Apple exige la suppression de l’enregistrement de l’écran sans consentement dans les apps utilisant Glassbox
Les développeurs à l’origine des applications qui enregistrent les faits et gestes des utilisateurs sans leur consentement ont été prévenus : Apple exige une modification du code des apps, sinon elles seront éjectées de l’App Store. Les applications en question ne sont pas des inconnues : Air Canada, Hotels.com, Singapore Airlines, Abercrombie & Fitch et d’autres encore ont été prises la main dans le sac (lire : Des apps populaires capturent l'écran des utilisateurs sans leur dire).
Plusieurs d’entre elles (toutes, sans doute) ont été notifiées aujourd’hui par Apple afin qu’elles fassent le nécessaire et retirent le code indésirable… dans la journée, selon TechCrunch qui a aussi révélé l’affaire la nuit dernière. Au cœur du scandale, la boîte à outils Glassbox qui enregistre les mouvements des doigts des utilisateurs dans les applications incriminées.
Ces informations sont utilisées pour réduire le taux d’erreur dans les apps ; Glassbox fournit à ses clients la capture de l’écran en masquant les informations sensibles… mais pas toujours. Il peut rester des données importantes visibles de l’éditeur, comme des identifiants, des coordonnées bancaires, etc. Et le tout, sans que l’app demande l’autorisation d’enregistrer les gestes de l’utilisateur.
« Protéger la vie privée des utilisateurs est primordial dans l’écosystème Apple », a indiqué un porte-parole du constructeur. « Les règles de conduite de l’App Store requièrent que les apps demandent à l’utilisateur un consentement explicite et qu’elles fournissent une indication visuelle claire lors de l’enregistrement de l’activité de l’utilisateur ». Ce qui n’est pas le cas pour ces apps utilisant Glassbox.
Apple n’entend pas interdire l’usage de ces outils, mais l’entreprise exige l’accord de l’utilisateur. De fait, il est probable que les éditeurs préfèrent s’en passer plutôt que de risquer l’ire de la Pomme. Du côté de Google et du Play Store, pas encore de réaction, bien que Glassbox soit disponible là bas aussi.
@bidibout
Je plains tes collègues car si tu règles les problèmes comme ça ils sont dans la m...
@bidibout
Pas compris non plus je te rassure ...
@bidibout
Je me demande dans quel genre de boite tu travailles et comment tu règles les problèmes
@malcolmZ07
Je croyais que ton Appl€ store était sécurisé....on t’aurais menti?
@bidibout
Exactement
Ah ça fait plaisir de voir qu'autant Google qu'Apple se foutent royalement et ouvertement de la gueule de leurs clients. Plus une semaine sans un scandale sur de la fuite de données ou de l'espionnage. Une alternative solide, vite !
@lmouillart
https://ubports.com/fr_FR/
@reborn
Le hic c'est que les problèmes viennent d'une application et pas de l'OS.
@baklawa
Une app censée être vérifiée avant sa mise à disposition sur l’app store...
Peut être qu’il faudrait mettre un peu plus de staff de ce côté là
@baklawa
« Le hic c'est que les problèmes viennent d'une application et pas de l'OS. »
Le hic c’est qu’elle était impunément sur le store, soit disant sécurisé...
@pagaupa
Le remarque était en réponse à l'aspect Open Source ou pas de l'OS. Un OS Open Source ne garantit rien pour les apps, d'ailleurs Android est Open Source.
Le store ultra sécurisé est un leurre on est bien d'accord
@lmouillart
Je ne pense pas que ce soit apple qui se foute de nous en nous espionnant (sinon Siri serait bien meilleur et sûrement au niveau de Google assistant par exemple) mais bien les développeur de cette fonctionnalité d’espionnage
Mais Apple a bien validé Glassbox. Ils sont donc censés savoir ce que permet cette application qu'utilisent de nombreux développeurs.
Qui nous dit qu'il n'y a pas d'autres applications traitant de manière tout aussi légère la confidentialité des données personnelles, validées par Apple, utilisées par des apps tout à fait honorables et pour lesquelles Apple ne fera rien tant que personne de lancera d'alerte???
