Sécurité des chats vidéo : qui participe à votre Houseparty ?

Les applications de chat vidéo comme Houseparty ont vu leur nombre d’utilisateurs augmenter fortement ces derniers mois, alors que les gens du monde entier passent plus de temps chez eux et interagissent davantage en ligne avec leurs amis et leurs collègues. Quand une entreprise grandit aussi vite, la protection des utilisateurs a souvent du mal à suivre. Les applications de communication anciennes et intégrées aux plateformes, comme WhatsApp, iMessage et FaceTime, ont tendance à être robustes : utilisées par des milliards de personnes, elles ont fait l’objet de nombreux examens et tests.

Les plateformes vidéo plus petites et plus récentes n’ont pas été examinées de cette façon, et la sécurité de certaines applications vidéo a récemment été remise en question. Nous avons déjà beaucoup écrit sur la façon dont les entreprises collectent légalement vos données, comment rester en sécurité en ligne et les mesures à prendre en cas de piratage de vos comptes. Dans cet article, je vais examiner brièvement Houseparty, les risques liés à son utilisation et les mesures simples à prendre pour éviter de partager ce que vous préféreriez garder privé.

4 risques pour tous les utilisateurs : vol de données, surpartage ou suivi des données, et sécurité faible

De manière générale, les utilisateurs de ce type d’applications vidéo sont exposés à quatre risques :

1. Du contenu inapproprié et un contrôle parental insuffisant.
2. Le vol de données délibéré, et illégal, directement par l’éditeur de l’application.
3. Le partage ou le suivi délibéré de données, légal mais souvent inattendu.
4. L’accès de tiers à vos informations personnelles du fait d’une négligence dans la sécurité de l’application, ou de piratages rendus possibles par une sécurité faible.

Examinons la probabilité de chacun de ces risques.

La page d’accueil de Houseparty présente l’application comme un réseau social, mais celle-ci n’offre pas les fonctions de contrôle parental que l’on peut raisonnablement attendre d’un réseau social. Le texte promotionnel de l’application sur le Play Store de Google la décrit comme « truly the next best thing to hanging out in person ». C’est presque vrai : pour les enfants qui utilisent Houseparty, c’est comme se retrouver en personne, mais avec un adulte glauque qui leur pose des questions sur le sexe.

À l’inscription, tous les utilisateurs doivent fournir leur date de naissance, et l’application la garde à portée de main pendant son fonctionnement : elle envoie régulièrement la date de naissance de l’utilisateur aux outils de suivi qu’elle utilise. La toute dernière fonctionnalité de Houseparty, et le cœur de ses projets de monétisation, est une série de quiz intégrés qui ne tiennent aucun compte de l’âge de l’utilisateur.

Lorsqu’ils choisissent un quiz, tous les utilisateurs voient la même liste, avec le quiz 18+ « Slang terms » en troisième position, même pour les utilisateurs mineurs. Nous évitons les contenus pour adultes sur ce blog et n’entrerons donc pas dans les détails, mais les quiz comportent toute une gamme de contenus profondément inadaptés aux enfants : abréviations d’expressions grossières, ce qui se passe réellement dans les clubs de strip-tease, références aux drogues de l’héroïne à la marijuana, et diverses descriptions du sexe et des organes génitaux. Ah, et il y a aussi du contenu sur Jeffrey Dahmer.

L’application Houseparty est indiquée sur l’App Store d’Apple comme adaptée aux « 12+ » et annoncée sur le Play Store de Google comme adaptée aux « Teen ». L’application ne propose aucune fonction de contrôle parental intégrée.

De nombreux parents s’inquiètent à juste titre de ce à quoi leurs enfants sont exposés en ligne et dans les applications, et plusieurs sites évaluent les applications et fournissent des conseils. Au Royaume-Uni, l’association à but non lucratif Internet Matters propose ce type de service avec le soutien de BT, Sky et d’autres. L’organisation met actuellement beaucoup en avant ses conseils sur Houseparty, expliquant qu’elle travaille avec l’industrie, le gouvernement et les écoles pour les établir.

Ce type de service est une ressource importante pour les parents, mais dans le cas d’Internet Matters, il semble qu’aucune vérification sérieuse n’ait été faite, ou presque. Leurs conseils aux parents sont extrêmement limités : ils se contentent pour l’essentiel d’un avertissement générique sur le danger des inconnus dans les vidéos, et se terminent par un appel aux parents à télécharger l’application.

