Rencontre avec des traqueurs de trackers - Le code a changé

Titre : Ils cherchent « les trucs bizarres qu’il y a dans vos téléphones » : rencontre avec des traqueurs de trackers

Intervenant·e·s : MeTal_PoU - Lovis_IX - Xavier de La Porte

Lieu : Émission Le code a changé, France Inter

Date : novembre 2020

Durée : 48 min 46

Écouter le podcast

Présentation de l'émission

Licence de la transcription : Verbatim

Illustration :

NB : transcription réalisée par nos soins, fidèle aux propos des intervenant·e·s mais rendant le discours fluide.
Les positions exprimées sont celles des personnes qui interviennent et ne rejoignent pas nécessairement celles de l'April, qui ne sera en aucun cas tenue responsable de leurs propos.

Transcription

Xavier de La Porte : Tout a commencé par une phrase lue dans un livre…
« Finalement, des recherches extraordinaires dues à l'association à but non lucratif française Exodus Privacy et à Yale Privacy Lab documentèrent la prolifération exponentielle de logiciels de tracking. » Ça, c’est la phrase. À priori, pas de quoi se taper le cul par terre.
Sauf que c’est la grande Shoshana Zuboff qui écrit ça à la page 191 de L’Âge du capitalisme de surveillance, son extraordinaire livre qui vient de sortir en français. Donc comme ça, au détour d’une phrase, Zuboff parle des « recherches extraordinaires » d’une association française dont je n’ai jamais entendu parler : Exodus Privacy.
D’abord je suis vexé. Vexé que Zuboff, depuis ses bureaux de Harvard, connaisse une association française dont je n’ai pas entendu parler, mais, passé la blessure d’orgueil, ça me rend curieux. Qu’est-ce que cette association fait de si extraordinaire pour que Shoshana Zuboff la mentionne dans un livre qui est sans doute un des plus grands livres critiques écrits sur l’économie numérique ?
Je résume comment Zuboff en vient à parler d’Exodus Privacy. À ce moment du livre, elle est en train de raconter avec force détails comment Google a été le pionnier du capitalisme de surveillance. Comment Google a imposé au monde ce modèle économique qui consiste à vendre à des annonceurs des profils de consommateurs les plus fins possible, profils élaborés en surveillant donc les comportements numériques des internautes. Et Zuboff raconte notamment le rôle joué par Android dans tout ça. Android c’est le système d’exploitation de smartphone de Google. Aujourd’hui il équipe à peu près 85 % des smartphones du monde soit plus de deux milliards. Or, les gens qui ont des téléphones sous Android téléchargent des applications dans Google Play, le magasin d’applications de Google, et ces applications sont pleines de logiciels qu’on appelle des trackers ou pisteurs ou traceurs en français, donc des petits programmes qui sont fabriqués précisément pour récolter des données sur nous et nos comportements.
Ces pisteurs, on ne les voit pas. On ne sait pas qu’ils sont là dans des applications anodines, celles que je télécharge par exemple pour avoir la météo, une application de drague, celle d’un journal ou un jeu gratuit pour les enfants. Et pourtant, ils sont l’outil d’extraction des données personnelles qui vont ensuite nourrir le capitalisme de surveillance. Et c’est là où Exodus Privacy intervient. Ce qu’on comprend en lisant Zuboff c’est que l’association déniche des pisteurs dans les applications d’Android. Exodus Privacy, ce sont des trackers de trackers.
Évidemment ça m’intrigue. Qui sont les gens qui font ça ? Comment s’y prennent-ils ? D’ailleurs c’est quoi, vraiment, un pisteur ? Comment ça marche ? Est-ce qu’on peut échappe à ces pisteurs ?
Évidemment, ni une ni deux, je joins la présidente actuelle d’Exodus Privacy, qui porte le pseudo rigolo de MeTal_PoU et, quelques semaines plus tard, voici MeTal_PoU qui vient jusqu’à la Maison de la radio, accompagnée d’un membre, historique lui, de Exodus Privacy qui a le pseudo, rigolo aussi, de Lovis_IX, et tous les deux me racontent comment ils sont devenus des pisteurs de pisteurs, comment a commencé l’histoire d’Exodus Privacy.

Lovis_IX : C’est né à l’été 2018 si mes souvenirs sont bons.

MeTal_PoU : 2017.

