au cœur des préoccupations, d'autant plus quand il porte le label de ton entreprise. C'est d'ailleurs pour ça que les kernel Linux sont signés ...afin que les utilisateurs sachent que le kernel a été altéré !
@pepe.felipe
Et rien n'empeche une appli d'utiliser une API privee. Ce qui est aussi le cas sur Mac OS.
En quoi signer ton kernel va t'aider dans ce cas? C'est une societe qui decide par elle-meme de pre installer une appli avec des droits eleves et de le distribuer tel quel.
Si tu achetes un tel telephone tu vas verifier la signature de toutes les apps avant de l'utiliser? Si tu as ce niveau de connaissances tu n'acheteras deja surement pas ce genre de tel.
Encore une fois Google ne peut rien faire dans ce cas mais l'article pretend que c'est du a une faille de securite.
@Ze_Misanthrope heureusement que tu est là pour nous rappeler à tous que nous n'avons aucune connaissance technologique et que seul les utilisateurs d'Android sont des vrais connaisseurs de technologie :D p.s : c'est juste pour te taquiner hein ... ne le prends pas mal, mais ta remarque est quand même un peu gonflée ;)
Je suis utilisateur Apple.
Désolé mais il ne faut pas être gonflé pour supposer qu'un blog technologique sache faire la différence entre une appli système préinstallée par un constructeur et une faille de sécurité de l'OS.
Défendre l'objectivité ne veut pas dire hater ou fanboy de la concurrence
Mais franchement dans le fond. Si s'est un problème d'expression du rédacteur. Je te propose d'écrire toi même la bonne version et de la soumettre ici à la communauté. Tu as l'air compétent.
@robrob
Chez nous, les api privées ne sont pas accessibles sans authentification préalable. Et le kernel signé, ça te permets lorsque tu y détectes des altérations, de ne pas démarrer ton os avec ton splash screen, ou d'y afficher un message comme quoi il ne s'agit pas d'une release officielle... c'est hyper courant comme stratégie dans la sécurité informatique... et s'ils avaient le contrôle du matériel, ils pourraient ne pas démarrer du tout, ou procéder à un restore vers une version signée valable... enfin bon, avec des si, on coup du bois ...
@pepe.felipe
Donc en gros tu rejoins ce qu'on dit depuis le debut. Google n'a pas le controle du materiel. C'est leur choix, ca a des consequences et dans ce cas precis ils ne peuvent rien faire.
C'est effectivement critiquable mais ca n'en fait pas pour autant une faille d'Android. Ou alors le fait de pouvoir creer son propre Linux est une faille aussi. Le fait qu'un journaliste techno ne comprenne pas ca ou fasse semblant de ne pas le comprendre est le vrai probleme ici.
Dans ce cas précis il peuvent apprendre et proposer un test sécurité en plus de leur test compatibilité. Il reste une forme d'irresponsabilité de la part de Google dans cette histoire.
Quel article de merde....Sérieusement.
L'auteur qui veut faire passer une porte dérobée installée volontairement par le constructeur pour une faille de l'OS...
La traduction foireuse à la fin qui laisse penser que les Play Services sont infectés :
"Du côté de Google, on a demandé à Adups de retirer cette « fonction » de surveillance de l’utilisateur dans ses services, comme le Play Store."
De plus en plus de troll sur MacG, de moins en moins de qualité dans les articles.
@Doky_H
Je sais pas où tu vois le sous entendu que c'est la responsabilité de Google, ils parlent bien d'un constructeur et une entreprise chinoise.
Ah mais sérieux... la faille, c'est que l'OS est estampillé Android alors qu'il a été altéré. Si tu est éditeur d'OS, tu dois signer tes release, de manière à être sur quelles ne sont pas altérées. Le fait de contrôler le materiel ou pas n'est même pas la question. C'est ce que font tous les éditeurs de Linux ! Ça permets aux clients de savoir que leur os, avec le logo Ubuntu ou autre est bien la release officielle de l'os. Et lorsqu'ils ont une faille qui fait qu'une version est livrée, altérée, et que des infos d'utilisateurs ont fuité, bah ils s'excusent et corrigent. C'est pas un drame d'avoir une faille, quelle qu'elle soit, les OS sont tellement complexes qu'il y en a forcément chez tout le monde... la différence c'est comment tu gères la situation et pourquoi cette faille existe.
@pepe.felipe
Mais ta description ne correspond pas a ce cas-la.
Je vais essayer de t'expliquer avec ton exemple d'Ubuntu.
