Xiaomi accusé de collecter les données de ses utilisateurs, même en navigation privée
Xiaomi est au cœur d'un scandale de sécurité. Selon le site de Forbes, le constructeur chinois récolterait plus de données que nécessaires auprès de ses utilisateurs.
C'est un spécialiste en cybersécurité qui a découvert qu'une quantité inquiétante de données de navigation était happée par le constructeur à travers ses navigateurs Mi Browser Pro et Mint. Pire encore, ces récoltes se font même en navigation privée.
L'appareil enregistrait les pages consultées, les dossiers ouverts ainsi que l'utilisation de certaines applications comme le lecteur de musique. Toutes les données sont ensuite rassemblées et envoyées à des serveurs distants à Singapour ou en Russie, indique la publication.
Bien que Xiaomi affirme que les données sont chiffrées lors de leur transfert, « afin de protéger la vie privée des utilisateurs », le spécialiste s'est aperçu qu'il s'agissait en réalité d'un encodage Base64 facilement lisible. « Ma principale préoccupation en matière de respect de la vie privée est que les données envoyées à leurs serveurs peuvent être très facilement corrélées à un utilisateur spécifique », a-t-il déclaré. L'enquête révèle également que ces données, pas si anonymes que ça donc, sont partagées avec Sensors Analytics, une société d'analyse comportementale.
Contacté par Forbes, Xiaomi réfute totalement ces accusations et indique que « la vie privée et la sécurité sont des préoccupations majeures. » La société affirme être « pleinement conforme avec les lois et règlements locaux sur les questions de confidentialité des données des utilisateurs. » Toutefois, un porte-parole confirme que la société recueille des données de navigation, affirmant que les informations sont anonymes.
Peu après la publication de l'enquête, la société a publié une note dans laquelle elle précise comment et à quel moment les données de ses utilisateurs sont récoltées. L'entreprise a également déployé une mise à jour permettant d'activer ou de désactiver la collecte de données en navigation privée « dans un effort pour renforcer le contrôle que nous accordons aux utilisateurs sur le partage de leurs propres données avec Xiaomi » a-t-elle précisé.
On est bien chez Apple, non ? 😎
@roccoyop
Non, tant qu’on ne peut pas changer de navigateur, non.
@armandgz123
On peut utiliser n’importe quel navigateur.
@roccoyop
Oui mais il veut dire que on ne peut pas les configurer en navigateurs par défaut en lieux et place de safari. Comme Mail. 😌
@roccoyop
N'importe quelle carrosserie de navigateur, mais le chassis et le moteur, eux, sont toujours ceux qu'Apple à tout développeur sur iOS.
Tandis qu'un propriétaire d'un Xiaomi qui installe Firefox, et qu'il a tout loisir de définir comme navigateur par défaut au passage, n'aura pas à craindre la collecte fait par le navigateur web préinstallé par Xiaomi.
@ byte_order : "Tandis qu'un propriétaire d'un Xiaomi qui installe Firefox, et qu'il a tout loisir de définir comme navigateur par défaut au passage, n'aura pas à craindre la collecte fait par le navigateur web préinstallé par Xiaomi."
-------------------
Je pense que tu nages en plein rêve de naïveté.
@MarcMame
> Je pense que tu nages en plein rêve de naïveté.
Dans ce cas, et mon Wireshark sur mon wifi chez moi et la brique techno de capture de traffic opérateur + DPI qu'on utilise au boulot sont également en pleine naïveté.
@byte_order
La collecte ne se fait pas que par le navigateur
@Furious Angel
> La collecte ne se fait pas que par le navigateur
La collecte dans l'app de musique (elle aussi remplaçable par une autre, elle est d'ailleurs pas top) se fait si on l'autorise à le faire. Mon fiston à un Xiaomi depuis quelques mois, et à l'installation je me rappelle que c'est clairement affiché.
Tout comme la collecte des données d'usage des apps lancées, qui fait là aussi d'une demande d'autorisation lors du premier démarrage.
J'ai beau relire le blog du gars pointé par Forbes, je vois nul part la démonstration d'une collecte de données non déjà autorisée par l'utilisateur faite par la version d'Android de Xiaomi.
Le browser par défaut, l'app de lecture de musique le font, et c'est indiqué lors du premier lancement ou lors de l'installation du smartphone, et c'est débrayable.
Mais bon, comme d'hab, personne ne lit ce qui est affiché et accepte les options pas défaut à la première installation, puis s'étonne que cela fasse ce que l'option disait que cela allait faire (bon, okay, p'tet pas de transmettre en base64 o_O).
Ca choque surtout parce malgré que les gens, dont ce gars, gardent les réglages par défaut mais également les apps constructeurs par défaut, ils s'attendent à ce que le mode incognito soit vraiment incognito.