Une lecture rapide des conditions d’utilisation de Houseparty suffirait à tout expert raisonnable pour constater que l’application n’est pas conforme au RGPD, qu’elle n’offre pas de contrôle parental et qu’elle revendique le droit d’utiliser tout ce que les utilisateurs partagent sur l’application. Cela, ainsi que le contenu des quiz 18+, est important à signaler aux parents. Internet Matters rend un mauvais service aux parents inquiets du monde entier en diffusant ce contenu.

Internet Matters n’est pas le seul service à publier des pages rassurantes sur des applications qui n’ont pas été suffisamment examinées, mais nous avons choisi de le mettre en avant parce que, au 2 avril, il continue d’investir dans la promotion d’un contenu trompeur, malgré au moins un utilisateur qui a fait part publiquement de ses inquiétudes.

Nous pensons que ces services devraient afficher clairement les étapes de leur vérification des applications et ajouter un avertissement explicite lorsque celle-ci a été superficielle et fondée uniquement sur des supports marketing, et non sur l’examen des conditions ou du produit lui-même. Ils devraient envisager de retirer leur contenu après la mise à jour des produits et services, jusqu’à ce qu’il reflète correctement l’état actuel de l’application. (Les conseils d’Internet Matters ont été mis à jour pour la dernière fois le 24 décembre 2019, alors que Houseparty avait introduit les quiz 11 mois plus tôt, en janvier 2019.)

Du suivi, du suivi, partout…

Qu’en est-il du partage de données personnelles légal mais inattendu ? Houseparty a quelques éléments à signaler à ce sujet.

Le risque de vol illégal de données est extrêmement faible. La société mère de Houseparty a des modèles économiques clairs qui n’impliquent pas cela, et son siège se trouve dans un pays doté de lois correctes sur la protection des données. Houseparty est détenue par Epic Games. Rien ne laisse penser qu’elle volerait les données d’un utilisateur, et se faire prendre à le faire serait contre-productif pour elle.

Houseparty n’est pas un produit payant, et son modèle de revenus n’est pas clair pour le moment. C’est une bonne raison de se méfier de ce que l’application pourrait suivre. En l’état, cependant, nous n’avons vu aucune preuve que Houseparty ait été piratée ou laisse fuiter des informations.

Les anecdotes sur Twitter ne suffisent pas…

De nombreux messages sur Twitter affirment que des comptes bancaires ont été vidés, des comptes Spotify consultés ou des e-mails rendus accessibles après l’utilisation de Houseparty, mais ces témoignages sont tous anecdotiques et peu fiables. Beaucoup de gens utilisent des mots de passe faciles à deviner et se font pirater en permanence : Security Magazine a relayé une étude de l’université du Maryland selon laquelle des pirates attaquent toutes les 39 secondes, et les données de Gemalto indiquent que 291 enregistrements sont volés chaque seconde.

Pour illustrer le propos : la sécurité d’Apple est généralement à toute épreuve, mais de temps en temps, quelqu’un suggère que Apple a été piraté ; il est facile de trouver à tout moment une foule d’excentriques sur Twitter qui l’affirment. Des accusations anecdotiques ne prouvent aucun méfait.

Entre-temps, Houseparty affirme qu’un tiers orchestre une campagne de dénigrement à son encontre :

Houseparty a également déclaré :

All Houseparty accounts are safe - the service is secure, has never been compromised, and doesn’t collect passwords for other sites

Dans une certaine mesure, cependant, c’est un jeu de mots : aucun produit raisonnable ne collecte ni ne stocke de mots de passe, ils utilisent des jetons d’authentification. Lorsque les utilisateurs connectent leur compte Houseparty à Facebook, Spotify ou Snapchat, l’application Houseparty peut accéder aux jetons d’authentification ou de partage de données de ces comptes et éventuellement les stocker, et rien n’indique si c’est le cas ou non. Stocker ce type de jetons n’a rien d’intrinsèquement inhabituel, mais une question importante demeure : Houseparty synchronise-t-elle les contacts avec Facebook uniquement à l’inscription, ou conserve-t-elle le jeton d’authentification de Facebook pour pouvoir synchroniser les contacts ou d’autres données du compte à l’avenir ? Leur tweet ne l’exclut pas.