Je produis un ordi avec un Ubuntu que je modifie pour ajouter un malware. Je conserve le nom Ubuntu pour la vente parce que ca rend les choses plus faciles.
Dis-moi ce que Canonical peut faire pour empecher cela.
Canonical peut décider de ne donner sa marque qu'à du matériel qu'ils contrôlerait. Ça revient à fermer son propre marcher. C'est possible et c'est la seule solution pour rester crédible. Mais tout le monde n'a pas les capacités d'apple pour faire ça je le reconnais.
@Doky_H comme les commentaires visiblement ...
@robrob canonical signe son firmware, comme tous les éditeurs Linux. Tu peux vérifier la signature très très facilement ... c'est ce que font les éditeurs de logiciel.
Après, dans l'exemple que tu cites, ce n'est pas Ubuntu qui est installé mais une copie de Ubuntu. Auquel cas Ubuntu pourrait porter plainte pour un usage abusif de sa marque. Il ne me semble pas que Google ait porté plainte non ? Donc il s'agit bien d'un OS Android, approuvé par Google, et il demande à l'éditeur en question de ne pas espionner ses clients. Si tu ne souhaites pas que tes clients soient espionnés, tu fais en sorte que ce ne soit pas possible, sauf si tu y a aussi un intérêt (pub ciblée ou autre trucs commerciaux) mais dans ce cas là, tu ne prends pas un air outre en demandant que cela cesse ...
Justement, les fabricants ont le droit de modifier Android, tant qu'il passe le Compatibility Test Suite: https://source.android.com/compatibility/cts/index.html
Cela n'a rien à voir avec pré-installer une copie d'Ubuntu, comme tu en parles.
Dans ce cas le compatibilité test n'est pas suffisant. Google devrait mettre en place un security test, mis à jour régulièrement.
@pepe.felipe
Ubuntu est open source. Je peux faire une build independante a partir du code source et rajouter un logiciel que j'installe en root a cote.
Et il s'agira toujours d'une Ubuntu.
Techniquement, non. C'est un release custom, pas une release officielle de Ubuntu.
Qui est une distribution, pas uniquement le noyau Linux. Une release custom d'une distribution, ce n'est pas la même chose qu'une release officielle de cette même distribution. En particulier, il suffira à un utilisateur d'installer une release Ubuntu officielle par dessus pour ne plus avoir ce root kit custom.
Hélas, ce n'est pas si facile d'installer un Android AOSP sur un smartphone...
@byte_order
Ca ne necessite aucun root kit hein. Une appli avec des droits suffisants et c'est bon.
Comme tu dis techniquement ce n'est pas une release officielle, ce qui n'empeche pas de creer un tel produit.
@robrob il ne s'agira plus d'une release officielle ... donc pas de signature de canonical. Donc les gens sauront que c'est une version modifiée, en mieux ou en moins bien, mais différente de la version officielle. Mais bon, vaux mieux dire que c'est pas la faute de Google, c'est une bonne excuse.
Bonjour, je suis la discussion d'un peu loin mais je ne comprends pas ce que tu veux démontrer :-)
Si tu veux de l'Android pur jus piloté par Google (et dont Google est 100% responsable - si c'est ce mot que tu veux utiliser), c'est facile. Tu achètes un Pixel (ou un Nexus avant). C'est ce que j'ai fait. Tu as là affaire à des versions signées par Google.
Quand tu achètes un téléphone chez un 'grand' constructeur (Samsung, HTC, Sony etc...), tu sais qu'il a été plus ou moins fortement modifié par rapport à l'Android 'pur' de Google. Tu récupères là des versions signées par ces constructeurs.
Si tu achètes un téléphone Chinois à 50€ / 100€ sur amazon basé sur Android, tu peux récupérer des téléphones qui font éventuellement peu de cas sur le respect de la vie privée... Le constructeur pouvant rajouter toutes les merdes qu'il veut.
Tu peux aussi avoir des smartphones qui ne mettent pas en avant le nom Android (Amazon par exemple) même si leur OS est basé dessus.
Google veut que son OS soit installé sur un maximum de terminaux donc c'est leur stratégie de permettre de grosses modifications de l'OS. Là, il ne s'agit même pas d'une grosse modification mais d'une application installée en mode système qui a donc tous les droits.
@pepe.felipe
Tu fais exprès de ne rien comprendre ?
@hirtrey
"Tu fais exprès de ne rien comprendre ?"
Ben on doit être pas mal.