@SyMich
Sans vouloir trouver des excuses à App’e il y a un nombre incalculable d’application à valider sans compter les mise à jour. Et il y a tellement de possibilité de coder que l’on peut très bien penser que ce type de code ne soit pas en vérification automatique ce qui pourrait changer.
On peut dire ce que l’on veut d’Apple mais pour moi ce sont les seuls qui font le maximum pour nos données. On ne peut pas en dire autant de Google.
Oui il y a eu FaceTime et celle-ci mais ils réagissent vite sur ces cas. Et je m’en réjouis.
Maintenant il y en aura d’autres c’est sûr.
Glassbox étant une boîte à outils à usage des développeurs, la moindre des choses serait qu'Apple ait une vigilance particulière quant à sa validation!
@SyMich
S’il n’existait que Glassbox, oui. Mais des librairies externes il en existe une infinité...
La validation se contente de vérifier l’usage d’API privées, le respect des règles « de bonne conduite », l’usage matériel ou logiciel des fonctions fournies par iOS...
Le fonctionnement d’une librairie, surtout au milieu d’autres, rajoute une couche énorme à la vérification
Ça signifie qu'Apple ne se donne pas les moyens d'empêcher que soient diffusées sur son store des apps tel que des keyloggers enregistrant et envoyant au développeur de l'app tout ce qu'on tape au clavier (ce n'est pas l'objectif de Glassbox, mais on peut imaginer des librairies externes beaucoup moins "nettes" encore qu'Apple laissera donc passer)
@SyMich
Parce qu’il est physiquement impossible de vérifier chaque librairie une par une pour une multitude de projets différents
Les claviers alternatifs le font et ils sont sur le store. Il suffit qu'ils annoncent ce qu'ils font dans leurs conditions d'utilisation et c'est validé
@lmouillart
Il faudrait que les gens arrêtent vraiment d'aller sur facebook une semaine entière ou même un mois. Et pareil pour les autres services: Tout boucler, désactiver etc.
Mais c'est comme pour l'alimentaire: le client est roi et à un pouvoir d'achat, pourtant la situation ne change pas car ils ne l'utilisent pas ou pas assez.
@lmouillart
Pauvre de toi. Tu n’as vraiment rien compris.
Les apps n'ont qu'a faire une mise a jour avec des conditions d'utilisation qui s'affichent, que tout le monde va valider sans lire et tout le monde sera content.
Reste le problème des infos qui remontent à Glassbox ...
C'est Glassbox (et les autres applications similaires) qu'Apple devrait bannir !
Et est-ce que Macgé se sert de Glassbox ?? ?
Chez Google ils en ont rien à faire de la vie privée donc pkoi ils réagiraient ?
@SIMOMAX1512
Détrompe toi, ils aiment siphonner ta vie privée mais ils n’aiment pas que d’autres puissent le faire
Ah le monde fantastique de l'informatique moderne: pas de respect, pas de retenu, du foutage de gueule avec un gentil "sorry",... C'est dommage, à force ils vont provoquer une véritable aversion aux nouvelles technologies. Dans mon cas, je mets en pratique avec comme dernier achat audio une micro chaîne Hifi: coût égal à une paire de Sonos/Airpod, qualité audio au moins équivalente, pas de micro, pas d'abo, pas de GAFAM, et pourtant connecté avec mon NAS et mes "vieux" CD rippés en FLAC.
@Glop0606
Tu es le RMiste de l’informatique ???
Je trouve ça incroyable qu’Apple ai cédé elle aussi aux pressions des médias :(
Sérieusement, je ne vois absolument pa le problème, qu’est-ce qui dérange les gens dans le fait de partager avec l’éditeur des applications ses interactions avec ces dernières ?
Ils ont de toute façons accès a vos données, la seule différence étant ici que vous leur transmettez vos gestes ☹️
Désolé, mais l'éditeur de l'app n'est pas censé avoir certaines informations meme si on les saisit dans son application, comme le numéro de votre carte bancaire et son code de sécurité par exemple, ou encore le mot de passe de votre compte client. Et Glassbox, qui peut aussi être destinataire de ces mêmes informations, ENCORE MOINS!
