Cinq ans après avoir tenté de préserver la vie privée et secrète du geek en milieu urbain, oubliant cartes de fidélité, de métro, de supermarché, caméras de vidéosurveillance, puces RFID, biométrie, téléphonie mobile, carte bleue et autres traceurs de la vie quotidienne, j'ai opté pour le refuge idéal, eldorado de l'anonymat comme chacun sait : Internet et le numérique.

Harald Welte a publié ce matin sur son blog un rapport sur le déploiement d'OpenBSC lors de Hacking-at-random 2009. Pour rappeler les faits, OpenBSC est un logiciel sous GPL permettant d'utiliser une station GSM Siemens BS11 microBTS, et donc de simuler un véritable réseau GSM (2G pour le moment). Le but est d'avoir un outil pour pouvoir tester la sécurité et le fonctionnement des protocoles de téléphonie mobile.

L'utilisation des fréquences étant soumise à autorisation, une demande a été formulée et accordée afin de valider le système avec une charge suffisante et un jeu de terminaux mobiles diversifié. Une expérimentation similaire pour le système OpenBTS (similaire à OpenBSC, mais basé sur GnuRadio et USRP) avait été réalisée lors des festivals Burning Man 2008 et 2009 au Nevada.

Le rapport d'Harald est relativement précis sur le système mis en place et les conditions de tests, mais le point le plus important est la fin du rapport, où il explique qu'ils ont cherché à vérifier si certains smartphones implémentent RRLP, Radio Resource LCS (Location) Protocol. Le protocole permet à un opérateur de demander la localisation d'un terminal sans authentification aucune, ce dernier utilisant les signaux GPS pour connaître sa position (s'il y a un récepteur, bien sûr). Sur le marché, les téléphones équipés d'un récepteur GPS sont assez nombreux, notamment la gamme basé sur Android de HTC, l'iPhone et les téléphones Nokia N95 ou équivalents. Le rapport ne précise pas beaucoup plus d'informations à ce sujet, car la fonctionnalité n'a été testée que le dernier jour, mais il semble qu'un certain nombre de ces appareils suivent à la lettre les spécifications, permettant une localisation GPS sans que cela soit signalé à l'utilisateur.

On se souvient du scandale du Palm pré découvert par Joey Hess, Palm ayant ajouté un logiciel dans webOS envoyant via internet les coordonnées GPS ainsi que le temps d'utilisation de chaque application sur le téléphone.

Encore plus récemment, c'est l'iPhone qui a fait parler de lui suite à la découverte d'une application récoltant les numéros de téléphones des utilisateurs afin d'alimenter une base de client. La boite à l'origine de MogoRoad, le logiciel en question, a dû retirer son logiciel de l'AppStore, mais il semble que d'autres applications du même tonneau existent encore.

Cette nouvelle découverte jette une fois de plus le discrédit sur le respect de la vie privé par le monde de la téléphonie mobile.

Dans deux décisions récentes liées au P2P, la Cour d'Appel de Paris considère que l'adresse IP de l'internaute n'est pas une donnée privée, attendu que l'on ne peut établir la correspondance entre cette adresse et l'identité de la personne que par une demande à son FAI, sous le contrôle du juge.

Nouveau revers pour la CNIL qui considère que l'adresse IP étant une donnée personnelle, il faut passer par elle pour mettre en place un système de traitement automatisé. On se rappellera que des refus d'autorisation par la CNIL de tels systèmes ont été annulés le mois dernier par le Conseil d'État. En principe, une telle annulation ne signifie pas une autorisation automatique, mais la décision pose de telles contraintes à la CNIL qu'on voit mal comment elle pourrait ne pas donner suite à une nouvelle demande d'autorisation.

Si la décision de la Cour d'Appel de Paris devait faire jurisprudence, de telles autorisations ne seraient donc même plus nécessaires. Mais pour cela, il faudrait qu'un pourvoi en cassation (dont je ne sais pas s'il a été formé) la confirme. La Cour de Cassation est cependant réputée plutôt favorable aux industries des médias comme l'illustre, par exemple, sa décision Mulholland Drive. Cependant son président de l'époque, Guy Canivet, dont la doctrine dit qu'il a eu une part prépondérante dans cette orientation, a depuis été nommé au Conseil Constitutionnel.

NdM : pour mémoire, voici un petit historique de l'affaire couramment appelée « Mulholland drive ». Un client, via l'association UFC Que Choisir, mécontent de ne pouvoir copier un DVD, a attaqué les producteurs et distributeurs de ce DVD pour faire interdire ce type de protection. Le Tribunal de Grande Instance de Paris lui a donné tort en avril 2004. La Cour d'appel de Paris infirma ce premier jugement en avril 2005. Et enfin, la première chambre civile de la Cour de cassation cassa l'arrêt de la cour d'appel en février 2006 (http://www.courdecassation.fr/article8777.html).

Les Parisiens ont sans doute remarqué depuis quelque temps qu'un système sans contact remplace le bon vieux ticket de métro qui ne possède que 64 bits de mémoire.

Une carte à puce avec une bobine dans la carte le remplace, passez cette dernière au-dessus du lecteur et un champ magnétique alimente la carte par induction, une liaison radio s'instaure.
Le voyageur est ainsi identifié en 2/10e de seconde. Le hic c'est que ce système permet de «personnaliser» les relations avec le voyageur. Il est en effet très facile de connaître ses habitudes de voyage en sachant où il se trouvait à quel moment, et ça peut poser un léger problème dans les libertés de circulation pour ces cartes nominatives.

La première expérimentation à grande échelle (1 million de personnes ayant un abonnement annuel) devrait être progressivement étendue jusqu'au trajet unique.

Source partielle : Science & vie