Je comprends très bien ce qu'il écrit, et je comprends la même chose.
Et pour quelqu'un de pas technophile, ça veut dire :
- iPhone : zéro risque d'un malware pré installé, voisin de zéro pour qu'il s'en installe un avec une app de lAppStore
- avec un smartphone, en particulier chinois, sous Android, c'est plus un risque mais une réalité. Cette histoire va être résolue parce qu'on l'a découverte, mais jusqu'à la prochaine qui arrivera, sans aucun doute possible.
Je me fous que ça soit une faille d'Android ou pas.
De telles choses sont possibles avec Android, c'est ça l'important.
C'est impressionant de ne pas savoir la différence entre l'OS et le fabricant.
Je veux bien que l'on ne demande pas aux lecteurs d'êtres des bêtes en technologie, mais là quand même, il y a de sacrées lacunes!
@Bigdidou
Oui mais globalement vu ton commentaire tu as très bien compris. En plus tu n'essayes pas de parler technique et de parler de signature du kernel ou autre pour faire le singe savant.
Et je te rejoins sur le fait que pour la plupart des personnes, cela sera un problème Google.
@hirtrey
Ok, je comprends ce que tu veux dire.
Soyons précis quand il s'agit d'un domaine technique, je peux pas être contre ça...
@Bigdidou
Et donc apparemment tu comprends tres bien que ce n'est pas une faille d'Android.
Ce que Mickael ici pretend, ce qui est genant pour quelqu'un ecrivant dans un blog technophile.
Je n'ai pas l'impression que l'auteur de l'article parle d'une faille du système d'exploitation. Il parle de problèmes de sécurité, ce qui n'est pas pareil.
Il ne faut pas oublier non plus qu'en règle générale, l'utilisateur n'est pas un spécialiste de technologie. Et lorsqu'il achète un téléphone Android et qu'il apprend qu'il y a un mouchard dessus, il est bel et bien confronté à un problème de sécurité. Un problème qu'il n'aurait pas sous cette forme avec un iPhone. Et finalement, que le problème vienne d'une faille du système d'exploitation, de Google ou du constructeur risque de lui importer bien peu.
@pepe.felipe
Pas de signature de canonical et alors? Tu verifies comment la signature sur le smartphone.
@pepe.felipe
Et donc dans cet exemple tu dirais aussi que c'est la faute de canonical meme si c'est pas signe par eux? Juste pour etre coherent avec ce que tu dis pour Google.
@hirtrey c'est gentil de venir traiter les gens de singes savants, quand tu auras grandit, tu pourras avoir du respect, tu verras. Pour ce qui est de ne rien comprendre, ce n'est parce que l'on comprends pas ce que disent les autres que c'est les autres qui n'ont rien compris. @robrob et moi avons une discussion intéressante sur un sujet technique et la philosophie d'une entreprise qui distribue un logiciel libre. Si ton seul argument c'est les insulte, tu peux retourner troller plus loin.
@robrob oui, si canonial ne fournissent pas de release signée, et que la même chose se produit, ils porteront la même part de responsabilité. C'est d'ailleurs le cas pour tous les développeurs qui fournissent des applications dont on attends qu'elles soient sûres. Si elles ne sont pas authentifiables, alors en cas de fraude elles portent une part de la responsabilité. Pas toute la responsabilité, mais une part. Et leur job est de faire en sorte de corriger le problème. Je ne vois pas où est le problème avec ça franchement ... ça ne fait pas d'eux des mauvais ou des nuls, c'est juste la règle du jeu.
@pepe.felipe
A mon avis, "we can agree to disagree" comme on dit ici. Ton opinion veut dire qu'ouvrir une solution en open source engage ta responsabilite pour des choses en dehors de ton controle. Mon avis est different la dessus. Je pense que ton opinion se defend dans ce cas-la vu que le produit final s'adresse a des utilisateurs pas forcement tres au fait au niveau technique.
Ca ne m'empeche pas de penser que la premiere ligne de cet article est un veritable troll de la part d'un technophile.
@pepe.felipe
Tu parles de signature sans avoir de notion. Le kernel n'est pas mis en cause, tout comme Google. Plusieurs personne on très bien expliqué le problème mais tu ne veux rien savoir. C'est comme si Word envoyé le contenu de ton mac et que celui ci est installé par la Fnac au moment de l'achat. Donc si on suis ton raisonnement c'est une faille dans OS X, donc un problème chez Apple.
Et pour souvenir Apple avait un problème avec un logiciel dans son store. C'était encore pire car il avait été validé par Apple.
