Apple confirme que des gouvernements surveillent le transit de notifications
Apple a confirmé qu'elle faisait l'objet de requêtes de la part de gouvernements afin de fournir des informations sur les notifications qui transitent par ses serveurs avant d'aller vers les téléphones de certains utilisateurs.
Des requêtes qui entrent dans le cadre de celles qu'Apple reçoit régulièrement d'agences gouvernementales à travers le monde. Que ce soit pour des enquêtes de police, des situations de grande urgence, de lutte antiterroriste, etc. Elle en tire un rapport de synthèse annuel qui fait le décompte des demandes reçues et dans quelle catégorie elles s'inscrivent.
Mais jusqu'à présent, Apple et Google avaient l'interdiction de communiquer sur cette méthode. Le sénateur démocrate de l'Oregon, Ron Wyden, s'est ému de cette situation auprès du procureur général du Département de la justice. Dans son courrier il demande à ce qu'Apple et Google soient autorisés à communiquer sur ce sujet. Apple a saisi la balle au bond dans une déclaration faite à Reuters :
Dans ce dossier, le gouvernement fédéral nous a interdit de partager toute information. Maintenant que cette méthode a été rendue publique, nous allons mettre à jour notre rapport sur la transparence pour y détailler ce type de requêtes.
Ron Wyden explique avoir reçu un tuyau au printemps 2022 selon lequel des agences gouvernementales étrangères demandaient les enregistrements de notifications push transitant par les serveurs d'Apple et de Google :
Les données reçues par ces deux sociétés comprennent des métadonnées, détaillant quelle application a reçu une notification et quand, ainsi que le téléphone et le compte Apple ou Google associé auquel cette notification était destinée à être envoyée.
Dans certains cas, ils peuvent également recevoir du contenu non chiffré, qui peut aller des directives de serveur de l'application au texte réel affiché à un utilisateur dans une notification d'application.
Ron Wyden demande urgemment que le cadre réglementaire soit revu pour lever ce veto sur cette méthode de recueil d'informations. Que les entreprises visées par ces demandes puissent communiquer sur le volume de requêtes qu'elles reçoivent, comme elles le font déjà pour d'autres, et que les personnes qui ont fait l'objet d'une collecte en soient averties, sauf si elles font l'objet d'une enquête de justice.
Le sénateur ne nomme aucun gouvernement, mais d'après un contact de Reuters, les États-Unis comme d'autres nations y ont eu recours. Des pays décrits comme des « démocraties alliées des États-Unis ». Cette source n'a pas su dire depuis combien de temps ce moyen d'investigation et de surveillance était utilisé.
Ce qui est assez intéressant, c'est que tant qu'une tierce personne n'en a pas parle, les plateformes n'ont pas le droit d'en parler.
Du coup, la question c'est quels sujets ne sont pas abordes dans les "Transparency" reports ?
@flagos
Bon tout les backdoor soft et hard pour NSA, etc
C’est vraiment pas nouveau. Les gendarmes financiers (SEC, AMF) font ca aussi, pourquoi pas les gouvernements.
@Paquito06
Personne n’a dit que c’était nouveau, simplement que ce n’était pas communiqué…
@AllanZ
Pour communiquer quoi tu veux dire? C’etait par rapport a:
“Ron Wyden explique avoir reçu un tuyau au printemps 2022 selon lequel des agences gouvernementales étrangères demandaient les enregistrements de notifications push”
Quel tuyau! 😅
des « démocraties alliées des États-Unis »
Comme l'Irak à l'époque où les EU finançaient Saddam Hussein car il avait le bon goût de faire la guerre à l'Iran ?
Je pense qu'ils font plus références aux Five Eyes ou à certains pays membres de l'OTAN.
Big brother is watching you!
Est ce que c’est valable également pour un système de notification comme NTFY ?
@Raudy57
On dirait car il utilise Firebase Cloud Messaging et donc les notifications push de Google principalement. Google passe aussi par les serveurs d’Apple APNS pour l’envoi des notifications push vers des appareils iOS/Mac.
Ils font bien rire avec les messageries cryptées par tous les niveaux avec du chiffrement je ne sais quoi
Si la simple notif est lue en clair derrière…
@samgrosfite
Il y a rien de confidentiel dans le contenu .
Mais cela Permet de savoir quel service est utilisé par qui .
@Sgt. Pepper
Ha bon ???
