Confidentialité par défaut, contrôle des applications et généralisation du HTTPS : ce sont les trois recommandations, simples à mettre en œuvre, formulées par Sophos dans une lettre ouverte adressées à Facebook. Ces conseils ont cependant peu de chances d’être jamais appliqués.
Facebook peu enclin à renforcer la sécurité sur son réseau social ? C’est le sentiment partagé par Sophos et nombre d’utilisateurs dont l’éditeur se fait le porte-parole.
Dans une lettre ouverte publiée sur son site Naked Security, Sophos propose trois solutions « simples » qui selon lui permettraient d’améliorer la sécurité et la confidentialité sur Facebook.
1- La confidentialité par défaut : c’est la première préconisation de l’éditeur. Il s’agirait pour Facebook de mettre en place et de respecter un système d’opt-in, soit pas de partage d’information sans le consentement préalable et explicite de l’utilisateur.
« A chaque fois que vous ajoutez une nouvelle fonctionnalité partageant les données des utilisateurs, vous ne devriez pas considérer automatiquement que ceux-ci souhaitent qu’elle soit activée » ajoute encore Sophos dans sa lettre ouverte.
Toutefois, l’éditeur a ici bien peu de chances d’être entendu. Un respect scrupuleux de la confidentialité des données est en effet contraire, ou du moins pénalisant, pour le modèle économique de Facebook.
Cette politique relève de la stratégie comme l’a notamment illustré l’Electronic Frontier Foundation (EFF) au travers d’un historique des décisions prises par Facebook en matière de respect de la vie privée.
Année après année, Facebook a altéré ses règles initiales afin de rendre visible par défaut, à tous, des informations auparavant considérées comme protégées. « La norme sociale a évoluée ces dernières années » assurait Mark Zuckerberg en janvier 2010 pour légitimer cette politique.
2- Le contrôle des développeurs d’applications : les applications sur Facebook visent principalement pour les développeurs à collecter des données personnelles, puis à les monétiser. Mais Sophos s’alarme aussi des applications indésirables et des escroqueries.
Selon l’éditeur, ces menaces sont permises par le laxisme de Facebook qui autorise très facilement les développeurs à publier des applications sur la plate-forme. Pour Sophos, les applications devraient être soumises à un contrôle préalable (à la manière des App Store pour mobile).
3- Le HTTPS généralisé : Si Facebook a récemment introduit une option HTTPS sur son service, celle-ci est en revanche désactivée par défaut regrette Sophos. Pire, même activé, le HTTPS ne serait que partiel.
Pour l’éditeur, ce lien sécurisé devrait être permanent, et non « lorsqu’il est possible » et le HTTPS actif par défaut pour les utilisateurs. « Pourquoi attendre jusqu’à ce que les régulateurs vous forcent la main sur la confidentialité » interpelle Sophos. Le bilan financier de Facebook devrait fournir à la société de sécurité des éléments de réponse.
« Au fond, je crois qu’il ne faudra jamais attendre de Facebook (ou de tout autre réseau social personnel) qu’il développe chez ses utilisateurs une quelconque culture de la sécurité face aux risques qu’il porte : la sécurité est tout simplement antinomique de Facebook, pour des raisons intrinsèques au réseau » tranchait déjà en 2010 sur ZDNet.fr, l’expert en sécurité Pierre Caron.
