Une multinationale spécialisée dans les technologies de l’aérospatiale, de la défense et de la sécurité a commencé à commercialiser une mise à niveau de son système de lecture automatique de plaques d’immatriculation (ALPR) qui enregistre les identifiants des appareils intelligents, tels que ceux utilisés par les smartphones, les écouteurs, les montres, les capteurs de pression des pneus, les badges des employés et les puces électroniques des animaux de compagnie.
La mise à niveau, appelée SignalTrace, peut être installée sur les systèmes RAPI déjà déployés aux États-Unis par Leonardo, une société de technologie aérospatiale, de défense et de sécurité dont le siège est à Rome.
SignalTrace étend les capacités RAPI traditionnelles en détectant et en corrélant les appareils électroniques à proximité des véhicules d’intérêt, a déclaré la société dans un communiqué.
En capturant l’activité de fréquence diffusée publiquement à partir de smartphones, d’appareils portables Bluetooth, de systèmes d’infodivertissement de voiture et d’autres appareils, SignalTrace crée une « empreinte électronique » unique qui peut être utilisée à des fins d’enquête.
Le système relie plusieurs appareils qui se déplacent constamment avec un véhicule, en les corrélant à la plaque d’immatriculation du véhicule et aux données de localisation horodatées, ajoute-t-il. Même si un suspect modifie ou supprime une plaque d’immatriculation, les algorithmes de SignalTrace peuvent toujours fournir des renseignements exploitables en identifiant la combinaison unique d’appareils qu’il transporte ou utilise.
Une aubaine pour les enquêteurs
Mieux vaut généralement plus de contexte que moins, à condition qu’il soit collecté et utilisé de manière appropriée, a expliqué Chris Boehm, directeur de la technologie chez Zero Networks, de Tel Aviv, Israël, un fournisseur de microsegmentation automatisée, de mise en réseau Zero Trust, de contrôle d’accès basé sur l’identité et de services d’accès à distance sécurisés.
« Nous construisons des outils de sécurité qui mettent en corrélation plusieurs éléments d’information, car un seul indicateur raconte rarement toute l’histoire », a-t-il déclaré à TechNewsWorld. « Je pense que le même principe s’applique ici. »
« Une plaque d’immatriculation identifie un véhicule », a-t-il poursuivi. « Un identifiant d’appareil à proximité peut aider les enquêteurs à déterminer si la même personne ou l’appareil est systématiquement associé à ce véhicule. Cela peut être extrêmement précieux dans les enquêtes sur le crime organisé, la traite des êtres humains, les cambriolages en série ou les véhicules volés où les suspects changent intentionnellement de voiture ou échangent des plaques pour éviter d’être détectés. »
Cependant, il a prévenu qu’il est important de se rappeler qu’il s’agit d’une piste d’enquête et non d’une preuve de culpabilité. « Les bons enquêteurs devraient traiter cela comme un autre point de données qui aide à affiner la recherche plutôt que comme quelque chose qui identifie automatiquement un suspect », a-t-il déclaré.
SignalTrace est commercialisé comme créant une « empreinte électronique » unique en corrélant les signaux Bluetooth, Wi-Fi et RFID qui voyagent avec un véhicule, a ajouté Tom Bowman, conseiller politique pour le projet de sécurité et de surveillance au Center for Democracy & Technology, une organisation de défense des libertés civiles et des droits de l’homme en ligne à Washington, DC.
« Pour les enquêteurs, cela signifie une autre couche d’identification lorsqu’une plaque disparaît et un moyen de relier les personnes, pas seulement les véhicules, à une heure et un lieu », a-t-il déclaré à TechNewsWorld.
« Mais la même fonctionnalité qui le rend utile pour suivre un véritable suspect le rend également capable de suivre toutes les autres personnes sur la route, dont aucun n’a consenti à ce que ses appareils soient enregistrés », a-t-il ajouté.
D’énormes problèmes de confidentialité
Bowman a noté que la collecte d’informations sur les appareils soulève de graves problèmes de confidentialité. « Vos appareils émettent constamment des identifiants uniques que vous ne pouvez pas voir et que vous n’avez pas demandé à diffuser, et des produits comme SignalTrace sont conçus pour les récupérer et les lier à une voiture et à un emplacement », a-t-il expliqué.
« Ces identifiants vous accompagnent lorsque vous descendez de la voiture, ce qui signifie que le système peut commencer à cartographier non seulement l’endroit où un véhicule est allé, mais également l’endroit où une personne a ensuite marché », a-t-il poursuivi. « Stocké dans un référentiel central, il devient une histoire permanente et consultable des associations et des mouvements. »
« Cette semaine encore, la Cour suprême a statué qu’en accédant à l’historique de localisation d’un utilisateur, la police avait empiété sur les garanties de confidentialité du Quatrième amendement », a-t-il déclaré. « SignalTrace accède à des données tout aussi sensibles via une caméra installée sur un poteau, mais sans les garanties constitutionnelles requises par le Quatrième Amendement. »
Richard Kersey, fondateur de Chirpper, un réseau social décentralisé et centré sur l’humain basé à Liverpool, dans l’État de New York, a soutenu que le problème principal est qu’une adresse MAC ou un identifiant Bluetooth est un identifiant persistant et involontaire.
