[MàJ] iPhone mouchard : beaucoup de bruit pour rien ?

La pseudo « affaire d’espionnage » qui touche, ces jours-ci,  la Pomme [Lire : iOS 4 qui vous traque, un simple bug bientôt corrigé ?] et Google , n’en finit décidément pas de faire du bruit. Cette fois-ci, c’est du côté de la Commission Nationale Informatique & Libertés (CNIL) que des voix s’élèvent. La CNIL, a affirmé qu’elle était actuellement en train de se pencher sur le rapport fourni par les experts américains concernant l’affaire sus-nommée. La CNIL veut ainsi vérifier à quoi servent les données, pourquoi elles sont collectées et conservées, à destination de qui et pour quel usage.

« Si les données ne sont pas envoyées à Apple ou à un tiers, ce n’est pas illégal ». Bertrand Pailhès, ingénieur expert de la CNIL, au sujet de Consolidated.db.

Démêler le vrai du faux

En fait, les fameuses données de géolocalisation sont issues de fichiers caches, stockés localement pour être rapidement accessibles si besoin est, lesquels existaient déjà bien avant iOS 4. Ces fichiers servent de cache au système de localisation de l’iPhone. Avant l’arrivée d’iOS 4, les données de localisation étaient stockées sur un fichier caché h-cells.plist, situé dans le dossier root : /root/Library/caches/locationd. Lors de la sortie d’iOS 4 et de l’avènement du multitâche sur iPhone, Cupertino a changé la localisation de ce type de fichier, pour inclure ces données dans le fichier consolidated.db (sur le terminal mobile). Ce changement à une raison toute simple : cela permet aux logiciels tiers d’utiliser – après votre accord – les données de géolocalisation, inaccessibles à l’emplacement antérieur. N’en déplaise à certains, Apple n’a pas cherché à brouiller les pistes.

En outre, il est bon de revenir sur l’enregistrement et la transmission de ces données, qui est plus que jamais d’actualité. La question des données géographiques des utilisateurs a été examinée par des membres du Congrès américain l’an dernier, et c’est Gadget Lab qui s’est chargé de nous rafraîchir la mémoire ces jours-ci. Il y a un an, par le biais d’une lettre rédigée par la direction, Apple répondait aux deux membres du Congrès qui s’interrogeaient sur le respect de la vie privée et les motifs qui poussaient Apple à collecter des données géographiques (la lettre est disponible ici).

Voici un extrait de cette lettre :

On y apprend en substance que pour fournir un service de géolocalisation de qualité, Apple doit :

« Etre capable de déterminer rapidement et précisément où l’appareil mobile est situé. Pour cela, Apple constitue une base de données sécurisées contenant les informations sur les localisations des tours cellulaires et des points d’accès Wi-Fi (ndlr : à proximité de l’usager). Ces informations sont stockées dans une base de données accessible seulement par Apple, laquelle ne révèle aucune information sur les utilisateurs de ses produits »

Aujourd’hui encore, Apple collecte donc des informations sur des relais cellulaires, sur les hotspots Wi-Fi présents à proximité du téléphone et récupère les coordonnées GPS, lesquelles sont ensuite transmises à Apple toutes les 12 heures par des réseaux Wi-Fi « sécurisées, anonymisées avec un numéro d’identification aléatoire généré toutes les 24 heures par chaque appareil sous iOS », de sorte que ni Apple ni personne d’autre ne peut identifier l’utilisateur et donc l’associer aux données transmises. Encore faut-il être connecté à un réseau Wi-Fi avec son iPhone… ce qui n’est pas toujours le cas. (L’iPhone n’expédie pas ces informations par le biais du réseau cellulaire, -sûrement- pour des raisons de surcoût de consommation de l’opérateur de téléphonie mobile).

Pour s’en convaincre, là aussi il suffit de jeter un œil à ce paragraphe du document d’Apple envoyé aux deux représentants américains :

Apple construit et alimente sa propre base de données de relais cellulaires et de hotspots Wi-Fi, et c’est pour cette raison que ces données sont utiles à Cupertino. Autrement dit, chaque utilisateur d’un appareil sous iOS est un collecteur anonyme d’informations pour Apple. Pas de quoi s’inquiéter outre mesure a priori. L’élément gênant, cependant, provient de la non purge de ce fichier, dont l’historique peut remonter jusqu’à un an (les anciennes données étant progressivement écrasées par les nouvelles). C’est bien entendu sur ce point qu’Apple doit aujourd’hui des explications, les autres éléments d’informations étant connus depuis déjà de longs mois.

[MàJ] La question du rapatriement des données sur votre PC

Mes données sont-elles rapatriées à mon insu sur mon ordinateur ? La question nous a été régulièrement posée et il convient d’apporter un éclairage sur ce point. Les informations, rapatriées sur votre PC lors de la synchronisation et sauvegarde des données de votre téléphone par iTunes, contiennent évidemment le fichier consolidated.db. Pour autant, ces données ne sont pas envoyées via votre réseau domestique à Apple, durant la procédure. Il existe, néanmoins, une solution pour sécuriser ces données, une fois sur celles-ci stockées sur l’ordinateur : il faut demander leur cryptage lors du processus de sauvegarde et de rapatriement. Pour se faire, il suffit de cliquer sur « crypter » dans l’onglet résumé, une fois votre iPhone connectés à votre PC. (Pour les sauvegardes antérieures, non cryptées, l’utilisateur peut les supprimer manuellement via le même menu).

Un simple oubli de programmation monté en épingle ?

Pour finir, selon un développeur web américain, interrogé par nos confrères de 9to5mac, « les données du fichier Consolidated.db, nécessaires au fonctionnement de l’iPhone, sont enregistrées, mais pas effacées, suite à un bug de programmation. Le morceau de code, censé les effacer, n’a visiblement jamais été développé» (à lire ici).

Apple ne s’est malheureusement toujours pas exprimé sur le sujet et la firme devrait s’empresser de le faire, tant des informations toutes plus confuses les unes que les autres, ont bien entendu fait le tour des médias depuis 3 jours. D’autant que cette polémique concernant « des pratiques peu scrupuleuses du fabricant Apple » (lu sur l’informaticien.com), trouve même des échos jusque sur les grandes chaînes TV nationales… Beaucoup de bruit pour rien, en somme.