Plubliée il y a quelques jours, une nouvelle vidéo explique simplement d’utilité et le fonctionnement du réseau Tor. De plus en plus populaire notamment depuis les révélation de Snowden, on peut parier sans trop se tromper que les nouvelles lois françaises concernant la censure et la surveillance des communications ne feront qu’élargir l’utilisation de ce logiciel libre.

Simple d’utilisation, le réseau permet de renforcer l’anonymat et de contourner les blocages de sites Internet. Vous êtes journaliste, militant-e, ou « simple » Internaute tenant à sa vie privée et à l’accès à Internet non censuré? Tor est fait pour vous!

Plus d’articles sur Tor

Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

Lorsque l’on utilise Tor Browser, un Firefox modifié qui permet de se connecter au réseau Tor, le module NoScript autorise javascript par défaut. Et lorsque l’on a bien appris sa leçon, on sait que javascript c’est plutôt moche question sécurité. Mais le problème qui se pose alors, c’est que sans scripts, c’est souvent le site visité qui devient moche, voir inutilisable. Dilemme…

S’il n’y a comme d’habitude pas de solution miracle, mais la FAQ du site du projet Tor propose une explication à la question que vous vous étiez peut-être comme moi posée.

Premièrement, l’équipe souligne que l’importance qu’a pris javascript dans la construction des sites aujourd’hui porte le débat non plus uniquement sur la sécurité, mais aussi sur « l’accueil » des nouveaux utilisateurs de Tor. Si les sites sont à moitié fonctionnels ou ont l’air de ne pas être consultables par le biais Tor, le risque le plus probable est que ces personnes cessent tout simplement d’utiliser car ne sachant pas configurer NoScript, ce qui n’est évidemment pas souhaitable.

D’un autre côté, le problème de sécurité reste, mais il n’est pas nécessairement résolu non plus par des choix plus restrictifs de l’utilisateur. En effet, le fait de n’accepter que les scripts de quelques sites, pourrait s’avérer aussi parlant sur vos habitudes, et surtout votre indentité, qu’une bonne paire de cookies déposés sur votre ordinateur. Ouch! N’avais pas pensé à celle-là.

Les développeurs de Tor ont ainsi équipé le Torbutton (le petit oignon vert en haut à gauche) de fonctionnalités permettant de bloquer les scripts potentiellement dangereux. Et NoScript est toujours là pour s’occuper d’éventuelles attaques jouant sur les failles éventuelles du navigateur, même si les scripts sont autorisés.

Si vous le pouvez, il est donc toujours préférable de tout bloquer à l’aide de NoScripts, mais en cas de besoin, vos arrières sont assurés. Ça n’est pas une raison pour aller regarder des vidéos en flash non plus! 😉

Pour les plus consciencieux d’entre vous, il reste la solution du système live Tails, qui probablement renforcera encore vos chances d’augmenter votre sécurité et votre anonymat…

Moralité: les outils c’est bien, mais des outils et de la réflexion c’est mieux.

Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

Edit: Suite à une demande des personnes s’occupant du VPN wnh, quelques modifications ont été apportées à cet article (en rouge). Merci à eux pour leur aide.

J’avais déjà évoqué les VPN lors d’un petit tuto pour Android. Faisant partie des outils de base participant à une meilleures protection de nos excursions en ligne, le VPN sait se montrer peu contraignant une fois installé.

Popularisé ces derniers temps par les personnes qui téléchargent illégalement, voire par le mouvement Anonymous, le VPN, pour Virtual Private Network, peut remplir plusieurs fonctions assez différentes. On parle souvent de tunnel pour illustrer son fonctionnement. En effet, son principe consiste à « encapsuler » les informations transmises entre nous et le serveur VPN, pour ensuite laisser à ce dernier une fonction de proxy. Cela signifie en clair que les sites consultés n’auront théoriquement accès qu’à l’adresse IP du serveur VPN, et non à la votre.

Définir ses besoins

Il convient avant toute chose de se poser la question des raisons qui peuvent vous pousser à l’utilisation de cet outil. En effet, cette réflexion doit permettre de vous orienter vers telle ou telle solution. Un VPN, ça peut servir à:

• Se connecter de manière sécurisée au serveur de son entreprise, de chez soi
• Contourner la censure pour accéder à des sites bloqués dans son pays
• Se prémunir de la surveillance des intermédiaires techniques comme les fournisseurs d’accès à Internet
• Renforcer (un peu) son anonymat

Le moment du choix est donc décisif, et ne doit pas être pris à la légère. En ce qui concerne une utilisation orientée protection de la vie privée, plusieurs éléments doivent être considérés:

• Le serveur VPN aura accès à l’intégralité de vos surfs. N’offrez pas ces informations à n’importe qui, d’autant plus qu’un véritable marché s’est développé dans le domaine. Attention donc aux « gratuits ». Tous les VPN ne se valent pas, et la confiance est votre seule garantie (soit quelque chose d’assez léger en terme de sécurité)
• L’opérateur conserve t-il les logs de connexion? Analyse t-il le trafic? Bloque t-il certains protocoles? Certains sites etc.?
• La législation du pays dans lequel les serveurs se trouvent, notamment en ce qui concerne la conservation des données et l’interception légale
• Les pratiques réelles, hors cadre légal, des services de renseignement ou des entreprises
• La fonction recherchée, et les habitudes réservées à l’utilisation de ce VPN. L’utiliser pour quelque chose de pas très légal pour ensuite se connecter à son compte en banque peut être un pari un peu délicat
• Avoir conscience qu’un VPN n’offre en aucun cas une navigation anonyme. Il y a de très nombreuses manières d’authentifier quelqu’un par ses cookies, son emprunte numérique (logiciels, modules, caractéristiques matérielles…),  ses habitudes etc.

Lorsque tout est clair dans votre esprit et que votre compagnon de route est choisi, nous pouvons nous lancer pour l’installation et la configuration.

Installer son VPN

Pour ce tuto, nous prendrons comme pré-recquis que nous sommes sous Debian GNU/Linux ou une distribution dérivée comme Ubuntu, avec Gnome (ou Unity) comme environnement de bureau.

Allez, on se lance! On ouvre un terminal!

Installation

Sous Debian (en root):

aptitude install network-manager-openvpn-gnome

/etc/init.d/network-manager restart

Sous Ubuntu:

sudo apt-get install network-manager-openvpn-gnome

sudo service network-manager restart

Configuration

Ouvrez les paramètres réseaux, et ajoutez un VPN, puis sélectionnez OpenVPN.

