vendredi 05 février
Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Liens connexes

Dépêche modérée par

Dépêche éditée par

: Votre smartphone est-t-il un mouchard en puissance ?

Posté par Misc (page perso, ). Modéré le 13 octobre 2009.
24
Harald Welte a publié ce matin sur son blog un rapport sur le déploiement d'OpenBSC lors de Hacking-at-random 2009. Pour rappeler les faits, OpenBSC est un logiciel sous GPL permettant d'utiliser une station GSM Siemens BS11 microBTS, et donc de simuler un véritable réseau GSM (2G pour le moment). Le but est d'avoir un outil pour pouvoir tester la sécurité et le fonctionnement des protocoles de téléphonie mobile.

L'utilisation des fréquences étant soumise à autorisation, une demande a été formulée et accordée afin de valider le système avec une charge suffisante et un jeu de terminaux mobiles diversifié. Une expérimentation similaire pour le système OpenBTS (similaire à OpenBSC, mais basé sur GnuRadio et USRP) avait été réalisée lors des festivals Burning Man 2008 et 2009 au Nevada.

Le rapport d'Harald est relativement précis sur le système mis en place et les conditions de tests, mais le point le plus important est la fin du rapport, où il explique qu'ils ont cherché à vérifier si certains smartphones implémentent RRLP, Radio Resource LCS (Location) Protocol. Le protocole permet à un opérateur de demander la localisation d'un terminal sans authentification aucune, ce dernier utilisant les signaux GPS pour connaître sa position (s'il y a un récepteur, bien sûr). Sur le marché, les téléphones équipés d'un récepteur GPS sont assez nombreux, notamment la gamme basé sur Android de HTC, l'iPhone et les téléphones Nokia N95 ou équivalents. Le rapport ne précise pas beaucoup plus d'informations à ce sujet, car la fonctionnalité n'a été testée que le dernier jour, mais il semble qu'un certain nombre de ces appareils suivent à la lettre les spécifications, permettant une localisation GPS sans que cela soit signalé à l'utilisateur.

On se souvient du scandale du Palm pré découvert par Joey Hess, Palm ayant ajouté un logiciel dans webOS envoyant via internet les coordonnées GPS ainsi que le temps d'utilisation de chaque application sur le téléphone.

Encore plus récemment, c'est l'iPhone qui a fait parler de lui suite à la découverte d'une application récoltant les numéros de téléphones des utilisateurs afin d'alimenter une base de client. La boite à l'origine de MogoRoad, le logiciel en question, a dû retirer son logiciel de l'AppStore, mais il semble que d'autres applications du même tonneau existent encore.

Cette nouvelle découverte jette une fois de plus le discrédit sur le respect de la vie privé par le monde de la téléphonie mobile.

> Lire les commentaires (24 commentaires, moyenne: 3).  

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Pas que le GPS

Posté par Julien04 (page perso, ) le 13/10/2009 à 16:49. (lien). Évalué à 5.

Il n'y a pas que le GPS qui permet de géolocaliser, la triangulation permet déjà d'avoir une bonne idée de la localisation du téléphone si il est sous bonne couverture GSM (et de toute façon si il est couvert que par une seule antenne, on a déjà une idée....)

Que le GPS apporte une précision au niveau du mètre au lieu du kilomètre ne change pas grand chose pour la vie privée.

Par contre autant au niveau d'une seule antenne ça fonctionne dans tous les cas, autant pour une triangulation je ne sais pas si c'est dispo depuis le GSM, la 2G ou la 3G.

gestion des droits

Posté par nodens (page perso, ) le 13/10/2009 à 20:05. (lien). Évalué à 7.

La gestion des droits d'android n'est pas mal faite à ce niveau là.

Utiliser les données de localisation GSM via google provoque l'affichage d'un avertissement, et les applications qui ont accès à la localisation (gsm ou gps) le signalent à l'installation (au même titre que l'accès internet, l'envoi de SMS ou le déclenchement d'appels, etc). Les applications n'ont pas le droit d'activer la géolocalisation gsm ou gps sans action de l'utilisateur.

On sait donc à quoi s'en tenir.

Évidemment, si l'utilisateur ne tient pas compte des avertissements et ne cherche pas à comprendre pourquoi une application a besoin de telle ou telle fonctionnalité, ça ne sert à rien...

D'ailleurs, on voit que bon nombre d'utilisateurs sont prêts à sacrifier leurs données personnelles (ou professionnelles) en échange d'une fonctionnalité (il n'y a qu'à voir le nombre de gens utilisant gmail et autre agenda "dans le cloud"). Personnellement ça me désespère...

Un exemple : je me souviens d'une application, soit disant "antivirus" qui avait accès non seulement aux données stockées et à internet (ce qui fait souci si on n'a pas confiance), mais aussi aux données GPS, à l'agenda, pouvait envoyer des SMS et effectuer des appels. Inutile de dire qu'elle s'est rapidement faite signaler comme application suspecte. Ca n'a pas empêché un grand nombre de gens de la télécharger dans l'intervalle...

--
Clément Hermann (nodens)
- "L'air pur ? c'est pas en RL, ça ? c'est pas hors charte ?"
Jean in L'Histoire des Pingouins, http://tnemeth.free.fr/fmbl/linuxsf/
GPG : pgp.mit.edu - 0xEBD1399D

GPS

Posté par Black Fox (page perso, ) le 14/10/2009 à 23:09. (lien). Évalué à 1.

Pour la partie GPS au passage, la fonctionalitée de fournir ses coordonées sur demande au moins au urgences (911) est quasi obligatoire aux USA.

voir http://www.fcc.gov/Bureaus/Wireless/Orders/1996/fcc96264.txt

(e) As of [five years after the effective date of this rule], licensees subject to this
section must provide to the designated Public Service Answering Point the location of a 911
call by longitude and latitude within a radius of 125 meters using root mean square
techniques.

et http://portal.etsi.org/docbox/STF/STF321_TISPAN3_EC_Emergenc(...)

Petitioners are entitled to extensions of the December 31, 2005 requirement that they achieve 95%
penetration, among their subscribers, of location-capable handsets.

Mais de toute manière la plus part des téléphones supportent de l'Assisted GPS dans le quel la BTS fait tout ou une partie des calculs GPS et envoie des données d'assistances au téléphone.

Le but de cette fonctionnalité est d'avoir un fix en moins de 16s et la plus part des téléphones qui ont un GPS l'implémentent donc (Etre plus lent que le concurrent c'est pas bon niveau marketing).

Le problème étant que les téléphones répondend à la demande de position exacte même si ils font le calcul eux mêmes. (En tout les cas tout ceux que j'ai pu tester, je travaille actuellement sur ça professionnellement)

Et dans le cas ou la BTS fait le calcul évidement elle sait ou vous êtes... c'est même elle qui vous le dit :D

Le plus inquiétant est que les téléphones répondent à ces messages quant ils émanent de la BTS même si il n'ont pas demandé d'assistance de position ou composé de numéro d'urgence. Votre operateur peut donc savoir ou vous êtes à partir du moment ou le téléphone est allumé (Enfin sans ça il à déjà globalement l'information par triangulation, juste moins précisément)

Revenir en haut de page

Run by Team LinuxFr.org

Cette page a été générée par Templeet en 0.1091s (dont 0.0118 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Faire un don !