- iOS 26.3 introduit une nouvelle fonctionnalité de protection de la vie privée qui limite les données de localisation précises fournies au réseau cellulaire
- Cependant, via les protocoles standard des télécoms (RRLP, LPP), l’appareil peut transmettre automatiquement à l’opérateur ses coordonnées GNSS (GPS, GLONASS, Galileo, BeiDou)
- Ces protocoles fonctionnent sur le plan de contrôle (control plane), restent invisibles pour l’utilisateur et offrent une précision de quelques mètres
- Par le passé, la DEA (agence antidrogue américaine) et le Shin Bet israélien ont utilisé ce type de technologie pour effectuer un suivi de localisation via des ordonnances judiciaires ou des systèmes de surveillance
- Avec cette mesure, Apple a bloqué l’une des voies de la surveillance de masse, mais il faudrait permettre aux utilisateurs de désactiver les réponses GNSS et d’être avertis en cas de tentative
Nouvelle fonction de limitation des données de localisation dans iOS 26.3
- iOS 26.3 introduit une fonction qui limite l’accès du réseau cellulaire aux données de localisation précises (precise location)
- Cette fonction n’est disponible que sur les appareils équipés d’un modem Apple lancés à partir de 2025
- Apple explique que « le réseau cellulaire peut estimer la position d’un appareil à partir de la cellule relais à laquelle il est connecté »
- Le suivi de localisation basé sur les antennes-relais offre une précision de quelques dizaines à quelques centaines de mètres, une méthode déjà bien connue
Mécanisme de transmission des données de position GNSS à l’opérateur
- Les standards cellulaires intègrent des protocoles permettant à l’appareil d’envoyer automatiquement ses coordonnées GNSS à l’opérateur
- En 2G et 3G, il s’agit de RRLP (Radio Resources LCS Protocol) ; en 4G et 5G, de LPP (LTE Positioning Protocol)
- Le principe est que le réseau demande « indique-moi tes coordonnées GPS », et que l’appareil répond
- Ces protocoles fonctionnent sur le plan de contrôle (control plane) et sont invisibles pour l’utilisateur
- Ils sont traités dans les couches internes du réseau, donc ni l’utilisateur ordinaire ni les applications ne peuvent les voir
- Les coordonnées GNSS sont à l’origine des informations passives calculées uniquement à l’intérieur de l’appareil, sans nécessité d’être transmises à l’extérieur
- Le GNSS s’apparente à la lecture d’un panneau de signalisation : personne à l’extérieur ne devrait savoir qui l’a lu ni à quel moment
Cas d’usage réels
- En 2006, la DEA américaine a obtenu, via une ordonnance judiciaire (et non un mandat de perquisition), les coordonnées GPS d’un téléphone mobile en adressant une requête de “ping” à l’opérateur
- Le Shin Bet israélien a utilisé GSS Tool pour suivre de manière centralisée la position de tous les téléphones mobiles
- En combinant la triangulation via les antennes cellulaires et les données GPS pour déterminer une position précise
- En mars 2020, lors de la propagation du Covid-19, l’outil a été utilisé pour le contact tracing, avec envoi de SMS imposant l’isolement aux personnes ayant été en contact avec des cas positifs
- Ce cas montre que des données de localisation précises, impossibles à obtenir avec les seules antennes-relais, étaient effectivement collectées
Zones d’ombre et risques potentiels
- On ignore si la technologie utilisée par la DEA ou le Shin Bet reposait bien sur RRLP/LPP ; il est possible que d’autres protocoles ou des backdoors existent
- On ne sait pas non plus si des opérateurs étrangers peuvent en abuser à distance
- Il existe un cas où l’Arabie saoudite a suivi la localisation d’utilisateurs aux États-Unis via le protocole SS7, mais cela ne permettait qu’une localisation au niveau du mobile switching center (MSC)
- Compte tenu du faible niveau de sécurité et d’éthique dans l’industrie des télécoms, on ne peut exclure la possibilité qu’un acteur étatique obtienne les coordonnées GNSS à partir d’un simple numéro de téléphone ou de l’IMEI
Les mesures d’Apple et les prochaines étapes
- Apple a bloqué l’une des voies de la surveillance de masse en contrôlant directement le matériel du modem et son firmware
- Mais l’entreprise devrait aussi fournir une option permettant à l’utilisateur de désactiver les réponses de localisation GNSS ainsi qu’une notification lorsque l’opérateur tente une requête de localisation
- Ces mesures sont présentées comme la prochaine étape pour renforcer la protection de la vie privée des utilisateurs
1 commentaires
Avis sur Hacker News
Je pense qu’on ne peut pas supprimer l’état de sécurité
En revanche, l’utilisateur doit pouvoir désactiver le partage de ses données personnelles, et il doit y avoir des alertes immédiates et des recours si quelqu’un tente de passer outre
Si l’accès a eu lieu alors que le partage était déjà désactivé, en exploitant une faille technique, il faut un système où il y a responsabilité
Les données doivent être traitées comme le feu. Si on ne les contrôle pas, on finit par s’y brûler
Il est absurde que des policiers, des responsables politiques ou des agents de l’État puissent enfreindre la loi sans responsabilité personnelle
Aujourd’hui, on poursuit l’État et l’indemnisation vient des impôts, donc pour les auteurs il ne change rien
Une institution dotée de tels pouvoirs ne peut pas être tenue pour responsable. Les mandats a posteriori ou le contrôle des tribunaux ne servent à rien
Pour empêcher les abus de données, il faudrait au contraire générer du bruit depuis l’appareil
Il faudrait réagir en injectant d’énormes quantités de données inutiles afin de polluer le système lui-même
