L’emblématique App Tracking Transparency n’est peut-être pas aussi robuste que certaines personnes le pensent

L’année dernière, Apple a adopté App Tracking Transparency, une politique obligatoire qui interdit aux créateurs d’applications de suivre l’activité des utilisateurs sur d’autres applications sans avoir préalablement reçu l’autorisation explicite de ces utilisateurs. Les défenseurs de la vie privée ont salué l’initiative et Facebook a averti qu’elle serait fatale aux entreprises qui s’appuient sur la publicité ciblée. Cependant, une étude publiée la semaine dernière suggère qu’ATT, comme on l’abrège généralement, ne freine pas toujours la collecte subreptice de données personnelles ou le fingerprinting des utilisateurs.

Lors de la conférence WWDC 2020, Apple a annoncé qu’avec la sortie d’iOS 14, l’IDFA serait désormais une fonctionnalité exclusivement opt-in et que les utilisateurs devraient donner leur consentement explicite à la fois à l’annonceur et aux apps de destination pour les autoriser à « les suivre sur Internet ». IDFA est l’acronyme anglais de « IDentifier For Advertisers » (en français, identifiant de publicité), il s’agit d’une série de lettres et de chiffres unique à chaque appareil iOS, par exemple, EA7583CD-A667-48BC-B806-42ECB2B48606. L’IDFA est la norme adoptée par Apple permettant aux réseaux publicitaires mobiles de suivre des utilisateurs et de leur diffuser des publicités ciblées. Il en va de même pour les applications publicitaires, leurs partenaires publicitaires et leurs partenaires d’attribution.

Avec la mise à jour de son système d’exploitation, notamment iOS 14, Apple allait apporter aux utilisateurs des paramètres de confidentialité pour réduire le ciblage publicitaire : il était prévu que chaque application qui souhaite faire usage de ces identifiants demande aux utilisateurs d’opter pour le suivi lors du premier lancement de l’application.

Selon Facebook, l’une des solutions qui seraient les plus durement touchées par l’approche d’Apple est son outil publicitaire Audience Network. Ce dernier permet aux annonceurs d’étendre leurs campagnes Facebook et Instagram à l’ensemble d’Internet au travers de milliers d’applications de haute qualité. Ce réseau d’audience de l’entreprise aide les développeurs de logiciels pour les plateformes mobiles à fournir des publicités in-app ciblées aux utilisateurs en fonction des données de Facebook. Facebook prétend qu’il ne serait plus d’aucune utilité si iOS 14 voyait le jour ainsi.

« Les mises à jour prévues par Apple rendraient Audience Network tellement inefficace sur iOS 14 qu’il ne serait pas logique de le proposer sur iOS 14 », a déclaré Facebook. Le groupe a estimé que plus d’un milliard de personnes regardent au moins une publicité du réseau d’audience chaque mois, bien que beaucoup d’entre elles utilisent probablement des téléphones Android et ne seraient pas touchées par ce changement. Ainsi, la société craignait que les utilisateurs n’optent pas pour le suivi lorsqu’ils en ont le choix.

Face aux plaintes des enseignes technologiques, Apple a retardé la sortie de la fonctionnalité qui n’a été déployée que depuis iOS 14.5, publié en avril 2021. Cette version a donc bénéficié de l’App Tracking Transparency. En deux semaines, 96 % des utilisateurs d’iPhone aux États-Unis ont refusé le suivi des applications, selon la société d’analyse d’applications Flurry.

« Jusqu’à présent, les applications pouvaient s’appuyer sur l’identifiant de l’annonceur (IDFA) d’Apple pour suivre les utilisateurs à des fins de ciblage et de publicité. Avec le lancement d’iOS 14.5 cette semaine, les applications mobiles doivent désormais demander aux utilisateurs qui ont effectué la mise à niveau vers iOS 14.5 l’autorisation de collecter des données de suivi. Le taux d’acceptation devrait être faible », a écrit Flurry dans son rapport. La société d’analyse s’attend à ce que ce changement crée des défis pour la publicité personnalisée, « ce qui aura un impact sur le secteur de la publicité mobile, qui représente 189 milliards de dollars dans le monde ».

« Flurry Analytics, propriété de Verizon Media, est utilisé dans plus d’un million d’applications mobiles, fournissant des informations agrégées sur 2 milliards d’appareils mobiles par mois. Pour ce rapport, Flurry mettra à jour chaque jour de la semaine à 10 heures, heure normale du Pacifique, le taux d’acceptation quotidien ainsi que la part des utilisateurs que les applications ne peuvent pas demander à suivre (statut « restreint »), à la fois aux États-Unis et dans le monde entier, afin de vous tenir informé de la version d’iOS la plus importante à ce jour pour l’industrie ».

Un rapport vient remettre en cause la robustesse du système

Une étude publiée la semaine dernière suggère qu’ATT, comme on l’abrége généralement, ne freine pas toujours la collecte subreptice de données personnelles ou le fingerprinting des utilisateurs.

Au cœur d’ATT se trouve l’exigence selon laquelle les utilisateurs doivent cliquer sur un bouton « Autoriser » qui apparaît lorsqu’une application est installée. Il peut lire cette description : « Autoriser l’application à suivre votre activité sur les applications et les sites Web d’autres entreprises ? » Sans ce consentement, l’application ne peut pas accéder au soi-disant IDFA (Identifier for Advertisers), un identifiant unique attribué par iOS ou iPadOS afin que les applications puissent suivre les utilisateurs sur d’autres applications installées dans l’optique de fournir de la publicité ciblée. Dans le même temps, Apple a également commencé à exiger des éditeurs d’applications qu’ils fournissent des privacy nutrition label, indiquant les types de données d’utilisateurs et d’appareils qu’ils collectent et la manière dont ces données sont utilisées.

