Les conducteurs adeptes de Waze pourraient être espionnés

Avec WazeWaze, les trajets ne sont pas si confidentiels que cela. C'est ce qu'a remarqué une équipe de chercheurs en sécurité informatique de l'université californienne de Santa Barbara, en s'intéressant au fonctionnement de l'applicationapplication mobilemobile spécialisée dans la navigation par GPS. En effet, les experts ont mis au jour une vulnérabilité dans le logiciel pour le moins préoccupante pour la vie privée des usagers.

Décrite en détail sur le site Fusion, cette faille permet de suivre en temps réel les trajets de n'importe quel utilisateur. Pour le démontrer, les auteurs de cette trouvaille ont suivi durant trois jours les déplacements de la journaliste américaine à l'origine de l'article sur FusionFusion, y compris lorsqu'elle empruntait les transports en commun (le bus) ou passait par un taxi. Les seuls instants où la filature numérique a fait défaut furent ceux des trajets en métro, à cause de la perte du signal.

Pour parvenir à ce résultat, les experts ont dû se placer sur la trajectoire de la liaison entre le smartphone de l'utilisatrice et les serveurs de Waze. Malgré l'existence d'une connexion sécurisée afin d'empêcher que les communications ne soient lues en cas d'interception, les chercheurs sont quand même parvenus à analyser les données transitant d'un point à l'autre et ainsi connaître avec précision les déplacements de la journaliste. Une méthode qui pourrait être répétée pour n'importe quel utilisateur.

Le professeur Ben Zhao et son équipe ont utilisé une méthode de rétro-ingénierie. Pour commencer, ils ont intercepté les échanges sécurisées SSL entre les serveurs Waze et les utilisateurs afin d'étudier le protocole de communication utilisé. Ils ont ensuite créé un programme qui envoyait des commandes directement aux serveurs. Ceci leur a permis de suivre les utilisateurs dans leurs moindres déplacements, mais aussi de fausser le service en créant de faux embouteillages. © Waze

Comment créer de faux embouteillages avec des voitures fantômes

Comme Waze fonctionne de façon communautaire, les utilisateurs se prévenant les uns les autres quand un évènement particulier survient sur la voie publique (accidentaccident, bouchon, police, danger...), les chercheurs ont pu tromper les serveurs de Waze en générant de faux embouteillages et suivre certains utilisateurs afin de connaître leurs faits et gestes sur la route. Tout cela en utilisant des « voitures fantômes » par milliers afin de quadriller une zone, un quartier par exemple.

La découverte de l'équipe dirigée par Ben Zhao, professeur de science informatique au sein de la faculté, a fait l'objet d'une notification à Google l'an dernier (la firme de Mountain View possède l'application de navigation GPS depuis 2013). Une mise à jour a été proposée en début d'année, officiellement pour économiser de la batterie en évitant que des données GPS ne soient diffusées aux autres automobilistes lorsque l'application se trouve en arrière-plan.

La vulnérabilité reste toutefois activable quand l'application est en cours d'utilisation. Il y a une parade provisoire que les utilisateurs peuvent employer : passer par le mode invisible dans les réglages de son profil. Seul problème, il faut systématiquement activer le mode invisible à chaque fois que Waze est relancé. L'option est en effet désactivée quand l'application est fermée.