Sauf que dans l'histoire, Glassbox ou non, ça ne change rien.
Si un editeur d'application mal intentionné qui au sein de son application affiche des formulaires de paiement veut récupérer ces informations, il n'aura pas besoin de Glassbox pour le faire.
Pour faire une analogie grossière, c'est comme dire que tous les gens qui possèdent des couteaux sont des assassins. Au fond, t'as pas besoin d'un couteau pour tuer quelqu'un et le fait de posséder un couteau ne va pas te donner l'intention de tuer quelqu'un.
Cette histoire n'a pas de sens
Mais l'argument principal d'Apple pour imposer son store c'est justement de protéger ses clients de ces dangers potentiels.
S'ils ne sont pas foutus de faire les vérifications empêchant que des infos aussi sensibles que des codes bancaires ou des mots de passe soient transmis en clair à n'importe qui, il y a un gros problème.
Je ne connait pas encore d'outil ou d'humain capable de juger des intentions présentes et futures de quelqu'un d'autre.
Désolé, mais ça n'a de sens que dans minority report ?
Ya un outil humain qui s'appel le cerveau et qui avec la quantité de fuite de données qu'on voit depuis quelques années devrait réagir immédiatement dans ce genre de cas :)
> Mais l'argument principal d'Apple pour imposer son store c'est justement de protéger
> ses clients de ces dangers potentiels.
Le problème c'est que l'argument - marketing - n'est pas la vérité. Ce qui est protégé ce ne sont pas les clients - bel exemple ici d'apps parfaitement validées par l'AppStore et distribuées uniquement que par l'AppStore. Ce qui est protégé c'est le contrôle d'Apple sur la distribution, dans le but premier non pas de protéger ses "clients"' mais de tirer un profit maximal de ce contrôle.
Visiblement, les coûts de validation pour empêcher qu'une application utilise une techno connue pour siphonner des données personnelles sans l'accord de l'utilisateur sont trop élevés pour assurer une protection *préventive*. Apple choisi donc de les protéger à postériori.
La protection à postériori, tout un concept ^_^
@Troogdor
« Au fond, t'as pas besoin d'un couteau pour tuer quelqu'un et le fait de posséder un couteau ne va pas te donner l'intention de tuer quelqu'un. »
L’intention, non, mais l’occasion, certainement.
D’où l’interdiction d’en avoir un sur soi.
Il y a 2 victimes dans cette histoire :
- Glassbox, dont la solution permet quand même d’améliorer le parcours client
- Les utilisateurs, qui sont in fine les gagnants de l’utilisation de cet outil qui vise à améliorer l’UX.
Glassbox est utilisé par des UX Designers et des développeurs, c’est un outil précieux pour comprendre où les utilisateurs bloquent ou abandonnent dans le parcours client.
Sur leur site, Glassbox precise quand même que les données sont masquées et anonymisées... si les sociétés qui utilisent Glassbox activent bien cette fonction :
« Can I mask sensitive data that is being recorded so it doesn't appear when replaying a session? »
Yes. Glassbox has advanced masking and omitting capabilities.
Au nom de la sacro-sainte confidentialité des données, peut-on tout sacrifier, y compris l’expérience utilisateur ?
La réaction d’Apple ne devrait pas être « je contrains les entreprises à arrêter d’utiliser Glassbox », mais « je contrains Glassbox à activer obligatoirement et durablement l’anonymisation des données collectées via leurs outils. »
EDIT : Correction, la réaction d’Apple est plutôt de demander l’accord à l’utilisateur de collecter ses données. Et pourquoi pas ? Au premier lancement d’iOS, il y a bien un écran confidentialité qui demande explicitement l’accord aux utilisateurs de partager anonymement leurs données à des fins d’amélioration de leurs produits...
