Suite à la polémique concernant le carnet d'adresses qui peut être un peu trop facilement envoyé sur les serveurs d'un développeur, le New York Times pointe le projecteur sur une autre faille potentielle.

Les applications qui ont besoin d'accéder aux photos stockées sur un terminal iOS doivent demander une autorisation à l'utilisateur. Cette autorisation n'est pas très claire toutefois puisqu'elle concerne la géolocalisation, et non directement les images. Et pour cause, en accédant aux images d'un terminal iOS, l'application accède le plus souvent aux coordonnées géographiques automatiquement associées à ces images au moment de la prise.

Un développeur malintentionné pourrait très bien récupérer ces informations et les exploiter très facilement. Si vous prenez régulièrement des photos, on pourra suivre vos déplacements, vos habitudes et ainsi vous proposer des publicités encore plus ciblées.

Plus gênant, toute application qui a la permission d'accéder à votre position géographique peut accéder également à l'intégralité de votre photothèque. Pour donner un exemple concret, une application de GPS pourrait en théorie télécharger automatiquement toutes vos images, sans jamais vous demander la permission à ce sujet.

Ce comportement est normal, il est prévu par iOS depuis la version 4 et ce n'est pas un problème en soi. Apple est censée vérifier au moment de la validation sur l'App Store qu'une application malintentionnée ne détourne pas ces fonctions de base. C'est bien là que le bat blesse toutefois : l'exemple de Path (Gratuit) suffit à le prouver, il n'est pas difficile de passer entre les mailles du filet de la validation de l'App Store.

En attendant une éventuelle réponse d'Apple, inutile de tomber dans la paranoïa pour autant : rien ne prouve qu'une application dans l'App Store exploite vos images ou position géographiques sans demander votre autorisation.

[MàJ] : Apple n'a pas commenté mais d'après les sources de The Verge, cet accès un peu trop souple aux photos résulte d'un bug qui devrait être corrigé prochainement. Très certainement en même temps que l'ajout, confirmé cette fois par Apple, d'une alerte lorsqu'une application veut accéder au carnet d'adresses.

Sur le même sujet :
- Carnet d'adresses : iOS demandera systématiquement une autorisation