Depuis 3 jours les services internet de GARMIN (le plus connu des fabricants d’équipements de guidage par GPS, montres et bracelets connectés) sont injoignables. Des individus malveillants armés d’un virus dernier cri ont réalisé une attaque massive des serveurs utilisés par GARMIN. En échange d’une rançon ils promettraient de supprimer les verrous logiciels installés par le virus. J’ai connaissance de la situation pour avoir tenté de faire fonctionner mon bracelet connecté GARMIN « VivoSmart HR » jeudi dernier. Cette petite merveille de technologie ne délivre toute ses possibilités qu’en étant connectée à un smartphone, une tablette ou à un micro-ordinateur. Et jeudi dernier, il fût impossible de connecter cette merveille de quelque façon que ce soit à quoi que ce soit. Donc plus possible de surveiller tous les paramètres liés à mon activité (y compris mon sommeil). Depuis lors les services de GARMIN sont inaccessibles (voir copie d’écran ci-dessous)
C’est dans des moments comme celui là que l’on réalise les faiblesses de l’internet des objets (IoT). Tous ces objets, pour fonctionner correctement, doivent être connectés à un terminal (smartphone, tablette, micro-ordinateur) faisant tourner une application qui elle même est connectée aux serveurs de la firme qui produit les objets. Les données enregistrées par les capteurs d’un l’objet connecté sont stockées sur ces serveurs (certaines d’entre-elles peuvent alors être partagées avec d’autres possesseurs d’objets similaires). Dans le cas de mon bracelet de suivi d’activités les fréquences cardiaques, la position géographique et le tracé du parcours, les dénivelés, etc.. sont enregistrés sur les serveurs utilisés par GARMIN. Bien entendu je ne considère pas ces informations comme des informations critiques, mais peut-être suis-je optimiste ou insouciant. Si les serveurs utilisés par GARMIN peuvent être rançonnés par quelques individus malveillants, pourquoi ferais-je confiance à GARMIN (ou à d’autres) pour assurer la protection de mes données personnelles.
Il n’existe pas de loi qui garantisse à l’utilisateur le pouvoir de conserver de façon autonome la trace de ses données personnelles. On peut pousser le raisonnement sur la sécurité des serveurs plus loin en considérant toutes les informations conservées par les administrations et services publics. j’aime citer en exemple la défaillance des systèmes de retraite japonais dans les années 1990 « citation d’un article de 01net daté de 2007 »:
L’assurance sociale japonaise a, semble-t-il, trouvé un moyen efficace (et expéditif) de régler le problème des retraites. Selon Le Figaro, cette organisation vient en effet d’admettre qu’elle avait ‘ égaré ‘ 50 millions de dossiers de retraites lors de leur informatisation à la fin des années 1990. Le quotidien français explique que les coordonnées des cotisants qui figuraient sur les dossiers de retraite (nom, adresse et date de naissance) n’auraient pas survécu à la mise en place d’un numéro d’identification unique en 1997.Le principal parti d’opposition, à l’origine de la divulgation du scandale, affirme pour sa part qu’un million de cotisants ne reçoivent plus la totalité de leur pension de retraite. Cette nouvelle crise, souligne Le Figaro, démontre s’il en était besoin l’incroyable vétusté des réseaux informatiques du Japon, pays pourtant loué pour son avance en matière de high-tech.
01 net, 2007
Ce que cette panne majeure des services GARMIN fait ressortir, c’est la nécessité de permettre à l’utilisateur de reprendre le contrôle de ses données personnelles en en redevenant propriétaire. Certaines plateformes le permettent déjà (mais pas GARMIN, c’est sûr). Les informations qui sont collectées par GARMIN sont apparemment anodines du point de vue de l’utilisateur (adresse email, détails de paiement, localisation, données de santé) mais peuvent avoir une valeur avérée si on adopte le point de vue mercantile des grosses sociétés du net (les GAFAM), et autres commerçants.
Voila.
