Ce n’est pas vraiment une faille de sécurité à proprement parler, mais plutôt une fonction très mal implémentée. Quand vous envoyez une image à un ami en utilisant Google Photos, une URL est générée automatiquement par Google et ce lien est public. En clair, n’importe qui peut l’ouvrir dans son navigateur et accéder au contenu partagé, même s’il n’a pas été invité.

Vous pouvez tester vous-même avec cette image partagée à mon collègue Florian¹ et à lui seul en théorie. Cliquez sur ce lien et vous verrez, vous aussi, la photo, alors que je ne l’ai pas partagée avec vous. Vous pourrez télécharger le fichier original sans aucune autorisation de ma part, ou partager le lien avec le monde entier à mon insu.

Le système de partage de Google Photos repose sur des liens et des identifiants uniques générés aléatoirement. Ce n’est pas un défaut en soi, ce mécanisme est utilisé par tous les services de cloud, y compris par ceux d’Apple. Mais le problème, c’est que ce lien est accessible publiquement, ce qui n’est absolument pas indiqué dans l’interface de partage du service.

En effet, Google Photos permet de partager publiquement des photos, en utilisant l’option « Créer un lien » lors du partage d’une photo ou d’un album. Mais on peut aussi choisir d’envoyer les images à un contact personnel, en le sélectionnant dans la liste. Dans ce cas, on peut raisonnablement penser que seules les personnes invitées auront accès aux images, mais ce n’est pas le cas. Sous le capot, le mécanisme est strictement identique dans les deux cas et une URL publique est systématiquement générée.

Google pourrait se défendre en indiquant que le lien de partage est masqué quand on envoie un fichier à une personne en particulier, et qu’il est généré avec un identifiant impossible à deviner. C’est vrai, mais il n’empêche que ce lien public existe et s’il est partagé de manière publique, par exemple sur les réseaux sociaux, l’image sera accessible largement sans limite. Pourquoi est-ce que Google Photos n’exige pas une authentification des personnes invitées ? C’est ce que fait Apple et paradoxalement, c’est aussi ce que fait Google pour Drive et Docs. Pourquoi n’est-ce pas le cas pour Google Photos ?

Pour ne rien arranger, supprimer ces liens de partage n’est pas simple, ni pratique. Vous devez ouvrir Google Photos, afficher la section « Partage » et sélectionner chaque élément pour le supprimer et par la même occasion supprimer son lien de partage. Si vous utilisez le service de partage, vérifiez a minima le contenu partagé et supprimez les images que vous voulez conserver privées.