Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

Il en a été question à mainte et mainte reprises ici, le modèle de l’entreprise Google repose quasi exclusivement sur la récolte de données personnelles en vue de personnaliser davantage les publicités et résultats affichés par le moteur de recherche et les sites traitants avec des partenaires. En clair, Google est une régie publicitaire proposant des services qui ont pour fonction d’augmenter ses bases de données sur les utilisateurs et leurs centres d’intérêts.

Hégémonie et coups fourrés

Ses services sont très nombreux, et bien souvent les plus populaires. Le moteur de recherche est de loin le plus utilisé en France et dans de nombreux pays, Android est premier sur le marché des OS mobiles, Youtube draine des flux monstrueux de données, Gmail, Google Maps ou encore Google Drive, sont des références dans leurs domaines. Inutile de parler également des Chrome Books, lesquels ne laissent absolument aucune porte de sortie pour échapper aux serveurs du géant de Moutain View.

Il y a peu, le logiciel libre Firefox tenait le haut du pavé dans le domaine des navigateurs web. Les possibilités en terme de personnalisation offertes par l’ouverture du code ont incontestablement participé à la popularisation d’un web plus ouvert, et adaptés à nos besoins. Mais aujourd’hui, Google Chrome est devenu le premier navigateur, et renforce la domination de Google dans les technologies web.

Supposé plus simple et plus rapide, il n’inquiète que peu de gens, et s’installe parfois sans même prévenir. C’est le cas en particulier avec le très célèbre antivirus gratuit Avast. Notons que cette méthode d’installation liée à un autre logiciel fait irrésistiblement penser aux vieux adwares (programmes publicitaires) et sypwares (programmes espions) qui s’installent sournoisement sur notre machine, ajoutant telle ou telle barre de recherche envahissant notre navigateur, ou ces programmes dont on ignore la présence et qui communiquent bien des informations vers des serveurs dont on ne soupçonne l’existence à priori.

Pourquoi Google Chrome est-il un spyware?

À peine sorti en 2008, le navigateur avait déclenché les foudres de certains internautes, et était accusé de cacher des fonctionnalités malveillantes. La polémique s’était notamment orientée vers un petit programme au fonctionnement louche et qui aurait permis à Google de continuer à tracker les utilisateurs même après avoir desinstallé le navigateur.

Et lorsque l’on jette un œil sur la définition de logiciel espion sur Wikipédia, on tombe là-dessus:

Un logiciel espion (aussi appelé mouchard ou espiogiciel ; en anglais spyware) est un logiciel malveillant qui s’installe dans un ordinateur dans le but de collecter et transférer des informations sur l’environnement dans lequel il s’est installé, très souvent sans que l’utilisateur en ait connaissance. L’essor de ce type de logiciel est associé à celui d’Internet qui lui sert de moyen de transmission de données.

Voyons donc comment se comporte le navigateur de Google, et constatons à quel point cette définition lui sied bien.

Dans l’avis de confidentialité de Google Chrome, on trouve ceci:

Sur les informations récoltées:

« Lorsque vous utilisez un navigateur, y compris Chrome, pour contacter les serveurs Google, Google reçoit par défaut des informations de connexion standards comprenant l’adresse IP de votre système, ainsi qu’un ou plusieurs cookies. »

Chaque copie du navigateur est identifiable également par un numéro unique, facilitant sans nul doute la reconnaissance des utilisateurs en ligne. Des statistiques peuvent également être envoyées à Google concernant l’usage fait du logiciel à l’installation.

Mais Google est aussi partageur:

« Pour accéder à certains contenus, il est possible que le navigateur Chrome pour Windows, Chrome OS ou le Chromecast doive transmettre à divers partenaires de contenu et sites Web un identifiant unique stocké sur votre système, à l’aide d’Adobe Flash Access. »

« Les tiers auxquels votre identifiant unique est transmis peuvent l’associer aux informations personnelles que vous leur communiquez. L’utilisation par Google d’un identifiant unique dans le but de fournir des contenus depuis les serveurs Google est soumise aux règles de confidentialité Google. »

Mais à quoi peuvent-elles bien servir?