@byte_order
« le constructeur chinois récolterait plus de données que nécessaires auprès de ses utilisateurs. » donc c’est bien plus que les fameuses autorisations donc il ne faut pas minimiser le problème.
@Krysten2001
> le constructeur chinois récolterait plus de données que nécessaires auprès de ses utilisateurs.
Le mot anonyme n'étant pas, de mémoire, dans le texte décrivant les autorisations de collecte des données d'utilisation, il me semble difficile d'affirmer le périmètre officiel, légal, de ce "que nécessaire".
> donc il ne faut pas minimiser le problème.
Tout à fait.
Mais il ne faut pas non plus prétendre que cette collecte à lieu au niveau de l'appareil, de l'OS et n'était pas débrayable non plus.
Perso, c'est surtout le base64 et le fait qu'ils n'aient pas pensé qu'en mode incognito la collecte, même autorisé par l'utilisateur, devait être suspendu quand même, qui m'a interpelé.
@byte_order
J’espère que le salaire chez Xiaomi est bon !
@taxtax
J'adore. Dès que quelqu'un ne se joint pas automatiquement le bashing à la mode ou osant exercer son droit à l'esprit critique, forcément, c'est qu'il est au service de "l'ennemie".
Pathétique, vraiment.
Ha chouette, un expert en sécurité !
@byte_order
Pas de collecte par le navigateur, mais que peut envoyer tout le système ?
@roccoyop
Bien sûr qu’il envoie aussi ce que vous faites sur le navigateur 😉
@roccoyop
Ahahaha non malheureusement
On est bien chez Apple. Pixel, OnePlus, etc...
Ton post laisse croire que Apple ferait exclusivement des choses bien ou serait différente des autres marques correctes.
@Godverdomme
Apple est différente de Xiaomi. C’est déjà un bon début, non ? Et je pense qu’elle est différente également de Huawei. Ça en fait déjà deux.
Non !
@p@t72
Si.
Non non !
Pour bcp d’expert ici, c’est pas grave. C’est une boîte privé pas l’état.
@hirtrey
C’est là où tu te trompes complètement. C’est une boîte privée de liberté surtout ou qui collabore avec le gouvernement Chinois tout comme Huawei.
@roccoyop
Il ironise la chose, car certains préfèrent que ce soit Google et Apple qui gèrent les données et l’api de Stopcovid, plutôt que le gouvernement Français
@armandgz123
Sauf qu’avec Apple et Google ça se fait dans l’appareil et pas dans un serveur centralisé très risqué et à la vue de tout le monde.
@Krysten2001
Oui apparement, j’ai pas du tout suivi pour être honnête
@armandgz123
Pas de soucis 😉
@Krysten2001
> Sauf qu’avec Apple et Google ça se fait dans l’appareil et pas dans un
> serveur centralisé très risqué et à la vue de tout le monde.
Ouais, et la liste des pseudonymes testés positifs, elle se diffuse comment ? En Bittorrent peut-être !?
Dans les 2 cas, y'a un serveur central.
Et je vois pas en quoi sécuriser un serveur est plus risqué que de sécuriser chaque terminal qui recevra la liste des pseudonymes testés positifs...
@byte_order
https://www.igen.fr/ailleurs/2020/04/tracage-des-contacts-apple-et-google-detaillent-leur-api-commune-114581
On parle quand même d’un serveur qui regroupe des données sensibles de tout le monde alors que sur le smartphone ce n’est que d’une personne et qu’un iPhone est bien sécurisé et ça aussi https://www.igen.fr/iphone/2020/04/tracage-des-contacts-quest-ce-que-cest-et-que-preparent-apple-et-google-114311
@Krysten2001
> On parle quand même d’un serveur qui regroupe des données sensibles de tout le monde
Euh, des millions de pseudonymes, surtout. C'est pas franchement des données personnelles, et surtout ce n'est en rien rattachable à un individu en particulier.
Sauf par le fait que telle adresse IP aura poussée telle liste de pseudonymes croisés.
> alors que sur le smartphone ce n’est que d’une personne
Ben non, la liste des pseudonymes testés positifs depuis moins de 14j, ce n'est pas que d'une personne. Mais, là encore, c'est pas plus rattachable à une personne.
Sauf par le fait que telle adresse IP aura demandé la liste des pseudonymes testés positifs depuis moins de 14j.
> un iPhone est bien sécurisé
Et pourquoi des serveurs ne pourraient pas l'être tout autant ?
Vous croyez vraiment que tous les serveurs accessibles sur Internet depuis votre iPhone sont ouverts aux 4 vents !?
Mais bon, on s'écarte du sujet de l'article ci dessus.
@byte_order
Merci de lire les articles que j’ai posté😉 si Apple et Google font une API pour le respect de la vie privée c’est que ce n’est pas si privée que ça. Un serveur sera beaucoup sujet à des attaques que un smartphone d’une seule personne lambda. Et il semble qu’avec le gouvernement c’est eux qui donnent les identifiant et une fois que tu allais chez le médecin tu étais identifié entre autre...