Pour l’exemple, nous prendrons le VPN gratuit proposé par Telecomix. Attention, celui-ci est basé en France, donc soumis aux lois concernant la conservation des données personnelles. Son usage répond donc essentiellement aux volontés de brouiller la surveillance des fournisseurs d’accès à Internet, ou à contourner la censure.
De plus, des difficultés dues au temps nécessaire à la maintenance et à l’établissement d’une documentation exhaustive en font un outil qu’il faut utiliser avec précaution. Évitez-donc pour l’instant ce VPN pour des usages nécessitant un haut niveau de sécurité. Tenez-vous informés sur le site dédié à ce VPN.

La configuration sera un poil plus simple que d’habitude, car il n’y a pas de compte à créer et un fichier de configuration est déjà tout prêt 🙂

• Téléchargez le certificat crt, dans un dossier dédié, ça sera moins le bordel. Vous y rangerez aussi le fichier qu’on va créer juste après. Des mirroirs sont disponibles en cas de problème d’accès
• Le certificats sera bientôt renouvelé, donc gardez l’œil ouvert.
• Avec Gedit par exemple, générez un fichier nommé wnh.ovpn avec le contenu suivant:

client
dev tun
proto tcp
remote vpn.wnh.me 1194 # Will hopefull be a roundrobin to all VPN entrypoints of the darknet
resolv-retry infinite
nobind
persist-key
persist-tun
script-security 3
# Because server does not require certificate, it has to ask for credentials, but anything can be entered
auth-user-pass# The root CA used to sign the _server_ certificate
# download it from a mirrow below the config
ca wnh-ca.crt
comp-lzo
route-nopull # do not ask the server for any routing setting
route 10.0.0.0 255.0.0.0 # route the 10.* net to the VPN
route-metric 10 # set a higher metric, to prevent routing of
# local nets staring with 10 to the Darknet

• Dans les paramètres de connexion, importez une configuration, et choisissez le fichier que vous venez de créer.
• Note: Sous certaines version de Gnome Shell, il semble ne pas y avoir cette option. Vous pouvez installer l’extension Old Network Manager pour avoir l’ancienne interface en plus et régler ce problème.
• Choisissez un identifiant et un mot de passe au hasard, et enregistrez tout ça.
• Il ne vous reste plus qu’à vous connecter au VPN dans votre gestionnaire de connexions, et à rester prudents avec votre nouveau joujou!

Note: Si vous êtes à la recherche d’une solution permettant un anonymat plus renforcé, je vous conseille de vous orienter vers des logiciels comme Tor, ou encore des systèmes d’exploitation Live comme Tails.

Depuis des années, Firefox a sans aucun doute été un acteur majeur de la promotion du logiciel libre auprès du grand public. Ayant été le premier navigateur, il a démocratisé l’idée de logiciel gratuit et pourtant non commercial (en gros), à l’inverse des shareware que l’on pouvait utiliser auparavant, ou plus récemment des navigateurs comme Chrome qui ne sont que des spyware récoltant toutes nos données.

Mais dorénavant, nous devrons nous attendre à l’introduction de publicités dans le navigateur, comme l’a annoncé hier Mozilla.

Libres de communiquer nos données

Cependant, lorsqu’on y regarde de plus près, on se rend compte que si les visées n’étaient jusque là pas commerciales, l’utilisateur n’était pas pour autant protégé des logiques mercantiles. Le poids écrasant de Google dans le financement du projet (plus de 80%), ne s’est évidemment pas négocié sans contreparties. La présence du moteur de recherche par défaut ainsi que de très nombreux autres « petites » intrusions dans notre quotidien font de Firefox un outil pas si bienveillant que cela. De même, on peut être plus ou moins satisfait de trouver Google Analytics, l’outil de statistiques mouchard le plus répandu du web, sur le site permettant de télécharger de nouvelles extensions, alors que des alternatives libres et respectueuses de notre vie privée existent.

Bien qu’utilisant du libre, nous renforçons pourtant l’emprise de Google et remplissons ses bases de données (et son compte en banque), ainsi que celles de la NSA. Et l’ambiguïté de tout cela, c’est que c’est en utilisant des outils censés être respectueux de la vie privée. Mozilla ne manque pourtant pas de s’inscrire dans les mouvements de protestation comme ce fut le cas le 11 février pour la journée anti-NSA.

L’argument du pragmatisme

L’importance de Google en terme de financement pour Firefox pose pour tout le monde un problème d’indépendance du projet. Mais il semblerait que cette indépendance, et surtout la crainte d’une non reconduction du contrat, soit pour les décideurs dans la communauté ce qui prévale sur la nocivité des fonctionnalités intégrées par défaut. Parce que s’il est effectivement possible de tout désactiver, cela nécessite d’avoir la connaissance que problème il y a, mais aussi la capacité de le régler. Sur ce point, on ne peut pas dire que Mozilla fasse énormément de publicité aux nouveaux utilisateurs novices.

Pour les personnes qui voudront continuer à utiliser Firefox: cela sera probablement configurable en tapant about: config dans la barre d’URL, puis en mettant  browser.newtabpage.enabled à false.

Enfin, cet argument du pragmatisme fait irrésistiblement penser au basculement opéré dans ses premières années par Google, lorsque les visées pseudo-humanistes ont laissé peu à peu place au mercantilisme intrusif par l’introduction de publicités ciblées dans les résultats. Comment la fondation Mozilla peut croire qu’elle sera capable de résister à la pression de ce système? Est-ce bien sage de ne se donner comme choix que d’être financé soit par le premier espion de la planète, soit par l’utilisation des méthodes de ce dernier?

Il est d’autant plus décevant que le même verbiage mensonger promettant la mise au centre de l’utilisateur grâce à la consommation soit maintenant employé par Mozilla dans son article. « Être au centre… » Flatter l’égo des utilisateurs dans le seul but de faire passer la pilule les rendant non plus utilisateurs mais produits, est totalement mesquin de la part de personnes qui comprennent tout à fait le fonctionnement commercial du web actuel. Le dicton « si c’est gratuit, c’est que vous êtes le produit » prend une fois encore tout son sens, au détriment de l’esprit du libre.

Contrôle des données, transparence, vie privée

Le logiciel libre fait en général la promesse d’un plus grand contrôle des utilisateurs. Puisque le code est consultable et modifiable, la liberté de l’utilisateur grandit. Mais l’un des schismes qui a touché le mouvement nous a très vite appris que l’éthique n’était pas pour tous une donnée de premier ordre. L’Open Source a donc parallèlement diffusé l’idée de logiciels libres à visées tantôt commerciale, tantôt sans respect de la vie privée, voire les deux à la fois. Si dans le logiciel libre le contrôle est nécessaire, ce n’est pas que pour laisser le choix, mais aussi parce que les programmes trop curieux et les blocages au nom de la propriété intellectuelle proposés par défaut sont un problème. Le mouvement porte donc dans ses fondements l’idée de vie privée, et de liberté de partage.

