iOS 8 : les claviers alternatifs peuvent enregistrer vos mots de passe

Apple a annoncé cet été une nouveauté “majeure” pour l’actuelle version système d’exploitation mobile, iOS 8 : la possibilité d’utiliser des claviers alternatifs. Ces claviers se vantent d’être plus rapides, personnalisables, prédictifs quant aux mots que vous allez taper, etc. Mais pour apprendre et prédire, ces claviers ont besoin de communiquer via Internet. Que se passe-t-il si vous utilisez de tels claviers pour taper vos mots de passe ou numéros de carte de crédit avec le numéro de sécurité ?

Installation d’un clavier alternatif

Android propose cette fonctionnalité depuis longtemps mais Apple a décidé d’utiliser une structure d’autorisation différente pour ces claviers alternatifs. Une fois téléchargé depuis l’App Store, le clavier alternatif devra être installé (cela se passe dans les réglages d’iOS).

Une fois ajouté, une flèche indique qu’un réglage est possible pour ce clavier : autoriser l’accès complet.

En quoi consiste cet “accès complet” ?

L’activation de l’accès complet n’est pas nécessaire pour utiliser le clavier, mais ce dernier sera moins fonctionnel ou utile sans cet accès complet. En effet, Apple impose aux développeurs de fournir au moins un accès minimal au clavier sans que l’accès complet soit autorisé.

Apple met d’ailleurs en garde au sujet des risques que posent ces claviers alternatifs pour les utilisateurs mais aussi pour les développeurs. Ces derniers se voient notamment attribuer des responsabilités supplémentaires au sujet de la confiance que les utilisateurs placent dans son service.

La raison principale de l’existence de cet accès complet est que le clavier aura en principe besoin d’une connexion à Internet pour être en mesure de communiquer avec d’autres applications, avec le cloud du développeur du clavier où se trouvent des ressources nécessaires au bon fonctionnement de toutes les options du clavier, etc.

Il faut garder à l’esprit qu’un clavier, qui plus est connecté à Internet comme le sont ces claviers alternatifs, peut être utilisé pour enregistrer les frappes, ainsi que l’endroit où la frappe est réalisée (champ de formulaire de mot de passe, par exemple).

Quelles sont les conséquences ?

Pour être tout à fait clair là-dessus, si vous autorisez l’accès complet, vous permettez techniquement à ce clavier d’enregistrer et de transmettre ce que vous tapez à une tierce personne, en général le développeur du clavier.

Au vu du risque que cela représente en terme de sécurité et de protection des données et de la personnalité, ces claviers feront en sorte d’éviter ce type de comportement ou auront une politique de confidentialité. Celle-ci devrait au moins prévoir que les données sont anonymisées et agrégées si elles sont partagées.

Les développeurs qui se serviraient des possibilités offertes par une analyse sur leur cloud sont encouragés par Apple à ne pas stocker les données sauf si c’est nécessaire pour fournir des services qui sont liés à l’utilisation du clavier. On peut en déduire que l’utilisation des données à des fins marketing est donc interdite. Ce qui est clair, c’est qu’Apple ne peut être tenue responsable des (mauvaises) actions de ces concepteurs de claviers et il revient à l’utilisateur d’être des plus prudents.

Par ailleurs, si les développeurs font bien leur travail, ils veilleront à ne pas récolter ou analyser la frappe dans des champs de texte signalés comme contenant un mot de passe ou d’autres informations sensibles.

Exemples

Swiftkey est sans doute le plus populaire des claviers alternatifs. Il récolte des données si les utilisateurs utilisent l’option cloud qui est proposée. Cette fonction permet la personnalisation, la prédiction et la sauvegarde des termes utilisés. Swiftkey annonce aussi désactiver la collecte pour des sites ou applications qui désignent certains champs comme contenant des informations sensibles.

Flesky annonce désactiver par défaut la collecte de données, en particulier pendant l’installation. Cependant, bien qu’on déclare ne pas collecter de données à moins que l’utilisateur y consente, je n’ai pas vu de réglage spécifique pour désactiver cette collecte. Il faut donc partir de l’idée que le fait d’autoriser l’accès complet (Flesky parle de “personnalisation”) revient à être d’accord aussi pour cette collecte de données.

Conclusion

Des gardes-fous ont été posés, des directives appliquées, des garanties octroyées… Il n’empêche que je peine à faire confiance à ces claviers alors que je sais pertinemment qu’ils enregistrent et transmettent ce que je tape. De plus, la désactivation de la collecte et de l’analyse dans les champs destinés aux mots de passe et autres informations sensibles dépend encore d’une multitude d’autres personnes. Si les concepteurs de sites web et d’applications omettent ou décident de ne pas désigner correctement les champs en question pour que les claviers alternatifs les reconnaissent, ces derniers enregistreront et transmettront quand même vos mots de passe et autres informations sensibles !