@Krysten2001
> Merci de lire les articles que j’ai posté
Déjà fait.
Et ils disent exactement la même différence entre l'approche dite "décentralisée" et celle dite "centralisée". Dans les 2 cas y'a bien un serveur central.
Et vous, les avez vous bien lu ces articles ?
> si Apple et Google font une API pour le respect de la vie privée
> c’est que ce n’est pas si privée que ça
Le premier besoin et l'origine de l'API commune, c'est de permettre aux développeurs d'exploiter la proximité BT sans exploser la conso de la batterie et, dans le cas de iOS, sans être rejeté par les règles de l'AppStore.
La partie génération de pseudonymes n'a jamais eu besoin d'une API au niveau OS, c'était pas un point bloquant ça. Générer un UUID, même toutes les minutes, c'est facile même sans API dédié pour cela.
> Un serveur sera beaucoup sujet à des attaques
Comme tout serveur, quoi. Internet ne s'effondre pas pour autant.
Les protocoles de communication type HTTPS sont parfaitement maitrisés, c'est pas comme si il y avait besoin d'inventer un protocole de transport particulier qui serait fragile, hein.
> que un smartphone d’une seule personne lambda
que les N smartphones des N personnes.
Il suffit d'une seule app installée par ces mêmes N personnes qui trouverait moyen d'accéder aux données de l'app StopCovid par exemple pour que la liste des pseudonymes des testés positifs puisse fuiter, par exemple.
Bon, cela reste des pseudonymes pas des données permettant de trouver la personne réelle derrière, mais ça c'est vrai quel que soit l'emplacement où le pseudonyme se trouve, hein.
> Et il semble qu’avec le gouvernement c’est eux qui donnent les identifiant
> et une fois que tu allais chez le médecin tu étais identifié entre autre...
Non. L'identifiant est un code donné par le médecin pour pouvoir se déclarer positif dans l'app, rien d'autre.
C'est pas surprenant, on s'en doutait mais c'est pas pareil quand c'est confirmé
@Mageekmomo
> on s'en doutait
Oui, toute personne sachant lire quand elle choisi d'autoriser la collecte dans le cadre d'un programme d'amélioration de l'expérience utilisateur pouvait s'en douter.
Quelle surprise, franchement.
Le plus suprennant, c'est finalement le nombre de gens qui ne lisent pas les demandes d'autorisation. Affligeant.
En même temps c'est une boîte chinoise donc avec le gouvernement chinois derrière (comme huawei), et comme on sait que le gouvernement chinois n'est pas trop fan de la vie privée ça les arrangent bien d'avoir accès à ce genre d'informations.
Par exemple l'historique internet permet de connaître les opinions politiques avec plus ou moins de précision.
Et dire que certains achètent encore ces téléphones chinois....
Si un jour je pense chez Android (personne n’est parfait) ce sera Samsung.
@iftwst
Penser ou passer d’ailleurs 🙃
@ iftwst : "Si un jour je pense chez Android (personne n’est parfait) ce sera Samsung."
-------------------
Tu as raison, ce sera beaucoup mieux.
https://www.lebigdata.fr/samsung-donnees-smartphones-galaxy
Le géant coréen précise aussi avoir ” peut-être ” vendu plusieurs catégories de données avant l’adoption du CCPA telles que les identifiants personnels uniques, les identifiants en ligne ou les adresses IP, les informations commerciales (achats en ligne, recherches de produits), et les données d’activité internet.
Ces différents types de données ont par ailleurs pu être combinés pour créer un profil complet sur l’utilisateur reflétant ses préférences, ses caractéristiques, sa psychologie, ses prédispositions, ses capacités intellectuelles ou on comportement.
Comme si cela n’était pas assez alarmant, Samsung précise aussi avoir "éventuellement" (gros LOL) vendu des informations personnelles à des tiers à des fins de business. Ceci concerne les noms, adresses, numéros de téléphone, numéros de compte bancaire et de carte de crédit, historique d’achat et de navigation sur le web, et données de géolocalisation. Là encore, ces informations ont pu être combinées pour établir des profils.
le Customization Service de Samsung collecte lui aussi des données sur les applications utilisées sur votre smartphone Galaxy, la musique que vous écoutez, les sites web que vous visitez, les recherches que vous effectuez où les dates et lieux auxquels vous prenez des photos. Ce service est intégré à l’ensemble du logiciel Samsung Galaxy et aux applications associées. Les informations sont ensuite utilisées à des fins de ciblage publicitaire.