Les publicités prétendument discrètes qui seront proposées par Firefox dans les « tuiles » visibles au démarrage trahissent totalement cet état d’esprit, et Mozilla adopte ainsi la rhétorique des Google et compagnie, promettant discression et personnalisation. Parce que si la publicité est vécue par beaucoup comme étant envahissante, on sait bien que le ciblage et une bonne dose d’intégration au contenu, de contextualisation, font augmenter les chiffres d’affaire. Elles sont de ce fait moins identifiées comme étant hétérogènes au contenu premièrement sélectionné par l’internaute.

Cette stratégie est loin d’être nouvelle, Google l’a adoptée depuis longtemps et c’est le visage de l’utilisateur-produit qui s’est aujourd’hui imposé sur internet.
Malheureusement, Mozilla avoue aujourd’hui vouloir en faire partie. Nous devons en faire le deuil.

Vouloir naviguer sur le web sans être capté par les serveurs de Google est devenu aujourd’hui une véritable galère. Utiliser le moteur de recherche ou les autres services de l’entreprise, le navigateur Chrome, consulter des sites qui intègrent un bouton Google+ ou une vidéo Youtube, l’outil d’analyse de trafic Google Analitycs etc. La liste des mouchards de Google est longue. Et pour ne rien arranger, se réfugier chez Firefox sans mettre un peu le nez dans le moteur n’arrangera pas les choses non plus. Vous le devinez, il ne fait pas bon être fâché avec la firme de Moutain View, tant son champ de vision est tentaculaire.

Tout cela pose de gros problèmes question vie privée et surveillance de nos habitudes par les entreprises, mais aussi par les États, puisque nous savons désormais que la collecte privée permet notamment à la NSA de se servir allègrement dans les gigantesques bases de données stockant nos faits et gestes.

Une mise à jour de WordPress… Et des bases de données de Google

Au cours de pérégrinations sur les réseaux sociaux, je suis tombé sur un article traitant des Google fonts, des polices d’écriture utilisées sur de nombreux blogs, notamment WordPress. Je n’y avais pas vraiment pris garde, mais depuis la mise à jours à la version 3.8, ces fameuses polices ont été intégrées par défaut. On les trouve en particulier dans l’interface admin ainsi que dans le nouveau thème Twenty 12. On pourrait se dire « et alors? Ce ne sont que des polices! ». Certes, mais fidèle à ses habitudes, Google investi le moindre de ses outils pour faire passer les internautes par ses serveurs afin d’engranger des informations comportementales. Là encore, ils n’ont pas raté le coche.
Un développeur de Wordress a par ailleurs lui-même concédé que cela pourrait poser des problèmes de vie privée…

Par l’intégration de Google Fonts, WordPress permet donc à Google de savoir qui administre tel ou tel site et qui consulte des sites qui en sont dotés, par le recueil des headers et des cookies Google qui auraient pu être déposés à la consultation d’un autre site incluant les services Google cités plus haut.

Les activistes tenant un site (notamment les américains), seront heureux d’apprendre que potentiellement, WordPress les balance dorénavant indirectement à la NSA (car qui communique avec Google, communique avec la NSA, la chose n’est plus à prouver depuis les révélations de Snowden cet été).

Heureusement, la légion des anti-Google s’élargit, et une extension nommée Disable Google Fonts est disponible par le biais de l’installateur d’extensions WordPress.

Inutile de préciser l’importance de l’installer sur son blog… Pour vous, pour vos lecteurs.

Depuis la modification de l’article 5(3) de la directive 2002/58/CE, l’Union Européenne oblige les sites Internet à recueillir le consentement des utilisateurs lorsque des cookies utilisés pour le traçage sont déposés. Vous l’avez peut-être remarqué, un bandeau apparaît dorénavant sur certains sites.

En cette période de révélations fracassantes sur la surveillance globale menée notamment par la NSA, on pourrait penser qu’il s’agisse de broutilles. Néanmoins, toute avancée aussi minime soit-elle est bonne à prendre, surtout si elle permet de mieux comprendre le fonctionnement du réseau et les pratiques de traçage en général.

En effet, n’oublions pas que la surveillance d’État tire profit de la collecte et de l’accumulation centralisée de données par les entreprises du web (lorsqu’on a le Patriot Act, il ne suffit plus que de se baisser pour les ramasser). C’est donc aussi grâce à ces immenses bases de données qu’il est plus aisé de surveiller, et c’est par la normalisation, et par l’incompréhension de ces méthodes, que les États liberticides continuent leurs pratiques dans une indifférence résignée face à l’apparente complexité du phénomène.

La CNIL a donc publié une petite vidéo pédagogique expliquant le fonctionnement des cookies, lesquels intéressent en principe chacun des internautes, ainsi que des conseils pour mieux comprendre la directive européenne et se mettre en conformité si l’on administre un site.

(Je ne m’étends pas sur le scénario présentant une fois de plus la femme comme étant chiante, jalouse, colérique, et qui a besoin de son compagnon pour lui expliquer comment fonctionne un ordinateur, mais bon…)

Des outils sont disponibles pour gérer ses cookies, j’ai par exemple évoqué ici l’excellent Cookie Monster, une extension Firefox qui permet de n’accepter que les cookies de sites désignés par l’utilisateur.

Peut-être en avez-vous entendu parler, l’effet Streisand est l’un des phénomènes les plus caractéristiques d’Internet, et une arme précieuse face à la censure.

Tout commença en 2003 lorsque suite à la prise d’une photographie aérienne de sa maison et à sa mise en ligne sur pictopia.com, Barbara Streisand se rendit devant les tribunaux reprochant une atteinte à la vie privée. Elle perd l’affaire, et le site enregistre 420 000 vues du cliché dans les jours qui suivent le procès.

L’idée est donc simple: mieux vaut censurer en silence (et même ne pas censurer du tout! 🙂 ), car au moindre esclandre, il suffira d’un tiers pour lancer la machine: diffusion et copie de l’information menacée, laquelle pourra être dupliquée une infinité de fois, jusqu’à rendre l’acte de censure inutile. Mieux, c’est parce qu’il y a eu censure que les communautés se sont mobilisées. Le contenu qui, laissé en ligne, aurait pu rester quasi anonyme, devient alors un symbole de la résistance face à la censure. C’est pour cela qu’on parle également d’effet flamby (aucun lien avec notre président): plus on tape fort, plus ça gicle de partout et il devient difficile de « nettoyer » les morceaux éparpillés. Quand ça fonctionne, c’est donc plutôt #fail pour les censeurs!

Dans les initiatives intéressantes que l’on trouve en ce moment, on pourra citer streisand.me de Telecomix ainsi que le projet autoblog, lesquelles organisent la pratique du mirroring, soit la création de mirroirs (de copies) de sites qui pourraient être menacés. Les derniers exemples célèbres de sites ayant bénéficié de cette pratique sont ceux de Wikileaks et Copwatch.

