Vos photos en ligne respectent-elles votre vie privée ?

La vieille habitude qui consistait à étiqueter le dos d’une photo a basculé vers quelque chose de plus approprié à l’époque numérique. De nos jours, nous n’avons plus besoin de gribouiller des commentaires sur une photo ; votre appareil photo, une application pour éditer les images, ou le service que vous utilisez pour publier vos photos vous fournissent plus d’informations.

Ce type d’informations sur les photos est plus complet que les likes de « Fête du Nouvel An 2016 à la maison ». En plus d’avoir plus de caractéristiques ésotériques telles que la distance focale et le mode flash, les « informations » peuvent comprendre le modèle et le numéro de série de l’appareil photo, la date de la photo, et plus important encore, les données de géolocalisation, où la photo a été prise. De plus, le service utilisé pour publier votre photo en ligne enregistrera votre adresse IP que vous avez utilisée pour télécharger la photo.

Même si vous ne vous vous préoccupez pas grandement de votre vie privée, le fait qu’on possède des informations sur vous en rapport avec une photo pourrait vous donner des raisons de l’être. Elles peuvent être utilisées pour vous localiser, et trouver davantage de photos qui auraient été prises par vous, et sans doute pour trouver des photos privées parmi elles.

Chercher des métadonnées de photos est une méthode de doxxing, qui consiste à recueillir des données du monde réel, telles que le vrai nom et l’adresse postale d’une personne présentant de l’intérêt sur Internet.

Un des principaux collecteurs de métadonnées est le bloc EXIF qui est ajouté à des fichiers graphiques. Le standard Exchangeable Image File Format a été développé par le Japan Electronics and IT Association (JEITA) et publié pour la première fois en 1995. EXIT a été développé pour les fichiers JPEG et TIFF. D’autres formats populaires tels que PNG et GIF peuvent également contenir des métadonnées similaires, en particulier les métadonnées XMP d’Adobe. De plus, les vendeurs d’appareils photo peuvent utiliser un format de métadonnées de marque déposée, en partie redondant avec EXIF.

Des données intégrées, parfois oubliées ou ignorées, peuvent présenter un problème à la fois pour les auteurs et les personnes sur les photos. Un des exemples les plus visibles de métadonnées ayant été utilisées à l’insu d’un photographe est l’arrestation de John McAfee au Guatemala en 2012. Alors qu’il était en pleine procédure pénale pour le meurtre présumé de son voisin, McAfee avait été interviewé par le magazine Vice, qui avait également publié son portrait. Les métadonnées de la photo comprenaient un géotag que les autorités policières avaient utilisé pour coincer McAfee.

Ooops. #Vice forgot to clean (or faked?) the GPS-location from the EXIF-tag on their picture with #McAffee : http://t.co/Ycmb7ShQ

— Frank Rieger (@frank_rieger) December 3, 2012

Nous vous présentons ici comment divers éditeurs de photos et services manipulent des métadonnées et pour voir s’ils suppriment éventuellement des tags compromettants ou les abandonnent. Lisez notre article pour découvrir ce qu’ils se passe avec ces données lorsque vous partagez des photos.

L’expérience

Dans un premier temps, nous avons pris en compte des scénarios possibles pouvant exposer des données privées lorsque les utilisateurs publient des photos en ligne :

1. Vous envoyez par e-mail vos photos ou les téléchargez sur des services du cloud tels que Google Drive ou Dropbox.
2. Vous téléchargez vos photos sur les réseaux sociaux ou les services de photos.
3. Vous publiez une photo de votre vélo pour le vendre sur un forum de discussion.

Dans le premier cas, vos fichiers demeurent intacts. Quiconque avec qui vous partagez une photo peut accéder aux métadonnées qui y sont associées.

Concernant les réseaux sociaux et les services de photos, votre vie privée pourrait être en danger. Cela dépend vraiment du service, certains les suppriment, et d’autres non. En ce qui concerne d’autres services en ligne, les annonces que vous publiez pour vendre des biens, peuvent être volés, du fait que des voleurs peuvent retrouver votre localisation à partir des métadonnées d’une photo. Cependant, comme vous pourrez le constater dans nos résultats de tests, certains sites aidant les personnes à vendre des articles sur Internet suppriment des métadonnées afin de protéger les utilisateurs.

Nous avons testé quelques services en ligne populaires pour voir comment ils manipulaient EXIT. Pour ce faire, nous avons utilisé un plugin Firefox appelé Exif Viewer 2.00. Le plugin montre les métadonnées des photos JPEG publiées sur Internet et enregistrées localement, il intègre également des services de géolocalisation et montre des miniatures. Vous pouvez en faire également l’expérience avec différents services, c’est facile à faire et plutôt fascinant.

Il suffit de peu pour trouver la localisation d’un individu à partir d’une photo postée en ligne

Voici les résultats de notre expérience :

• Facebook, Twitter et VK.com suppriment les métadonnées ;
• Google ne supprime pas les métadonnées ;
• Instagram supprime les métadonnées ;
• Flickr, Google Photo, et Tumblr ne suppriment pas les métadonnées ;
• eBay et Craigslist suppriment les métadonnées.

