Cybersécurité : une grave « zone d'ombre » découverte dans la confidentialité des routeurs domestiques

Les analystes du centre de recherche international Cybernews ont étudié les politiques de confidentialité de 25 grands fabricants de routeurs domestiques sur le marché américain et ont fait face à un problème inattendu. Il s'avère que, bien que les marques technologiques détaillent la manière dont elles collectent les données personnelles des utilisateurs, elles restent souvent silencieuses ou vagues sur les informations collectées par les appareils eux-mêmes. Le manque de transparence de ces appareils, qui servent de passerelle principale pour toutes les données transitant par le réseau domestique, inquiète les experts en sécurité numérique. C'est ce que rapporte Ixbt.com rapporte .

Il convient de noter que, selon ixbt.com, cette étude n'a pas vérifié l'activité technique réelle des appareils, c'est-à-dire le trafic réseau, le firmware ou le comportement matériel. Les experts ont uniquement évalué les documents juridiques publics et les politiques de confidentialité des fabricants. Le problème majeur est que la plupart des marques ne rédigent pas de documents spécifiques pour les routeurs. Au lieu de cela, elles appliquent une politique générale unique destinée aux boutiques en ligne, aux applications mobiles, aux services cloud, aux caméras de surveillance et aux appareils domotiques.

Les requêtes DNS et le trafic Internet restent secrets

L'un des résultats les plus notables de l'étude concerne les requêtes DNS. Aucun des 25 fabricants analysés n'a explicitement indiqué si son routeur enregistre les accès de l'utilisateur aux noms de domaine. Bien que le trafic DNS ne révèle pas le contenu exact des pages Web, l'historique des accès aux domaines peut en dire long sur les habitudes, les intérêts et l'activité de l'utilisateur.

La même incertitude règne concernant l'analyse du trafic Internet. Les documents de 20 entreprises ne donnent pas de réponse claire sur l'utilisation ou non de la technologie Deep Packet Inspection (DPI) :

• Google Nest et Ubiquiti Cloud ont clairement déclaré ne pas utiliser une telle analyse.
• Amazon Eero, MSI Radix et AT&T Turbo Hotspot n'excluent pas la possibilité d'utiliser cette technologie dans certaines configurations.

Cependant, le processus de collecte de données personnelles simples, comme l'adresse e-mail ou le nom de compte, est beaucoup plus détaillé dans les documents. 84 % des entreprises déclarent collecter des e-mails, et près de la moitié indiquent obtenir directement quatre catégories de données : nom, e-mail, numéro de téléphone et adresse postale.

Géolocalisation et résultats de l'évaluation

Les chercheurs se sont également penchés sur la géolocalisation précise de l'appareil et les données des réseaux Wi-Fi environnants. Sept entreprises ont déclaré autoriser la détermination de la position exacte de l'appareil, tandis que six autres ont indiqué le faire sous certaines conditions. Les identifiants des points d'accès Wi-Fi à proximité (SSID et BSSID), qui peuvent aider à déterminer la localisation physique, n'ont été mentionnés explicitement que par D-Link et Amazon Eero.

Pour évaluer le niveau de doute et d'incertitude, Cybernews a attribué à chaque marque une note sur une échelle de 0 à 66. Selon les résultats, les scores les plus élevés ont été obtenus par D-Link (56), Omada / TP-Link (55), Amazon Eero (53), ainsi que Xiaomi Mesh, Wyze et Cudy (52 points chacun). Les scores les plus bas ont été attribués aux marques Asus (34), MSI Radix (38) et Google Nest (39).

Les experts soulignent que ce classement n'évalue pas les routeurs les plus confidentiels, mais le niveau de transparence des documents juridiques des entreprises. Cependant, pour des appareils par lesquels transite tout le trafic d'un réseau domestique, une telle incertitude juridique soulève de sérieuses questions concernant la sécurité de la vie privée des utilisateurs ordinaires.