« Les informations envoyées à Google lorsque vous utilisez Chrome sont traitées en vue de l’exécution et de l’amélioration du navigateur et d’autres services Google. Les informations envoyées à d’autres opérateurs de sites Web sont soumises aux règles de confidentialité de ces sites. Chrome stocke des informations sur votre système dans le but d’améliorer ses performances, et de vous fournir des fonctionnalités et des services utiles. » [???]

Sur les recherches effectuées:

« Lorsque vous saisissez des URL ou des requêtes dans la barre d’adresse de Chrome (l’omnibox), ou dans le champ de recherche du lanceur d’applications, les premières lettres peuvent être transmises à votre moteur de recherche par défaut afin que des prédictions de termes ou d’URL vous soient automatiquement proposées. »

« De plus, pour les utilisateurs connectés, le texte que vous saisissez dans le champ de recherche du lanceur d’applications peut être envoyé à Google afin que des recommandations vous soient proposées pour vos contacts et les applications que vous recherchez éventuellement. »

Marque pages, Historique de navigation, Téléchargements, et sites consultés sont eux-aussi enregistrés analysés, et bien sûrs mis en relation avec votre compte si vous en avez un:

« Si vous vous connectez au navigateur Chrome, à Chrome OS ou à un appareil Android sur lequel Chrome a été préinstallé avec votre compte Google, la fonctionnalité de synchronisation est alors activée. Nous stockons certaines informations associées à votre compte Google sur nos serveurs, telles que les favoris, l’historique et d’autres paramètres. »

Mais Chrome vous aide à parler toutes les langues…

« Lorsque vous utilisez la fonctionnalité de traduction de Chrome, le contenu que vous saisissez est envoyé au moteur de recherche Google afin d’être traduit. »

… Et aussi à mieux maîtriser la votre…

« Lorsque vous utilisez la fonctionnalité de vérification orthographique de Chrome, qui est basée sur la même technologie que celle de la recherche Google pour détecter les fautes d’orthographe, le texte saisi est envoyé à Google pour vous proposer des suggestions de corrections orthographiques et grammaticales. »

Si vous utilisez des outils de reconnaissance vocale et que vous avez accepté l’envoi de statistiques, « d’autres informations sont envoyées à Google, y compris l’URL du site Web sur lequel vous utilisez la saisie vocale, la version de votre système d’exploitation, ainsi que le fabricant et la marque de l’appareil et du matériel audio que vous utilisez. »

Vous utilisez la fonction de géolocalisation intégrée au navigateur? Google sera heureux d’envoyer vers ses serveurs « certaines informations concernant votre réseau local aux services de géolocalisation de Google afin de déterminer votre position approximative. »

Cela peut comprendre:

« [Des] caractéristiques des routeurs Wi-Fi et les identifiants des antennes-relais les plus proches de vous, la puissance du signal de votre connexion Wi-Fi ou de votre mobile, ainsi que l’adresse IP actuellement attribuée à votre appareil. Nous utilisons ces informations pour déterminer votre position, ainsi que pour améliorer le fonctionnement et la qualité de Chrome et des services de géolocalisation de Google. »

« Dans le but d’aider à améliorer la fonctionnalité de navigation sécurisée, vous pouvez envoyer des données supplémentaires lorsque vous consultez un site qui semble contenir des logiciels malveillants.« 

Et en navigation privée?

