Bluetooth : une faille permet d'identifier les appareils iOS et Windows… mais pas Android
Dans les premiers jours de la norme Bluetooth, tous les appareils diffusaient leur adresse MAC en clair, ce qui permettait de les suivre à la trace. Depuis la spécification Bluetooth Low Energy (BLE), les fabricants peuvent utiliser des identifiants temporaires, pour limiter les possibilités de pistage. Problème : des chercheurs de l'université de Boston montrent que ce système n'est pas infaillible.
À l’occasion du 19e Privacy Enhancing Technologies Symposium, trois chercheurs de l’université de Boston ont présenté leurs travaux sur le pistage des « appareils Bluetooth anonymisés ». Johannes Becker, David Li, et David Starobinski rappellent que le BLE exploite quarante canaux de communication entre 2 402 et 2 480 MHz, dans la fameuse « bande des 2,4 GHz ». Trois canaux sont employés pour diffuser ponctuellement des messages — « je suis disponible », « est-ce que des appareils veulent se connecter ? », « voici ma position », ou encore « c’est moi ! ».
Ce dernier message contient généralement une adresse MAC, un identifiant unique à chaque interface réseau. Comme tout identifiant unique, il peut être utilisé pour pister un appareil particulier. La plupart des fabricants n’utilisent donc plus la véritable adresse MAC, mais une adresse temporaire changée plus ou moins régulièrement. Sauf que cette adresse est généralement accompagnée d’autres données. Armée d’une version modifiée des outils BTLE, les chercheurs montrent que ces données supplémentaires peuvent être utilisées pour identifier un appareil.
Les chercheurs se sont contentés d’écouter les balises envoyées par les appareils, et leur algorithme « n’exige pas de déchiffrer les messages ou de casser la protection du Bluetooth ». Le problème réside dans la structure même des données transmises : « nous avons remarqué que les appareils tournant sous Windows, iOS, ou macOS, transmettent des messages contenant des structures de données personnalisées, qui sont utilisées dans le cadre d’interactions spécifiques à ces plateformes ».
Les messages envoyés pour établir les connexions Handoff et AirDrop, ou encore ceux nécessaires à la connexion des stylets de la Microsoft Surface et de l’iPad Pro, vendent ainsi la mèche. La structure des données émises par les montres connectées Fitbit est reconnaissable entre mille. Et Android, dans tout ça ? Comme il n’envoie pas de balises de manière régulière, mais attend plutôt d’en recevoir, il n’est pas vulnérable aux mêmes techniques d’écoute.
conclusion: sur android la vie est plus sure :D
(mode cynique)
sinon c'est pas un truc dans l'idée qu'apple a présenté avec les nouveaux OS? le signal censé permettre de repérer en permanence ses devices?
Sur les deux systèmes, la vie est aussi sûre au final quand on est un peu objectif...
Mais bon c'est plus facile de se lâcher et de croire que l'autre est une passoire et que l'on a des virus juste en regardant le téléphone
Oui, ce n'est pas parce le promoteur de l'une des plateformes a fait de la sécurité son discours marketing que cela signifie que les autres plateformes, qui communiquent moins sur le sujet, sont notablement moins sécurisées pour autant.
Le marketing amplifie artificiellement l'écart, et c'est évidement volontaire, mais il appartient à chacun à faire la différence entre des éléments de marketing et une réalité jamais aussi blanche ou noire que certains veulent le faire croire.
@Godverdomme
Euh ouais ok ! Mais on ne paye plus le PRIX fort pour iOS et sa sûreté (à entendre la majorité ici)? 😂
De plus en plus drôle... après les fameux :
« Beurk android »
« Vous savez moi j’ai choisi iOS pour la confidentialité et la sécurité [...] je surkiffe Facebook insta whatsapp Waze.. »
@anonx
Je reste sur iOS pour l’écosystème (iDevices, Mac’s, HomeKit, Airplay, iCloud, wearable), l’expérience, mais aussi pour la confidentialité et la sécurité.
Je n’ai ni Facebook, ni Instagram, ni WhatsApp, ni Google, ni ... la liste est longue (ou très, très courte en ce qui me concerne). Je n’ai pas non plus de compte mail gratuit, à part pour les échanges à spams.
Je ne suis pas venu à Apple pour tout ça, mais juste pour l’expérience utilisateur.
Ceci dit, « Beurk Android », j’ai donné (essayé) et... j’ai donné (mes devices).
@PomBreizh
"Je n’ai pas non plus de compte mail gratuit,"
Tu as quoi comme compte mail si ce n'est pas indiscret ?