Benjamin Bayart explique l’effet flamby:

En naviguant sur le web, nous communiquons énormément d’informations sur nous-mêmes, notre matériel, notre configuration etc., et laissons donc énormément de traces qui permettent de nous identifier. J’avais écrit deux petits articles à ce sujet qui permettent de se faire une première idée pour les personnes qui ne connaissent pas du tout la problématique, ici et là.

User what?

Parmi ces informations transmises, on trouve le user-agent. Lorsque l’on accède à une page, un dialogue s’opère entre votre machine et les serveurs hébergeant le site (pour faire vite mais c’est plus compliqué 🙁 ). Parmi les informations échangées, on va trouver par exemple la langue souhaitée, le type de navigateur, de système d’exploitation etc. Cela permet d’afficher un contenu attendu, ou encore de l’adapter selon le matériel de l’internaute (proposer directement le téléchargement d’un logiciel adapté à votre système d’exploitation par exemple).

Pour visualiser un peu, le user-agent, c’est un truc qui ressemble à ça:

Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

On retrouve donc bien les informations concernant le système d’exploitation (Windows NT 5.1 soit Windows XP), et sur le navigateur (MSIE pour Microsoft Internet Explorer).
Note: Mozilla/4.0 correspond au nom et à la version de l’application (Internet Explorer s’identifie comme le navigateur de Mozilla pour des raisons historiques).

L’extension Firefox: User Agent Switcher vous propose donc d’assurer facilement ce changement, et donc de faire croire que vous utilisez Internet Explorer 6, 7 ou 8 sous XP, que vous êtes un robot Google, ou même un iPhone 3!

Pour ajouter des profils (si vous avez envie d’« avoir » Chrome ou Windows 7, je sais pas moi 😉 ), c’est très simple. Dans les options de l’extension, vous allez dans « Edit User Agent » et « New ». Vous trouverez facilement une liste de modèles, comme cette sur cette page Wikipédia par exemple.

Pour checker si votre nouvelle « identité » est bien en place, vous pouvez vérifier sur un site comme anonymat.org.

Ça y est j’suis super anonyme?

La réponse est assez simple: vraiment pas. Si cela permet de contrôler un peu mieux les traces que vous laissez, notamment si vous avez une configuration un peu trop exotique qui pourrait attirer l’attention sur vous (voir papier assez marrant de Reflets.info), la question n’est absolument pas réglée.

Changer son user-agent, c’est donc surtout un petit plus mais qui ne protège en rien des nombreuses autres façons de vous identifier. Donc soyez prudents! Pensez donc au minimum à camoufler votre adresse IP (par un proxy, VPN, Tor…), à bloquer ou nettoyer vos cookies, ou encore bloquer javascript qui peut permettre de vérifier vos plugins installés et de trouver une « empreinte » unique vous identifiant (utilisez NoScrip pour vous en prémunir). Sur ce dernier point, Panopticlick, un projet de l’Electronic Frontier Foundation permet de prendre la mesure ce problème. Enfin, pour un anonymat plus poussé, il sera certainement plus simple de jeter un œil du côté des systèmes d’exploitations live comme Tails.

Quoi qu’il en soit, ne perdons pas de vue que l’anonymat à 100% reste dans l’absolu impossible, et que s’en rapprocher ne peut être réduit à une simple addition d’outils. Donc réfléchissez bien!

J’avais déjà écrit sur la gestion des permissions (notamment pour les cookies) dans Firefox, mais il faut avouer que le résultat n’est pas toujours à l’arrivée. Pour une gestion au millimètre de ce qui s’installe ou pas sur votre ordinateur, vous avez Cookie Monster!

Cette petite extension Firefox est extrêmement simple d’utilisation. Une fois installée, vous pourrez autoriser ou non le dépôt de cookies et de cookies tiers, par noms de domaines, sous-domaines et sites, et donc limiter le traçage dont nous sommes tous victimes lors de la navigation.

À la manière de NoScript, vous pourrez également définir des autorisations de façon temporaire ou « permanente », sur le principe de la liste blanche. Grâce à cette extension, il est donc tout à fait possible, et vivable, de n’accepter les cookies que pour quelques sites pour lesquels ils sont réellement nécessaires.

Firefox: téléchargez ici

La nouvelle semble dater du mois dernier, mais ce n’est qu’aujourd’hui que je m’en suis rendu compte : le moteur de recherche Scroogle est mort !

Il s’agissait sans doute de l’une des alternatives à la pieuvre de Mountain View les plus utilisées. Basiquement, Scroogle proposait un proxy permettant de faire tampon entre vos requêtes et les serveurs de Google, et d’empêcher ainsi l’entreprise de vous accabler de publicités et d’espionner vos moindres faits et gestes.

Depuis 2003, Daniel Brandt avait lancé ce service, permettant ainsi à de nombreuses personnes d’assurer une transition en douceur vers des outils plus sains, tout en gardant un accès aux résultats du moteur de recherche le plus utilisé au monde.

Fin décembre, il semblerait que les serveurs de Scroogle aient subi de nombreuses attaques DDoS, lesquelles consistent à saturer de requêtes un serveur, pour en empêcher l’accès.
En février, c’est Google qui est passé à l’attaque en coupant de façons de plus en plus longue et régulière, l’accès à Scroogle. Sous prétexte de lutte anti-spam, la firme américaine a su assiéger le moteur alternatif, jusqu’à lui faire rendre les armes.
Daniel Brandt déclare à Beta Beat que les noms de domaines de ses sites sont tous retirés, et que l’expérience est bel et bien terminée.

Triste nouvelle donc pour les défenseurs de la vie privée sur internet. J’avoue que cette news n’est pas de toute dernière fraîcheur : j’étais depuis ces dernières semaines en train de tester le méta-moteur Seeks. Je vous invite donc à traîner vos guêtres de ce côté, mais aussi à voir Ixquick et Startpage, le second étant un équivalent à Scroogle, ou encore DuckDuckGo, si la vie privée fait encore partie de vos préoccupations numériques…

Article en lien: Mon moteur de recherche

Les DNS, on en entend beaucoup parler notamment par le biais des fameux projets américains de censure du net SOPA ou encore PIPA. Le blocage à ce niveau semble intéresser les censeurs de tout poil.

Les serveurs DNS sont des sortes d’annuaires du web par lesquels toutes nos requêtes passent lors de notre navigation. Lorsque nous tapons dans notre barre d’URL: http://revoltenumerique.herbesfolles.org, nous n’utilisons pas la véritable appellation du site. Il s’agit en gros d’une simplification permettant de ne pas avoir à se souvenir de l’adresse IP qui permet de le désigner.