« Le navigateur communique de plus régulièrement avec les serveurs de Google afin d’estimer à quels moments les personnes se connectent, pendant combien de temps etc. »

 Sous Android

N’oublions pas les terminaux mobiles, qui représentent une part grandissante des moyens d’accès au web. Installé par défaut, Chrome se montre assez gourmand en permissions. Jugez par vous-même:

Parmi les spécificités mobile: si vous avez autorisé l’accès à la géolocalisation par les applications Google, Chrome pourra par exemple s’en servir pour vous présenter des résultats personnalisés. L’un des marchés émergeant développe en effet des propositions de publicités ciblées lorsque l’on passe devant un magasin par exemple.

En bref

Enfin, et quelque soit le type de terminal, n’oublions pas qu’en tant que logiciel privateur (non libre), il n’est possible de connaître le fonctionnement de Chrome que par ce que ses concepteurs veulent bien nous en dire. Seul le logiciel libre nous permet de connaître exactement la manière dont les programmes se comportent.

Firefox sera donc préférable à Chrome, mais il sera tout de même nécessaire d’apporter quelques modifications, car là encore, l’hégémonie de Google en a fait un relais à sa récolte de données personnelles.

Il existe également Chromium, qui est le projet libre sur lequel est basé Chrome.

Droit de réponse…

En droit de réponse et en guise de loyauté, laissons la parole à Éric Schmidt, président du Conseil d’Administration de Google et ancien PDG, lequel défend fort bien la philosophie de ses produits:

« C’est un futur où vous n’oubliez rien. Dans ce futur nouveau, vous n’êtes jamais perdu. Nous connaîtrons votre position au mètre près et bientôt au centimètre près. Vous n’êtes jamais seul, vous ne vous ennuyez jamais, les idées ne viennent jamais à vous manquer. »

« Google a pour règle d’aller jusqu’au bord de ce qui pourrait vous donner la chair de poule et de ne pas aller plus loin. Je dirais qu’implanter des choses dans votre cerveau franchit cette ligne rouge. Du moins pour l’instant, jusqu’à ce que la technologie s’améliore. »

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ?” « .

Le meilleur des monde…

Depuis la modification de l’article 5(3) de la directive 2002/58/CE, l’Union Européenne oblige les sites Internet à recueillir le consentement des utilisateurs lorsque des cookies utilisés pour le traçage sont déposés. Vous l’avez peut-être remarqué, un bandeau apparaît dorénavant sur certains sites.

En cette période de révélations fracassantes sur la surveillance globale menée notamment par la NSA, on pourrait penser qu’il s’agisse de broutilles. Néanmoins, toute avancée aussi minime soit-elle est bonne à prendre, surtout si elle permet de mieux comprendre le fonctionnement du réseau et les pratiques de traçage en général.

En effet, n’oublions pas que la surveillance d’État tire profit de la collecte et de l’accumulation centralisée de données par les entreprises du web (lorsqu’on a le Patriot Act, il ne suffit plus que de se baisser pour les ramasser). C’est donc aussi grâce à ces immenses bases de données qu’il est plus aisé de surveiller, et c’est par la normalisation, et par l’incompréhension de ces méthodes, que les États liberticides continuent leurs pratiques dans une indifférence résignée face à l’apparente complexité du phénomène.

La CNIL a donc publié une petite vidéo pédagogique expliquant le fonctionnement des cookies, lesquels intéressent en principe chacun des internautes, ainsi que des conseils pour mieux comprendre la directive européenne et se mettre en conformité si l’on administre un site.

(Je ne m’étends pas sur le scénario présentant une fois de plus la femme comme étant chiante, jalouse, colérique, et qui a besoin de son compagnon pour lui expliquer comment fonctionne un ordinateur, mais bon…)

Des outils sont disponibles pour gérer ses cookies, j’ai par exemple évoqué ici l’excellent Cookie Monster, une extension Firefox qui permet de n’accepter que les cookies de sites désignés par l’utilisateur.

Alors que l’enquête de Médiamétrie révélait hier que 3/4 des Français fréquenteraient les réseaux sociaux, on peut sans prendre trop de risques, affirmer qu’une bonne partie de ces personnes ignore (volontairement ou non), l’implication de ces usages sur la préservation de leur vie privée.