La politique d’exploitation des données de Samsung est donc pire que celle de Google, pour deux raisons principales. Tout d’abord, Samsung ne se prive pas de vendre les données à des tiers. De plus, son utilisation des données est nettement moins mise en lumière et semblerait presque dissimulée…
@iftwst
-1) je dirais que 90% des gens n’en n’ont rien à foutre tant que l’entourage ne puisse pas accéder aux données privées.
-2) le rapport qualité/prix est excellent
-3) un smartphone à 100/200€, que beaucoup de gens achètent uniquement pour des tâches ultra basiques, ne contient que très peu d’infos
@armandgz123
Par contre l’application stop covid : quel scandale !! N’importe quoi ta réaction ...c’est inadmissible point final mais vu le prix de leurs phones il faut bien qu’ils gagnent de l’argent d’une autre manière ...
@pga78
Apple fait pareil avec Siri et là, ils ne respectaient pas la réglementation européenne contrairement à Xiaomi (apparement).
Donc calme-toi, c’est partout pareil
@armandgz123
Sauf qu’Apple ne les utilisait pas à son propre compte, ni pour se faire de l’argent.
@Krysten2001
> Sauf qu’Apple ne les utilisait pas à son propre compte, ni pour se faire de l’argent.
Euh... cela change quoi ?
Une collecte de données personnelles à but non lucratif c'est ok ?
Du coup, StopCovid, cela tombe dans ce champ, non ?
Non.
Une collecte de données personnelles est une collecte, point.
Elle est soit autorisée par la personne, soit pas.
Ici, le mode incognito ne respecte pas l'incognito. Et probablement que la personne n'ayant pas lu les options lors de l'installation initiale, elle ignorait qu'elle avait autorité la collecte qui, de mémoire, ne prétend pas être anonymisée, mais faudra que je vérifie.
@byte_order
On parle de Siri et pas de l’application du gouvernement merci. Et on peut lire dans l’article que Xiaomi recevait plus de données qu’il n’en fallait.
@Krysten2001
> On parle de Siri et pas de l’application du gouvernement merci.
Vous dites que la collecte faite par Siri n'était pas utilisé par Apple pour faire de l'argent.
Je ne vois pas en quoi cela légitime quoi que ce soit.
D'où mon exemple : si l'usage purement à but non lucratif d'une collecte non consentie vous pose pas de problème, alors c'est valable aussi pour une collecte de données pour une app StopCovid, cela serait logique.
> Et on peut lire dans l’article que Xiaomi recevait plus de données qu’il n’en fallait.
Et cela fait 2 fois déjà que je vous dis que nul part n'est présenté en quoi cette affirmation "plus que nécessaire" repose sur une violation de la légalité.
Est-ce que Xiaomi affirmait que les données seraient anonymisées, oui ou non ?
Je ne le sais pas, je peux pas vérifier de suite, mais ce n'est pas en répétant encore et encore la même affirmation qui n'est accompagnée par aucun détail que vous pouvez affirmer que cette collecte plus large que nécessaire est en conséquence illégale.
Car pour cela il faut voir les détails de ce qu'à consenti l'utilisateur.
@byte_order
On parlait du fait qu’Apple gagnerai de l’argent avec Siri donc j’ai répondu à ça. Apple n’a pas d’intérêt à faire de l’argent avec les données personnelles et surtout que c’est un gros argument pour elle. Et Xiaomi aurait collecté plus de données qu’il ne fallait... entre avoir des données perso sans le vouloir et le faire exprès...
> Apple n’a pas d’intérêt à faire de l’argent avec les données personnelles et
> surtout que c’est un gros argument pour elle.
Donc elle a bien un intérêt financier lié aux données personnelles.
Elle ne les vend pas, mais elle tire un bénéfice financier que vos données personnelles soient chez elle. Un peu comme un banque qui vous propose un coffre, quoi.
> Et Xiaomi aurait collecté plus de données qu’il ne fallait...
> entre avoir des données perso sans le vouloir et le faire exprès...
Mais, encore une fois, nulle part Xiaomi a dit dans le texte décrivant la collecte que ces données seraient limitées à ceci, cela, mais pas ceci ni cela. Le "plus que nécessaire" est une opinion exprimée par l'auteur de Forbes, et le blogueur derrière cette découverte qui a pourtant du voir la demande d'accord pour la collecte lors de l'installation initiale de son smartphone (importé du marché Indien, au passage...), pas une preuve d'illégalité.
@armandgz123
N’importe quel téléphone a des infos personnelles, même le mec le plus pauvre qui a acheté le téléphone le moins cher va faire comme tout le monde, recevoir les mails, faire des photos, avoir tous ses contacts dedans, écrire des messages, etc. Donc un téléphone basique n’est pas un argument, et une utilisation basique regroupe énormément d’infos personnelles.
@roccoyop
Non, je connais pas mal de monde qui n’utilise un smartphone uniquement pour écouter la musique, téléphoner et envoyer des messages avec whatsapp
Pages