URL: https://linuxfr.org/users/btk/journaux/runtastic-et-la-protection-des-donnees Title: Runtastic et la protection des données Authors: Xavier Date: 2017年04月07日T19:24:22+02:00 License: CC By-SA Tags: running Score: 25 Pour ceux qui courent et qui traque un peu leur performance, il existe sur le marché plusieurs fournisseurs d'application smartphone/web pour garder ses trajets et faire des statistiques. Dans mon cas, j'ai choisi Runtastic (runtastic.com). En plus de l'application sur mon téléphone que j'utilisais au début pour le gps et écouter de la musique en même temps, j'ai fini par commander la montre GPS de la marque qui fait aussi cardiofréquencemètre, en vérifiant que cela fonctionne sous Linux, ce qui est le cas (j'ai trouvé un outil qui permets d'extraire les run). Réception du paquet, déballage de la montre, petite course et utilisation de https://github.com/mru00/crane_gps_watch pour extraire les fichiers .tcx ca marche nickel. Je dois juste manuellement uploader mon fichier pour l'ajouter à mon profil runtastic depuis leur interface web. Pour ne pas mourir idiot, je me dis que je vais tester leur petite application qui est censée directement uploader mes courses depuis la montre vers mon compte runtastic, seul limitation windows, j'ai deux VM dispo, une en windows7 et l'autre en Windows10. Et la c'est le drame, après m'avoir demandé mes credentials, mon navigateur web s'ouvre et je me trouve avec l'aperçu d'une page qui ne correspond pas à mon compte, mais à la page d'un autre compte. J'ai son nom, sa position géographique. ARGH. Je me dis que ma montre n'est pas neuve et quelle contient peut-être des données de l'ancien propriétaire. La montre a été achetée dans un magasin relativement fiable et les scéllés sur la boîte étaient intactes. De plus la montre ne présente aucune marque particulière ce qui finit de me convaincre qu'elle est neuve. Je fais un reset to factory, je désinstalle, réinstall et rebelote, je me retrouve sur la page d'un compte qui n'est pas le mien. Je tente une installation sur l'autre VM pour être sur qu'aucune trace n'a subsisté sur la machine malgré la désinstallation et idem. Je décide de sortir l'artillerie lourde et essayer de comprendre comment ca marche. Ce petit exercice de reverse engineering m'a fait froid dans le dos. Donc, je me mets sur l'hôte de ma VM, et un petit coup de ngrep sur l'interface réseau bridgée, me permet d'intercepter les requêtes faites par l'application. J'entends déjà les murmures dans l'assemblée: "pff SSL toussa verra rien..." Em, comment dire, je vois passer un magnifique POST en json avec un id de type DEADBEEF qui correspond vraisemblablement à l'id de la montre en *clair*. 2017 quoi. Ensuite, un magnifique GET en retour qui contient le nom, le prénom et en plus l'email de l'autre compte. Un petit WTF s'impose. A la base j'avais choisi Runtastic pour leur politique de confidentialité, ils avaient l'air de garder les données pour eux. Je n'avais pas fait l'évaluation des différents produit sur le marché en fonction de la qualité de leurs API... Pour rajouter une couche depuis ce jour, j'ai régulièrement des courses de cet utilisateur mystère qui s'ajoutent à mon profil. Mais pas seulement, j'ai aussi des courses qui n'ont rien à voir, car il s'agit de run en Moldavie ou bien d'autres pays hors Europe. J'ai bien évidemment contacté le support. Il m'ont envoyé une autre montre que je n'ai pas l'intention d'utiliser car bon, même s'il y a un problème avec la montre, ça ne réglera pas les ajouts d'autre courses dans d'autre pays. Surtout pendant des périodes ou moi même je n'ai pas couru. Ils ont l'air à la ramasse. Le problème dure depuis le mois de Janvier et je ne consacre pas un temps énorme à la résolution du problème, j'ai autre chose à faire, ville de famille, boulot entre autre. Bref, je profite de ce journal pour vider un peu mon sac et partager cette petit expérience intéressante. Je vais voir jusqu'où va aller cette histoire. Le dernier mail que je leur ai envoyé dit en résumé: Je vois encore et toujours de courses qui ne sont pas à moi. Faites que ca cesse. Je vais résilier mon compte (je suis premium member, et j'étais content de leur service jusque là), le temps de trouver un moyen d'extraire l'existant (sachant qu'aucune API n'est à disposition pour cela). Donc éviter Runtastic et ne pas oublier de tester les API...

AltStyle によって変換されたページ (->オリジナル) /