Et les notifications de colis en livraison avec numéro de suivi, les notifications de commandes en cours, les recommandations d’achat selon tes dernières commandes, l’heure de ton voyage et la destination, rappel des rdv médicaux ou autres, rdv prof., alertes de ta banque…..
@brunnno
Les notifications Push via ApNS sont envoyés à
L’App pour déclencher une action.
Pas besoin d’envoyer directement le contenu de la notification, l’App se réveille , se connecte aux serveurs du service avec chiffrement , récupère le contenu depuis le serveur et déclenche la notification vers l’utilisateur.m avec le contenu récupèré
Voilà , rien en clair .
Par contre les autorités peuvent connaître les services utilisés par chacun .
@brunnno
Le contenu des notifications n’est pas chiffré par défaut, mais libre à chaque app d’implémenter une méthode de chiffrement entre ses serveurs et l’app. Mais c’est évidemment clairement plus complexe, et donc peu utilisé.
En l’occurrence, les apps bancaires auraient tout intérêt à le faire (surtout qu’elles devraient a priori déjà avoir un mécanisme de chiffrement pour le reste de leurs données).
Et le pays des droit de l'homme est fort bien placé dans la liste de ceux qui demande le plus ^^
Il va falloir qu'Apple se bouge pour ajouter du chiffrement de bout en bout aux notifications... Pas si simple d'ailleurs avec des communications à sens unique.
@koko256
Généralement il n’y a pas d’informations confidentielles dedans , c’est une notification vers une App pour se réveiller et faire une action,
comme afficher une notification à l’utilisateur dont le contenu est récupéré depuis le serveur du service avec chiffrement de bout -en-bout
@Sgt. Pepper
Tu ne reçois pas des notifications avec une partie des messages dedans depuis WhatsApp ou autre ?
Ce n’est seulement que si l’application fonctionne via notification silencieuse qu’il n’y a pas de message dedans mais ces notifications ne sont pas considérées comme prioritaire par le système et peuvent ne pas être distribuées.
@valcapri
C’est au service de choisir
Mais je ne crois pas qu’une messagerie comme WhatsApp reconnu pour son chiffrement de bout en bout « s’amuse » à envoyer les messages en clair dans une notification 🤪
Mais si tu as l’info du contraire , je suis preneur .
Une raison de plus pour passer sur Olvid 👍
@Sgt. Pepper
"Mais je ne crois pas qu’une messagerie comme WhatsApp reconnu pour son chiffrement de bout en bout « s’amuse » à envoyer les messages en clair dans une notification 🤪"
Je confirme :
https://security.stackexchange.com/questions/119624/how-is-whatsapp-sending-end-to-end-encrypted-messages-in-push-notifications
Mais ce n’est pas le cas de toute les messageries encryptées…
@Brice21
Merci pour le lien, je n’étais pas au courant d’une extension pour déchiffrer les notifications. Donc, on peut bien faire du chiffrement de bout en bout pour les notifications push.
https://developer.apple.com/documentation/usernotifications/modifying_content_in_newly_delivered_notifications/
Finalement, à quoi bon ?
iPhone and your privacy....my A** 🤣🤣🤣🤣
C'est plus privé, moins intrusif que Google. Par contre, si votre vie en dépend et que vous n'êtes pas bien ami avec les USA et leurs différentes agences, alors oui ce ne sont pas des produits à utiliser.
@lmouillart:
"C'est plus privé, moins intrusif que Google."
Dans quel sens? Après Siri, après l'histoire de la dictée vocale, après l'histoire de l'identifiant unique, après l'histoire d'envoi contre notre gré de log, l'obligation de respecter patriot et cloud Act...
Il n'y a qu'un voile de "plus privé"...
Et Apple et Google te trace jusque dans les moindres détails, avec l'avantage pour Apple de fabriquer le matériel (donc quasi impossible d'y échapper). Les pubs de l'Appstore en sont un magnifique exemple de possibilité, et c'est pas parce qu'il y en a moins que c'est plus privé.
Mais Apple pourrait très bien si ils le voulaient, regarder ton rythme cardiaque en fonction de ce que tu fais (pour les fulls équipés).
Perso, sur ce point précis, je ne vois pas de différence. Google est simplement un peu plus présent partout, mais cela ne fait pas moins intrusif ni plus privé.
@debione
Les pubs de l’app store sont sélectionnées en fonction du contexte (la recherche, la page, l’app affichée) et non pas du profil, ni du comportement de l’utilisateur. C’est plus efficace dans le cas de promotion concernant les produits de la plate-forme qui en fait la promotion.
