Stadtwerke Osnabrück fait la promotion de son application Yaniq avec l’offre « Voyage en bus au meilleur prix ». D’un simple glissement de doigt, les utilisateurs pouvaient s’enregistrer et profiter ensuite d’un billet sans contact et sans souci. Un expert en informatique sous le pseudonyme de « Kantorkel » a averti lors de la réunion virtuelle des hackers du Chaos Communication Congress (rC3) que le gain en commodité va de pair avec la perte importante de confidentialité. En arrière-plan, une « rétention de données pour les transports publics locaux » a lieu.

Plusieurs associations de transport testent actuellement des systèmes dits de check-in/be-out (CiBo) pour permettre aux usagers de naviguer plus facilement dans la jungle tarifaire existante. Des applications pertinentes telles que Yaniq permettent le paiement automatique via smartphone. En raison d’une vulnérabilité, Kantorkel a réussi à se connecter au système backend de l’application Osnabrück et à regarder autour de lui sans être dérangé après la création d’un utilisateur test. C’était un environnement de production avant l’opération officielle. Néanmoins, une compréhension approfondie des caractéristiques de base de la procédure est devenue possible.

des montagnes de données

Le pirate a été particulièrement surpris par « la quantité de données que ce système veut ». Par exemple, l’emplacement de l’utilisateur est suivi via des balises Bluetooth distribuées dans les bus, qui sont utilisées pour contrôler automatiquement les utilisateurs lorsqu’ils quittent le véhicule. Dans le même temps, cependant, les coordonnées GPS seraient également collectées et «suivies pendant dix à 15 minutes après la descente». Cette deuxième catégorie de géodonnées « sera également appelée maison plus tard ».

L’application sait, par exemple, « où vous habitez » lorsque votre domicile est à environ un quart d’heure, a expliqué Kantorkel. Cela devient clair lorsque quelqu’un emménage relativement rapidement dans un bâtiment dans lequel il n’y a pas trop d’autres personnes. Même les mouvements à l’intérieur de l’appartement présumé seraient toujours enregistrés. Avec différents niveaux de fiabilité, évalués avec une « confiance » particulière, on peut voir dans la zone back-end si un utilisateur va probablement se promener ou faire du vélo.

L’activiste n’a pas pu dire si et pendant combien de temps ces informations sensibles et significatives sont stockées dans la version actuelle. Dans un Liste de questions-réponses de Stadtwerke sur Yaniq il est écrit : « Vos données personnelles seront conservées aussi longtemps que nécessaire pour atteindre ces objectifs » et il n’y a pas d’autres exigences légales de stockage ou justifications légales. En règle générale, les renseignements personnels seraient conservés jusqu’à dix ans après la fin du contrat. Lorsque la relation contractuelle prend fin, les données d’utilisation sont supprimées au plus tard au bout de deux ans.

visualisations

Selon le pirate informatique, le Stadtwerke a pu voir un « identifiant universel » pseudonymisé, l’heure des activités, l’arrêt final et les arrêts intermédiaires ainsi que les tarifs dus dans la version qu’il a examinée via un aperçu de « Voyages & Billets ». Un score de fraude est également affiché. En général, des informations sur les téléphones mobiles utilisés, la qualité de la connexion et divers événements de check-in/out seraient collectées, qui pourraient également être exportées de manière anonyme. Un utilisateur principal peut également afficher des données sur les balises, y compris la capacité restante de leur batterie.

Kantorkel a expliqué qu’une vue « mouvement suspect » est utilisée pour créer une ligne dans un tableau pour chaque utilisateur, dans laquelle l’utilisation de l’application est affichée pour chaque heure de la journée. Par exemple, on peut voir qu’une personne s’est à nouveau enregistrée tôt le matin après une nuit relativement courte et où elle est allée. Ceci est visualisé sur une carte. Mais Kantorkel a également souligné que moins de messages pourraient être collectés dans le système de production.

Selon les Stadtwerke, outre les données d’identification, des informations spécifiques au contrat sont traitées, les « données de trajet » étant pseudonymisées. En outre, il y aurait des « éléments de validité » tels que l’embarquement, les données de trajet, « la date et l’heure du be-out », les itinéraires et les transferts ainsi que « l’utilisation informatique et les données de journal ». Vous collectez également « d’autres données personnelles telles que l’adresse IP, les opt-ins et la solvabilité au moment de la requête auprès de l’agence de crédit Creditreform.

Des solutions plus simples

Kantorkel a souligné que les billets devraient être payés à un moment donné et que la pseudonymisation ne pouvait donc pas être maintenue tout le temps. Une « connexion directe » à la personne concernée est requise pour la facturation. Le fournisseur utilise également le GPS pour rendre les abus plus difficiles. Il est possible de désactiver l’application « lorsque vous êtes sorti ». L’influence que cela a sur le processus de facturation n’est pas claire.

L’expert a appelé les utilisateurs de Yaniq à interroger l’historique de leurs données auprès de la société de services publics afin de faire la lumière sur le stockage réel. Il serait certainement possible de créer le tout avec moins de données. Il est généralement pour des tarifs plus simples, par exemple avec un ticket journée à deux euros ou un transport en commun prépayé, comme le groupe « Simply get in » en prenant l’exemple de Brême. Ce n’était pas non plus la première lacune qu’il examinait dans les applications de billetterie mobile. Au moins dans le cas d’Osnabrück, le processus de signalement chez Stadtwerke, Siemens et le fournisseur de solutions de billetterie de Hambourg eos.uptrade a été « agréablement calme ». Il a également informé l’autorité compétente en matière de protection des données.

(jk)