Lovis_IX : 2017, pardon, par un article de Numerama qui parlait des pisteurs, justement, dans les applications des magazines, sans péjoration de ma part, féminins – Closer, Biba, ce genre de chose – qui étaient effectivement bourrés de pisteurs. L’une des fondatrices de l’association a regardé et ça et s’est dit « et dans les autres applications ? ». Elle en a pris au hasard, elle s’est rendu compte qu’il y en avait énormément et elle a lancé sur Mastodon un appel en disant « j’ai vu des trucs phénoménaux, qui vient m’aider ? » Et on s’est retrouvés sur IRC – moi je suis arrivé le deuxième ou le troisième jour, d’autres étaient déjà là – à décortiquer ce qu’on voyait. Et puis, dans la semaine on a, elle, soyons vrais, a codé l’embryon de plateforme pour pouvoir faire les analyses que l’on fait actuellement.

Xavier de La Porte : Tiens, c’est drôle ça ! Donc à l’initiative de tout ça il y a une femme, ce n’est pas si courant dans le monde techno. En faisant quelques recherches pas très compliquées, je vois qu’elle s’appelle Esther, parce qu’elle est souvent mentionnée dans les textes d’Exodus Privacy et j’ai l’impression qu’elle en est comme une sorte de figure tutélaire. Lovis_IX m’explique pourquoi.

Lovis_IX : Quand on discutait d’une nouvelle fonctionnalité ou de quelque chose qui n’allait pas, on se disait « on voit ça demain parce qu’il est déjà 23 heures 30 », mais elle continuait à coder dans la nuit et le lendemain matin c’était fait. Donc effectivement, sa figure est assez importante dans l’association.

Xavier de La Porte : Note pour plus tard : rencontrer Esther, si elle est d’accord bien sûr.
Au départ, donc, il y a Esther, mais les autres c’est qui ? À ce que vient de dire Lovis_IX, on peut un peu le deviner. Au départ il y a un article de Numerama, vénérable site d’information spécialisé dans les technos, Mastodon où Esther lance le premier appel, c’est un réseau social de microblogging un peu dans le genre de Twitter, mais en version plus conforme à l’esprit originel du Web, par exemple il n’y a pas de publicité, et puis IRC où se retrouvent les premiers membres pour discuter, eh bien c’est un protocole de discussion historique de l’Internet bien avant MSN et compagnie, qui est toujours prisé par les tenants de l’esprit premier de l’Internet.
Donc si je comprends bien, au départ Exodus Privacy ce sont de bons vieux geeks, tels qu’on les aime.

Lovis_IX : Tout à fait. Ce sont des activistes.

Xavier de La Porte : Des activistes de quoi ?

Lovis_IX : De la vie privée. Ce qui nous importe c’est la vie privée des gens, qu’ils puissent en conserver un peu.

Xavier de La Porte : Et MeTal_PoU alors, comment s’est-elle retrouvée embarquée là-dedans ?

MeTal_PoU : Moi, en fait, je suis arrivée plus tard, je suis arrivée à peu près six mois après les débuts de l’association. J’étais bibliothécaire et j’avais organisé un atelier de sensibilisation à la vie privée où justement Esther était venue présenter le travail d’Exodus Privacy.

Xavier de La Porte : Toujours Esther.

MeTal_PoU : Voilà, et les bras m’en étaient tombés, puisqu’on dit toujours « oui, on sait qu’on est pisté, etc. », mais quand on gratte un peu on se rend compte que c’est quand même une proportion absolument énorme. Donc quelques mois après, quand l’association a fait passer, justement sur les réseaux sociaux, le fait qu’elle souhaitait recruter des bénévoles et qu’il n’y avait pas de prérequis technique, du coup j’ai franchi la porte, je suis allée à une première réunion et six mois après je devenais la présidente de l’association.

Xavier de La Porte : OK. Mais une association dont on devient présidente six mois après y être entrée, ça ne doit pas être énorme. Aujourd’hui, trois ans après sa création, alors même que la grande Shoshana Zuboff parle de son travail extraordinaire, Exodus Privacy c’est combien de membres ?

Lovis_IX : C’est difficile à dire. On est une dizaine de personnes vraiment actives. Par contre, comme la cotisation de l’association est d’un montant faramineux de 0 euro, en fait on ne sait pas combien on est. Il y a des gens qui adhèrent en nous envoyant un mail, en disant « je veux adhérer à l’association » et qui nous aident et d’autres qui sont sympathisants parce qu’on sait qu’ils sont là, éparpillés.

Xavier de La Porte : Vous êtes éparpillés.

Lovis_IX : Totalement. On a une communauté assez extraordinaire.

