Vous téléchargez une application pour vérifier votre calendrier de déploiement ou votre base tarifaire de logement. Vous êtes sûr qu’il est sûr car il est commercialisé spécifiquement pour vous, la communauté militaire. Cette confiance est mal placée.
Une nouvelle étude révèle une sombre réalité. Plus de 12 % des applications vendues aux troupes américaines contiennent des logiciels développés en Chine, en Russie ou dans d’autres pays adversaires. Ce n’est pas seulement une nuisance pour la vie privée. C’est une fuite de sécurité.
Le code est caché. Il peut récolter des données sur l’endroit où vivent les militaires. Où ils travaillent. Quand ils se déploient.
L’ampleur du problème
Des chercheurs de l’Université Purdue, de West Point et de la Florida International University ont étudié 220 applications sur le thème militaire. Ils les ont extraits du Google Play Store et de sous-reddits militaires privés.
Les résultats ont été frappants. Près des deux tiers contenaient des kits de développement logiciel (SDK) tiers. Ce sont des composants de code prédéfinis. Ils gèrent les analyses et la publicité. Mais ils suivent également la localisation et le comportement des utilisateurs.
Nous espérons que la recherche aidera le personnel militaire… à prendre des décisions plus éclairées en matière de confidentialité.
— Joshua Shinkle, auteur principal
Plus d’une application sur huit contenait du code lié à des entreprises en Chine ou en Russie.
Une application populaire pour évaluer les conditions de vie comprenait un logiciel de Huawei. Les régulateurs américains ont signalé Huawei comme une menace à la sécurité nationale en 2020. D’autres applications contenaient du code provenant d’entreprises russes. Ces applications intégraient Yandex, un service publicitaire russe.
Quarante pour cent de ces applications ont collecté ou partagé plus de données que ce que leurs fiches magasins admettaient. C’est dans l’écart entre la divulgation et la pratique réelle que réside le danger.
Comment les SDK étrangers menacent la sécurité des troupes
Ce n’est pas théorique. Les enjeux sont réels et immédiats.
Les courtiers en données commerciales suivent les Américains en ligne. Ils ne font pas toujours la distinction entre civils et militaires, à moins que le profit ne l’impose. Mais l’exposition peut être mortelle.
Les données des applications ordinaires peuvent retracer les membres du service jusqu’à :
- Leurs maisons privées
- Les écoles de leurs enfants
- Etablissements hors base où il leur est interdit de se rendre
Les experts avertissent que ces données aident les espions étrangers à identifier le personnel ayant accès aux zones sensibles. Il cartographie le moment où une installation est la moins gardée. Il fait apparaître des détails compromettants qui peuvent être utilisés à des fins de recrutement, d’extorsion ou de sabotage.
En avril, le commandement central américain a confirmé ce que le Pentagone soupçonnait depuis des années. Les adversaires utilisent déjà ces données de localisation commerciales pour surveiller le personnel américain au Moyen-Orient. Cela inclut les troupes stationnées près de l’armée iranienne dans le détroit d’Ormuz.
Le problème principal du Huawei HMS
L’étude a découvert HMS Core, un kit logiciel Huawei, présent dans douze applications différentes. Certains d’entre eux ont été construits pour les organisations de la Garde nationale de l’État.
HMS Core annonce la capacité de :
- Cartographier les emplacements des utilisateurs
- Diffusez des publicités ciblées
- Stockez des images et des vidéos
Aucune preuve ne suggère que les données circulent actuellement vers les serveurs Huawei dans ce lot spécifique d’applications. Mais un SDK peut être mis à jour à distance. Un code qui reste inactif aujourd’hui peut se transformer en logiciel espion demain.
Dans un cas, le code Huawei est entré dans une application à l’insu du développeur. Il a été introduit clandestinement en tant que dépendance dans un outil de notification commerciale. Comment est-il arrivé là ? Probablement parce que le développeur a fait confiance à une bibliothèque tierce sans auditer sa source.
Soixante-seize sources de codes tiers différentes ont été trouvées. Ceux-ci remontent à Israël, à l’Inde, à l’Allemagne et à d’autres pays. Environ 7 % des applications contenaient du code provenant de pays que le Pentagone qualifie explicitement d’adversaires.
Pourquoi les utilisateurs ne peuvent pas se protéger
Les chercheurs ont interrogé 103 personnes affiliées à l’armée. Cela comprenait le service actif, les réservistes, les anciens combattants, les civils du ministère de la Défense et leurs familles.
Les résultats montrent un échec systémique de transparence.
- 83 % ont utilisé au moins une application avec des pratiques de données inconfortables.
- Les participants ont utilisé en moyenne trois de ces applications.
- Entre 76 % et 83 % se sentent extrêmement mal à l’aise avec les applications contenant du code provenant de Russie, de Chine, d’Iran ou de Corée du Nord.
Pourtant, aucun utilisateur ne dispose d’un moyen simple de savoir si ses applications portent ce code.
Ni la section Sécurité des données du Google Play Store ni les étiquettes de confidentialité de l’App Store d’Apple ne divulguent le pays d’origine du logiciel exécuté dans une application. Vous pouvez voir quelles données sont collectées, mais vous ne pouvez pas voir qui crée les outils qui les collectent.
Les utilisateurs ont déclaré se sentir plus à l’aise avec la collecte de données si l’application était destinée à un usage militaire. L’image de marque crée la confiance. Cette confiance est exploitée.
Il manque des orientations institutionnelles
Près des deux tiers des participants ont déclaré avoir reçu peu ou pas de conseils de la part de l’armée sur l’utilisation des applications personnelles. Parmi ceux qui ont reçu des conseils, près des trois quarts les ont jugés inadéquats.
Le Pentagone a refusé de commenter ces conclusions.
Alors que peut-on faire ? Il a été demandé aux participants d’évaluer les mesures d’atténuation potentielles.
Ils ont classé les avertissements téléphoniques comme la solution la plus efficace. Imaginez un système d’alerte qui vous avertit lorsqu’une application installée contient du code tiers étranger ou inconnu. Les utilisateurs ont déclaré qu’ils soutiendraient probablement cette proposition.
Parmi les autres mesures suggérées figurent :
- Lois fédérales interdisant aux courtiers en données de vendre des données sur le personnel militaire
- Audits indépendants des divulgations de confidentialité des applications
- Interdictions plus strictes du code étranger dans les applications de marketing militaire
Ces mesures ont suscité un soutien presque identique de la part du groupe interrogé.
L’industrie de la publicité traite les utilisateurs militaires et les civils de la même manière. Le profit est le seul différenciateur. Jusqu’à ce que les plateformes et les développeurs soient obligés de révéler l’origine du code qu’ils expédient, les militaires resteront exposés.
Le code est là. Il attend juste une mise à jour à distance.
