Oura affirme recevoir des demandes gouvernementales concernant les données des utilisateurs

 (this.weekinsecurity.com)
1 points par GN⁺ 4 시간 전 | 1 commentaires | Partager sur WhatsApp
  • Oura Ring collecte des données de santé sensibles comme la fréquence cardiaque, le sommeil, le cycle menstruel et la localisation, et l’architecture de stockage côté serveur détermine la possibilité d’un accès externe
  • Les données d’Oura ne sont pas protégées par un chiffrement de bout en bout et sont stockées de manière à ce que certains employés puissent y accéder, ce qui les expose aux mandats, aux clés dérobées et aux risques internes
  • Oura affirme que les demandes gouvernementales sont rares et qu’elle en examine la légalité, la portée et la nécessité, mais ne publie ni leur nombre ni la fréquence des divulgations
  • Depuis le scandale de surveillance de la NSA en 2013, de nombreuses entreprises technologiques publient un rapport de transparence semestriel, mais Oura n’a toujours pas pris d’engagement public après 8 mois
  • Avec plus de 5,5 millions d’unités vendues au total, Oura doit publier des statistiques agrégées sur les demandes de données gouvernementales si elle veut conserver la confiance de ses clients

Données Oura et structure d’accès

  • Oura Ring est un wearable de suivi de santé porté au doigt, qui collecte des données de santé sensibles telles que la fréquence cardiaque, les habitudes de sommeil, le cycle menstruel et la localisation
  • Les données des utilisateurs sont stockées sur les serveurs d’Oura, et la possibilité d’accès par un gouvernement ou des hackers varie selon la conception du produit et de l’infrastructure serveur
  • Après avoir signé des contrats avec le Department of Defense et Palantir, Oura s’est retrouvée au cœur d’une controverse sur les réseaux sociaux, certains clients craignant que leurs données soient transmises à l’administration Trump
  • Oura fait aujourd’hui partie des principaux fabricants de wearables de santé et, à l’approche de son introduction en Bourse, est valorisée à plus de 11 milliards de dollars
  • Oura a annoncé le dépôt confidentiel d’un projet de document d’enregistrement en vue d’une introduction en Bourse, ce qui renforce encore sa responsabilité en matière de contrôle de l’accès aux données des utilisateurs

Absence de chiffrement de bout en bout

  • Les données d’Oura ne sont pas protégées par un chiffrement de bout en bout (end-to-end encryption)
  • Les données de santé de l’utilisateur peuvent être déchiffrées à certains points du trajet entre la bague, l’application mobile, Internet et les serveurs d’Oura
  • Oura a confirmé stocker les données des utilisateurs de manière à ce que certains employés puissent y accéder
  • Dans une telle architecture, des procureurs munis d’un mandat, des hackers disposant de clés volées ou des personnes malveillantes en interne peuvent potentiellement accéder aux données
  • Parmi ces possibilités, Oura reconnaît que les demandes gouvernementales existent bel et bien

Les demandes de données gouvernementales reconnues par Oura

  • Oura indique recevoir des demandes rares (infrequent requests) de la part des autorités
  • Chaque demande est examinée selon des critères de « légalité, portée et nécessité »
  • Oura affirme s’y opposer lorsque la demande n’est pas valide, est excessivement large ou ne correspond pas à ses engagements de protection de la vie privée des membres
  • Mais l’entreprise ne publie ni le nombre de demandes, ni la fréquence à laquelle des données utilisateurs sont fournies, ni les types de données demandés
  • Au moment de l’article, Oura avait vendu plus de 5,5 millions de bagues au total, ce qui représente une base de clients importante

