The blog of blog of blogs

Les aventures d'un ethnologue dans le grand monde

La maladie honteuse des données personnelles 19 novembre 2018


Les vols de données personnelles sont devenus communs et on s’étonne à peine de les voir défiler dans la presse.
Chaque semaine, des voleurs entrent dans les réseaux et remplissent leurs poches d’informations sur la vie des gens, parfois par millions.
La plupart du temps les informations dérobées permettent de commettre des fraudes très efficaces.

Le piratage de l’IRS américain en 2015  a ainsi alimenté pour des années le marché de la contrebande des fausses identités et des justificatifs d’impôts tout en pourrissant la vie des personnes volées pour au moins autant de temps.
D’autres motivations peuvent amener les pirates à attaquer une cible particulière, pour des motifs de vengeance ou de chantage.
Enfin, sans intention de nuire, une cause majeure des fuites de données provient des erreurs humaines. Absence de mise à jour d’un système, oubli dans une configuration technique, réutilisation d’un mot de passe corrompu… toutes ces choses qui confirment qu’en matière de sécurité informatique la première faille de sécurité se trouve « entre la chaise et la clavier » : l’utilisateur ou l’opérateur lui-même.

 

A chaque fois, il s’agit d’informations sur nous, de l’information que nous donnons pour pouvoir utiliser un service, comme nos vrais noms, prénoms, numéro de carte bancaire, sécurité sociale, téléphone, date de naissance, empreinte digitale des enfants pour qu’ils puissent déjeuner à la cantine, ou autre.
Et à chaque fois ceux qui réclament ces informations assurent qu’ils les garderont secrètes et inaccessibles au reste du monde.
Et à chaque fois, ils ne le font pas.
De ce point de vue, l’expression « vol de données » est commode car elle est neutre, en termes de responsabilité. Une entreprise ou une administration « victime de vol de données » se fait passer pour la victime… alors qu’elle avait la responsabilité de garder ces choses secrètes et ne l’a pas fait.

.

Les intrusions délictuelles ont connu un pic dans les années 2014-2015, avec par exemple l’entreprise Orange qui fut attaquée deux fois de suite pour un vol qui concernait plus de deux millions de personnes… dont peut-être vous si vous étiez abonné Orange à l’époque.
Depuis, les grandes organisations ont donc largement eu le temps de comprendre que les données personnelles sont fort recherchées et donc que plus elles en hébergent, plus elles sont susceptibles d’être seront attaquées.
Mais depuis, l’épidémie n’a jamais vraiment cessé. Le pic de 2014-2015 est devenu une norme, voire un minimum dans les années fastes.
Car oui, on en a vu d’autres !
Facebook est devenu un gros pourvoyeur de failles de sécurité mais aussi la plupart des opérateurs de réseau, les banques, sans compter toutes les effractions d’entreprises ou d’administrations dont on n’entendra jamais parler pour des raisons plus ou moins avouables.

Le Règlement Général sur la Protection des Données (RGPD)  va probablement provoquer plus de divulgations d’intrusions, puisqu’il oblige légalement à informer le public qu’un vol a eu lieu, au plus tard dans les 72h après qu’il a été constaté. On peut donc s’attendre à en voir encore davantage dans la presse… pas parce qu’il y a davantage d’attaques, mais parce que les organisations sont contraintes de ne plus le passer sous silence.
Inversement, je serais curieux de voir combien retarderont le plus possible la « découverte » d’intrusions pour retarder le moment où il faudra étaler son linge sale sur la place publique…

.

Les fournisseurs d’accès, les réseaux sociaux, les administrations  et beaucoup d’autres (trop !) enregistrent scrupuleusement à qui nous parlons, à qui nous écrivons, ce que nous likons et avec qui nous échangeons des documents. Les vendeurs enregistrent nos habitudes d’achat, les opérateurs enregistrent les lieux et les heures où nous allons et ce que nous regardons sur internet. Ils savent très bien en déduire nos espoirs, nos peurs, nos fantasmes et nos secrets.
La géolocalisation révèle où nous habitons, où nous travaillons, quels sont nos itinéraires habituels.
En associant les données localisées à l’échelle d’une ville, il est possible de prouver avec qui nous étions dans le bus, au supermarché et avec qui nous avons passé la nuit.

.

Parce que différentes organisations se positionnent comme acheteurs et revendeurs de nos informations (les data brokers), tous ceux qui peuvent collecter des données sont susceptibles de gagner de l’argent en les revendant.
Et le secteur est dynamique, c’est le moins qu’on puisse dire.
D’un côté sur le marché légal, une adresse e-mail valide vaut environ 0,5 centimes d’euros. Une « fiche client » provenant des bases de données de Facebook est estimée à 100 euros (ce qui participe à sa valeur en bourse, vu le nombre revendiqué de 2,27 milliards d’utilisateurs actifs).
De l’autre côté, sur le marché noir, le raccourci habituel est de demander 100 dollars pour 100.000 contacts. Donc d’un côté comme de l’autre, plus ils peuvent en avoir, plus ils en demandent.

