La batterie de votre smartphone vous espionne sur le Web

Une équipe de chercheurs franco-belges a mis au jour comment recueillir des informations sur des utilisateurs de smartphones grâce à la batterie des appareils. Une menace directe pour la vie privée.

Les chercheurs de la  Kuleuven ont fait une découverte alarmante. La batterie de votre smartphone pourrait recueillir des informations privées. Depuis la mise en place d’HTML 5 en 2012, une API appelée « battery status » a fait son apparition. Elle sert principalement à interagir avec les pages d’un site Web pour abaisser la consommation d’énergie de votre appareil, s’il vous en manque.  Cette fonction est disponible sur la plupart des navigateurs, sur Firefox, Opera et Chrome. Pour les deux premiers elle n’est disponible que sur la version 5.0 d’Android. Sur Chrome, elle fonctionne à partir de la 4.0. Mais les quatre chercheurs pointent du doigt le service. La batterie de votre smartphone peut être utilisée pour vous tracer.

A l’origine de l’API se trouve le consortium W3C, celui qui gère les standards du Web. Cette application fonctionne en arrière-plan de votre smartphone. Elle ne requière pas votre autorisation pour s’activer. A la base, le service doit seulement alléger la consommation de votre terminal. Il donne deux types d’informations, le pourcentage restant de votre batterie et la durée restante d’utilisation en seconde. Ces données cumulées permettent d’identifier un terminal, selon les chercheurs en association avec l’INRA. Il n’ y a pas besoin d’avoir accès au lecteur d’empreintes digitales.

Une solution simple ?

Des hackeurs ou des spécialistes du marketing pourraient très bien identifier votre appareil, et ainsi pister vos activités sur le Web, et ce même si vous utilisez une protection VPN.  Selon les chercheurs, les chiffres transmis aux sites Web sont trop précis. Il faut donc mettre à jour l’API, afin de diminuer le nombre de combinaisons possibles. Cela aurait pour effet de bloquer l’identification d’une batterie et de son appareil. Ils ont proposé une correction depuis juin dernier, rien n’indique pour l’instant qu’il a été appliqué par le W3C.