Par exemple, si vous utilisiez Neuralink et qu’un ami invoquait le « droit à l’oubli », imaginez que vos souvenirs avec cette personne disparaissent
Je pense que la communauté devrait parler davantage de Meshcore
C’est un réseau P2P basé sur LoRa, limité aux messages texte, mais avec des sauts pouvant aller jusqu’à 20 km, ce qui donne une large couverture
On peut rester en contact même en randonnée
La carte Eastmesh montre que le réseau s’étend à travers toute l’Australie
Le chiffrement se fait au niveau de l’application et ne dépend pas de LoRa, ce qui le rend compatible avec différents modes de transport
Il peut fonctionner via WebSocket, TCP, UDP, des liaisons radio non-LoRa, etc., et il existe aussi des clients JS et Arduino
On peut régler finement les politiques de relais des messages, et il y a aussi une protection anti-spam basée sur la preuve de travail (PoW)
Comme l’a montré Gnutella, les réseaux P2P non administrés ont leurs limites
J’ai fait des tests dans le Midwest et je n’obtenais qu’environ 0,4 km de portée
Sans grand nombre de nœuds d’antenne en hauteur, ça me semble difficilement exploitable en pratique
Je suis programmeur pour le système 112, et la localisation comporte plusieurs niveaux
Il y a la triangulation par antennes-relais, l’adresse de l’abonné, et aussi des messages de réponse GPS interceptés par le firmware
Cette fonction peut aussi être désactivée après son implémentation
Dans l’UE, c’est un système opt-in via un format de SMS non public, alors que le 911 américain permet une activation à distance
Le 112 est conçu pour ne fonctionner qu’en cas d’appel d’urgence
L’article admet la triangulation, puis traite de la fonction qui demande le GPS via des commandes UMTS/LTE
La nouveauté, c’est qu’Apple propose désormais une option que l’utilisateur peut désactiver lui-même
Sur les iPhone Air, iPhone 16e et iPad Pro (M5) Wi‑Fi + Cellular
avec iOS 26.3 ou ultérieur, on peut activer ou désactiver la limitation de la localisation précise
Réglages → Données cellulaires → Options de données → choisir la SIM → Limit Precise Location
seul Boost Mobile est pris en charge aux États-Unis (environ 7,5 millions d’abonnés)
Il faut probablement la 5G. Je me demande aussi si cela fonctionne en itinérance
Références associées : Boost Mobile sur Wikipédia, 5G NR
Les fonctions d’appel automatique comme la détection de chute ont besoin du GPS, donc la désactivation pourrait poser problème
Au final, l’État pourra connaître votre emplacement sous une forme ou une autre
Si on veut un anonymat complet, la seule vraie option semble être un burner phone acheté en liquide
Le gouvernement américain achète aussi des données de localisation à des data brokers
Selon cet article de l’EFF et ce lien HN,
les opérateurs vendent des données de localisation en temps réel
L’État paie des entreprises pour faire ce qu’il ne peut pas faire directement
Au final, il faut renforcer la régulation des entreprises privées. Les grands groupes ont déjà une influence quasi étatique
Des fabricants d’équipements de stations de base comme Ericsson peuvent connaître la position des téléphones
et exploiter ces données en coopération avec des entreprises de publicité ou de tracking
En pratique, dès lors qu’on a un téléphone portable, quelqu’un peut retrouver sa position s’il le veut
① laisser son téléphone à la maison
② couper l’alimentation du modem cellulaire avec un interrupteur matériel ou placer l’appareil dans une pochette de Faraday
③ s’organiser collectivement pour rendre la géolocalisation illégale
Il faut arrêter le défaitisme en matière de vie privée et utiliser les options qui existent
Les services de secours utilisent déjà des logiciels capables d’obtenir une position précise
Ce n’est pas une nouveauté
Si on remplace l’opérateur mobile par Facebook dans l’exemple, on voit tout de suite à quel point c’est anormal
J’ai reçu des données de triangulation par antennes-relais, mais jamais de données GNSS
À la place, nous recevions directement les coordonnées via FindMeSAR
Aujourd’hui, avec la généralisation de la messagerie satellite grand public, la situation a probablement beaucoup changé
Les opérateurs peuvent aussi activer à distance le microphone de l’utilisateur
Ils permettent de couper physiquement le microphone, la caméra et le GPS
et pratiquement tout sur moi, y compris mes comptes bancaires, mon adresse et ma position
Il sait même quelles touches j’ai appuyées via les signaux DTMF
Le matériel et le logiciel étant intégrés, je crois qu’il y a moins de risques de fuite d’informations
Depuis le projet e911, les opérateurs ont l’obligation de pouvoir récupérer la position GPS
Autrefois, ils réinitialisaient de façon répétée l’indicateur de messages en attente pour suivre les déplacements entre cellules
C’était justifié comme une aide du FBI pour traquer des ravisseurs
On pouvait aussi définir divers autres indicateurs, comme la priorité d’appel ou la désactivation du masquage de l’identifiant de l’appelant
En voyage, je recevais souvent des appels spam provenant de l’indicatif local des endroits que je visitais
J’ai demandé à mon opérateur, qui m’a dit ne pas vendre de données de localisation, mais j’avais du mal à le croire
Depuis que j’ai changé d’opérateur, cela a disparu. Il y aura peut-être un jour une class action
Même sans GPS, les informations des antennes-relais suffisent largement
Les SDK partagés d’analyse ou de publicité dans les sites web et les applis mettent à jour les profils de localisation
Voir cet article connexe de l’EFF