L'application Sarahah a littéralement explosé en quelques semaines. Avec plus de 18 millions de téléchargements dans le monde, ses utilisateurs semblent beaucoup apprécier la possibilité de partager des « feedback anonyme », mais au-delà du prétendu divertissement, le logiciel a son côté obscur. Le chercheur en sécurité Zachary Julian a découvert que Sarahah télécharge tous les numéros de téléphone des contacts et les adresses e-mail. Son comportement a été vérifié sur iOS et Android, mais le créateur de l'application a indiqué que cette extraction est associée à une fonction abandonnée, qui n'a jamais été entièrement désactivée…
Ces derniers jours, j'ai vu plusieurs de mes contacts publier des captures d'écran avec les « critiques » qu'ils reçoivent via l'application Sarahah. Outre le fait que je ne sois pas très impressionné (l'application souffre de multiples problèmes de performances et de stabilité), tout ce que j'ai lu jusqu'à présent suggère que la courtoisie est en réalité un exercice d'hypocrisie. Cependant, il y a un autre aspect encore plus grave dans ce logiciel : il adore collecter des informations privées de l'utilisateur. Lorsqu'une application gagne en popularité, différents experts en sécurité décident d'analyser son comportement, et ce qu'a découvert le chercheur Zachary Julian n'est pas très joli à dire…
Julian a préparé un smartphone Samsung Galaxy S5 avec Android Lollipop 5.1.1 et le logiciel de surveillance Burp Suite, qui intercepte le trafic sur l'appareil (entrant et sortant). Grâce à Burp Suite, il a vérifié que Sarahah télécharge tous les contacts et adresses e-mail de l'utilisateur. Sous les versions plus modernes d'Android et les builds ultérieurs d'iOS, l'application demande la permission d'« accéder aux contacts », mais dans la plupart des cas, le téléchargement se fait sans avertissement. Comme si cela ne suffisait pas, Julian a découvert que si l'utilisateur n'ouvre pas l'application pendant un certain temps (moins de 48 heures), Sarahah renvoie les contacts à nouveau.
La presse spécialisée a tenté de parler aux responsables de Sarahah, et après un bref silence, son créateur Zain al-Abidin Tawfiq a communiqué via Twitter que la lecture des contacts sera supprimée dans une future version, et qu'elle avait été pensée pour l'introduction d'une fonction permettant de « trouver vos amis ». Apparemment, cette fonction a souffert de « multiples problèmes techniques », et le partenaire chargé de la supprimer de l'application (qui, soit dit en passant, ne travaille plus chez Sarahah) ne l'a jamais fait. En même temps, la fonction a été purgée sur le serveur, et ses bases de données ne conservent aucun contact. Bien sûr, cette déclaration est impossible à vérifier sans une ouverture totale du code de Sarahah et l'audit correspondant. Ceux qui décident de continuer à utiliser Sarahah après une telle découverte devraient abandonner l'application mobile et se connecter via son site web.
