Votre maison devient de plus en plus « intelligente »… pleine de gadgets intelligents, de toute façon… en fait, la plupart des gens qui écoutent ont probablement du mal à garder les appareils connectés à Internet HORS de chez eux. Il est difficile d’acheter un téléviseur DUMB maintenant, par exemple, un téléviseur qui ne vous regarde pas pendant que vous le regardez. Mais la plupart des gens savent très peu de choses sur ce que ces téléviseurs intelligents – ce que TOUS ces gadgets intelligents – apprennent sur nous, et qu’advient-il de ces données ?
Oh, des détails sur la collecte de données sur les gadgets intelligents pourraient exister quelque part. Enterré sur un site Web, dans une politique de confidentialité de 27 pages. En d’autres termes, invisible pour la plupart des gens. Pardis Emami-Naemi, professeur à l’Université Duke, espère changer cela. Elle travaille sur une proposition visant à ajouter des étiquettes de type nutritionnel aux gadgets, afin que les compromis en matière de confidentialité que nous faisons tous en permanence soient plus faciles à comprendre… en un coup d’œil. Elle est ici aujourd’hui pour expliquer l’effort… et pourquoi cette question est si importante pour elle. J’ai commencé notre conversation en lui demandant de nous rappeler ce que les gens veulent dire lorsqu’ils parlent d’appareils Internet des objets.
Vous pouvez écouter en cliquant ici, ou en cliquant sur le bouton de lecture ci-dessous. Ou, vous pouvez lire la transcription ci-dessous.
Paris : Les appareils Internet des objets sont donc essentiellement ces appareils numériques connectés à Internet. Et fondamentalement, ils ont ce pouvoir de collecter des données. Ils ont des capteurs et ils peuvent collecter des données. Ils peuvent analyser les données soit sur l’appareil, soit les envoyer vers le cloud, par exemple, pour effectuer une analyse des données et effectuer un traitement des données. Et ensuite, sur cette base, ils feraient essentiellement une fonctionnalité que l’appareil est censé faire. Et fondamentalement, tous ces appareils qui sont maintenant connectés, nous les appelons maintenant appareils connectés, appareils intelligents ou appareils Internet des objets.
Bob: Donnez-moi quelques exemples de ce type d’appareils.
Paris : Ouais, donc fondamentalement, quels que soient les appareils que nous avions auparavant, pensons maintenant à leur connexion. Par exemple, nous avons maintenant des haut-parleurs intelligents, par exemple des appareils Alexa. Nous avons un thermostat intelligent. Nous avons un réfrigérateur intelligent, un micro-onde intelligent… une brosse à dents. Donc, tous ces appareils que nous avions traditionnellement n’étant pas connectés et hors ligne, ils sont maintenant connectés.
Bob: Alors mon père adore demander à Alexa quelle est la température extérieure, par exemple, mais pourquoi ces gadgets apparemment inoffensifs, peut-être même amusants… Quels types de risques présentent-ils ?
Paris : Ils collectent donc beaucoup de données auprès des utilisateurs et, dans de nombreux cas, les utilisateurs ne sont pas au courant de cette collecte de données, et il ne s’agit pas seulement des types de données qui sont collectées, mais aussi de la manière dont ces données sont utilisées, qui va avoir accès à ces données, pendant combien de temps les données seront conservées. Les données sont-elles vendues à des tiers ? Plusieurs pratiques de données dont les utilisateurs ne sont pas informés lorsqu’ils commencent à interagir avec ces appareils. Et c’est essentiellement l’un des nombreux inconvénients de ces appareils.
Et cela s’ajoute essentiellement à tous ces risques de sécurité de ces appareils. Ils sont maintenant connectés à Internet. Donc, fondamentalement, un attaquant peut réellement utiliser ces appareils, par exemple, comme un bot dans une attaque de botnet, et essentiellement utiliser ces appareils pour accéder au réseau d’utilisateurs et être en mesure de voler des données de leurs autres appareils, de leurs ordinateurs. Donc ces appareils, parce que beaucoup d’entre eux n’ont pas de bonnes propriétés de sécurité, ils n’utilisent pas un bon cryptage, parfois les utilisateurs ne les mettent pas à jour ou certains d’entre eux ne reçoivent pas du tout les mises à jour de sécurité… et à cause de cela, ils sont faibles dispositifs. Et c’est donc essentiellement l’opportunité pour les attaquants d’utiliser ces appareils pour pénétrer dans le réseau de la victime.