La personnalisation permet surtout d’augmenter les taux de conversion de la vente des produits d’un site A sur un site B en traçant les intérêts de l’utilisateur. Mais pour vendre les produits d’un site A sur le site A, la promotion contextuelle est plus efficace.
Tu fais la promo des bananes sur la page des fruits. Pas besoin de tracer le visiteur, il est déjà sur la page des fruits. (Le cas d’Apple)
Par contre si tu veux vendre tes bananes à ton visiteur qui s’est barré sur un site de chaussures, il faut le tracer, donc enregistrer son comportement et le suivre pour essayer de lui fourguer tes bananes. (Le cas de Google, Meta, etc.)
D’ailleurs appeler “publicité” la mise en vitrine de chaussures dans un magasin de chaussure est un abus de language. Même si le magasin de Chaussure fait payer Church, Nike ou Bata. C’est juste un magasin qui met en avant ses produits.
C’est le cas d’Apple qui fait juste son job, en faisant payer les éditeurs de ses produits. Apple n’a même pas besoin de profiler ses utilisateurs pour cela et ne fait donc la promo que de ses propres produits, dans son propre magasin.
C’est totalement différent de ce que commercialise Google et de la manière dont Google espionne (forcément) ses utilisateurs pour arriver à ses fins.
@Brice21
Google, meta, Twitter, criteo, et des centaines d’autres.
@hugome
Twitter n’espionne pas la navigation des utilisateurs sur le web au contraire des 3 autres tâches.
@Brice21
Twitter vit de la pub et a une régie pub.
La valeur de la pub est décuplée si on peut la relier à une identité ou des centres d’intérêt. Twitter sert aussi d’identifiant sur certains services. Twitter par ailleurs relie des comptes différents par leur adresse mail commune et par leur device commun. Personne ne sait vraiment ce qu’ils font de ces infos.
@hugome
Ben si, toutes les régies connaissent les critères de sélection d’audiences de Twitter. C’est un outil de vente de la pub ;-)
@Brice21
C’est ce que je te dis, Twitter est un acteur majeur de la pub et l’utilise pour ses affaires.
Et tu ne peux sérieusement pas dire que ça se limite à ce qui est dans les offres commerciales.
D’une part il y a la question de l’algorithme d’exposition, d’autre part il a entraîné Grok dessus.
@hugome
La grosse différence entre Twitter et Google/Meta/Criteo c’est qu’ils n’ont pas de trackeurs sur tous les sites web pour espionner ta navigation sur le web.
Google utilise Anatytics, Chrome et des chiees de librairies JS, de fonts pour t’espionner à ton insu. Meta aussi avec ses outils de partage social et leur ads sur plein de sites, Criteo avec cookies, fingerprinting, et ID font de même. Et ceci sans que tu t’identifie en te connectant avec Google ou Facebook.
Évidemment si tu t’authentifies sur un site avec Twitter, ils sont au courant de ton activité sur ce site 😂 mais la faut être carrément couillon pour imaginer le contraire.
@Brice21
Ils n’ont pas un tracker sur « tous » les sites web, mais ils peuvent en mettre sur tous les sites de leurs partenaires pub, et sites qui ont une option login Twitter, un flux rss Twitter… et ça en fait un paquet.
@Brice21
“La grosse différence entre Twitter et Google/Meta/Criteo c’est qu’ils n’ont pas de trackeurs sur tous les sites web pour espionner ta navigation sur le web.
Google utilise Anatytics, Chrome et des chiees de librairies JS, de fonts pour t’espionner à ton insu. Meta aussi avec ses outils de partage social et leur ads sur plein de sites, Criteo avec cookies, fingerprinting, et ID font de même. Et ceci sans que tu t’identifie en te connectant avec Google ou Facebook. “
Ahah. Si, Twitter a aussi des pixels (static pixels partagés ou dynamic pixels genre piggyback) - simple ad marketing - sur les sites web. Pour de la pub ciblee, tout simplement. Comme ceux que tu as cités, mais aussi Linkedin, les banques, et je ne serais pas surpris des services publiques (en France ou aux US) par ex.
@debione
"Mais Apple pourrait très bien si ils le voulaient, regarder ton rythme cardiaque en fonction de ce que tu fais (pour les fulls équipés)"
Apple ne peut pas le faire techniquement car ces données ne quittent pas ton iPhone et les backup des données santé sur iCloud sont encryptees end-to-end.