@mattcastel
« Au nom de la sacro-sainte confidentialité des données, peut-on tout sacrifier, y compris l’expérience utilisateur ? »
Oui. Cette même expérience utilisateur a trop servi d’excuse pour faire accepter tout et n’importe quoi en termes de collecte de données. Avec le cynique « Ce dispositif de flicage avait pour but d’améliorer l’expérience utilisateur. Désolé on le refera plus. » posté par l’éditeur pris la main dans le sac.
Votre reflexion, comme celle de beaucoup ici est limitée, probablement car vous portez une opinion sur un sujet que vous ne maitrisez pas
@Troogdor
Qu’en savez-vous ?
Même si toutes les entités qui traitent des données personnelles ne sont pas à mettre dans le même panier, l’obsession de collecte de beaucoup d’entités, les risques sur la donnée dès lors qu’elle est stockée et traitée et la finalité trop souvent superflue invoquée (vendre de la publicité ciblée, améliorer l’expérience utilisateur, permettre de reconnaître un visiteur sur une page et ses préférences...), le potentiel de réutilisation dans des attaques ciblées, les abus toujours plus fréquemment relayés font que oui, la confidentialité devrait être la priorité absolue dans la conception des applis et services.
@mattcastel
"Sur leur site, Glassbox precise quand même que les données sont masquées et anonymisées... si les sociétés qui utilisent Glassbox activent bien cette fonction"
Ce serait tellement simple d’activer cette fonctionnalité par défaut. Parce qu’on est bien d’accord, pour l’amélioration du parcours de l’usager, elles en servent à rien?
Glassbox ne fait que se protéger en repoussant la responsabilité vers ses clients… qui arrondissent leurs fins de mois difficiles en vendant sans état d’âme les données personnelles de leurs clients, acquises sans autorisation.
C’est un peu comme si une boite fournissait des lunettes à infrarouge aux artisants du bâtiment qui viennent faire des travaux chez toi pour qu’ils puissent voir ce qu’il y a dans tes placards, tout en leur disant : mais vous pouvez ne pas vous en servir.
Vous délirez, vous pensez qu'une boite a déjà vendu à une autre boite les donnés nominatives des interactions de ses utilisateurs avec sa propre application ?
Et vous pensez qu'une boite pourrait être intéressé par ça ?
Et même si c'était la cas, il y'a potentiellement bien pire.
@mattcastel
« Au nom de la sacro-sainte confidentialité des données, peut-on tout sacrifier, y compris l’expérience utilisateur ? »
Évidemment.
La validation d’Apple ne peut pas faire l’impossible c’est à dire tout tester. Sinon il n’y aurait aucun bug dans aucune application.
Les développeurs utilisent des librairies dont ils ne savent rien du fonctionnement interne. Cela repose sur le respect d’engagements conclus.
Combien d’applications utilisent les librairies de Microsoft, Google, Facebook, Twitter dans savoir ce que si passe dans les détails ?
Comment Apple peut « deviner » le fonctionnement néfaste de ces librairies ?
La meilleure solution serait en effet de demander l’accord de l’utilisateur au lancement, AVANT toute exécution de librairies externes.
Il y a quelques années je voulais implanter le partage Facebook dans un de mes jeux. J’ai donc intégré l’API Facebook. Avec le simulateur sous Xcode et un sniffeur – Little Snitch – je me suis aperçu qu’à chaque lancement du jeu une requête était envoyée aux serveurs Facebook. Que contenait cette requête ? Je n’en sais rien. Mais cela ne m’a pas plus. En gros à chaque fois que l’utilisateur lance le jeu, Facebook le sait. C’est du pistage.
Il faudrait arrêter de se scandaliser à la moindre découverte de violation de vie privée. On le sait, on est d'accord en utilisant nos téléphones ou tablettes et divers services web. Ça ne va pas s'améliorer, ça ne fait que commencer (c'est quoi 10 ans ? c'est rien) et il faut savoir qu'une entreprise ne reculent jamais devant un bon potentiel financier. Ou si rarement.
Donc vos données personnelles, elles sont "libres de droit".