Dans ce domaine, il faut bien comprendre que la gratuité apparente de ces services n’est en fait qu’une façade, masquant la réalité d’un nouveau modèle économique dans lequel la matière première est constituée par les données des utilisateurs (données volontairement renseignées et récoltées en fonction des usages). Sur les réseaux, on dit généralement que le véritable produit c’est VOUS. Mais d’un certain point de vue, on peut aussi affirmer que les usagers sont les producteurs de ce système, puisqu’ils fournissent les informations, les classent, les organisent, les font circuler etc. Et ce service que LES USAGERS fournissent GRATUITEMENT, ça vaut des millions, voire des milliards! Une machine bien huilée en somme!

Une infographie publiée par l’éditeur de logiciel Baynote propose une synthèse exposant la manière dont les données sont récoltées sur six grands sites populaires, ainsi que les objectifs de cette récolte.

Cependant, si j’ai trouvé ça utile pour une comparaison entre les réseaux, c’est pour moi assez illisible pour ce qui est de comprendre ce que chaque site récupère (et je ne serais peut-être pas le seul dans ce cas ^^). C’est pourquoi je vous propose en complément une simple liste pour chacun d’eux.
Note: Selon les cas, d’autres méthodes que celles décrites ici peuvent être employées.

Google +

150 millions d’utilisateurs; $36,38 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, les clics sur les publicités, la localisation, les  informations de profil, les informations de routage sms.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, des dispositifs de traçage, Doubleclick et Adsense.

Récolte des données pour:
La publicité ciblée, localiser, des notifications, intégrer plusieurs comptes.

Facebook

901 millions d’utilisateurs; $3,7 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, localiser, des notifications.

Twitter

140 millions d’utilisateurs; $140 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Linkedin

161 millions d’utilisateurs; $226 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, la localisation, le système d’exploitation, la connexion à des tierces parties, les informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Pandora

52 millions d’utilisateurs; $70,6 millions de recettes publicitaires par an.

Récolte des données sur:
Les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, les vendre aux agences marketing, intégrer plusieurs comptes.

Pinterest

10,4 millions d’utilisateurs; pas de recettes publicitaires.

Récolte des données sur:
Le navigateur, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
Des notifications, intégrer plusieurs comptes.

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

 Cette conférence de Jean-Marc Manach et Fabrice Epelboin ne date pas de cette année mais d’il y a deux ans. Une fois encore, elle est extrêmement intéressante et très accessible au grand public. Au programme donc, une introduction aux questions de sécurité en ligne, au hacking, aux lois de surveillance (en ligne mais aussi dans la rue), et une présentation des enjeux de vie privée liés au développement des réseaux sociaux comme Facebook.

J’avais déjà écrit sur la gestion des permissions (notamment pour les cookies) dans Firefox, mais il faut avouer que le résultat n’est pas toujours à l’arrivée. Pour une gestion au millimètre de ce qui s’installe ou pas sur votre ordinateur, vous avez Cookie Monster!

Cette petite extension Firefox est extrêmement simple d’utilisation. Une fois installée, vous pourrez autoriser ou non le dépôt de cookies et de cookies tiers, par noms de domaines, sous-domaines et sites, et donc limiter le traçage dont nous sommes tous victimes lors de la navigation.

À la manière de NoScript, vous pourrez également définir des autorisations de façon temporaire ou « permanente », sur le principe de la liste blanche. Grâce à cette extension, il est donc tout à fait possible, et vivable, de n’accepter les cookies que pour quelques sites pour lesquels ils sont réellement nécessaires.

Firefox: téléchargez ici

Marre de devoir penser à effacer vos cookies à la fin de la session? Ça s’accumule et vous êtes du genre parano?