Les services qui ne suppriment pas les métadonnées ont en général des paramètres de confidentialité qui permettent au moins aux utilisateurs de les masquer. Le mot-clé ici est masquer : les services peuvent en réalité enregistrer des métadonnées séparément. Les données peuvent toujours être utilisées par les services eux-mêmes (par exemple les publicités), par les autorités policières, les hackers, mais ça c’est une autre histoire.

Laisser mes données circuler

Jetons un coup d’œil à la façon dont Facebook traite les métadonnées. Même s’il supprime EXIT des photos, il garde les informations dans sa propre base de données. C’est plutôt facile à vérifier : en utilisant simplement la fonction par défaut de copie de sauvegarde. Vous obtiendrez un fichier contenant, parmi d’autres informations, n’importe quelle photo que vous aurez téléchargée sur le réseau social, avec une description du fichier .html. Ce fichier contient les géotags des photos et les adresses IP d’où elles ont été téléchargées.

Les métadonnées des photos du profil de l’utilisateur sur Facebook

La liste des données de l’utilisateur enregistrées sur Facebook est disponible dans la section d’informations de Facebook. Elle est à peu près aussi longue que votre bras.

Nous avons également relevé un fait curieux à propos de Facebook, le lien des autorités policières avec le service est décrit dans un guide expliquant le processus de demande des données des utilisateurs sur Facebook. Le document, publié sur netzpolitik.org semble provenir du bureau du shérif de Sacramento, en Californie.

Les particularités de l’interaction entre les gouvernements et les services en ligne sur le problème des données des utilisateurs va bien au-delà de cet article. Cependant, il est de notre devoir de vous avertir sur la montée grandissante des métadonnées, qui sont plus facilement accessibles que vous ne le croyez. Dans certains cas, les services en ligne peuvent partager ces informations avec des tiers.

La véritable action se passe en coulisses

En dehors des informations textuelles, les métadonnées contiennent une miniature de la photo en question. Cela peut être un problème.

En étudiant le cas EXIF, nous sommes tombés sur une étrange histoire. Retour en 2003 où la présentatrice télé Catherine Schwartz avait publié quelques photos sur son blog. Les photos avaient en l’occurrence été recadrées, mais leurs métadonnées contenaient des miniatures des photos originales, où Schwartz apparaissait nue sur certaines.

Depuis, une dizaine d’années se sont écoulées, et les développeurs ont dû faire face à la menace pour la vie privée, n’est-ce pas ? Eh bien, nous ne préférons pas nous avancer.

Nous avons testé Adobe Photoshop Express, GIMP, Windows Paint, Microsoft Office Picture Manager, IrfanView, et XnView afin de nous assurer que chaque fois qu’une photo est éditée, le programme met à jour la miniature. Et c’est bien ce qu’ils ont fait.

Lors de nos essais, il y avait toutefois un autre participant : la dernière version de Corel Photo-Paint (X8). Le test a révélé que lorsqu’une photo est sauvegardée comme un JPEG, la miniature n’est pas mise à jour et continue d’illustrer la photo originale.

Photo-Paint possède une fonction appelée « Exporter sur le  Web », qui prépare une photo à être publiée en ligne. Nous pensions que cela supprimerait les métadonnées, mais ce n’était pas le cas.

Pour exclure l’impact potentiel des propriétés du fichier sur la capacité de mettre à jour les miniatures, nous avons effectué le test en utilisant différents types de photos depuis un appareil photo reflex numérique et un smartphone, ainsi qu’une image type de Windows 7 (celle avec les pingouins).

A gauche : La photo miniature de Windows Explorer prise à partir des métadonnées. A droite : aperçu de la photo. La photo venait juste d’être créée, il ne s’agit donc pas de miniatures en cache du système d’exploitation

Recommandations

Afin d’éviter d’exposer vos informations privées en publiant des photos, veuillez suivre ces règles :

1.Désactivez le géotag sur l’appareil que vous utilisez pour prendre des photos (pour l’appareil photo seulement ou toutes les applications). Le processus varie en fonction de l’appareil.

2.Supprimez les métadonnées avant de publier des photos en ligne. Pour cela, essayez une application gratuite, telle que XnView. Veuillez noter que le mécanisme propriétaire de Windows, appelé « Supprimer les informations personnelles des propriétés du fichier » (dans l’onglet « Détails » de la fenêtre des propriétés du fichier) préserve à la fois les miniatures et les données EXIF.

3.Supprimez les métadonnées avant de publier des photos provenant de vos dispositifs mobiles, en utilisant des applications spéciales pour iOS, Android et Windows Phone.

4.Utilisez des paramètres de vie privée des services en ligne et appliquez des restrictions pour sauvegarder les métadonnées des photos.

En dernier recours, vous pouvez tout simplement ne pas publier de photos et de données qui pourraient être détournées. Mais ce n’est sans doute pas ce conseil que beaucoup d’entre vous suivront, on en est même sûrs ! Ce pourquoi, il est préférable de suivre les 4 règles citées ci-dessus.