Vous pouvez faire le test avec un nom de domaine de premier niveau: que vous écriviez http://www.google.fr ou http://74.125.232.6 (l’adresse IP du site), vous tombez sur la même page (le faites pas hein c’est un site malveillant! 😉 ).

Le rôle du serveur DNS est d’indiquer à votre navigateur lorsque vous tapez l’URL complète, que là où il faut aller c’est: http://74.125.232.6 (en réalité il s’agit de l’IP du serveur de l’hébergeur. Dans le cas de Révolte Numérique, en tapant l’IP vous tomberez donc sur une de ses pages car .revoltenumerique n’est pas le nom de domaine principal).

Pourquoi faire?

Dans beaucoup de pays, les censeurs du net s’intéressent à ce moyen de blocage (non non pas en France bien sûr! 😉 ). La Chine, par exemple, utilise cette technique pour maintenir l’autarcie et contrôler sa population. Les États-Unis sont en passe de le faire avec leurs projets SOPA et PIPA au nom de la défense de la propriété intellectuelle.

C’est aussi, en France, la solution employée pour bloquer le site Copwatch, ou encore les sites de jeux illégaux depuis le décret de ce lundi 2 janvier. La crainte que l’on peut avoir est que ces exemples ne soient une fois encore que des épouvantails permettant d’installer cette pratique dans le champ des options envisageables pour des situations toujours plus diverses.

Quels choix?

La plupart du temps nous utilisons par défaut le serveur DNS de notre fournisseur d’accès. C’est une fois encore un endroit où nous allons laisser des traces. Mais de nombreux services « concurrents » sont proposés. C’est le cas de Google. Et ouais, ils sont pas cons non plus les gars. Si y’a un moyen de connaître tous les sites que vous visitez, c’est bien celui-là! On dit donc merci à Google pour le super service qu’ils nous procurent une fois de plus.

Celui qui a beaucoup fait parler de lui, notamment après des problèmes techniques sur les serveurs DNS de certains FAI, c’est OpenDNS. Avec un nom pareil, on lui donnerait le bon dieu sans confession, sauf qu’en réalité ya pas grand chose d’open là dedans, ni de libre, ni de communautaire. Il s’agit bien comme dans le cas de Google, d’un service commercial. C’est gratuit? C’est que le produit qu’on vend c’est vous, comme on dit! En lisant les conditions d’utilisation, des internautes se sont bien vite rendu compte que certaines infos pouvaient être récoltées et revendues à des entreprises tierces.

Pas évident ce choix en somme! Il s’agit en effet de sélectionner un service de confiance puisque toutes les requêtes de sites que vous visiterez passeront par lui.

Pour ma part, bien qu’il soit en réalité impossible de s’assurer de quoi que ce soit tant que l’on ne connaît pas directement les personnes à l’origine du service, je conseillerais celui que propose le groupe de hackers Telecomix. La réputation de défenseurs des libertés des internautes qu’ils ont acquise notamment par leur intervention pendant les révolutions arabes, me semble être un gage de sérieux intéressant.

Leurs adresses:

91.191.136.152

85.229.85.109

Comment faire?

Pour ce qui est de la pratique, je ne paraphraserai pas l’excellent guide pour contourner la censure qui a clairement expliqué les démarches pour les windowsiens et les linuxiens. Je vous propose donc également de faire votre choix vous-même dans leur liste en pesant le pour et le contre, selon vos usages.

Certain-e-s l’auront peut-être remarqué, une rubrique « pour aller plus loin » apparaît dans la colonne de droite de ce blog. L’idée est de partager les informations qui me paraissent intéressantes dans le cadre du sujet que je traite ici, mais pour lesquelles je n’ai malheureusement pas le temps d’écrire un article spécifique.

Depuis quelques mois, je me suis créé un profil sur identi.ca, un service de microblogging libre qui se présente comme une alternative à Twitter. Le fil d’actualité de mon blog sera désormais issu de ce profil et alimenté de façon plus régulière. Pour les personnes qui y jetaient un œil, va falloir être plus vifs! 😉

Pourquoi identi.ca?

La problématique des réseaux sociaux est ici surtout abordée par le biais de Facebook. Avec 800 millions de comptes à travers le monde et des pratiques désastreuses concernant la gestion des informations personnelles (tout contenu peut être réutilisé par l’entreprise à sa guise, les informations ne sont pas supprimées même après fermeture du compte, bouton espion etc…), la cible est trop belle!

Mais il ne faut pas penser pour autant que Facebook soit une exception, c’est plutôt le modèle. Google +, Twitter et la plupart des autres services gratuits en ligne proposant aux internautes de donner des informations sur leurs habitudes (Netvibes par exemple), fonctionnent à peu près de la même manière.

Sur identi.ca, les informations privées ne sont de plus pas vendues à des régies publicitaires, et elles ne sont pas récoltées pour forger un profil et proposer de la publicité ciblée.

Social, et libre!

Identi.ca est donc une alternative dans le sens où il est basé sur le logiciel libre StatusNet (licence AGPL). Cela signifie que son mode de fonctionnement peut être étudié, on sait comment il se comporte, comment il traite les données. C’est assurément un plus lorsque l’on confie des informations et des productions personnelles.

Tout contenu publié sur identi.ca est en licence libre 3.0. Cela signifie que vous en gardez la paternité, mais qu’il devient partageable par tous (dans la mesure où l’information est publiée publiquement). Cela signifie donc que vous pouvez vous même reprendre légalement du contenu trouvé sur le profil de quelqu’un d’autre si vous le trouvez intéressant.

La panacée?

Identi.ca pourrait presque être parfait s’il n’était pas centralisé (et ouais faut quand même critiquer un peu hein!). En ce qui concerne un stockage des données garantissant le plus grand respect de la vie privée, il est toujours préférable d’avoir des systèmes décentralisés, comme c’est le cas pour le p2p par exemple.
C’est de plus, plus proche de l’esprit du net qui est basé sur le partage et l’égalité entre les machines (chaque ordinateur peut être client et serveur).

En théorie, il est possible d’avoir un profil en installant StatusNet sur son propre serveur (identi.ca est une façon d’accéder au réseau StatusNet), mais cela comporte malheureusement pas mal de difficultés au point de ne pas pouvoir se présenter comme une alternative décentralisée accessible au grand public pour l’instant.

Enfin, mais c’est là que certain-e-s d’entre vous entrent en jeu, identi.ca est certes relativement bien fréquenté (à ne pas comparer avec Twitter tout de même!), mais essentiellement encore par des « libristes » et des geeks. Même s’il permet de ce fait de trouver très facilement des personnes intéressantes dans ces milieux, on ne peut pas réellement parler de réseau populaire comme peut l’être Twitter. Mais sauter le pas n’est qu’une histoire de clics!
Pour les accros à Twitter, la transition peut se faire en douceur car identi.ca permet la publication simultanée sur les deux réseaux.