La sécurité et l’utilisation des données de Houseparty en détail

ESET a examiné l’application Android de Houseparty et estime qu’elle semble globalement correcte. Nous avons jeté un regard similaire sur l’application iOS de Houseparty et sur la façon dont elle stocke les données, ainsi que sur certains contrats et textes juridiques entourant le service. Nous avons relevé quelques éléments notables dans l’application com.herzick.houseparty, c’est son nom :

• Houseparty s’intègre actuellement à Facebook, comme Zoom le faisait. Cette intégration implique de partager certaines données d’utilisation avec Facebook. Elle est censée permettre d’inviter ses amis Facebook, et le suivi en est une conséquence inévitable si les utilisateurs choisissent de se connecter à Facebook.
• Houseparty stocke et met en cache sur les appareils des utilisateurs des adresses de flux pour toutes sortes de données de configuration. Par exemple, il inclut le chemin vers toutes les questions et réponses du jeu de culture générale « fun fact » de Houseparty. Il semble être laissé sur le téléphone de chaque utilisateur, avec une série d’autres flux.
• L’application Houseparty met en cache certains « Facemails » reçus par les utilisateurs. On les trouve dans Library/Application Support/Prefetch-Facemails, et ils sont stockés au format mp4. (Si vous êtes curieux de regarder par vous-même, ce document devrait vous aider.)
• Une quantité raisonnable d’informations de suivi sur le téléphone de l’utilisateur est stockée, très probablement à des fins de prise d’empreinte de l’appareil. Comme Netflix, Houseparty stocke le user-agent de l’appareil (c’est-à-dire Mozilla/5.0 (iPhone; CPU iPhone OS 13_4 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148), mais conserve aussi des valeurs telles que bnc_device_fingerprint_id, qui lui permettent d’identifier dans la durée les appareils qui utilisent le service La prise d’empreinte des appareils est une pratique omniprésente qu’Apple a réprimée à plusieurs reprises, et Houseparty ne semble pas utiliser les identifiants de suivi IDFA / IDFV recommandés fournis par Apple. Sans doute parce qu’ils réduisent l’efficacité du suivi !
• Étonnamment, les sauvegardes de l’application Houseparty incluent une base de données complète de journalisation et de suivi de l’application. Elle ne contient que les données de l’utilisateur lui-même, mais elle est très détaillée et comprend toutes sortes de données précises qui n’ont rien à faire dans une sauvegarde.

Nous soupçonnons que Houseparty ne passerait pas un audit de sécurité par un tiers sans qu’au moins certains de ces points soient signalés ; le fait qu’ils soient toujours présents dans la version actuelle de l’application nous inquiète donc. La confirmation que Houseparty a fait réaliser un audit de sécurité par un tiers serait rassurante.

Un coup d’œil aux petits caractères…

Enfin, en examinant la politique de confidentialité et les textes juridiques de Houseparty, nous avons relevé quelques points qui nous ont gênés. D’abord, il n’existe pas de politique de divulgation responsable. Il s’agirait d’un document décrivant la façon dont l’entreprise réagit lorsqu’un chercheur en sécurité découvre un problème. En général, ce type de politique prévoit une prime de sécurité pour la personne qui signale le problème, à condition qu’elle le divulgue de manière responsable à l’entreprise afin qu’il puisse être corrigé.

Faute d’une telle politique, les chercheurs en sécurité en sont généralement réduits à écrire aux équipes du service client lorsqu’ils découvrent des problèmes, et il est notoirement difficile de passer par le service client pour joindre l’équipe de sécurité d’une entreprise. Si nous avions trouvé quelque chose de vraiment grave dans l’application, une politique de divulgation nous aurait offert un moyen simple de le signaler. (À titre de référence, voici la politique de divulgation de Reincubate.)

Il semble vraiment stupéfiant que Houseparty propose une prime d’un million de dollars (sans conditions claires !) pour trouver la preuve d’une campagne de dénigrement visant sa sécurité, mais n’annonce aucune récompense pour la divulgation responsable de problèmes de sécurité sur la plateforme.