Mais sur le marché officiel ou clandestin, une chose est sûre : une fois que nous avons donné nos informations elles ne sont plus à nous même si elles parlent de nous.  Les données enregistrées, stockées sont ensuite diffusées on-ne-sait-où, elles sont analysées par on-ne-sait-qui et pour on-ne-sait quel-but, vendues et achetées pour des motifs de marketing ou autre raison de persuasion et d’influence. Et beaucoup de monde gagne beaucoup d’argent avec.

« Tout enregistrer et le stocker indéfiniment » est donc un business model qui fonctionne.
Pour renforcer cette idée, on pourrait même dire que le travail qui consisterait à identifier ce qui ne mérite pas d’être enregistré est si difficile qu’il n’existe pas. D’ailleurs, ce qui semble inutile aujourd’hui pourrait être très utile demain. Du coup si on l’a enregistré aussi, on pourra le monnayer à ce moment-là.
Il suffit d’enregistrer, stocker et attendre.

.

 

La collecte de données personnelles est cependant dangereuse parce que ce sont des données… personnelles.

Enregistrer tout cela est dangereux parce que ça déclenche les convoitises et ça rend difficile une protection efficace.
Entre 2013 et 2014, Yahoo! a reconnu deux ans plus tard s’être fait voler 1,5 milliard de fiches clients.
Enregistrer les données personnelles est dangereux parce que vous savez que vous allez subir des effractions. Des entreprises vont vous attaquer, des pirates, des États ou des employés très en colère et vous ne pourrez pas tous les arrêter, c’est une certitude.
Or si dans le vrai monde le défenseur a toujours un avantage tactique (même relatif), dans le domaine de la cyber sécurité c’est l’attaquant qui a l’avantage.

Enregistrer tout cela est dangereux aussi car les dégâts d’une intrusion réussie sont dévastateurs.
La protection a été percée, la presse va parler du vol, la réputation va souffrir, la valeur boursière va baisser et cela peut dégénérer jusqu’au procès et à une condamnation ferme… et, surtout, de vrais gens vont se retrouver en difficulté à cause de la fuite.

.

.

Mais si les données personnelles sont si dangereuses, pourquoi donc les enregistrer ?

La première raison est que c’est une maladie de compulsion… il n’y a pas de raison particulière, sauf qu’on ne peut pas s’en empêcher.
Par appât du gain, tout le monde enregistre tout, tout le temps. Les organisations ne peuvent plus s’empêcher de tout enregistrer, comme une espèce de trouble compulsif embarrassant mais très répandu.

Des masses de données vont donc demeurer là pendant des années, personne ne se préoccupera de savoir si elles sont encore à jour ou pertinentes. Si quelque part quelqu’un sait que vous avez eu un cancer en 2005, qui se soucie de mettre à jour l’information de votre parfaite guérison ? Quel malus allez-vous subir si votre mutuelle santé établit ses tarifs sur ce genre d’information erronée ? Et qui possède ce commentaire graveleux que vous aviez posté avec vos noms et prénoms dans un obscur forum de discussion il y a 10 ans ?

 

La compulsion à enregistrer des données personnelles est une maladie honteuse, mais puisque tout le monde est contaminé il n’y a pas de raison de changer de comportement.
Cette incapacité collective vient du fait que l’architecture technique est conçue dans cet objectif et elle fonctionne sans aide, en faisant exactement ce qu’on lui demande. S’il vous fallait un exemple que le design ce n’est pas que de la cosmétique, il est là.
Obligation de « Créer un compte », obligation de saisir une adresse postale, obligation de donner son vrai nom et prénom, numéro de carte bancaire sauvegardé automatiquement après un paiement, etc.
La règle par défaut est l’enregistrement à l’échelle industrielle, jusqu’à l’overdose si nécessaire.

La Révolution arrivera le jour où nous serons payés pour enregistrer nos données personnelles  -ou rémunérés d’une manière ou d’une autre. Je suis bien certain que si la data devenait coûteuse à acquérir, on nous en demanderait soudainement beaucoup moins. Car il existe des cas ou, quoi qu’on en pense, la collecte de ces informations est nécessaire. Par exemple laisser sa mutuelle santé lire nos statistiques d’activité physique pour obtenir une ristourne parce qu’on est raisonnablement « sportif ».
Alors, quand c’est nécessaire, votre organisation devrait envoyer du lourd pour protéger ces données qui ne lui appartiennent pas : cryptographie forte, tokens anonymisés, double ou triple pare-feu, blockchain et j’en passe.