Apple pourrait faire comme Google et stocker tes données sur ses serveurs ou faire ces backups non encryptes, mais ce n’est pas le cas.
Et il y autant de chance que Google se lance dans la pâtisserie, qu’Apple se lance dans l’espionnage de ses utilisateurs. C’est juste l’inverse de leur nature profonde et de tous leurs efforts sur leur produits, ce qui les handicape sérieusement dans pas mal d’innovation d’ailleurs… c’est un sacrifice et un challenge, but this is the way.
Pas dans le sens 0 intrusions, dans le sens moins. Un appareil Android by Google va faire de très nombreux appels à la maison. Un appareil iOS moins.
Intéressant quand on compare les pays et qu'on fait un ratio par rapport au nombre d'habitants... La France et toute l'Europe de l'ouest semble obsédé par la surveillance...
On a eu pas mal d'attentats et on est sur le même sol qu'une des grosses puissances avec laquelle nous sommes en guerre indirecte.
@madaniso
C’est parce que le reste de l’Europe vient à peine d’entrer dans l’Ère de l’informatique 🥸
Quelqu'un est étonné?
Question bête (et qui rejoint mes autres interrogations sur faceid)
Quand on émet une notification, il y a un acquittement ?
Et si oui, est-ce que l’émetteur de la notification a accès à l’adresse IP de l’iPhone acquitteur ?
Car en intérieur, c’est souvent le routeur wifi en mode DHCP , et lui il est géolocalisé (c’est même comme ça que Google a construit le service Google map, quand les gps n’étaient pas répandus )
@hugome
« Quand on émet une notification, il y a un acquittement ? »
Oui
« Et si oui, est-ce que l’émetteur de la notification a accès à l’adresse IP de l’iPhone acquitteur ? »
Non, ce sont les serveurs d’Apple qui clôturent la transaction.
@Brice21
Mais du coup Apple a bien cette IP et sans doute son log. Ce qui permet aux autorités en les récupérant d’avoir une présomption de localisation.
@hugome
En effet, avec un mandat Apple est obligé de communiquer les metadonnées (c’est l’objet de l’article). Cela dit WhatsApp ou toute app de messagerie a aussi ton adresse IP et est obligée de la communiquer en cas d’enquête, ce qui permet de te localiser. Encore plus simple, ton ISP sait localiser ton iPhone rien qu’avec ton numéro par triangulation des émetteurs. Il ne faut même pas ton IP. En plus ton IP n’est pas une donnée privée, et elle est dans les logs de tout serveurs web et de presque toutes les apps interactives.
Évidemment TOR, VPN, IP Spoofing, SmartDNS, Wifi ouverts, et d’autres techniques sont utilisés pas les méchants les plus malins pour éviter ces recoupements triviaux.
@Brice21
C’est ton opérateur mobile qui sait localiser ton iPhone par triangulation et ça dépend de la bande de connexion. En 4G, c’est permanent et très précis, par triangulation, sous réserve que ton téléphone capte le réseau et soit allumé, en 2G et 3G c’est juste l’antenne où il est connecté à l’instant t, et en campagne ça peut aller jusqu’à 10 km à la ronde.
(Du coup, l’accès aux notifications apportent un plus.)
Par ailleurs, ce n’est pas lié à l’adresse IP, et donc ne peut pas être contourné par les méthodes que tu indiques.
Et oui, l’objet de l’article c’est l’obligation d’Apple mais ce qui était flou, et l’objet de ma question, c’est la nature de ces métadonnées, car vu les commentaires, la plupart des gens ignorent que ça inclut des infos pouvant renseigner sur la localisation.
@hugome
"Par ailleurs, ce n’est pas lié à l’adresse IP, et donc ne peut pas être contourné par les méthodes que tu indiques."
Je suis au courant mon agence a développé les API de géolocalisation pour un gros opérateur mobile belge.
Les techniques que j’indique sont appropriée pour une connection wifi ouverte. Cela dit je ne suis pas ici pour expliquer comment contourner les techniques de tracing, j’expliquais juste l’objet de l’article.
C’est encore un choix éditorial éclairé d’éviter soigneusement de parler de la France ?
D’éviter de dire que l’Allemagne, le Brésil et les Etat-unis sont sur le podium, suivis de Singapour et de la France ? 🙄
D’ailleurs lorsque je vivais en Chine, Twitter ou Gmail par ex étaient bloqués, mais je recevais quand même les notifications lorsque le VPN n’était pas connecté (y compris l’aperçu du mail/Tweet)