Mon compte identi.ca: https://identi.ca/revoltenumerique

Vous pouvez également récupérer le flux dans votre propre lecteur:

• RSS 1.0

• RSS 2.0

• Atom

Marre de devoir penser à effacer vos cookies à la fin de la session? Ça s’accumule et vous êtes du genre parano?

Firefox vous permet de gérer site par site les permissions que vous accordez pour chacun d’eux. Tapez pour cela « about:permissions » dans la barre d’URL et la page suivante vous sera proposée:

À gauche, vous trouverez les derniers sites visités. Après avoir sélectionné celui sur lequel vous voulez agir, il vous sera possible de choisir précisément la façon dont se gèrent l’enregistrement des mots de passe, le partage de la géolocalisation, la gestion des cookies, l’ouverture des fenêtres pop-up et la conservation des données hors connexion.

En autorisant les cookies uniquement pour la durée de la session, ceux-ci seront effacés à chaque fermeture du navigateur. Plutôt pratique! L’idéal pour ma part est de tout autoriser uniquement pour la durée de la session (voire interdire carrément ce qui est inutile), et d’appliquer le principe de la liste blanche (on choisit ce qui passe plutôt que de dire ce qui ne passe pas) pour les sites importants pour vous (boîte mail, sites auxquels vous vous connectez fréquemment etc.).

Attention: il peut arriver que certains cookies ne s’effacent pas toujours ou une fois sur deux, comme ceux de Google par exemple (comme par hasard!). Dans ce cas, je plaiderais pour un blocage pur et simple de leurs saletés.

Pour vérifier si la procédure a fonctionné: Préférences –> Vie Privée –> Afficher les cookies. Les règles que vous venez de définir peuvent être modifiées également dans cet onglet vie privée à « Exceptions ».

Note: il faudra y mettre une autorisation pour la session pour « youtube.com » notamment, si vous souhaitez par exemple pouvoir visionner certaines vidéos intégrées dans des sites (non non Google ne fait pas particulièrement chier avec ses cookies!).

Petit rappel: pour un nettoyage général (toujours salutaire et efficace), ça se passe dans Outils –> Supprimer l’historique récent, et vous pourrez choisir de supprimer:

• Historique de navigation et des téléchargements
• Historique des formulaires et des recherches
• Cookies
• Cache
• Connexions actives
• Préférences de sites (à ne pas cocher su vous souhaitez conserver les réglages dont on a parlé  ci-dessus)

Même après les avoir effacés, certains cookies peuvent réapparaître « comme par magie ». Dans certains cas, c’est qu’ils sont recréés grâce à des cookies LSO, ou cookies Flash (voir la partie sur BetterPrivacy).

Probablement connaissez-vous l’extension pour Firefox (et Chrome): Adblock Plus. Très populaire, elle permet de bloquer de nombreuses publicités qui envahissent nos pages lors de la navigation. Et bien une mise à jour a été effectuée il y a peu et désormais, certaines publicités sont jugées « acceptables ».

Adblock est le compagnon de beaucoup d’internautes pour qui la publicité est une plaie à tous les niveaux: visuel, auditif, intellectuel etc. Toujours plus intrusives, elles vont, grâce à la personnalisation rendue possible par le traçage des régies publicitaires, pouvoir proposer des annonces toujours plus susceptibles de vous faire revenir dans l’église de la Sainte Consommation (au cas où vous vous seriez égaré-e-s).

Nouvelle mise à jour, nouvelle politique

Il faut croire que le slogan: « les publicités c’est du passé ! » soit à remodeler quelque peu. Suite à une nouvelle mise à jour, certaines publicités seront désormais considérées comme « acceptables ». L’argumentaire mis en avant est bien rodé: permettre aux petits sites qui vivent de la publicité de s’en sortir. Qui pourrait critiquer cela?

Pour les plus dogmatiques de l’antipub, on précise tout de même que les publicités autorisées seront parmi les moins intrusives:

• « Les publicités statiques seulement (pas d’animation, de son ou choses similaires)
• De préférence textuelles, sans image accrocheuse
• Au maximum un script ralentissant le chargement de la page (en particulier, une seule requête DNS) »

What is a publicité non intrusive??

Si elle ne bouge pas ou ne nous claque pas le dernier single au top 5 de la semaine, il faudrait donc considérer qu’une publicité est non intrusive… Mais avez-vous demandé à voir cette pub en allant sur votre site préféré? Avez-vous tapé l’URL du site de la régie et accepté de vous connecter à leurs serveurs, et donc de laisser de nombreuses traces permettant de construire votre profil? L’avez-vous autorisée à déposer des cookies sur votre machine afin de pouvoir être tracé-e-s?

Publicité non intrusive ne veut de plus pas dire petite régie publicitaire (d’ailleurs Google ne semble pas se retrouver à la rue dans cette histoire). Cela change-t-il quelque chose de voir une pub moins flashy si c’est pour être ciblé-e une fois de plus par l’une des quelques grandes régies qui dominent sur le web? La question du traçage et de la concentration des données n’est absolument pas réglée ici…

Pour ma part, le rejet des pubs n’est pas lié à une simple question esthétique (même s’il faut bien avouer qu’avec les pop up et les vidéos en flash, il y a de quoi péter un câble pour cette seule raison).

La pub ou rien

Cet étrange changement de politique laisse tout de même passer une idée qui est assez gênante: sans pub, point de web. Si ses sources de financement sont effectivement souvent les premières à faire tourner les sites, il existe bien d’autres modèles qui pourraient faire tout aussi bien.
Notons qu’un site comme celui de l’encyclopédie libre Wikipédia, l’un des plus consultés au monde, et fonctionnant même avec des salarié-e-s, fonctionne sans aucune forme de publicité!
De façon (beaucoup) plus modeste, Révolte Numérique fait de même (sans salariés 😉 ).
Comme quoi…

Ajoutons que c’est également la question de l’indépendance des sites qui se pose. Peut-on prétendre qu’elle existe lorsque l’on est soumis à une régie publicitaire (qui peut également avoir ses « préférences » en termes de contenu diffusé), et qu’on ne peut produire sans elle?

Que faire?

Heureusement, si les pubs « acceptables » sont désormais autorisées par défaut, il n’est pas encore interdit d’être un affreux gauchiste primaire et de refuser toute publicité!
Il vous faudra pour effectuer ce petit réglage, vous rendre dans le menu des « modules complémentaires », aller dans les préférences d’Adblock Plus, puis « préférences de filtre » et décochez « autoriser les publicités non-intrusives ».

Ça y est, vous êtes à nouveau un-e infâme pirate qui asséchera le web comme d’autres assèchent la création en téléchargeant de la musique!

V’là la deuxième infographie que nous propose le site hardabud, après celle sur le filtrage franco-khadafien du net en Libye!