It’s the data, stupid ! All hard and software should (and will) allow portability of data, as it is produced in your organization.

 

 

Une seconde raison est la mode du Big Data.
Les entreprises et les gouvernements sont en pleine période d’envoûtement, subjugués par les promesses d’un monde meilleur (et de profits plus gros) grâce à la data.
Bien des travaux sont pourtant publiés sur le fait que plus de data n’est pas nécessaire, à commencer par les ethnologues qui démontrent jour après jour que le quantitatif sans qualitatif est une fumisterie sans nom. Coûteuse et socialement régressive.

 

Une troisième raison est que la plupart beaucoup de soi-disant responsables minimisent encore les risques.
Ils n’ont toujours pas compris à quel point une brèche de sécurité peut les mettre à genoux (sans parler du jour où une intrusion réussie permettra un vol et aussi le vandalisme des bases de données).
L’excès de confiance ici est un péché mortel et il convient d’éviter de croire qu’on est bien protégé. C’est d’ailleurs le premier signe d’une mauvaise sécurité : lorsque vous êtes sûr d’être bien abrité… demandez à Murphy.

La plupart n’ont pas encore compris que la meilleure protection consiste à supprimer les données personnelles.

.

 

Car les effets de mode se périment et les comportements stupides apportent rarement la longévité.
La tendance actuelle du privacy by design prend le contrepied des arguments habituels sur le sujet.

Dans tous les domaines, il est possible de fournir un service de qualité sans nuire à la vie privée des utilisateurs et sans finir par mourir d’obésité informationnelle.

 

De fait, vous n’avez pas besoin d’enregistrer l’adresse postale d’un client ! Qu’il vous la donne en vue de recevoir son colis est une chose, que vous la gardiez au chaud dans vos bases de données pour une durée indéfinie en est une autre.
Des choix techniques, des choix de design peuvent être faits pour éradiquer la maladie honteuse.


L’assistant Snips est un petit nouveau sur le marché en plein essor de l’intelligence artificielle vocale, qui a la particularité de fonctionner sans transmission à distance. Le logiciel est dans l’objet et vos discussions avec l’objet ne finissent pas sur des serveurs en Inde ou en Arizona.  On se demandera d’ailleurs utilement pourquoi les Alexa ou Siri nous imposent de transmettre nos conversations sur internet pour les enregistrer, alors qu’il est possible de ne pas le faire pour une qualité service équivalente.

Des moteurs de recherche comme Qwant ou DuckDuckGo fournissent des résultats comparables à Google mais ils n’analysent pas, eux, quel est l’historique de vos dernières consultations soi-disant « pour vous offrir une meilleure expérience de navigation ».

 

Les pratiques industrielles courantes dans le fonctionnement d’internet ont transformé internet en plateforme de surveillance, ce n’est pas la NSA qui me contredira.

Raisonnablement, on doit reconnaître que certaines données n’ont même pas besoin d’être demandées, d’autres n’ont pas besoin d’être enregistrées et celles qui doivent l’être devraient être stockées dans des bases différentes, verrouillés par plusieurs niveaux d’accréditations, qui rendent la cible « dure » et qui imposent énormément d’efforts à l’attaquant pour réunir des données cohérentes et monnayables sur le marché noir.

 

Mais il semble d’ores et déjà que si les internautes peuvent utiliser à qualité équivalente des outils conçus pour la discrétion (privacy by design), l’argument commercial fera son petit effet.
Parce que les scandales à répétition nous ont appris à nous, les internautes, que les entreprises ne savent pas protéger nos données et même celles qui savent ont une capacité de défense limitée, quoi qu’elles en disent.
Les entreprises qui peuvent nous protéger sont celles qui en demandent le moins possible, voire pas du tout.
Et s’il est vrai que la data est une matière première qui prend de la valeur quand elle a été raffinée, on pourrait aussi bien la considérer comme une matière inflammable qu’il convient de ne pas avoir en trop grandes quantités pour éviter les retours de flamme…

.

.

.

 

Votre commentaire

Entrez vos coordonnées ci-dessous ou cliquez sur une icône pour vous connecter:

Logo WordPress.com

Vous commentez à l’aide de votre compte WordPress.com. Déconnexion /  Changer )

Photo Google

Vous commentez à l’aide de votre compte Google. Déconnexion /  Changer )

Image Twitter

Vous commentez à l’aide de votre compte Twitter. Déconnexion /  Changer )

Photo Facebook

Vous commentez à l’aide de votre compte Facebook. Déconnexion /  Changer )

Connexion à %s

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur la façon dont les données de vos commentaires sont traitées.