Anima Mundi

Comment j'ai arrêté de me faire espionner par mes objets connectés

TL;DR :

Faut-il encore rappeler à quel point la data privacy est importante pour TOUS aujourd'hui, avec tous les acteurs malveillants et les violations révélées tous les jours ? #Pegasus

Lorsqu'on regarde nos objets connectés d'un peu plus près, on se rend très vite compte que ce sont de formidables machines à récolter des données sur nous et notre environnement d'une part, et de vrais petits espions d'autre part qui transmettent nos données vers des destinations bien souvent peu ou pas connues, sans qu'on le sache ou y consente.

En fait, le "problème" provient de ces apps mobiles qui permettent de centraliser, de visualiser, et de transmettre ses données vers son compte pour pouvoir les retrouver sur tous ses appareils. Ces applications servent de pont et transmettent des informations en permanence vers des opérateurs plus ou moins fiables : tout le monde ne démontre pas un respect scrupuleux des règles en vigueur et de la déontologie.

Prenons un exemple concret, presque un cas d'école, celui des objets connectés de la marque Xiaomi, ce géant du smartphone low-cost (et de la trotinette électrique, de la domotique, etc.) Xiaomi commercialise des objets de toutes les sortes, tous d'un rapport qualité prix étonnant par rapport à la concurrence. Il y en a déjà partout autour de nous.

Je vais m'appuyer sur 2 appareils de cette marque que j'ai acquis par curiosité :

Tous deux fonctionnant avec l'app Mi Fit de Huami Inc. Dans les conditions d'utilisations de cette app, on retrouve les passage suivant :

"We may also process and disclose personal information to our affiliated companies (which are in the communications, social media, technology and cloud businesses) and to Third Party Service Providers"

En français, ça donne :

"Nous pouvons également traiter et divulguer des informations personnelles à nos sociétés affiliées (qui sont dans les secteurs des communications, des médias sociaux, de la technologie et du cloud) et à des fournisseurs de services tiers."

Sans plus d'informations que ça ... dingue !

On ne sait pas qui sont ces "sociétés affiliées" ni ce qu'elles font des données (traitements et finalités). En termes de respect du RGPD, on n'est clairement pas au top :D
J'ai donc cherché à refuser le transfert, la divulgation et le traitement de mes données, et là, surprise (pas vraiment en fait) : Aucun opt-out possible

Encore mieux (ou pire?) :

"If you would like to opt out of the Technologies we employ on our websites, services, applications, or tools, you may do so by blocking, deleting, or disabling them as your browser or device permits."

Traduction :

"Si vous souhaitez vous désinscrire des technologies que nous utilisons sur nos sites Web, services, applications ou outils, vous pouvez le faire en les bloquant, en les supprimant ou en les désactivant comme votre navigateur ou appareil le permet."

En résumé : On récupère tes données, et on en fait absolument ce qu'on veut, mais on ne te dit pas quoi. Pas content ? t'as qu'à jeter nos appareils à la poubelle et désinstaller nos apps ... ou les bloquer !

Bon ça serait dommage de les jeter, mais bloquer l'envoi de données ? Pourquoi pas ? c’est techniquement possible !

On va se concentrer dans la suite sur l'app Xiaomi pour l'exemple, mais la même suite d'étapes s'applique à n'importe quel objet connecté, et n'importe quelle app associée.

1. D'abord, trouver les noms des serveurs de données auxquels l'app envoie ses données

L'enquête démarre ! on a besoin d'un journal de requêtes DNS. Plusieurs possibilités ici, on peut utiliser :

Pour notre app Xiaomi préférée, on trouve les serveurs suivants. A partir de leurs noms, en observant le journal de requêtes et simplement en cherchant sur internet, on arrive à les classer :

A bloquer sans hésitation :

A bloquer, éventuellement :

A ne pas bloquer :

Maintenant, voyons comment opérer ces blocages

2. Ensuite, couper les accès aux serveurs de données Xiaomi à appareil

Maintenant, on va mettre en place un blocage DNS au niveau du smartphone. Cela veut dire qu'on va mettre en place une liste de serveurs que le téléphone (et donc l'app) sera incapable de joindre. Cela n'impactera pas la fonctionnalité principale de l'app ni celle des objets connectés.

Pour faire ça simplement et efficacement, je conseille l'app Lockdown Privacy. Elle propose une version gratuite qui permet de faire ce que l'on désire, auditée et open-source !

Une fois l'app installée, il suffit d'aller sous "Pare-feu" dan "Liste de blocage", puis "Personnaliser" et ajouter la liste des serveurs qu'on veut bloquer. "Sauvegarder", puis il est temps d'activer le pare-feu.

Utilisez l'app Xiaomi quelques secondes puis retournez voir le "Journal de Blocage" dans l'app Lockdown. Vous devriez voir des dizaines de tentatives d'appels bloquées. Le chiffre augmente très vite, et vous serez à quelques dizaines de milliers en une quinzaine de jours :)

L'app permet également de bloquer de la pub & du tracking, comme le ferait l'absolument indispensable uBlock Origin sur votre navigateur.

En conclusion, un peu d'analyse et de bricolage permettent de venir à bout de toutes les petites applications espions (il y en a un paquet ! c’est même la quasi-totalité des apps gratuites). N'hésitez pas à bloquer toutes les formes de tracking. Enfin, je conseille vivement de mettre en place un pi-hole chez soi. Celui-ci est un utilitaire à installer sur un serveur personnel (j'utilise un vieux Raspberry Pi branché en ethernet sur ma box, et alimenté en USB par celle-ci) et qui maintient une liste de blocage assez complète et personnalisable. Cette liste de blocage s'applique alors à tout appareil connecté à votre réseau wifi, sans qu'il y ait besoin d'installer quoi que ce soit nulle part ! Voici un guide complet pour y arriver :)

Sources :

Merci pour votre lecture ! 😊👋

~ Anas EL KHALOUI

#AI #Tech #TechPolicy #french