Des chercheurs de la North Carolina State University Raleigh ont découvert un risque pour la vie privée dans la fonction de carte thermique de l’application Strava qui pourrait conduire à l’identification des adresses personnelles des utilisateurs.
Strava est un compagnon de course populaire et une application de suivi de la condition physique avec plus de 100 millions d’utilisateurs dans le monde, aidant les gens à suivre leur fréquence cardiaque, les détails de l’activité, la localisation GPS, etc.
En 2018, Strava a mis en place une fonctionnalité appelée « heatmap » qui regroupe de manière anonyme l’activité des utilisateurs (coureurs, cyclistes, randonneurs) pour aider les utilisateurs à trouver des sentiers ou des points chauds d’exercice, à rencontrer des personnes partageant les mêmes idées et à effectuer leurs sessions dans des endroits plus fréquentés et plus sûrs.
Cependant, comme les chercheurs l’ont découvert, cette fonctionnalité ouvre la possibilité de suivre et de désanonymiser les utilisateurs en utilisant des données de carte thermique accessibles au public combinées à des métadonnées d’utilisateur spécifiques.
Localisation des domiciles des athlètes
La première étape franchie par les chercheurs a été de collecter des données accessibles au public via la carte thermique Strava sur un mois pour les États de l’Arkansas, de l’Ohio et de la Caroline du Nord.
Ensuite, ils ont utilisé l’analyse d’images pour détecter les zones de départ/arrêt à côté des rues, indiquant qu’une maison spécifique est liée à une source d’activité suivie.
Après avoir sélectionné des captures d’écran de cartes thermiques correspondant aux critères, l’équipe a superposé des images OpenStreetMaps à des niveaux de zoom qui ont aidé à identifier les adresses de résidence individuelles.
L’étape suivante consistait à effectuer une exploration des utilisateurs en exploitant une fonction de recherche mal documentée sur Strava pour localiser les utilisateurs qui ont enregistré une ville spécifique comme emplacement.
En comparant les points finaux de la carte thermique et les données personnelles d’un utilisateur à partir de la fonction de recherche, les chercheurs ont pu corréler les points d’activité élevés sur la carte thermique et les adresses personnelles des utilisateurs.
Les profils Strava publics contiennent des données d’activité avec des horodatages et des distances, ce qui facilite l’identification des itinéraires potentiels qui correspondent aux modèles des données de la carte thermique, en limitant les correspondances de personnes et de zones.
Comme de nombreux utilisateurs de Strava s’inscrivent avec leur vrai nom et téléchargent même des photos de profil d’eux-mêmes, il est possible de corréler les identités avec les lieux d’origine.
Pour leurs recherches, les scientifiques ont corrélé leurs conclusions avec les données d’inscription des électeurs et ont constaté que leurs prédictions étaient exactes à environ 37,5 %.
« Un utilisateur plus actif produit plus de chaleur sur la carte thermique Strava et est donc plus facilement identifié. La figure 7 montre la probabilité d’une correspondance en fonction du nombre d’activités publiées », expliquent les chercheurs.
« Pour le reste de l’analyse, nous supposerons que la cible de l’attaque publie un nombre moyen d’activités, qui pour notre ensemble de données est de 308 activités. »
« Avec le seuil des 100 mètres, et la victime affichant 308 activités, la probabilité de pouvoir être découverte est de 37,5%. »
Améliorer la confidentialité de Strava
La première atténuation passive consiste à vivre dans une zone densément peuplée qui reçoit des quantités massives de données de carte thermique Strava, rendant le suivi spécifique à une personne presque impossible.
Une autre façon d’atténuer ce problème de confidentialité serait de démarrer le suivi après avoir quitté votre domicile ou pour Strava de créer une exclusion pour la carte thermique sur quelques mètres autour des emplacements de domicile, comme indiqué dans OpenStreetMaps.
Les chercheurs proposent également que la carte thermique prenne en charge une option permettant aux utilisateurs de définir des zones de confidentialité autour de leur domicile ou ailleurs également.
La fonction de carte thermique est active par défaut sur toutes les applications Strava, mais les utilisateurs peuvent la désactiver via les paramètres.
En ce qui concerne les paramètres de profil, ceux qui s’inquiètent de la confidentialité doivent garder leurs profils d’utilisateurs privés sur l’application Strava, ce qui n’exposerait pas les noms et les données d’activité.
Breachtrace a contacté Strava pour demander un commentaire sur les conclusions de l’article et si le fournisseur de logiciels a des plans de réparation, mais nous n’avons pas reçu de réponse au moment de la publication.