Rapport de transparence et retard de publication

  • De nombreuses entreprises technologiques ont commencé, après le scandale de surveillance de la NSA en 2013, à publier tous les six mois un décompte des demandes gouvernementales
  • Ces publications visaient à répondre aux soupçons selon lesquels les entreprises transmettraient en secret et à grande échelle les données des utilisateurs lorsqu’elles reçoivent des demandes des autorités
  • Oura n’a jamais publié de rapport de transparence par le passé, mais a déclaré qu’elle « évaluait activement des moyens de partager des données agrégées d’une manière qui préserve la sécurité et ne crée pas de risque pour les membres »
  • Huit mois ont passé depuis, mais aucun engagement n’a été pris quant à la publication d’un rapport de transparence ou à la divulgation du nombre de demandes
  • Malgré une nouvelle sollicitation récente et plusieurs e-mails de relance, Oura n’a pas répondu

La nécessité de publier pour conserver la confiance des clients

  • Sans chiffres sur ces demandes, il est difficile de savoir à quelle fréquence Oura refuse les exigences du gouvernement, ou même si elle les a déjà refusées en pratique
  • Dans une architecture où des données de santé sensibles sont stockées sur des serveurs et restent accessibles à certains employés, la publication de statistiques sur les demandes gouvernementales est directement liée à la confiance des clients
  • Si Oura veut gagner ou conserver la confiance de ses clients, elle doit publier, comme d’autres entreprises technologiques, des statistiques agrégées sur les demandes gouvernementales d’accès aux données

À lire aussi

1 commentaires

 
GN⁺ 4 시간 전
Commentaires sur Hacker News

  • L’Illinois dispose d’une loi stricte sur la confidentialité des données biométriques
    Il ne semble pas qu’Oura fasse particulièrement attention à empêcher, par exemple, un service de police du Texas de consulter des informations protégées concernant un résident de l’Illinois
    https://en.wikipedia.org/wiki/Biometric_Information_Privacy_...

    • Si ignorer ce genre de disposition a en pratique une probabilité proche de zéro d’entraîner de graves conséquences, on peut se demander pourquoi ils feraient particulièrement attention

  • « Dans un précédent billet de blog, il était indiqué que les données Oura n’étaient pas chiffrées de bout en bout. Cela signifie que les données de santé des utilisateurs d’Oura peuvent être déchiffrées à un certain moment pendant leur trajet de l’anneau vers l’application mobile, puis via Internet, jusqu’aux serveurs d’Oura »
    C’est assez étrange. On dirait une confusion entre chiffrement de bout en bout et chiffrement en transit

    • Si je comprends bien, le chiffrement de bout en bout inclut le chiffrement en transit
      Le message est chiffré à la source et n’est déchiffré qu’à destination, donc il reste chiffré partout entre les deux
    • Je n’y vois pas forcément une confusion. L’auteur dit clairement que les données ne sont pas chiffrées de bout en bout
      On a l’impression qu’elles sont chiffrées en transit, ce qui est plus ou moins le minimum attendu depuis une vingtaine d’années. Dire qu’elles « sont déchiffrées à certains points du trajet » est une façon tout à fait raisonnable d’expliquer à un lecteur non technique la différence concrète entre les deux approches
    • On dirait aussi que ce n’est pas chiffré au repos
      Peut-être qu’ils considèrent chaque segment de transmission comme un échange IP de bout en bout distinct
    • Là, c’est confondre le chiffrement de bout en bout avec le chiffrement au repos
    • Ce n’est pas si étrange que ça, c’est juste que le terme E2EE est tellement utilisé que chacun l’interprète à sa manière. Dans certains cas, les attentes deviennent même irréalistes
      Si on prend une application de messagerie qui utilise un serveur comme intermédiaire, E2EE signifie que seuls les deux utilisateurs peuvent voir le contenu, et pas les serveurs de l’entreprise intermédiaire. Oura, lui, n’a que l’utilisateur et les serveurs de l’entreprise ; beaucoup supposent donc qu’Oura ne peut pas lire les données, comme les serveurs de Signal ou WhatsApp ne le peuvent pas grâce à l’E2EE. Le marketing laisse souvent cette confusion s’installer, voire l’encourage
      Cela dit, si Oura prétend utiliser l’E2EE, il faut que le chiffrement soit imposé à l’interface entre l’utilisateur et le service, c’est-à-dire dans l’anneau ou au minimum dans l’application, et que les données ne soient déchiffrées qu’à l’autre extrémité, sur les serveurs d’Oura. Si les données sont déchiffrées à n’importe quel point entre ces deux extrémités, alors ce n’est pas de l’E2EE