MeTal_PoU : Comme on ne fait que du logiciel libre et que tous nos supports, etc., sont sous licence libre, sont accessibles en ligne, modifiables en ligne, améliorables en ligne, on a donc une communauté qui gravite autour de nous, qui nous file des coups de main sans forcément être membres de l’association. Une fois on avait un billet de blog en français qu’il fallait traduire en anglais. On avait juste passé un message sur Twitter avec le lien vers un pad, un fichier de texte collaboratif, et en deux heures le billet de blog était traduit, relu et avec plusieurs propositions sur certains mots où tout le monde n’était pas d’accord.

Xavier de La Porte : En écoutant MeTal_PoU raconter ça, je me dis qu’il y a encore des beautés dans Internet. Et dans un Internet qui n’est pas loin de celui qu’on fréquente tous puisque quand Exodus Privacy cherche de l’aide pour traduire un texte, c’est sur Twitter que l’association lance un appel, le même Twitter que celui qui, bien souvent, nous déprime.
Quand on regarde sur le site de l’association qui soutien Exodus, c’est marrant parce qu’on reconnaît certains acteurs de la communauté du logiciel libre français : Gandi les hébergeurs, les activistes du Libre de Framasoft par exemple. En fait, c’est un tout petit monde, mais c’est un monde super actif qui essaie de garder vivantes les utopies premières de l’Internet et du Web, tout en s’adaptant aux problématiques les plus contemporaines. En fait ça m’émeut un peu, j’avoue, de constater qu’Exodus est reliée à tout ce monde. Je me pose d’ailleurs la question du nom de l’association, Exodus Privacy, je trouve ça assez beau. Je demande à Lovis_IX ce que ça évoque.

Lovis_IX : C’est vrai que c’est joli. L’exode de la vie privée.

Xavier de La Porte : Bon ! Exodus, moi ça me fait surtout penser aux bateaux qui, au sortir de la Deuxième guerre mondiale, avaient transporté des Juifs vers la Palestine, élément fondateur de la création de l’État d’Israël, et qui a donné lieu au film de Otto Preminger.

Voix off : Otto Preminger presents Exodus. The biggest best ??? and Fifteen millions around the world, now on the screen and

Xavier de La Porte : Pas sûr qu’il y ait de rapport direct.
Revenons au travail d’Exodus Privacy parce qu’un truc m’intrigue. Exodus Privacy piste les pisteurs qui sont dans les applications. OK ! Mais l’association ne le fait que pour les applications qui tournent sur les téléphones équipés d’Android, le système d’exploitation de Google. Pourquoi Exodus ne fait pas le même travail pour les applications qui tournent sur iOS, le système d’exploitation des iPhones ? Pourquoi donc se limiter à Google et ne pas aller voir ce que fabrique Apple ?

Lovis_IX : C’est une question juridique. Les applications qui sont sur l’App Store, donc les applications iOS, sont signées numériquement par un certificat émis par Apple ; de fait elles appartiennent à Apple. Donc essayer de voir ce qu’il y a dedans c’est s’attaquer à Apple. Personnellement je n’ai pas les moyens. Il y a quand même plus d’avocats que des développeurs chez Apple, donc je ne risque pas !

Xavier de La Porte : Alors que sur Android ?

Lovis_IX : Alors que sur Android on n’a pas cette contrainte et, en plus, on utilise un outil qui est fourni par Google.

Xavier de La Porte : À savoir ?

Lovis_IX : Cet outil qui s’appelle ??? est utilisé pour créer les applications et peut être utilisé aussi dans notre démarche, qui n’est, attention, je le dis et je le précise, pas une décompilation.

Xavier de La Porte : C’est-à-dire ?

Lovis_IX : C’est-à-dire qu’on n’a pas le droit de partir de l’application et d’essayer de retrouver le code source. C’est du reverse engineering et c’est interdit si on n’est pas chercheur. Et nous ne sommes pas chercheurs.

Xavier de La Porte : Vous avez le droit de faire quoi alors ?

MeTal_PoU : Moi j’aime bien prendre la métaphore du livre, c’est-à-dire que nous on n’a pas le droit d’aller voir le contenu du livre, par contre on a le droit d’aller voir le sommaire, c’est ce qu’on appelle les classes Java. On va pouvoir comparer, justement, ces titres du sommaire à des signatures de pisteurs qu’on connaît déjà et ça veut dire que le pisteur est embarqué dans l’application.

12’ 22

Xavier de La Porte : Alors ça, c’est hyper important.