C’est toujours aussi beau, toujours aussi clair (et en licence Creative Commons By en plus!), et permettra aux personnes qui n’ont pas nécessairement des connaissances techniques très précises de ce qu’est le réseau internet, de s’y retrouver un peu plus.

Pour toutes celles et ceux qui veulent comprendre les grandes lignes de ce qu’est la censure d’Internet, et appréhender quelques moyens de la contourner, c’est pour vous!

Source: http://www.hardabud.com

Comment contourner la censure sur internet est un livre sous licence libre sorti cet été. Il est le fruit d’un booksprint, travail de rédaction coopérative éclair (en 5 jours).

Cet outil se propose de fournir, des pistes pour comprendre la censure et la surveillance sur le réseau, mais surtout des moyens de s’en prémunir.

On retrouve dans l’équipe de rédaction tout un tas d’activistes et de passionnés d’informatique, et notamment des personnes du Projet Tor ou encore de l’Electronic Frontier Foundation, les auteurs respectifs du logiciel d’anonymisation Tor, et de l’extension Firefox HTTPS Everywhere pour le chiffrement de la navigation.

L’ouvrage est disponible à cette adresse: http://www.howtobypassinternetcensorship.org/fr.html#

Vous y trouverez également quelques vidéos de présentation fort agréables pour celles et ceux pour qui tout cela peut paraître un peu technique, et manquant de chaleur humaine. 😉

Quand vous vous connectez à un site, vous chargez énormément d’informations. La plupart proviennent du site visité, mais c’est loin d’être toujours uniquement le cas. Cette extension pour Firefox vous permettra de savoir précisément à quels serveurs vous vous connectez, et donc à qui vous envoyez des informations.

Les apparences sont trompeuses

Nombreux sont les sites qui contiennent des informations stockées sur différents serveurs. Un exemple simple: les publicités qui s’affichent sur une page. Celles-ci sont sur des serveurs appartenant probablement à la régie qui en a la responsabilité.
Cela signifie donc que vous envoyez des informations au site sélectionné, mais également aux serveurs hébergeant ces pubs.

Alors que vous pensez naviguer sur le site de votre choix, vous communiquez avec les serveurs publicitaires, les serveurs hébergeant les logiciels de statistiques (comme avec Google Analytics, Xiti etc). S’il y a une vidéo incrustée mais hébergée ailleurs, c’est la même chose; si des bouts de codes appartenant à des entreprises (ex: Google API) sont présents, idem etc.

Fouiner juste pour le sport?

Pas tout à fait. Connaître toutes ces informations peut s’avérer très utile:

• Premièrement, cela permet de comprendre en partie comment les choses fonctionnent. On aurait tendance à penser de prime abord qu’il suffit de se connecter à un site et puis c’est tout.

• Deuxièmement, c’est un bon moyen de tester sa configuration. C’est grâce à ce type d’outil que j’ai pu me rendre compte que Firefox se connectait régulièrement sur les serveurs de Google, sans que je ne sois jamais au courant.
  C’est avec ce type d’outil que l’on peut vérifier si ses extensions de blocage des scripts, contenus flash, web bugs etc sont efficaces.

Bref, c’est plutôt quelque chose qui nous pousse à mettre un peu le nez dans le moteur pour voir ce qui s’y passe.

Houlà! (Réaction au premier contact avec les en-têtes http)

Ok. Si on n’a jamais mis le nez dans un bout de code, ou au moins dans une page html, ça parait un peu barbare au premier abord. Pour comprendre où vous vous connectez, il n’y a besoin d’aucune compétence particulière, sinon de savoir repérer une adresse URL. C’est la première ligne de chaque « section ».
Pour comprendre le reste de ce qui est affiché (tant qu’on y est!), vous pouvez jeter un œil sur cette fiche proposée sur Comment ça marche, ce n’est pas pas si compliqué vous verrez!

Allez, pour télécharger Live Http Headers, c’est ici.

Depuis pas mal d’années maintenant, le navigateur libre Firefox bénéficie d’un financement de Google à 85% (chiffres de 2006).
Il s’agit de 57 millions d’euros, soit une somme non négligeable, apportant nécessairement la garantie d’une contrepartie.

C’est ainsi que le navigateur faisant figure de solution alternative se trouve être en réalité un relais de la politique de traçage de Google.

Comme Firefox reste un navigateur de qualité qui propose de nombreuses extensions garantissant un meilleur respect de la vie privée, nous allons, plutôt que de changer de navigateur, passer un coup de vermifuge sur le renard (c’est l’un des avantages des logiciels libres! S’il ne vous plaisent pas, modifiez-les!)

Note: Ce tuto concerne également, et à mon grand regret, les navigateurs dérivés (fork) de Firefox tels que Iceweasel (dans Gnu/Linux Debian) ou Icecat (du projet GNU).

Où se cache Google?

Firefox propose un outil pour gérer sa configuration. Beaucoup d’options sont modifiables par les menus mais pour certaines, il est nécessaire de passer par un autre biais.
Tapez about:config dans la barre d’URL (là où se trouvent habituellement les adresses des sites que vous visitez).
Vous allez accéder à un message d’avertissement vous prévenant des risques que peuvent comporter certaines manipulations pour le logiciel.
Cliquez sur « Je ferai attention, promis! », et faites attention! 😉

Dans le cadre « filtre », tapez « Google ». Nous obtenons ainsi tous les champs dans lesquels il est présent:

• browser.contentHandlers.types.2.title
• browser.contentHandlers.types.2.uri
• browser.safebrowsing.malware.reportURL
• browser.safebrowsing.provider.0.gethashURL
• browser.safebrowsing.provider.0.keyURL
• browser.safebrowsing.provider.0.lookupURL
• browser.safebrowsing.provider.0.name
• browser.safebrowsing.provider.0.reportURL
• browser.safebrowsing.provider.0.updateURL
• browser.search.defaultenginename
• browser.search.order.1
• gecko.handlerService.schemes.mailto.1.uriTemplate
• geo.wifi.uri
• keyword.URL

Mais qu’est-ce qu’il fabrique?

Browser.contentHandlers.types.*.title et browser.contentHandlers.types.2.uri

Ces lignes définissent les propositions faites lors de l’abonnement à un flux RSS. Pas de soucis pour votre vie privée donc. Il suffit de ne pas se servir du service proposé par Google.

Browser.safebrowsing

Firefox télécharge plusieurs fois par heure une liste de sites malveillants fournie par Google. Le navigateur compare chaque site visité à cette liste.