  • On dirait quelqu’un qui paie 6 dollars par mois pour être surveillé par des agences fédérales

    • Quand on regarde les pubs des forfaits mobiles, on a l’impression que la plupart des gens paient plus que ça pour être surveillés par des agences fédérales
    • Le mieux, c’est de payer 100 dollars par mois à Claude ou Open(Closed)AI pour être surveillé par des agences fédérales. Dans certains cas, on monte même à 200 dollars par mois avec un abonnement Max Premium
      Mais pas d’inquiétude, ils vendent apparemment les jetons à perte, donc cette revente de données n’aurait aucune importance
      Donc mes données qui ne servent pas à l’entraînement devraient quand même faire partie d’un système où je paie pour qu’ils les extraient de moi ?

  • Même en tenant compte de tout ça, ce qui m’inquiète davantage, c’est la reconnaissance automatique de contenu (ACR) des smart TV achetées en magasin
    Les utilisateurs ne s’en rendent même pas compte, mais leur TV renvoie chez le fabricant tout ce qu’ils regardent

    • La confidentialité de ce que tu regardes à la télé t’inquiète plus que des données médicales ? On dirait une façon étrange de détourner une discussion sérieuse
    • Si ça t’inquiète, ne connecte pas ta TV à Internet et utilise un boîtier comme Shield TV ou Apple TV

  • Je me demande bien ce que le gouvernement pourrait faire de mes données de fréquence cardiaque et d’oxygène sanguin
    « M. Smith est encore allé courir, il faut l’emmener pour interrogatoire ! »
    Cela dit, puisque le gouvernement demande ces données, il doit bien les utiliser à quelque chose, mais je ne vois pas à quoi

    • Target était déjà tristement célèbre en 2002 pour avoir déduit qu’une adolescente était enceinte, avant même ses parents, uniquement à partir de l’historique d’achats sur la carte de fidélité d’un seul magasin
      Quand les entreprises technologiques parlent à des investisseurs, elles disent en substance : « avec des données agrégées et de l’intelligence artificielle, on peut faire toutes sortes d’inférences glaçantes pour maximiser les revenus publicitaires ciblés, donc on vaut 50 fois plus qu’une entreprise non tech du même secteur »
      Mais quand elles parlent aux clients, c’est plutôt : « comme c’est naïf de vous inquiéter de la vie privée, à quoi pourrait bien servir une variable isolée ? »
    • Acheter à Oura les données de fréquence cardiaque et d’oxygène sanguin, récupérer chez Eyez des données d’iris, acheter chez Borg des données d’activité physique, observer les habitudes d’achat via Krump, connaître tout ce que quelqu’un a dit en ligne via Gwimp, obtenir chez FamaTree son ADN séquencé, et suivre sa localisation via à peu près toutes les applications existantes
      Avec cette variable unique, qu’est-ce qu’on pourrait bien faire ?
    • S’il s’agit d’une femme, les signaux biométriques peuvent permettre d’identifier le cycle menstruel et les règles manquées
    • Vous avez couru à l’étranger puis appelé un taxi ? Vous avez probablement raté les transports en commun. Augmentez le prix, comme l’ancien Uber le faisait en fonction du niveau de batterie de l’iPhone
      Si on veut être malveillant, les possibilités sont infinies
      On peut aussi augmenter les primes d’assurance si votre santé est mauvaise, et il y a sans doute pire encore que ce que j’imagine
    • La police poursuivait des gens au moment où lui aussi était en train de courir. Il faut l’embarquer

  • C’est pour ça que, même si je n’adore pas l’Apple Watch, je n’utilise rien d’autre
    Les données de santé sont extrêmement sensibles, et Apple est la seule entreprise à qui je serais prêt à les confier. Ce n’est pas parfait, mais face aux autres il n’y a même pas de match

