Désanonymisation des utilisateurs
La désanonymisation des utilisateurs, c’est-à-dire à modifier le contenu ou la structure des données de l’utilisateur pour rendre la “ré-identification”(physique ou morale) ou des entités concernées très difficile voir impossible. Elle a été reconnu comme « la faille publiquement inconnue » trouvée par le FBI.
La désanonymisation des utilisateurs, utilise la technologie nommée UXDT (Ultrasonic cross-device tracking). L’annonceur cache dans leurs publicités des ultrasons et lorsque leur publicités sont diffusées sous différents appareils (télévision, radio/ou en ligne, , etc…). Ces terminaux peuvent utiliser les instructions cachées dans des ultrasons grâce à une application. Si un appareil dispose d’application supportant UXDT, cela permet à l’annonceur d’avoir tous les détails sur l’utilisateur.
Citation de Ed Skoudis, expert en « exploits » informatiques au SANS Institute :
« Dans le passé, nous faisions face à des pirates qui tentaient d’accéder à nos machines pour dérober des données à des fins criminelles. Aujourd’hui, le piratage de données a supplanté le piratage de machines. Des données provenant de sources hétérogènes sont rassemblées et mélangées pour désanonymiser les utilisateurs, détecter des faiblesses et des opportunités au sein des entreprises ou identifier toute autre possibilité de saboter la mission de l’entreprise. Certes, il est toujours nécessaire d’empêcher les pirates informatiques de bombarder des cibles pour dérober des données. Cependant, les professionnels de la sécurité doivent également commencer à analyser les risques associés à la façon dont leurs données, en apparence inoffensives, peuvent être combinées à des données issues d’autres sources et représenter un risque pour l’entreprise. Tout cela en gardant bien à l’esprit les implications concernant la confidentialité de leurs données et leur potentiel à ternir une image de marque ou à attirer l’attention des autorités réglementaires. »
Source de l'image :https://www.silicon.fr/wp-content/uploads/2017/01/attaque-ultrason.jpg
- 1er étape: campagne d'installation + obtenir une balise
- 2ème étape: créer un piège à la balise
- 3ème étape: attirer au piège
- 4ème étape: visiter le service caché
- 5ème étape: émettre la balise
- 6ème étape: rapport de la balise + identifiants
- 7ème étape: retour de toutes les information de l’utilisateur
- Adversary: Adversaire
- Ultrasound service provider: serveur d’’ultrason
- Anonymous device: Périphérique anonyme
- Ultrasound-enabled device: dispositif permettant d’activer les ultrasons