Gettr a promis aux utilisateurs qu'il les libérerait des grandes technologies, mais il les suit pour Facebook et Google
Gettr, juste l'un des clones interminables de Facebook/Twitter pour les amis de MAGA en colère contre les règles des médias sociaux contre les théories du complot et le sectarisme, s'est vendu aux utilisateurs potentiels comme un moyen d'échapper à la tyrannie totalitaire des géants de la technologie comme Facebook et Google. Surprendre! Ce pitch est accompagné d'un million de mises en garde, dont la première et la plus importante est que Gettr ne semble pas du tout le faire.
Selon de nouvelles recherches menées par le fondateur du laboratoire de confidentialité de la Yale Law School, Sean O'Brien, et récemment publiées par Talk Liberation Investigates , les applications Web et pour smartphone de Gettr contiennent des trackers qui permettraient à Facebook et à Google de suivre les utilisateurs alors qu'ils parcourent la supposée utopie de liberté d'expression de Gettr. (O'Brien est également le directeur de la sécurité de Panquake.com, un réseau social financé par la foule et compatible avec la blockchain qui n'a pas encore été lancé, ce qui signifie qu'il travaille pour un concurrent.)
Le code de Gettr comprend deux trackers qui sont omniprésents sur le Web : un cookie de navigateur qui suit les utilisateurs du vaste réseau AdSense de Google , et le tristement célèbre pixel Facebook , un petit point intégré à des millions de sites sur le Web qui envoie un ping à Facebook à chaque fois qu'il est chargé. . Ces outils permettent fonctionnellement à Gettr de tirer parti du même type de technologie de suivi Web omniprésente que ses dirigeants, tels que l'ancien assistant de Donald Trump et PDG Jason Miller, ont décrié . Le prix d'admission est bien sûr le partage de cette mine de données avec Facebook et Google.
En plus des trackers Facebook et Google, Gettr utilise des outils similaires de tiers comme AppsFlyer et Countly, qui fournissent des empreintes digitales de navigateur Web (la création d'identifiants d'utilisateur uniques) et des données comportementales. Au total, ces trackers sont capables de transmettre des "données de comportement et de localisation précises" et de permettre un suivi persistant et multi-appareils des utilisateurs de Gettr, selon le rapport. Seul AppsFlyer est capable de collecter des détails tels que "l'adresse IP, le fournisseur de réseau cellulaire, la version du système d'exploitation, le modèle de téléphone et les informations de localisation grossières et fines".
Les problèmes de confidentialité ne s'arrêtent pas là, le rapport identifiant également un certain nombre de failles de sécurité majeures.
"Une grande quantité de code JavaScript est livrée via le cloud [réseaux de diffusion de contenu] tels qu'Amazon AWS et Cloudflare en plus du contenu intégré qui est directement chargé depuis le Web", indique le rapport d'O'Brien. "Lorsque les utilisateurs naviguent sur GETTR, ils sont connectés à des dizaines de domaines simultanément... GETTR utilise une variété de services tiers pour la communication et l'assistance aux utilisateurs. La transparence sur les relations de GETTR avec ces parties fait défaut. Ils incluent ZenDesk, Postmark, Mailgun et SolarWinds Pingdom.
En outre, le rapport indique que Gettr "se connecte à de nombreux domaines externes" pour créer des liens dynamiques tels que des articles de presse, des blogs et des vidéos. Il note que les pratiques de sécurité standard telles que l'ajout d'en-têtes de sécurité, d'en-têtes de référence et d'autres valeurs par défaut ne semblent pas avoir été mises en œuvre, tandis que GETTR charge de nombreux contenus HTTP non chiffrés ou mixtes. Non seulement il s'agit d'un risque majeur pour la sécurité - le contenu de ces domaines tiers pourrait théoriquement être infecté par des logiciels malveillants - mais cela expose également potentiellement les utilisateurs à la "surveillance par la source d'origine". Cela crée également des opportunités pour la police ou les administrateurs réseau, tels que les départements informatiques des universités ou des entreprises, de surveiller tout trafic non chiffré. Étant donné qu'il s'agit d'un site qui a été piraté quelques heures après l'ouverture et le manque évident d'expertise technique parmi le type d'utilisateurs que Gettr courtise, c'est une vulnérabilité assez béante.
Malgré une fuite massive de données impliquant des données personnelles supprimées l'année dernière, Gettr permet toujours à quiconque d'accéder à son API sans mesures de sécurité telles qu'une clé de vérification, a écrit O'Brien. Alors que Gettr a supprimé les adresses e-mail et les données de localisation de l'API à la suite de la fuite, selon le rapport, le manque de vérification signifie qu'il peut être « interrogé par toute personne ayant des compétences techniques de base » pour télécharger des données comme l'intégralité de l'historique des publications d'un utilisateur ou tout le monde. ils suivent avec pratiquement aucune restriction.
O'Brien a déclaré au Daily Dot dans une interview que les promesses de Gettr envers les utilisateurs en matière de confidentialité et de sécurité sont "malhonnêtes", ajoutant : "Les gens ne réalisent pas toute la gamme de suivi avec Gettr... Je pense qu'il y a un certain nombre de choses ils doivent changer d'architecture.
La politique de confidentialité de Gettr admet l'utilisation de traceurs, reconnaissant spécifiquement qu'elle utilise les outils Google : "Nous pouvons utiliser des services tiers tels que Google Analytics pour nous aider à analyser nos performances et notre fourniture de services et de publicités."
Le discours de base de Miller est que Gettr ne censurera pas les utilisateurs de la même manière que les droitiers accusent les réseaux sociaux comme Facebook et Twitter de le faire . Mais bien qu'il puisse avoir des règles plus souples que ces concurrents (et des capacités douteuses pour les appliquer réellement), il découvre que la suppression de contenu, l'interdiction de comptes et la purge du spam sont le strict minimum pour que le site reste utilisable. Comme TechDirt l'a noté le mois dernier , Gettr a non seulement interdit le suprématiste blanc Nick Fuentes pour avoir enfreint ses conditions d'utilisation, mais il est même allé jusqu'à interdire le mot "groyper".– un mème Internet qui est devenu une expression familière pour la petite légion d'adeptes de Fuentes – entièrement à partir du site. Gizmodo l'a testé mardi et a constaté que tenter de publier le terme "groyper" renvoie une erreur indiquant "Oups ! Une erreur est survenue lors de la soumission de votre billet." Cependant, quel que soit le système en place, il ne semble pas très bien fonctionner, car les tentatives répétées de publication du terme aboutissent finalement au succès.
Getter n'a pas répondu à une demande de commentaire sur cette histoire, mais nous mettrons à jour si nous recevons une réponse. Miller a envoyé à Motherboard une déclaration extraite ci-dessous :