Bob: Il y a donc des hackers criminels. Il y a des entreprises qui pourraient nous surveiller. Il peut y avoir des conflits de relations interpersonnelles qui sont exacerbés par ces appareils, mais nous les avons invités. Certains d’entre eux sont vraiment bon marché… L’appareil Dot d’Amazon peut coûter 20 à 30 $… Quelle est votre solution à ce problème ?
Paris : Nous effectuons donc activement des recherches sur ce sujet, mais juste en termes de… le premier défi important ici est : pouvons-nous d’une manière ou d’une autre informer les consommateurs sur les pratiques de confidentialité et de sécurité de ces appareils au moment de l’achat afin qu’ils soient mieux en mesure de achètent des appareils moins risqués ou du moins sont-ils plus conscients du risque qu’ils font courir à leur domicile ? Et pour cela, nous avons conçu une étiquette de sécurité et de confidentialité utilisable et informative pour les appareils intelligents, qui est, comme son nom l’indique, très similaire à une étiquette nutritionnelle, mais maintenant pour la sécurité et la confidentialité et pour les appareils domestiques intelligents.
Là, nous parlons essentiellement des propriétés de sécurité de l’appareil, y compris si l’appareil reçoit des mises à jour de sécurité et quelle est la fréquence ? Est-ce une mise à jour automatique ? Une mise à jour manuelle ? Nous parlons du mécanisme d’authentification de l’appareil — est-ce un mot de passe, est-ce une authentification à deux facteurs ?
Et puis nous parlons également de plusieurs pratiques en matière de confidentialité et de données, y compris les données que l’appareil collecte, la durée de conservation des données, qui aura accès aux données collectées et bien d’autres facteurs.
Bob: Donc, tout comme une boîte de céréales me dit combien de vitamine C et de vitamine D se trouvent dans les céréales. Cette étiquette m’indique combien de temps les données que je remets à cette machine sont stockées par l’entreprise, n’est-ce pas ? Il ressemble à l’une de ces étiquettes nutritionnelles ?
Paris : C’est très similaire. Il s’agit donc d’une étiquette en couches. Il a deux couches. Le principal est ce format concis de l’étiquette, qui pourrait essentiellement être imprimée et attachée à l’emballage de l’appareil intelligent. Ensuite, il y a un code QR et une URL qui vous dirigeront vers la couche secondaire, qui est cette version plus détaillée de l’étiquette.
Donc, sur la couche primaire, nous essayons de mettre des informations que les consommateurs comprennent et elles sont également plus exploitables et pas seulement comme une étiquette nutritionnelle dont vous ne pourrez peut-être pas savoir ce que vous pouvez faire à ce sujet. Par exemple, en ce qui concerne le partage de données, les utilisateurs ont peut-être cette option pour se retirer du partage de données ou, par exemple, ils peuvent supprimer leurs données.
Nous avons donc fait apparaître les options, les contrôles que les utilisateurs ont sur la couche principale. Mais si vous êtes curieux, si vous avez plus d’expertise, vous pouvez voir la couche secondaire, qui contient toutes les informations sur la couche primaire, mais également des informations beaucoup plus avancées.
Bob: Donc ces, ces deux couches dont vous parlez, je pense que c’est probablement la réponse à la prochaine question que j’avais prévu de vous poser… qui est : beaucoup de gens disent, vous savez, pourquoi même s’embêter avec les politiques de confidentialité ? Parce que personne ne les lit. Les consommateurs ne s’en soucient tout simplement pas. Est-ce votre réponse à cela?
Paris : Donc, dans une certaine mesure, nous ne voulions pas que cette étiquette soit une longue étiquette détaillée pleine de jargon et de termes techniques similaires à ce qu’est une politique de confidentialité. En fait, nous voulions que les gens soient informés. C’était l’objectif de ce travail, que nous voulions construire quelque chose pour éclairer la prise de décision d’achat des consommateurs.
Et nous avons donc réalisé qu’une seule couche n’était peut-être pas suffisante pour y mettre toutes ces informations. Nous avons donc décidé de concevoir cette étiquette à deux couches, et nous avons mené des études auprès des consommateurs, et nous avons constaté que les utilisateurs aiment vraiment l’idée d’une étiquette à couches. Cela leur était plus utile. Ils disaient que la plupart du temps, nous ne voulons pas vraiment voir toutes ces informations. Peut-être que nous comprenons que certains d’entre eux nous intéressent, et c’est ce que nous avons sur la couche primaire.