• browser.safebrowsing.malware.reportURL URL à laquelle renvoie le bouton « pourquoi ce site a été bloqué » lors d’une alerte.
• browser.safebrowsing.provider.0.gethashURL Adresse à laquelle les demandes d’URL « hachées »* sont envoyées.
• browser.safebrowsing.provider.0.keyURL Adresse de laquelle le navigateur reçoit les clés nécessaires pour les opérations cryptographiques (signature de mises à jour par exemple).
• browser.safebrowsing.provider.0.lookupURL Adresse à laquelle sont soumis les sites afin de savoir s’ils sont légitimes
• browser.safebrowsing.provider.0.name Nom du prestataire du service
• browser.safebrowsing.provider.0.reportURL Adresse à laquelle est envoyé un rapport sur les sites malveillants consultés, ce que l’utilisateur a fait après que l’avertissement soit apparu)
• browser.safebrowsing.provider.0.updateURL Adresse à laquelle les mises à jour de base de données «phishing / malware » sont demandées

*En théorie, les URL entières ne sont jamais communiquées à Google. Ce sont des petites parties qui le sont (hash).

On pourrait en principe penser que puisque les comparaisons avec la liste se passent en local (dans votre ordinateur), les contacts avec Google se limitent à la récupération de cette liste.
Mais c’est mal connaître Google que de penser qu’un service ne se « monnaie » pas:

1. Google peut grâce à ce service, connaître les habitudes d’utilisation du navigateur. Avec l’adresse IP, ils se renseignent sur qui navigue, où (pays, ville: toujours  avec l’IP), quand (heures de chargement de la liste), et combien de temps (les intervalles de récupération de la liste sont assez peu espacés et permettent de savoir assez rapidement si l’internaute est déconnecté).
2. Un  cookies tiers (qui est déposé par un autre domaine que celui contacté) est déposé sur votre ordinateur, et permet ainsi de vous retrouver lors de vos déplacements sur des services appartenant à l’entreprise.

Officiellement (et d’après la politique de confidentialité de Mozilla), aucune information concernant l’historique de navigation n’est communiqué.
Le cookie permet tout de même à Google de tracer vos déplacements si vous ne l’effacez pas (vous gardez le même cookie, mais avez une adresse IP différente).

Solution: Il semblerait qu’il suffise de demander à Firefox de refuser les cookie tiers pour régler une partie du problème:

• Outils –> Options –> Vie privée –> Décochez accepter les cookies tiers
• (et Mac OS X?) Édition –> Préférences –> Vie privée –> Décochez accepter les cookies tiers

Il est aussi possible de désactiver purement et simplement la fonction safe browsing:
Dans about:config, entrez ces champs dans le filtre et changez-en les valeurs:
browser.safebrowsing.enable: false
browser.safebrowsing.malware.enable: false
Ou alors dans les Préférences>Sécurité puis décochez « Bloquer les sites signalés comme étant… » (2 entrées)

Conséquences:
Pour les utlisateurs de Linux (et Mac OS X je suppose), une navigation avec no script devrait largement suffire. Il s’agira d’être tout de même un minimum vigilant en ce qui concerne le phishing, mais ça, c’est une règle générale.

Pour les utilisateurs de Windows, c’est un peu plus délicat. Ce système d’exploitation étant un paradis pour virus, il sera préférable de remplacer la protection désactivée.
Vous pourrez opter pour WOT (Web Of Trust) par exemple. Ça n’est pas la panacée en ce qui concerne l’anonymat puisque selon les conditions d’utilisation, des informations vous concernant pourront être récoltées. Mais c’est sans doute mieux que de donner tous ces renseignements à une seule et même entreprise majoritaire.
Soit dit en passant, si ces questions vous sont chères, je vous conseille de laisser Microsoft de côté! 😉

browser.search.defaultenginename et browser.search.order.1

La première entrée concerne le moteur de recherche qui sera utilisé par défaut lorsque vous sélectionnez un mot et faites « rechercher avec *** sur le web » dans le menu contextuel (apparaît avec le clic droit).

La seconde définit le premier moteur de recherche apparent dans la barre de recherche à droite.

Solution: Vous pouvez modifier la première dans about:config en insérant l’URL du moteur de votre choix et la seconde de la même manière, ou plus simplement en cliquant sur la barre de recherche  puis en faisant « Gérer les moteurs de recherche » (cette dernière option semble être prioritaire sur la première. Le moteur « actif » influe également sur celui présent dans le menu contextuel).

gecko.handlerService.schemes.mailto.1.uriTemplate

Cette ligne définie le web mail à utiliser lorsque vous cliquez sur une adresse mail (mailto) dans une page.

Geo.wifi.uri

Ici, ça concerne la géolocalisation. Dans certains cas, les sites web peuvent demander à votre navigateur de révéler certaines informations sur vous afin d’affiner leurs réponses.
Ce peut-être le cas de Google Map par exemple. Honnêtement, c’est loin d’être indispensable!

Là encore, c’est un service de « nos amis » qui est intégré: Google Location Services. Celui-ci utilise:

• Votre adresse IP
• Des informations concernant les points d’accès wifi aux alentours
• Un cookie Google expirant toutes les deux semaines

Solution: En principe, Firefox vous demandera toujours votre autorisation avant d’autoriser ce service.
Si vous n’avez pas confiance, vous pouvez donc changer « enable geo » de « true » à « false » dans about:config.

Keyword.URL

Quand vous tapez des mots-clés dans la barre d’URL, vous avez peut-être remarqué qu’elle se comportait comme un moteur de recherche. Selon les personnes, certains préféreront taper les adresses et les recherches dans la même barre.
Mais si vous souhaitez faire une requête, il vous faut un moteur de recherche! Devinez lequel est utilisé dans cette barre? Google!

Solution: Vous pouvez donc modifier le champ keyword.url par votre moteur de recherche respectueux de la vie privée préféré. Vous pouvez relire mon article à ce sujet si vous êtes en manque d’inspiration!

Et pour la route…

Les suggestions de recherche

Lorsque vous tapez des mots-clés dans la barre de recherche et que Google est le moteur utilisé (si vous osez encore faire ça sans protection! :-P), des termes sont proposés pendant que vous tapez. À chaque caractère tapé, vous envoyez des informations à Google et cela sans même avoir enfoncé la touche « Enter ».

Il n’est peut-être pas nécessaire de d’enrichir là encore les bases de Google. Pour y remédier, rien de plus simple (enfin si, rien faire peut-être!) :
Clic droit dans la barre, puis décochez afficher les suggestions. Hop!

La page d’accueil

Pour fignoler, on pourra également changer la page d’accueil de Firefox et mettre à la place votre navigateur favori, ou n’importe quelle autre page web.
Pour cela, il suffit de retourner dans les Préférence>Général, et de taper l’URL de la page que vous souhaitez.
Plus simplement encore, il suffit de glisser l’onglet correspondant à la page voulue, et de le faire glisser sur le raccourci qui mène à la page d’accueil (la petite maison en général).