du 20 décembre 2018
Date

Choisir une autre édition

Facebook s’explique sur les accès privilégiés d’entreprises aux données, dont les messages privés

Selon le New York Times, Facebook laisserait des sociétés « amies » avoir un accès très spécial à ses données, plus particulièrement aux messages privés. Des informations auxquelles nul n’est pourtant censé accéder.

Apple, Amazon, Microsoft, Spotify et Netflix figurent dans les noms cités. Apple aurait par exemple eu un accès spécial aux contacts et calendriers. La firme a répondu au Times ignorer avoir eu un tel privilège, ajoutant que les données n’avaient jamais quitté les appareils des utilisateurs.

Amazon aurait eu accès aux informations de contacts des utilisateurs. L’entreprise n’a pas réagi, mais Kashmir Hill de Gizmodo estime que ces données ont pu être utilisées à des fins de lutte contre la fraude de commentaires.

À Bing (donc Microsoft), Facebook aurait offert les mêmes informations. Selon le réseau social cette fois, seules les données réglées sur « Publiques » étaient accessibles. Microsoft a indiqué de son côté avoir supprimé depuis ces informations, mais on ne sait pas quand.

Le cas le plus emblématique semble être celui de Netflix et Spotify qui auraient eu le droit d’analyser les messages privés des utilisateurs. Conséquence d’une époque (2010) où n’existait pas encore Messenger, Spotify pouvant notamment s’insérer dans les messages privés échangés pour envoyer des liens vers des titres. En théorie, cet accès pouvait permettre à un employé de lire les échanges.

Évidemment, toutes les sociétés impliquées se sont défendues de plonger leurs mains avides dans les données personnelles. Facebook explique notamment que même si des acteurs ont pu avoir un accès théorique aux messages privés, c’était uniquement pour des besoins d’échanges au sein de leurs applications, le plus souvent par la fonction Partage.

Toujours selon le réseau social, aucune tierce partie n’a pu lire les messages, car ces accès étaient automatisés, au seul bénéfice de quelques fonctions particulières. Des partenariats fortement négociés, avec procédure détaillée d’utilisation des API.

Il s’agirait donc d’une mauvaise interprétation du New York Times. Facebook préfère rappeler que cette manière de fonctionner est « courante dans l’industrie » depuis des années et pointe l’exemple d’Alexa. L’assistant d’Amazon n’est-il pas capable de plonger dans les emails de l’utilisateur pour les lire à haute voix ? Un angle de défense très particulier.

Mais quelles que soient les explications fournies, l’affaire tombe au plus mal pour Facebook après une année 2018 particulièrement compliquée. L’image de l’entreprise est en effet largement fragilisée sur la thématique de la vie privée, après notamment le scandale Cambridge Analytica et, plus récemment, deux grosses fuites de données, l'une en mars dernier, l'autre en octobre.

chargement Chargement des commentaires...

À découvrir dans #LeBrief
Copié dans le presse-papier !

Le navigateur, entièrement rebâti sur Chromium, est en test depuis des mois, mais essentiellement pour le grand public. 

Les variantes pour Windows 10, macOS et Windows 7 et 8.1 sont toutes disponibles sur deux canaux : Canary et ses versions quotidiennes, et Dev avec une préversion par semaine, un peu plus stable.

Microsoft vient de donner le feu vert aux entreprises, essentiellement pour attirer leur attention. Le navigateur est jugé prêt à être testé dans un cadre professionnel, puisque les fonctions attendues et la documentation sont presque toutes présentes (le site dédié ne semble pas fonctionner à l'heure actuelle).

C’est notamment le cas du mode IE, qui permet pour rappel d’afficher un site comme s’il était rendu par Internet Explorer. Les règles de groupe et Application Guard sont également présents, de même que les outils pour PDF. 

Certaines fonctions manquent cependant toujours à l’appel, notamment le déploiement hors ligne et le support de la gestion de flotte mobile.

Notez que Microsoft tiendra la semaine prochaine sa conférence Inspire 2019, dédiée aux partenaires. Peut-être l’occasion d’en apprendre davantage, notamment sur l’arrivée du canal bêta qui devrait marquer l’ouverture des tests à plus large échelle. 

Copié dans le presse-papier !

Hier soir, les utilisateurs de Twitter étaient bien ennuyés : impossible de tweeter ou même de lire le flux, que ce soit sur le web ou dans l’un des multiples clients, officiels ou tiers.

Le problème a été identifié et corrigé en environ une heure. Sur sa page de statut, l’éditeur indique simplement que la panne était due à « un changement de configuration interne ». Le retour à la normale s’est fait ensuite progressivement. 