Firefox vous permet de gérer site par site les permissions que vous accordez pour chacun d’eux. Tapez pour cela « about:permissions » dans la barre d’URL et la page suivante vous sera proposée:

À gauche, vous trouverez les derniers sites visités. Après avoir sélectionné celui sur lequel vous voulez agir, il vous sera possible de choisir précisément la façon dont se gèrent l’enregistrement des mots de passe, le partage de la géolocalisation, la gestion des cookies, l’ouverture des fenêtres pop-up et la conservation des données hors connexion.

En autorisant les cookies uniquement pour la durée de la session, ceux-ci seront effacés à chaque fermeture du navigateur. Plutôt pratique! L’idéal pour ma part est de tout autoriser uniquement pour la durée de la session (voire interdire carrément ce qui est inutile), et d’appliquer le principe de la liste blanche (on choisit ce qui passe plutôt que de dire ce qui ne passe pas) pour les sites importants pour vous (boîte mail, sites auxquels vous vous connectez fréquemment etc.).

Attention: il peut arriver que certains cookies ne s’effacent pas toujours ou une fois sur deux, comme ceux de Google par exemple (comme par hasard!). Dans ce cas, je plaiderais pour un blocage pur et simple de leurs saletés.

Pour vérifier si la procédure a fonctionné: Préférences –> Vie Privée –> Afficher les cookies. Les règles que vous venez de définir peuvent être modifiées également dans cet onglet vie privée à « Exceptions ».

Note: il faudra y mettre une autorisation pour la session pour « youtube.com » notamment, si vous souhaitez par exemple pouvoir visionner certaines vidéos intégrées dans des sites (non non Google ne fait pas particulièrement chier avec ses cookies!).

Petit rappel: pour un nettoyage général (toujours salutaire et efficace), ça se passe dans Outils –> Supprimer l’historique récent, et vous pourrez choisir de supprimer:

• Historique de navigation et des téléchargements
• Historique des formulaires et des recherches
• Cookies
• Cache
• Connexions actives
• Préférences de sites (à ne pas cocher su vous souhaitez conserver les réglages dont on a parlé  ci-dessus)

Même après les avoir effacés, certains cookies peuvent réapparaître « comme par magie ». Dans certains cas, c’est qu’ils sont recréés grâce à des cookies LSO, ou cookies Flash (voir la partie sur BetterPrivacy).

C’est l’une des infos croustillantes de la semaine. Facebook continuerait, selon le hacker Nik Cubrilovic, à tracer les utilisateurs même hors connexion.

Conservés indéfiniment, les cookies et particulièrement les cookies de déconnexion, permettraient au réseau « social » de continuer à mettre en rapport pages visitées et identité de la personne:

Avec mon navigateur déconnecté de Facebook, toutes les fois que je visite une page avec le bouton Like de Facebook, ou un bouton de partage, ou n’importe quel autre widget, l’information, dont mon identifiant unique (ID) de compte, est toujours envoyée à Facebook (rapporte le hacker pour ZDNet). »

Un ingénieur de l’entreprise a très rapidement été sacrifié et jeté en pâture aux journalistes pour affirmer qu’en aucun cas, Facebook ne traçait ses usagers.
L’expert nous a donc expliqué que des raisons de sécurité motivaient le dispositif: repérer les tentatives de fishing et de spam (aaah d’accord! Ça n’est pas comme si la collecte d’informations personnelles et le profiling publicitaire étaient les sources des 80 milliards de dollars que vaut la firme).

Mais comme Facebook n’a rien à se reprocher, ils opéreront tout de même des modifications: deux cookies seront supprimés à la déconnexion (le cookie « a_user » dans lequel se trouve l’identifiant unique, et « a_xs »).

Sans vouloir être mauvaise langue (ça n’est pas mon genre), je me demande pourquoi il a fallu un an, deux réclamations écrites de Nik Cubrilovic et la publication de l’information sur de nombreux sites d’information pour supprimer ces cookies qui ne le nécessitaient pas?