@robrob on est d'accord sur le fait qu'on n'est pas d'accord, et c'est plutôt une bonne chose, d'autant plus qu'on peut en débattre ouvertement sans se troller, comme on est en train de le faire ! C'est juste une question d'éducation (ou de culture, je ne sais pas... ) technique différente. Dans mon métier, ce n'est pas concevable, pour le grand publique, c'est un peu limite je trouve. Je ne dis pas que Google doit être tenu pour entièrement responsable de cet événement, je dis que si l'on fournis un logiciel libre, et donc modifiable, il est souhaitable que les gens puissent faire la différence entre ma release officielle et celle d'un autre qui aura été modifiée.
Après on est d'accord que la première ligne de l'article est à mon avis volontairement provocatrice, et en tout cas pas très bien choisie. Mais bon, c'est de la presse libre, et il faut d'un côté attiré les curieux, et de l'autre flatter les égaux des possesseurs de smartphone d'une autre marque ...
@hirtrey arrête de dire que je n'ai pas de notions, tu pourrais être surpris, tu veux ouvrir les Paris sur qui de nous deux en sais plus sur la signature et autres ? Et pour répondre à ta question, Word est un logiciel visible, que tu peux de s'installer. Mais, s'il envoyais les informations de mon mac a un tiers, alors Apple aurait aussi sa part de responsabilité. La sécurité et la confidentialité des données est de la responsabilité d'un os, sauf si évidement tu installes des malware toi même.
Je ne vois pas ce que cela a de compliqué, tu développes un OS, tu prétends qu'il est sur, mais il y a des fuites de donnés sans que l'utilisateur en sois avertis, tu as ta part de responsabilité, que tu sois Apple, Google ou Microsoft. C'est arrive sous Linux avec ssl(un peu différemment on est d'accord), ils ont corrigé et c'est tout. Pas de quoi en faire un cake. Ça s'appelle assumer et être pro.
Quand au problème d'Apple, il était bien plus grave, mais qui a dit le contraire ?? Ils ont corrigé et se sont excusés. Visiblement, quand certains deviennent fan d'une marque ou d'un OS et perdent tout sens critique et prennent les critiques faites à leur marque chérie pour eux même. Android n'est pas l'extension de ta personne ... c'est un juste un sytème, c'est pas toi qu'on critique, mais une façon de fonctionner de Google.
@pepe.felipe
Tu veux que Google fasse quoi exactement à part dire à la société de ne pas mettre ce logiciel !
Ils peuvent montrer leurs muscles et ça va faire peur à qui :-)
Et pour info, Apple, Google ou autre. Je n'ai aucune préférence. Je suis seulement un utilisateur qui ne va pas rendre responsable une société pour une fausse raison.
Cela concerne la Chine et deux constructeurs chinois
Et des millions de smartphones de part le monde
Mot compte triple mitigation
@hirtrey ça n'est pas une question de montrer leurs muscles ... c'est une question d'être clair avec leurs clients. Android est libre pour les intégrateurs, mais il y a aussi des conditions comme la qualité du code rajouté par exemple. Il est facil de rajouter comme condition que pour utiliser le logo Android, il faut une version vérifiée et signée par Google, ce qui garantie aux utilisateurs que sauf bug inconnu, il n'y a pas de logiciel trop curieux preinstallé. Ceux qui ne souhaitent pas se soumettre à ce contrôle peuvent vendre leurs smartphones avec une version d'Android propriétaire mais ou n'apparais pas le logo Android. Cela permets aux intégrateurs "honnêtes" d'être certifiés conformes à une politique respectueuse de la vie privé, et aux autres de continuer de vendre leurs smartphone. Au moins les gens pourront choisir en toute connaissance.
À noter que je n'ai jamais dit que Google était entièrement responsable, j'ai dit qu'elle avait sa part de responsabilité, c'est différent.
@pepe.felipe
L'article chez NextINpact est bcp plus objectif. Ils ne parlent même pas de faille. Pas de responsabilité de la part de Google qui peux seulement demander à la société de supprimer le logiciel.
"Google a-t-elle le pouvoir de remédier à la situation ? Le chercheur nous confirme que la société a été avertie et qu’elle cherche à en savoir plus. Cependant, « Google a surtout le pouvoir d’encourager les constructeurs à changer d’habitudes, mais ne peut pas vraiment forcer », du moins tant que cela ne touche pas au fonctionnement de ses propres services, ce qui est inspecté durant le processus de validation Android. "
Pages