« Une plaque d’immatriculation est déjà un identifiant enregistré lié à un véhicule », a-t-il déclaré à TechNewsWorld. « L’associer aux identifiants sans fil de chaque téléphone, écouteur et montre à portée signifie que vous n’enregistrez plus « une voiture qui est passée ici » ; vous enregistrez « ces personnes spécifiques, portant ces appareils spécifiques, étaient ensemble à cet endroit et à cette heure ». Les gens n’ont pas choisi de diffuser cela, et la plupart ne savent pas que leurs appareils le font. »
Sur son site Web, Leonardo a expliqué qu’il ne regroupe, ne monétise pas, n’accède pas et ne partage pas les données LPR sans instruction explicite du client. Les données de chaque agence sont stockées soit sur site, soit dans un environnement cloud dédié et cloisonné, jamais regroupées dans une base de données nationale, note-t-il. Le partage de données, lorsqu’il a lieu, est strictement facultatif et entièrement contrôlé par l’agence client.
Ce modèle de souveraineté des données garantit que ce sont les communautés, et non les fournisseurs, qui décident de la manière dont les données LPR sont utilisées, ajoute-t-il.
Contourner le quatrième amendement
« Le principal problème avec SignalTrace et d’autres technologies similaires est qu’elles transforment l’infrastructure RAPI existante en trackers d’appareils personnels sans rien qui nécessiterait un examen public », a expliqué Arif Gasilov, partenaire du groupe Gasilov, un cabinet de conseil couvrant la politique de l’énergie, de l’eau et de l’environnement bâti, à Tucson, en Arizona.
« Techniquement, il n’existe aucune loi fédérale interdisant aux forces de l’ordre de collecter des identifiants Bluetooth via des capteurs routiers », a-t-il déclaré à TechNewsWorld.
« Votre téléphone peut diffuser un identifiant Bluetooth parce que vous utilisez des écouteurs ou une montre intelligente, mais cela ne signifie pas que vous consentez à la surveillance lorsque vous conduisez pour vous rendre au travail. Je dirais donc que la collecte d’informations sur les appareils de la manière dont SignalTrace le fait soulève de sérieuses questions sur la vie privée des individus de nos jours », a-t-il déclaré.
Rick Bentley, co-fondateur de Cloudastructure, un fournisseur de services de vidéosurveillance et de télésurveillance dont le siège est à Palo Alto, en Californie, a affirmé que la collecte d’informations d’identification d’appareil ne profite pas à l’application légale du code de la route. « L’avantage est uniquement d’aider les forces de l’ordre à espionner illégalement ou de manière inconstitutionnelle les citoyens », a-t-il déclaré à TechNewsWorld.
Il a soutenu que le modèle économique des sociétés RAPI consiste à sous-traiter les violations du Quatrième Amendement du gouvernement à des entreprises privées, qui revendent les informations au gouvernement.
« Il n’y a aucune raison justifiable pour qu’un gouvernement opérant en vertu du Quatrième Amendement enregistre ces émissions et utilise ces informations pour faire des choses qui nécessiteraient normalement un mandat – comme suivre la position d’une personne au fil du temps », a-t-il déclaré. « Le fait qu’une entreprise privée agisse comme intermédiaire ne change rien aux implications constitutionnelles. »
« Le gouvernement ne peut pas contourner les exigences en matière de garantie simplement en sous-traitant la collecte à un tiers et en achetant les résultats », a-t-il ajouté.
Cybermenaces
La collecte de données d’identification des appareils soulève également des problèmes de cybersécurité. John Gallagher, vice-président de Viakoo Labs, une société de sécurité IoT d’entreprise basée à Mountain View, en Californie, a expliqué que SignalTrace peut déterminer quels appareils un individu transporte. « Si cet appareil est un identifiant de contrôle d’accès mobile, il pourrait être exploité à des fins de harcèlement physique ou de chasse sous-marine ciblée si l’acteur malveillant peut voir où et quand il est utilisé », a-t-il déclaré à TechNewsWorld.
« L’impact sera plus grand si les cybercriminels piratent le dispositif de sécurité physique lui-même », a-t-il déclaré. « L’obtention d’un accès root pourrait être utilisée pour transformer la surveillance passive des appareils en injections actives de logiciels malveillants et de kits d’exploitation dans les appareils. »
« C’est un autre exemple de déploiement technologique qui devance la gouvernance », a-t-il ajouté. « De nombreuses municipalités ont des politiques et des audiences ouvertes lorsqu’elles déploient des systèmes LPR. Cette extension de leurs capacités à incorporer des données individuellement identifiables devrait également faire l’objet d’un examen approfondi pour déterminer si elles sont sécurisées, gouvernées et gérées de manière responsable. »
Les acteurs malveillants peuvent également programmer des émetteurs pour diffuser des adresses matérielles appartenant à d’autres afin de masquer les mouvements ou d’impliquer les passants, a ajouté Jason Soroko, chercheur principal chez Sectigo, un fournisseur mondial de certificats numériques. « Comme les identifiants de réseau manquent de protocoles d’authentification, les criminels peuvent fabriquer des preuves », a-t-il déclaré à TechNewsWorld. « Cette tactique empoisonne les algorithmes et corrompt les chaînes de preuves. »
En outre, il a noté que la fusion des marqueurs de transit avec les émissions du réseau contournait les garanties de randomisation mises en œuvre par les fabricants. « Les systèmes d’exploitation cyclent les adresses matérielles à intervalles réguliers pour empêcher le suivi », a-t-il expliqué. « Les algorithmes corrélant les groupes d’identifiants avec une plaque d’immatriculation déjouent ce mécanisme. »
« Les récepteurs radio captent les signaux dans un rayon, y compris les émissions des piétons ou de la circulation », a-t-il poursuivi. « Cette fuite de signal garantit des erreurs de corrélation, incitant les algorithmes à attribuer aux conducteurs les composants électroniques appartenant aux spectateurs. »
