Mise à jour : Qualcomm nous a contactés pour nous indiquer ceci : « L’article d'origine est truffé d’inexactitudes et semble être motivé par l'envie de l'auteur de promouvoir son produit. Qualcomm ne collecte des informations personnelles qu'en conformité avec la législation en vigueur. Comme indiqué dans notre politique de confidentialité, les technologies Qualcomm visées utilisent des données techniques, non-personnelles et anonymisées pour permettre aux fabricants d'offrir à leurs clients des renseignements sur les applications basées sur la localisation et les services attendus par les utilisateurs finaux des smartphones actuels. »

Il faut noter que les termes de la politique de confidentialité (dans la section Qualcomm GNSS Assistance Service) indiquent bien que les données sont récupérées, mais certains termes diffèrent de la version publiée sur le site de NitroKey.

De plus, dans un thread sur Mastodon, des messages indiquent qu'il est possible de bloquer la réception des données liées à l'A-GPS depuis Android et que le code source d'AMSS est accessible pour les fabricants qui intègrent une puce Snapdragon.

Version d'origine

Tous ses smartphones Android équipés d'une puce Snapdragon, même ceux « sans Google », envoient des données à Qualcomm, selon les chercheurs de chez Nitrokey. Et ces données ne sont pas liées à l'OS mais bien directement au matériel : c'est le firmware des puces Snapdragon qui lance les communications, sans chiffrement et sans consentement de l'utilisateur.

Même sans Google, le smartphone envoie des données privées

Nitrokey vend des produits qui visent la sécurité et notamment un smartphone sans Google, donc elle met évidemment en avant le fait que ses modèles n'ont pas ce problème, essentiellement parce qu'ils se basent sur des Pixel de chez Google qui n'utilisent plus de puces Qualcomm.

Le problème est simple : même sur un smartphone « dégooglisé » — par exemple sous /e/OS —, l'OS envoie des données à un serveur de la société Izat Cloud. Elles sont transmises en clair et peuvent contenir un ID unique, le type de puce et son numéro de série, quelques informations sur le système d'exploitation et le modèle de smartphone, des informations sur l'opérateur mobile, la liste des logiciels installés et même l'adresse IP. Toutes ces données sont liées à une filiale de Qualcomm : XTRA Service.

La /e/Foundation présente son premier smartphone tournant sous /e/OS

Des informations pour l'A-GPS

Ces données servent en réalité à une fonction précise : l'A-GPS et le A signifie ici Assisted. Pour tenter de résumer, une localisation via le système GPS américain nécessite de recevoir des signaux issus de plusieurs satellites. Pour améliorer le temps de fix, c'est-à-dire l'obtention de la première position, à froid, les fabricants de récepteurs GPS proposent une solution simple : une éphéméride qui indique la position des satellites pour les 7 prochains jours. Cette carte du ciel permet au récepteur de cibler plus rapidement les satellites et donc de récupérer plus vite la position. Si vous avez connu les premiers récepteurs portables au début des années 2000, vous avez une bonne idée du problème : le premier fix pouvait prendre plusieurs minutes.

Si l'A-GPS a de l'intérêt, il est surtout géré directement par le récepteur GPS qui — dans le cas des puces Snapdragon — est intégré dans le système sur puce. Et sa gestion ne passe pas par l'OS principal (par exemple Android) mais par AMSS (Advanced Mode Subscriber Software). Si vous ne le connaissez pas, c'est normal : il s'agit du système d'exploitation embarqué dans la puce qui gère les communications mobiles mais aussi, dans le cas présent, la réception GPS.

Les chercheurs de chez Nitrokey expliquent que même les smartphones « dégooglisé » ne peuvent pas se passer d'AMSS et qu'ils n'ont pas de contrôle dessus: il est fourni sous la forme d'un blobware, un firmware fermé et obligatoire. Et il n'existe pas de solutions simples pour éviter d'envoyer les informations à Qualcomm : dans son exemple, l'auteur explique que les services de localisation avaient été coupés lors de l'installation.

Quels sont les risques ?

Dans un usage normal, les risques sont faibles, même si le fait qu'une société récupère des informations privées reste un problème. Mais comme l'explique l'auteur, le fait que les données ne sont pas chiffrées permet de déterminer la présence d'un appareil précis en recoupant quelques informations, spécialement dans les pays où les réseaux mobiles sont contrôlés par le gouvernement local. Même dans le cas d'un usage en Wi-Fi (et avec les services de localisation désactivé), il reste du coup possible de récupérer quelques données pour identifier un appareil.

Enfin, le problème touche a priori tous les smartphones qui intègrent une puce Qualcomm Snapdragon. Même les Fairphone, dont un des axes de communication est la vie privée, sont affectés : ils emploient des puces Snapdragon.