Il y a quelques jours, les sites pornographiques Tnaflix, Xnxx et Xvideos finissaient par se soumettre au législateur, et intégraient un système de vérification de l’âge plus robuste pour éviter les amendes. Ainsi, la loi est respectée, les mineurs protégés et les majeurs libres de s’adonner à la surdité progressive... Tout va bien dans le meilleur des mondes ? Pas vraiment, comme le révèle une étude du groupe AI Forensics.
Après une mise en demeure de l’Arcom, cinq sites porno baisent les bras
Selon la réglementation imposée par l’Arcom, le système mis en place pour vérifier l’âge des utilisateurs doit respecter l’idée de « double anonymat » :
- le prestataire de vérification ne doit pas savoir pour quel type de service la vérification est faite.
- aucun des services utilisés dans le processus ne doit pouvoir suivre un utilisateur et savoir qu’il a déjà utilisé le système.
Dès le départ, les choses commencent mal : alors que ces sites proposent plusieurs solutions de vérification, à savoir AgeGO ou Yoti, avant même que le moindre clic soit fait une requête est envoyée vers les serveurs d’AgeGO, contenant non seulement l’adresse du site que l’utilisateur souhaite consulter mais aussi celle de la vidéo exacte qu’il souhaite visionner. Aie, première entaille dans le contrat.
Ensuite, si AgeGO est sélectionné, l’utilisateur se voit proposé de prendre un selfie pour vérifier son âge. AgeGO utilise ensuite les services d’un autre prestataire, qui n’est mentionné nul part dans ses conditions d’utilisation, seul le fait que celui-ci « respecte les directives EU-US sur la vie privée » est indiqué.
Le prestataire n’est autre qu’Amazon, avec son service AWS et sa technologie Amazon Rekognition. Ce qui veut dire que le flux total de la webcam de l’utilisateur est envoyé vers les serveurs d’Amazon, ainsi que son adresse IP, l’user agent de son navigateur, et le fait qu’il souhaite accéder à un site interdit aux mineurs (le site exact n’est pas précisé à Amazon). Aucune garantie n’est donnée concernant le traitement des données acquises par AWS : Amazon peut très bien les effacer après utilisation... ou pas. Aie, seconde entaille.
Cerise sur le gâteau, AgeGO oblige l’utilisateur à laisser une adresse e-mail à la fin du processus de reconnaissance faciale. S’il est possible de mettre n’importe quelle adresse, y compris fausse, cette étape n’est absolument pas requise par les autorités.
Au final, l’utilisateur qui pensait discrètement passer par la porte de derrière pour profiter à loisir de contenus riches en aubergines et autres courgettes finit par y laisser son identité, et tant de traces qu’une lampe à UV n’est même pas nécessaire... voilà de quoi refroidir les ardeurs. Le dossier ayant été transmis à l’Arcom et la CNIL par AI Forensics, il est fort probable que se dresse une fois de plus le gourdin de la justice, afin de protéger l’utilisateur des regards un peu trop indiscrets.