    • Un bon exemple, c’est le nouveau modem cellulaire conçu en interne par Apple. Il offre la possibilité de ne pas communiquer sa position exacte à l’opérateur
      La meilleure façon d’empêcher les agences fédérales d’accéder aux données des clients, c’est de ne pas les collecter au départ
    • Le Health Connect de Google ne partage pas non plus ces données. Bien sûr, les applications tierces doivent obtenir un prompt de consentement
      En fait, j’aimerais même qu’il prenne en charge davantage de synchronisation. Aujourd’hui, il faut une application tierce pour transférer les informations de santé même entre deux appareils liés au même compte
      Apple est aussi soumis aux mêmes lois qu’Oura. Les concurrents également
    • Ça mérite peut-être d’être reconsidéré
      Apple dispose d’un excellent service de relations publiques, ou de propagande, qui a convaincu beaucoup de gens qu’Apple respectait la vie privée. En réalité, ce n’est pas le cas. Apple est peut-être « meilleur » que Google, mais de très peu, au point que dans les faits la différence est presque négligeable
      « Apple prend la mesure sans précédent de retirer à ses clients britanniques ses outils de sécurité des données les plus avancés après que le gouvernement britannique a exigé l’accès aux données des utilisateurs »
      https://www.bbc.com/news/articles/cgj54eq4vejo
      Si cela s’est produit au Royaume-Uni, cela ne prendra probablement pas longtemps aux États-Unis non plus
      Il y a aussi les États-Unis : https://www.bbc.com/news/technology-36084244
      La France, l’Allemagne, l’Australie, le Brésil et le Japon aussi : https://www.apple.com/legal/transparency/pdf/requests-2024-H...
      La Russie aussi : https://www.bloomberg.com/news/articles/2019-02-04/apple-fil...
      La Chine aussi : https://www.article19.org/resources/apple-cares-about-digita...
      Et plus généralement : https://proton.me/blog/iphone-privacy
    • Pour mes données personnelles, il n’y a qu’Apple. Leur historique de résistance face aux agences fédérales valait de l’or, littéralement du 24 carats
    • Apple est peut-être très correct aujourd’hui. Mais rien ne garantit que ce sera toujours le cas

  • Publier un rapport de transparence semble être un bon moyen de se retrouver sur la liste noire de l’administration actuelle
    Je serais surpris qu’ils le publient réellement

  • Je ne comprends pas dans quel état d’esprit on achète un appareil qui collecte et vend des données de santé, tout en payant en plus un abonnement
    Et tout ça en échange d’un simple tableau de bord placebo rempli de chiffres

    • Je l’utilisais pour suivre mon sommeil quand j’avais des insomnies
      Mais depuis qu’ils ont mis l’abonnement en place, c’est devenu un déchet électronique
    • La raison principale, c’est les réseaux sociaux

  • J’ai envisagé Oura, mais j’ai finalement choisi l’Apple Watch
    Pour avoir l’esprit tranquille, j’ai activé Advanced Data Protection sur l’iPhone connecté. Surtout dans le segment grand public des trackers d’activité, il existe très peu de grandes entreprises de la donnée qui offrent une protection comparable au chiffrement de bout en bout d’ADP et au chiffrement zero-knowledge

    • Garmin peut s’utiliser entièrement hors ligne, non ?
      Si je ne me trompe pas, il existe même des montres sans matériel radio, pour un usage dans des environnements sensibles
    • J’hésitais entre les deux, mais Oura l’a emporté grâce à un meilleur suivi du sommeil et une meilleure autonomie
      Une possibilité serait d’activer la synchronisation des données avec Apple Health, puis de supprimer régulièrement le compte Oura avant d’en recréer un, afin d’effacer l’historique des données de santé. Ce n’est pas un bon flux, mais cela permettrait d’utiliser Oura tout en profitant des avantages de l’E2EE d’Apple Health. Bien sûr, cela suppose que la fonction « supprimer le compte et toutes les données » d’Oura fasse vraiment ce qu’elle promet

  • Je ne vois pas pourquoi il faudrait absolument stocker ces données dans le cloud

    • Sinon, comment voulez-vous qu’ils les lisent ?