Chrome 56 et son API Bluetooth : est-ce dangereux ?
par Emilien Ercolani, le 07 février 2017 22:12 
En test depuis la version 53 de Chrome, l’API Bluetooth fait son apparition dans la mouture v56 du navigateur de Google. Si cela semble pratique, certains développeurs estiment aussi que c’est relativement dangereux.
Google travaille depuis plusieurs années sur l’intégration d’une API Bluetooth au sein de Chrome. En période d’essai depuis la version 53 du navigateur, la voici qu’elle fait officiellement son apparition dans la dernière et récente mouture 56. Concrètement, elle permet à une web app de communiquer directement avec un périphérique compatible BLE (Bluetooth Low Energy). Jusqu’à aujourd’hui « la possibilité de communiquer avec un appareil Bluetooth était limitée aux applications natives », commente Pete LePage de l’équipe de développement de Chrome.
L’API Bluetooth fonctionne avec le protocole GATT (Generic Attribute Profile) ce qui permet « de connecter votre application avec des ampoules connectées, des jouets, des moniteurs de fréquence cardiaque, des écrans LED et autres, avec uniquement quelques lignes de JavaScript ».
La sécurité au centre de la question
Parant à toutes attaques, Google a précisé depuis 2015 que la connexion serveur à navigateur est réalisée via TLS. Mais surtout : l’utilisateur doit autoriser manuellement la connexion à un périphérique en cliquant sur l’écran (dans le cas d’un appareil mobile) ou avec un clic de souris (sur ordinateur). Par ailleurs, les applications pourront scanner les appareils à proximité. Par exemple, si une application de santé aperçoit un appareil capable de compter les pas, ou de mesurer la fréquence cardiaque, elle pourra demander une autorisation de connexion.
Concrètement avec une telle API (qui pourrait se démocratiser), les objets connectés entrent dans une nouvelle ère. Il ne s’agit plus d’appairer deux appareils entre eux, mais désormais avec des serveurs via des applications sur le Web. Pour Google, il s’agit bien évidemment d’une nouvelle source de données personnelles potentiellement récupérables. Pour les utilisateurs, un service supplémentaire, et autant de possibilités de plus de se faire dérober des données personnelles (surtout de santé) en cas de piratage d’un(e) site/application.
Dans un long article, le chercheur en sécurité anglais Lukasz Olejnik expliquait d’ailleurs tous les risques que cela engendre. L’API Bluetooth est capable de récupérer des informations personnelles, dont les mouvements et les positions/déplacements géographiques. On vous laisse imaginer à quoi pourraient ressembler les prochaines fuites de données… Sur Twitter, de nombreux développeurs se sont déjà opposés à cette API.
Enfin, Mozilla regarde aussi le sujet pour Firefox. Pour le moment, l’API Bluetooth est considérée comme n’étant pas standard, et la fondation déconseille de l’utiliser en production.