Certains aspects des conditions d’utilisation de Houseparty sont préoccupants : il n’y est fait aucune mention de Safe Harbor / Privacy Shield ni du RGPD, ce qui témoigne d’une attitude désinvolte envers la protection des utilisateurs et pourrait potentiellement exposer l’entreprise à des difficultés juridiques avec les autorités européennes de protection des données. De plus, l’absence de conformité au RGPD pourrait aussi signifier que les entreprises qui utilisent de tels services enfreignent elles-mêmes la législation sur la protection des données, ce qui pourrait les exposer à des contestations de la part de leurs propres clients. Un indice que le RGPD n’a pas été pris en compte : les utilisateurs ne peuvent choisir que de se désinscrire du marketing (opt-out), ce qui enfreint la législation européenne du RGPD, qui exige que ces options soient en « opt-in » au moment de l’inscription. Il n’existe pas non plus de moyen de refuser les autres collectes de données.

Les conditions de Houseparty comprennent ce qui suit :

You agree that Life on Air is free to use the content of any communications submitted by you via the Services, including any ideas, inventions, concepts, techniques, or know-how disclosed therein, for any purpose including developing, manufacturing, and/or marketing goods or Services

Nous ne sommes pas juristes, mais cela semble soulever des questions de propriété intellectuelle : si vous parlez de votre idée d’entreprise ou de votre produit, Houseparty serait libre de reprendre tout ce dont vous avez parlé pour développer son propre produit ou vendre l’information à un tiers. Cela suggère aussi que le service pourrait conserver une partie du contenu des messages : si c’est le cas, il pourrait enfreindre les lois européennes sur la surveillance des communications.

Leurs conditions comprennent aussi la phrase suivante, qui invite les utilisateurs à écrire à Houseparty pour refuser les communications marketing non sollicitées :

Individuals who provide us with Personal Information, or whose Personal Information we obtain from Third Parties, may receive periodic emails, newsletters, mailings, push notifications or text messages from us with information on our or our business partners’ products and services or upcoming special offers/events we believe may be of interest. We offer the option to decline these communications at no cost to the Individual by following the instructions in Section 5 below.

Tous ces problèmes de confidentialité de Houseparty contrastent fortement avec les applications de messagerie établies, comme FaceTime, iMessage, WhatsApp, Zoom et Slack. WhatsApp dispose d’un excellent ensemble de documents et de politiques sur la confidentialité. Même Zoom indique que « Zoom does not monitor or use customer content for any reason other than as part of providing our services. Zoom does not sell customer content to anyone or use it for any advertising purposes ». Slack précise clairement qu’il n’utilise les données clients que pour fournir le service et qu’il les conserve conformément aux souhaits du client (certaines offres professionnelles prévoient par exemple l’archivage).

Que faire si votre sécurité vous préoccupe

Si vous vous souciez de votre sécurité en ligne, ou de l’utilisation de Houseparty, nous vous recommandons de suivre les étapes suivantes.

• Désinstaller Houseparty ne suffit pas à supprimer vos données de leur service. Leur service peut encore stocker votre numéro de téléphone, votre nom, la liste de contacts importée et vos jetons d’authentification. Leurs conditions suggèrent de contacter hello@houseparty.com pour refuser le marketing et faire supprimer vos informations. Curieusement, l’adresse data-requests@lifeonair.com est citée plus loin, mais pas pour les demandes relatives aux données !
• Il est possible d’utiliser Houseparty sans partager grand-chose d’autre que votre numéro de téléphone. Les intégrations Facebook, Snapchat et Spotify sont toutes facultatives, tout comme l’importation de votre liste de contacts. Nous vous recommandons d’éviter tout cela et d’ajouter plutôt vos amis manuellement.
• Lorsque vous utilisez Houseparty, sachez que des visiteurs peuvent entrer dans une salle à tout moment. Les autres utilisateurs sont informés que vous êtes en ligne dès que vous ouvrez l’application. Attention ! Par défaut, les salles ne sont pas verrouillées, ce qui signifie que toute personne que vous avez ajoutée peut y entrer. Il existe toutes sortes de tweets sur des utilisateurs surpris de voir leur patron débarquer dans leur Houseparty alors qu’ils étaient dans leur bain ! Vous pouvez modifier cela dans les réglages de Houseparty.
• Comme pour tout service en ligne, nous vous recommandons de prendre quelques précautions simples pour rester en sécurité en ligne. Nous les résumons à la fin de cet article et présentons des conseils de sécurité complets pour les utilisateurs d’Apple ici.