Le document de recherche de la semaine dernière indiquait que si ATT fonctionnait à bien des égards comme prévu, les lacunes du framework offraient également la possibilité aux entreprises, en particulier aux grandes comme Google et Facebook, de contourner les protections et de stocker encore plus de données. Le document a également averti que malgré la promesse d’Apple pour plus de transparence, ATT pourrait donner à de nombreux utilisateurs un faux sentiment de sécurité.

« Dans l’ensemble, nos observations suggèrent que, bien que les changements d’Apple rendent plus difficile le suivi des utilisateurs individuels, ils motivent un contre-mouvement et renforcent le pouvoir de marché existant des sociétés de contrôle d’accès ayant accès à de grandes quantités de données de première partie », ont écrit les chercheurs. « Rendre les propriétés de confidentialité des applications transparentes grâce à une analyse à grande échelle reste une cible difficile pour les chercheurs indépendants et un obstacle majeur à des protections de la vie privée significatives, responsables et vérifiables ».

Les chercheurs ont également identifié neuf applications iOS qui utilisaient du code côté serveur pour générer un identifiant d’utilisateur mutuel qu’une filiale de la société technologique chinoise Alibaba peut utiliser pour le suivi inter-applications. « Le partage d’informations sur l’appareil à des fins de fingerprinting serait en violation des politiques d’Apple, qui ne permettent pas aux développeurs de « dériver des données d’un appareil dans le but de l’identifier de manière unique » », ont écrit les chercheurs.

Les chercheurs ont également déclaré qu’Apple n’est pas tenu de suivre la politique dans de nombreux cas, ce qui permet à Apple d’ajouter davantage au stock de données qu’il collecte. Ils ont noté qu’Apple exempte également le suivi à des fins « d’obtention d’informations sur la solvabilité d’un consommateur dans le but spécifique de déterminer le crédit ».

Sur la base d’une comparaison de 1 685 applications publiées avant et après l’entrée en vigueur d’ATT, le nombre de bibliothèques de suivi utilisées est resté à peu près le même. Les bibliothèques les plus utilisées, notamment SKAdNetwork d’Apple, Google Firebase Analytics et Google Crashlytics, n’ont pas changé. Près d’un quart des applications étudiées ont affirmé qu’elles ne collectaient aucune donnée utilisateur, mais la majorité d’entre elles (80 %) contenaient au moins une bibliothèque de traceurs.

En moyenne, la recherche a révélé que les applications qui affirmaient ne pas collecter de données sur les utilisateurs contenaient néanmoins 1,8 bibliothèques de suivi et contactaient 2,5 sociétés de suivi. Parmi les applications qui utilisaient SKAdNetwork, Google Firebase Analytics et Google Crashlytics, plus de la moitié n’ont pas divulgué l’accès aux données des utilisateurs. Le SDK de Facebook s’en sort légèrement mieux avec un taux d’échec d’environ 47 %.

Activation des thésauriseurs de données

Non seulement l’étude souligne les limites de l’ATT, mais elle note également que le pouvoir de ceux que les chercheurs ont appelé les « gardiens » a été renforcé. Elle souligne aussi l’opacité de la collecte de données en général. Les chercheurs ont écrit :

« Nos résultats suggèrent que les entreprises de suivi, en particulier les plus grandes ayant accès à de grandes quantités de première partie, suivent toujours les utilisateurs dans les coulisses. Ils peuvent le faire par le biais de diverses méthodes, notamment en utilisant des adresses IP pour lier des identifiants spécifiques à l’installation entre les applications et grâce à la fonctionnalité de connexion fournie par des applications individuelles (par exemple, connexion Google ou Facebook, ou adresse e-mail). En particulier en combinaison avec d’autres caractéristiques des utilisateurs et des appareils, dont nos données ont confirmé qu’elles sont encore largement collectées par les sociétés de suivi, il serait possible d’analyser le comportement des utilisateurs sur les applications et les sites Web (c’est-à-dire le fingerprinting et le suivi des cohortes). Un résultat direct de l’ATT pourrait donc être que les déséquilibres de pouvoir existants dans l’écosystème de suivi numérique se renforcent.

« Nous avons même trouvé un exemple concret d’Umeng, une filiale de la société de technologie chinoise Alibaba, utilisant son code côté serveur pour fournir aux applications un identifiant inter-applications dérivé du fingerprinting(…). L’utilisation du fingerprinting est en violation de la politique d’Apple et soulève des questions sur la capacité de l’entreprise à appliquer ses politiques. ATT pourrait finalement encourager un déplacement des technologies de suivi dans les coulisses, de sorte qu’elles soient hors de portée d’Apple. En d’autres termes, les nouvelles règles d’Apple pourraient conduire à encore moins de transparence autour du suivi que ce que nous avons actuellement, y compris pour les chercheurs universitaires ».

Malgré ses défauts, ATT reste utile. Le moyen le plus simple d’appliquer ATT consiste à accéder aux paramètres iOS> Confidentialité> Suivi et à désactiver « Autoriser les applications à demander le suivi ». Les personnes qui souhaitent une confidentialité iOS supplémentaire doivent désinstaller toutes les applications qui ne sont plus nécessaires ou envisager d’acheter une application telle que le pare-feu Guardian. En fin de compte, cependant, le suivi et le fingerprinting des appareils sont susceptibles de rester sous une forme ou une autre, même dans le jardin clos d’Apple.

Source : résultats de l’étude