SmartTV et IoT – Un micro-espion dans votre salon

Les publicitaires ne se contentent plus d’un accès indirect – en passant par l’écran – à votre temps de cerveau disponible. Désormais, ils cherchent un accès direct à votre voix, votre image ou encore à l’historique de vos battements cardiaques. L’IoT (Internet des objets) leur offre justement une nouvelle et formidable porte d’entrée dans votre intimité. Parmi les différents paramètres physiques convoités, la voix fait l’objet des plus grandes attentions. Tout devient alors prétexte à glisser un micro dans votre salon ou votre chambre à coucher. Et à s’en servir…

Cortana, Siri, Google Now… les services basés sur la reconnaissance vocale au cœur des systèmes d’exploitation ont le vent en poupe. Mais ils présentent un inconvénient majeur pour les marketeux avides de Big Data : ils ne fonctionnement que lorsque vous vous trouvez devant votre PC ou votre smartphone. Leur Saint Graal serait plutôt de pouvoir recueillir en permanence des données, que vous soyez affalé dans le canapé à lire Closer, ou encore dans votre lit à regarder la TV. Il devient ainsi possible de connaître vos centres d’intérêt du moment en écoutant vos discussions, afin de pouvoir vous proposer une offre publicitaire en rapport. Après tout, Google et Co. lisent déjà votre correspondance numérique dans ce but, alors pourquoi pas écouter vos conversations ? Sans compter qu’une analyse plus fine des intonations de votre voix permet de détecter si vous êtes énervé, stressé ou détendu… et si vous êtes prêt à acheter. Oui mais voilà : pour un vendeur ou un publicitaire, glisser un micro ou une caméra au cœur du foyer se rapproche beaucoup de Big Brother et paraît difficile à faire accepter psychologiquement. Vraiment ? Bah ! Appelez-le “Assistant vocal” ou mieux encore “Majordome virtuel”, et la pilule passera sans problème. Le mouchard Amazon Echo s’est ainsi déjà écoulé à plus de 3 millions d’exemplaires, et nul doute que celui de Google (baptisé “Home”) fera aussi bien lors de sa sortie. Reste que ces produits ne s’adressent pas encore au commun des mortels. Pour toucher le plus grand nombre, l’appareil électronique le plus efficace demeure la sacro-sainte TV : 660 000 unités vendues… par jour. Quasiment toutes sont désormais Smart et beaucoup disposent d’une technologie de commande vocale. Comment fonctionnent-elles exactement ? Vos conversations sont-elles à l’abri des grandes oreilles ? C’est ce que nous avons voulu savoir en espionnant une TV Samsung, la marque la plus vendue.

Vous dites ?

Pour ce test, nous avons utilisé un modèle 40″ 4K récent (UE40HU6900S) avec le dernier firmware en date (1080). La reconnaissance vocale s’active soit avec un appui sur la télécommande, soit en permanence. À noter que, selon ses conditions générales (plus de 150 pages, affichées une fois au premier démarrage de la TV), Samsung se réserve le droit de l’activer à tout moment sans vous demander votre avis. L’analyse des trames réseau montrent un processus en plusieurs étapes. D’abord, une liaison sécurisée avec un serveur de Nuance, le leader incontesté de la reconnaissance vocale :

La voix numérisée lui est transmise – ainsi qu’à un autre serveur Cloud d’Amazon, mais c’est une autre histoire – puis analysée. Une fois convertie en chaîne de texte et renvoyée à la TV, deux solutions : soit il s’agit d’une commande de base (comme “Augmenter le volume”) et elle est exécutée. Soit ce n’est pas le cas et la TV se met à interroger de nombreuses sources, dont évidemment Google (2), pour vraisemblablement chercher à comprendre le sens de votre commande vocale.

Et là, c’est le drame. Car dans la liste des services tiers interrogés, certaines requêtes ne sont pas chiffrées et laissent apparaître en clair le texte traduit. Nous avons par exemple prononcé devant notre PC “Je suis un gentil poulet” (3) et “Canard PC Hardware renifle la TV Samsung“.

Dans les deux cas, les phrases se sont baladées en clair sur Internet quelques instants plus tard. Sans sombrer dans la paranoïa, il y a tout de même de quoi s’inquiéter sérieusement !

Souriez, vous êtes filmés Quand on voit le peu de soin que porte Samsung à la protection de la vie privée de ses clients, on peut s’interroger sur le sort réservé à leur image. Le coréen propose en effet un module “caméra TV” – intégré sur certains modèles – censé servir à “faciliter la vie des utilisateurs”, par exemple en leur permettant d’utiliser Skype. Bien. Cette fonctionnalité pourrait également servir de mouchard comme le fait déjà la reconnaissance vocale : après le son, l’image ! À noter que Samsung intègre parfois un cache physique sur la webcam afin de “protéger la vie privée”. Faut-il comprendre que ceux qui oublient de l’utiliser sont consentants pour que leurs photos se retrouvent sur d’obscurs serveurs ?

Big Data Leak

Pour poursuivre, nous avons testé de la même façon les objets connectés que dans le numéro de l’été dernier. La domotique et le quantified self (mesures de vos “paramètres” personnels) intéressent en effet beaucoup les publicitaires. Trop gros ? Une promo de Weight Watchers ne pourra que vous plaire. Grand sportif ? Décathlon a une offre pour vous. Vos lumières sont éteintes ? C’est que vous n’êtes pas chez vous. Bref, commençons par la balance connectée du français Withings. Celle-ci renvoie d’abord son numéro de série (unique), le niveau de sa batterie, sa version de firmware et autres informations vers scalews.withings.net, qui lui envoie en retour une liste des utilisateurs configurés ainsi que leurs caractéristiques (pseudo, âge, taille, dernier poids connu, etc.). La balance envoie ensuite ses mesures : poids actuel, masse grasse, rythme cardiaque, taux de CO 2 dans la pièce. Problème : aucune des sept requêtes faites par la balance n’est chiffrée et ici aussi, tout circule en clair via HTTP sur Internet ! Pour l’anecdote, Withings annonce dans ses conditions appliquer aux données “un niveau de sécurité optimal” et place même un tag caché à l’attention des sniffers comme nous : “X-Recruitment : You should work for us!”. Non désolé, en l’occurrence, nous allons plutôt dénoncer vos pratiques.

Passons maintenant à Netatmo, un autre spécialiste français des objets connectés qui nous avait séduits avec sa station météo très populaire. Celui-ci affirme aussi prendre “des mesures raisonnables pour protéger vos données personnelles“. Cette fois, les mesures en question semblent (un tout petit peu) moins laxistes que chez Withings. Tout est encore transmis en clair (dont l’adresse MAC de la station, qui représente un identifiant unique permettant de vous cibler personnellement), mais les échanges se font grâce à des paquets TCP propriétaires vers back.netatmo.net et plus en HTTP. De par leur nature, les données transmises sont ici moins “personnelles” mais tout de même : une société qui propose une caméra connectée devrait à notre avis bien mieux sécuriser ses appareils !

Terminons enfin avec le système d’ampoules connectées Hue de Philips. Celles-ci peuvent en effet être commandées depuis Internet et le pont (Bridge) communique toutes les 25 secondes avec bridge.meethue.com. Bonne nouvelle : si toutes les requêtes se font en HTTP standard, elles sont toutes parfaitement encodées en AES.

Bravo ! Les Frenchies feraient mieux de s’en inspirer…