Copié dans le presse-papier !

Dans une affaire ressemblant fortement à celle d’Amazon très récemment, un article du média belge VRT annonçait que les employés de Google pouvaient accéder aux enregistrements audio par l’Assistant maison, notamment à travers toutes les enceintes connectées l’utilisant.

On apprenait également que des sociétés tierces étaient payées pour travailler sur des échantillons vocaux, sans que l’on sache très bien dans quelle mesure la vie privée pouvait en être affectée. Une manière de rappeler cependant que tout ce qui se passe autour des enceintes est écouté.

En outre, grâce à une fuite, VRT a pu écouter environ un millier d’enregistrements audio, dont 153 paraissaient clairement accidentels, dans le sens où il s’agissait de conversations courantes, ne relevant pas d’une requête (à moins qu'Assistant ait cru l'inverse). Certaines étaient très intimes, de type « conversations au lit ».

Google n’a pas nié. L’éditeur s’est fendu d’un billet de blog pour expliquer sa position. Le travail avec des « experts » du monde entier est « essentiel » pour améliorer la technique de reconnaissance. Ces personnes ou entreprises travaillent sur un lot ne dépassant jamais 0,2 % du total.

La firme insiste : aucune de ces données n’est associée à un compte Google. En outre, elles ne correspondent normalement qu’à des requêtes clairement exprimées de l’utilisateur à l’Assistant. Une réponse ne cadrant pas avec les découvertes de VRT.

C’est d’ailleurs là que la réponse de Google s’éloigne de ce que l’on aurait pu en attendre. Plutôt que de s’excuser du manque de transparence autour du processus, la firme annonce qu’elle prend très au sérieux cette fuite et que le responsable sera poursuivi.

Copié dans le presse-papier !

Twitter déploiera la semaine prochaine une nouvelle fonction permettant de masquer une réponse à un tweet. Elle ne sera dans un premier temps disponible qu’au Canada, à des fins de tests.

Un utilisateur va donc pouvoir masquer une réponse à l’un de ses tweets (et uniquement les siens), la faisant disparaître de son écran et, par défaut, de tous ceux qui viendront lire le tweet.

Si un tweet a des réponses effacées, une petite icône grise apparaitra en bas à droite du texte. En appuyant dessus, on pourra consulter la liste. La fonction a, selon Twitter, été conçue pour ne plus afficher les réponses offensantes ou sortant clairement du cadre de la conversation.

Il ne s’agit que d’un début, Twitter précisant être continuellement en recherche d’améliorations pour la fonction. En l’état actuel, elle peut être malheureusement utilisée pour masquer des réponses intéressantes mais ne « faisant pas plaisir » à l’auteur. Par exemple du fact-checking sur une affirmation.

Copié dans le presse-papier !

Pale Moon, initialement dérivé de Firefox, mais devenu un fork à part entière, a été victime d’un piratage de son serveur dédié à ses archives.

La brèche n’a été découverte qu’il y a trois jours. Les développeurs ont été avertis et, en fouillant, se sont rendu compte que le problème de sécurité était ancien : le 27 décembre 2017 vers 15h30.

Des exécutables Windows ont été modifiés et infectés (versions 27.6.2 et antérieures) avec un malware désigné par ESET comme Win32/ClipBanker.DY. Le serveur d’archive a immédiatement été déconnecté après la découverte, tandis que celui dédié aux dernières versions de Pale Moon n’a jamais été touché.

Difficile d’en savoir davantage, car les archives ont été rendues en grande partie illisibles à cause d’un incident survenu le 26 mai dernier. Pour l’équipe, il ne peut s’agir que d’une autre attaque, soit par les auteurs de la première, soit par d’autres ayant eu le même type d’accès. Dans la foulée, un nouveau serveur a été monté, passant de Windows à CentOS.

SI vous n’avez jamais puisé dans le serveur d’archive, les développeurs estiment que vous n’avez a priori rien à craindre. Ils rappellent cependant que Pale Moon est fourni avec un fichier .sig permettant de vérifier la signature PGP du navigateur. 

Sous Windows, il faut notamment effectuer un clic droit sur l’exécutable principal, aller dans les Propriétés puis dans l’onglet Signature. S’il est absent, c’est que le fichier a été altéré. Un hash SHA256 est également fourni dans un fichier texte.

En outre, le malware Win32/ClipBanker.DY est connu de tous les antivirus depuis un moment et devrait être détecté comme tel, notamment par le propre Defender de Windows 10.