Thread by @U039b

Je me suis penchée sur l'application #elize dont tout le monde parle. Elle n'est pas sans controverse. Et sa sécurité est lacunaire au possible. Pour ce point je vous renvoie au thread de @MathisHammel.
➡️

https://twitter.com/MathisHammel/status/1482393799456436228

Pour l'analyse des données, c'est par ici ⬇️

Afin d'analyser les flux de données, l'application est lancée dans un AVD, un petit morceau de Frida et Wireshark pour intercepter tout ce qui passe.
L'appli envoie des données à 2 serveurs :
- AWS d'Amazon, base de données de l'appli
- Facebook, pour une raison obscure

Commençons par les données envoyées à Facebook, on y trouve :
- un identifiant unique
- le nom de l'opérateur téléphonique
- diverses informations relatives au mobile
- le nom de l'application lancée

Aucun consentement n'a été donné concernant cette collecte. #RGPD, tout ça ...

Penchons-nous sur la base de données. Au lancement de l'application, vous pouvez renseigner votre date de naissance, votre code postal et votre genre.
Cliquez sur "Valider" et hop, ça part chez Amazon et un identifiant unique (flouté ci-dessous) vous est attribué.

Maintenant qu'un joli identifiant unique vous a été attribué, l'application va envoyé à son serveur AWS chacun de vos "swipe". L'objectif semble clair ici : constituer une base de données d'opinions politiques, sans recueil de consentement non plus.

Vous allez me dire "Z'ont pas mon nom". C'est vrai mais il est assez simple d'identifier une personne avec son code postal + sa date de naissance. C'est d'autant plus simple si vous habitez un petit village.
Maintenant, j'invoque la @CNIL et @openfreax