Bob: D’accord. Vous n’arrêtez pas de dire « nous ». Pouvez-vous me dire quel groupe travaille sur ce projet avec vous ?
Paris : J’ai initié ce projet à l’Université Carnegie Mellon… Je pense que c’était la deuxième ou la troisième année de mon doctorat. avec mes deux conseillers, Lorrie Cranor et Yuvraj Agarwal. Tous deux sont professeurs d’informatique à l’Université Carnegie Mellon. Nous avons essentiellement initié ce travail à l’époque au CyLab, qui est un institut d’organisation de la sécurité à Carnegie Mellon. Et nous travaillons toujours là-dessus, bien que je sois essentiellement transféré à Duke. Je travaille toujours avec mes conseillers à la CMU. Je suis également consultant en recherche chez Consumer Reports pour les aider à concevoir une telle étiquette aux États-Unis et à étudier comment une telle étiquette pourrait être efficace pour les consommateurs.
Bob: Consumer Reports, j’en suis sûr, est un partenaire important à cet égard. C’est un nom que les consommateurs reconnaissent et auquel ils font confiance, mais quel genre d’adhésion avez-vous reçu des groupes industriels ? Quel type d’adoption ou d’intérêt y a-t-il à ajouter ces étiquettes ?
Paris : Nous n’avons donc pas encore commencé à nous engager directement avec les fabricants. C’est en cours. C’est dans les tuyaux. Donc, nous voulons d’abord avoir un prototype d’étiquette, qui est différent de l’étiquette de type papier académique, quelque chose que nous pensons que l’industrie adopterait. C’est quelque chose sur lequel je travaille avec Consumer Reports, qui est probablement une version plus courte de cette étiquette, plus concise. Mais après cela, nous aimerions avoir des groupes de discussion avec des acteurs de l’industrie, avec des startups d’appareils intelligents et peut-être aussi de plus grandes entreprises… Et voir, en gros, quelle quantité d’informations ils sont prêts à divulguer.
Donc, pour le moment, nous ne savons pas vraiment quelles entreprises sont les plus disposées à le faire, et qui est essentiellement la première entreprise à avoir cela. Mais nous espérons que nous verrons cela et que nous aurons peut-être cette analogie – le label de sécurité et de confidentialité de l’IoT. Nous avons des étiquettes de confidentialité des applications qui… sont actuellement dans l’Apple Store et l’Android Store.
Nous pensons donc qu’aux États-Unis, cette idée d’une étiquette de confidentialité de type nutritionnel .. est acceptée dans une certaine mesure. Nous pensons donc que cette idée serait peut-être également acceptée pour les appareils intelligents.
Bob: Je sais que vous travaillez dans le domaine de la vie privée depuis longtemps, et je vous ai vu parler dans d’autres endroits où vous expliquez pourquoi la vie privée est une affaire vraiment, vraiment, personnelle et intense pour vous. Pourquoi donc?
Paris : Ouais, donc, en gros, je suis originaire d’Iran et j’y ai passé environ 22 ans, donc pendant la majeure partie de ma vie, j’ai vécu en Iran et en Iran, comme dans plusieurs autres pays en fait… la surveillance est une chose énorme et ne pas avoir d’intimité est assez accepté.
Mais en même temps, vous voulez avoir de l’intimité. Vous en comprenez la valeur, mais ce n’est pas vraiment là et vous ne pouvez pas vraiment faire grand-chose parce que tout le monde ne sait pas que c’est un facteur important. Vous devez le défendre et vous n’avez pas vraiment beaucoup de temps. Vous avez des choses plus importantes à faire que de vous battre pour votre vie privée en Iran. Mais pour moi, c’était toujours un élément manquant important, surtout en tant qu’étudiante, en tant que femme en Iran. C’était énorme.
Et quand j’ai déménagé ici, quand j’ai réalisé que c’était un domaine en soi, les gens se soucient de la vie privée en tant que sujet de recherche, je peux obtenir mon doctorat. dans ce domaine, alors j’ai réalisé que c’était vraiment important. Je peux effectivement faire des recherches. Je peux aider les gens, je peux informer leurs pratiques. Alors je suis devenu vraiment encore plus passionné par le fait de faire plus dans ce domaine afin que je puisse peut-être aussi aider les gens en Iran, ainsi que dans d’autres cultures où le fait de ne pas avoir de vie privée est un facteur très culturel et accepté.
->Google Actualités