@phil3
E-mail et hébergement payants sur un provider européen.
5,99€ par mois pour le mail et 17,98€ par an pour le domaine.
@PomBreizh
Je posais la question parce que je suis également sensible aux données privées et partage ta conviction que seul un mail payant est viable.
Après pas mal de recherches il y a quelques années, j'ai opté pour net-c qui vient de changer de nom et s'appelle Mailo. Il me semble proposer d'assez bonnes garanties.
@phil3
J’utilise Netc... mail to... comme adresse de spam (achats en ligne, abonnements temporaires, contacts en qui je n’ai,pas confiance)
Mon mail payant, plus nom de domaine, me permet d’avoir une (des) adresse(s) privée(s) pour la famille, amis, associations. Plus la;possibilité de créer des alias pour les services auxquels je souscris (stockages, services), ce qui permet de les révoquer dès que je n’en ai plus besoin, évitant par là même toute relance/spam, tout en permettant la concentration des mails de gestion sur une et une seule boîte.
Du coup, tu n'envoies aucun message a des contacts avec Gmail, pour ne pas qu'ils soient lus par Google?
Un destinataire Outlook, tu envoies des messages ou pas ?
Je suis curieux de voir comment tu fais pour garder ta vie privée a ce niveau.
@Godverdomme
En l’occurrence, pas de mail envoyé vers une adresse Google depuis une adresse que je souhaite préserver du spam, oui. Et lorsque ça arrive, je supprime la boîte et en crée une autre.
Pour ce qui est du contenu, je n’ai pas pour habitude de raconter ma vie par mail, donc peu importe.
Ta méconnaissance du spam est impressionnante...
Si il y a bien une société qui n a aucun intérêt a divulguer ton adresse mail c'est bien Google, il faut se renseigner sur le modèle économique le plus connu au monde !
Ils ont intérêt a prendre le plus de données possibles sur toi, et les garder en interne, contrairement aux autres modèles économiques, c'est ce qui en fait sa spécificité...
@PomBreizh
👍
@macfredx
Il semble que nous ayons la même hygiène.
@PomBreizh
Et bien sûr tu représentes la majorité... 🙄
C'est surtout que par rapport a la faille Facetime qui permettait de voir et entendre n'importe qui, les SMS qui font redémarrer un téléphone, le matériel des MacBook, c'est fou de ne pas accepter que Apple est une marque congé les autres, avec ses avantages et inconvénients.
Et le plus drôle, c'est que rien que dire cela, c'est passer pour un hâter!
@Godverdomme
La confidentialité n’existe pas dans le monde numérique 🤷🏻♂️
Je ne parle même pas du monde réel...(impôt, assurance maladie, caf, dossier médical, logement social, banque...) Même le plus perdu des marginaux, on sait tout de lui !!
@anonx
Á ceci prêt que les mails et compagnie dévoilent tes pensées et opinions. Ça pose un problème éthique bien différent des impôts et autres administrations.
@phil3
Oh non pour ça Apple propose Apple News 😁
« nous avons remarqué que les appareils tournant sous Windows, iOS, ou macOS, transmettent des messages contenant des structures de données personnalisées, qui sont utilisées dans le cadre d’interactions spécifiques à ces plateformes ».
Mais la question centrale est : quelles sont ces données transmises ?
Non ?
@Yves SG
Bah ouais clairement !
La tout ce que l'article dit c'est que les chercheurs savent différenciés un iOS d'un Android...
C’est bien beau tout ça mais IRL qu’elles pourraient être les conséquences ? Même si on a l’adresse Mac réel du réseau Bluetooth que pourrait faire une personne mal intentionné ? Bien curieux de savoir 😊
@onemorething
Tout à fait, à part suivre un appareil en Bluetooth (donc à moins de 10-50-100m), une fois identifié.
Un article qui manque une peu de profondeur.
La précipitation et l’immédiateté dictées par le oueb ne sont pas toujours de bon aloi.
Cela veut dire que tu peux être suivi a la taxe dans une ville. Quelques modules bien placés, et on peut dire ou tu vas faire tes courses, quand tu travailles, et quand tu vas voir ta maîtresse.
On dirait que ta vie privée est limitée aux emails... Et encore....
@Godverdomme
« Quelques » lol
Un par endroit où l'on veut te tracer, exactement...
Microsoft va certainement réagir rapidement... Appl€ dans quelques mois, disant que ça n'est pas grave
You are Bluetoothing wrong qu'ils vont dire