EthACK The Swiss Privacy Basecamp

On l'a vu, lu, entendu, Facebook s'est fait prendre la main dans le sac à données personnelles. Ou, plutôt, une société tiers, qui a simplement profité de ce que Facebook met à disposition.

D'aucun parlent de "vol de données". Ce n'est pas le cas. D'autres parlent de "manipulations" des votations. On y reviendra. Quoi qu'il en soit, la cacophonie entourant cette "découverte" nous laisse un peu perplexes. Voici pourquoi.

Facebook ne vous vole rien

C'est bête à dire, mais tout ce que Facebook sait de vous, c'est vous-même qui mettez ces informations à dispositions, que ce soit au travers de vos publications, "likes", commentaires, ou par l'emploi du "login facebook" pour des sites/applications tiers.
Ce que Facebook fait de tout cela est expliqué dans les fameuses "conditions générales d'utilisation", que vous avez acceptées lors de votre inscriptions. Vous recevez en outre des informations dès que Facebook effectue des modifications de ces fameuses CGU. On peut reprocher pas mal de choses à Facebook. Mais de vous voler des données, non, on ne peut décemment pas.

La manipulation

Là encore, il faut savoir raison garder : si on est manipulé, c'est qu'on prête le flanc, de part notre crédulité, notre propre bêtise, ou notre enfermement.  Mais on ne peut, réellement, manipuler les gens que s'ils se laissent faire. Alors oui, pour éviter la manipulation sur les réseaux, il y a plusieurs choses à garder en tête, comme par exemple :

• garder un esprit critique
• toujours valider ce qu'on lit (que ce soit sur Internet ou même dans des journaux)
• demander/chercher une seconde opinion
• ne jamais avaler tout droit la soupe de (dés)information
• sortir de notre "bulle de confort"

Le dernier point est sans doute le plus important et, potentiellement, le plus compliqué, surtout si on est dans un système tel que Facebook. Pourquoi nous demandez-vous ? On va l'aborder :).

Le modèle économique

Facebook marche à la publicité. Ce qu'ils vendent aux annonceurs, c'est une certaine garantie que les publicités affichées apporteront des clients. Et la manière la plus "simple" de faire cela, c'est d'exploiter les données que nous lui fournissons - et de dresser des profiles à même de satisfaire les attentes des annonceurs.
C'est aussi simple que cela. On utilise une plateforme "gratuite", qui exploite nos données pour nous afficher de la publicité - que ce soit sur Facebook directement, ou sur des sites employant les plugins de Facebook.

Il n'est donc pas étonnant que Facebook récolte les données et les traite. Et, encore une fois, les conditions ne cachent pas ce traitement.

Cambridge Analytica

Ce n'est pas la seule entité à exploiter Facebook - n'importe quelle application qe vous activez dans votre compte peut accéder à vos données - les permissions demandées vous montrent bien ce à quoi elles accèdent.
Cambridge a juste créé une application (un test psychologique), demandant l'accès aux données de manière complètement transparente, et a ensuite exploité le tout, dans le but de créer des annonces/articles/autres de manière à, peut-être tenter d'influencer en confortant les gens dans leurs positions.

CA a juste poussé les choses plus loin que les autres annonceurs et développeurs qui utilisent Facebook. La seule raison qui explique le soudain "omg-effect", c'est que ça a été démontré par un lanceur d'alerte, et que c'est en lien avec le président actuel des USA, qui n'est pas dans le cœur de tout le monde… Mais ce ne sont pas les premiers, ni les seuls, ni les derniers.
Même si Facebook assure travailler à améliorer la confidentialité, il y aura toujours le facteur humain : les gens vons continuer d'accepter sans regarder, ce qui laissera les données en "libre accès".

Nous avons découvert il y a peu Marc Elsberg¹, un auteur allemand. Son premier livre, Black-out, nous plonge dans une Europe où le réseau électrique s'effondre, à cause du manque de conscience des fournisseurs de solutions "smart grid"² au niveau de la sécurité et des risques.

Ce premier livre, bien que présenté comme une fiction, met le doigt sur pas mal de problèmes qui, effectivement, existent. La pertinence technique, tout en usant de quelques simplifications (lire la postface), permet de se faire une idée très claire des problèmes posés par l'Internet des objets³ (en s'intéressant particulièrement aux grosses infrastructures et à leur gestion via des logiciels dédiés).

Le lire et le recommander permettra de vous confronter, ainsi que vos proches, à des réalités qui sont souvent méconnues⁴. Il est très intéressant de lire la postface du livre, l'auteur y décrivant les étapes d'écriture ainsi que les événements survenus pendant ou juste après l'édition. On se rappel de Stuxnet⁵, par exemple, qui avait fait les gros titres par son ciblage précis de certaines infrastructures sensibles.

Plus récemment, mais sans rapport direct avec la gestion d'infrastructures critiques, on peut se rappeler du DDoS⁶ ayant eu pour origine plusieurs dizaines de millier de caméras connectées…

Encore en 2016, trop d'objets connectés manquent de sécurité. Même nos routeurs, passerelles Internet fournies par nos fournisseurs de services, sont vulnérables à de multiples niveaux⁷ !

Le second livre de Marc Elsberg, Zero, nous plonge dans un monde légèrement plus avancé que maintenant, mais au final pas tant que ça. Les technologies décrites dans ce second livre existent et sont mises en applications, seuls certains points techniques sont une anticipation à court terme de ce qu'on va avoir.
Le monde décrit est ainsi : une société collecte, agrège et analyse les données personnelles des utilisateurs de ses applications (on a déjà cela, les exemples ne manquent pas). En contre-partie, les utilisateurs ont droit à deux services :

• la gestion de la revente de leurs données personnelles (ce genre de plate-forme existe déjà)
• des applications intégrées qui permettent d'améliorer son style de vie (là par contre, on n'y est pas encore tout à fait).

En parallèle de cela, un groupe de hacker, Zero (qui n'est pas une référence à Anonymous, eux-mêmes étant cités dans le livre, de même que Lulzsec et d'autres) veut démontrer que la surveillance généralisée ne sert à rien, et que le traitement des données personnelles est déséquilibré.

Là aussi, l'auteur s'est renseigné, documenté. Il expose les problèmes liés aux données personnelles dans un monde de plus en plus connecté. Il évalue les différents points de vue en tentant d'apporter des arguments nuancés et circonstanciés.

La lecture de ce livre peut, là encore, éveiller l'intérêt et permettre une prise de conscience de l'état de notre sphère privée.

De manière générale, nous sommes heureux de voir ce genre de livres sortir et, surtout, rencontrer un certain succès (Black-out a été très bien vendu, et peut même être intégré dans le cursus scolaire allemand). Zero est bien parti pour rencontrer le même succès.

Bonnes lectures !

• ¹http://www.marcelsberg.com/
• ²https://fr.wikipedia.org/wiki/Smart_grid
• ³IoT, Internet of Things, voir https://fr.wikipedia.org/wiki/Internet_des_objets
• ⁴Tout le monde ne peut pas aller aux conférences annuelles du CCC à Hambourg et suivre Scada Strangelove (http://scadastrangelove.org/). Mais les vidéos sont en ligne (https://media.ccc.de/search/?q=scada+strangelove)
• ⁵https://fr.wikipedia.org/wiki/Stuxnet
• ⁶https://fr.wikipedia.org/wiki/Attaque_par_d%C3%A9ni_de_service#D.C3.A9ni_de_service_distribu.C3.A9_ou_effet_de_levier
• ⁷par exemple : http://www.pcworld.com/article/2899732/at-least-700000-routers-given-to-customers-by-isps-are-vulnerable-to-hacking.html — mais il y a d'autres cas et exemples.

EthACK a donné mercredi 12 octobre une conférence sur les bonnes pratiques à l'ère du numérique. Elle s'est déroulée à l'EPS d'Écublens, en présence d'une cinquantaine de personnes.

Le but était de sensibiliser le personnel enseignant sur les problématiques du numérique, sous l'angle "protection des données et sécurité". La durée prévue était d'environ 90 minutes, laissant ainsi largement de temps aux auditeurs et auditrices pour poser leurs questions, nombreuses, et faire part de leurs inquiétudes quant au fait qu'il n'est, au final, pas possible de réellement maîtriser ce qui transite sur les réseaux.

La conférence s'est déroulée en deux parties, une première faisant un rapide état des lieux au niveau des utilisations et menaces potentielles¹, puis une seconde présentant les règles de bases pour une "hygiène numérique".

Diverses discussions quant à la pertinence ou non d'utiliser des applications mobiles pour communiquer avec les élèves ont été menées durant les deux périodes de questions. EthACK a aussi pu relever un problème intéressant auquel sont confrontés tous les membres du personnel enseignant : l'utilisation d'appareils privés dans le cadre professionnel.
Si cela peut sembler une bonne idée, cette pratique, courante et pas limitée au cadre scolaire, pose beaucoup de problèmes, parmi lesquels:

• impossibilité de "débrancher" du travail
• risques de perte/vol de données personnelles à caractère privées dans le cadre du travail
• risques de perte/vol de données professionnelles dans le cadre privé

D'autres sujets, tels que les réseaux sociaux, ont été abordés. Il en est ressorti que peu de personnes présentes avaient un compte Facebook ou assimilé, et le peu qui en avait un n'était pas "ami" avec leurs élèves, ce qui est un bon point : là aussi, être "ami" avec des élèves peut poser des problèmes, tels que la neutralité/impartialité, le transfert bidirectionnel de données personnelles, les possibles implications personnelles/émotionnelles que cela peut créer.

Des questions plus précises, tel que la gestion des mots de passes², ainsi que le rôle des enseignants dans l'éducation numérique des élèves.

Les slides employées pour cette présentation sont disponibles³.

Si vous aussi voulez organiser une conférence/présentation sur ce genre de sujets, que ce soit au sein de votre école, de votre entreprise ou même de votre association, n'hésitez pas à nous contacter.

Pour EthACK,
SwissTengu

• ¹On ne parle pas de journalistes, d'hacktivistes ou autres, non, seulement de Monsieur et Madame tout-le-monde. Le modèle de menace a donc été adapté
• ²On a précisé qu'il convenait mieux de parler de "phrase de passe"
• ³https://github.com/EthACKdotOrg/Presentations/raw/master/20161012/slides.pdf