Pensez donc à passer régulièrement un coup de Kärcher dans votre navigateur pour effacer vos cookies et autres traces de navigation!

Depuis pas mal d’années maintenant, le navigateur libre Firefox bénéficie d’un financement de Google à 85% (chiffres de 2006).
Il s’agit de 57 millions d’euros, soit une somme non négligeable, apportant nécessairement la garantie d’une contrepartie.

C’est ainsi que le navigateur faisant figure de solution alternative se trouve être en réalité un relais de la politique de traçage de Google.

Comme Firefox reste un navigateur de qualité qui propose de nombreuses extensions garantissant un meilleur respect de la vie privée, nous allons, plutôt que de changer de navigateur, passer un coup de vermifuge sur le renard (c’est l’un des avantages des logiciels libres! S’il ne vous plaisent pas, modifiez-les!)

Note: Ce tuto concerne également, et à mon grand regret, les navigateurs dérivés (fork) de Firefox tels que Iceweasel (dans Gnu/Linux Debian) ou Icecat (du projet GNU).

Où se cache Google?

Firefox propose un outil pour gérer sa configuration. Beaucoup d’options sont modifiables par les menus mais pour certaines, il est nécessaire de passer par un autre biais.
Tapez about:config dans la barre d’URL (là où se trouvent habituellement les adresses des sites que vous visitez).
Vous allez accéder à un message d’avertissement vous prévenant des risques que peuvent comporter certaines manipulations pour le logiciel.
Cliquez sur « Je ferai attention, promis! », et faites attention! 😉

Dans le cadre « filtre », tapez « Google ». Nous obtenons ainsi tous les champs dans lesquels il est présent:

• browser.contentHandlers.types.2.title
• browser.contentHandlers.types.2.uri
• browser.safebrowsing.malware.reportURL
• browser.safebrowsing.provider.0.gethashURL
• browser.safebrowsing.provider.0.keyURL
• browser.safebrowsing.provider.0.lookupURL
• browser.safebrowsing.provider.0.name
• browser.safebrowsing.provider.0.reportURL
• browser.safebrowsing.provider.0.updateURL
• browser.search.defaultenginename
• browser.search.order.1
• gecko.handlerService.schemes.mailto.1.uriTemplate
• geo.wifi.uri
• keyword.URL

Mais qu’est-ce qu’il fabrique?

Browser.contentHandlers.types.*.title et browser.contentHandlers.types.2.uri

Ces lignes définissent les propositions faites lors de l’abonnement à un flux RSS. Pas de soucis pour votre vie privée donc. Il suffit de ne pas se servir du service proposé par Google.

Browser.safebrowsing

Firefox télécharge plusieurs fois par heure une liste de sites malveillants fournie par Google. Le navigateur compare chaque site visité à cette liste.

• browser.safebrowsing.malware.reportURL URL à laquelle renvoie le bouton « pourquoi ce site a été bloqué » lors d’une alerte.
• browser.safebrowsing.provider.0.gethashURL Adresse à laquelle les demandes d’URL « hachées »* sont envoyées.
• browser.safebrowsing.provider.0.keyURL Adresse de laquelle le navigateur reçoit les clés nécessaires pour les opérations cryptographiques (signature de mises à jour par exemple).
• browser.safebrowsing.provider.0.lookupURL Adresse à laquelle sont soumis les sites afin de savoir s’ils sont légitimes
• browser.safebrowsing.provider.0.name Nom du prestataire du service
• browser.safebrowsing.provider.0.reportURL Adresse à laquelle est envoyé un rapport sur les sites malveillants consultés, ce que l’utilisateur a fait après que l’avertissement soit apparu)
• browser.safebrowsing.provider.0.updateURL Adresse à laquelle les mises à jour de base de données «phishing / malware » sont demandées

*En théorie, les URL entières ne sont jamais communiquées à Google. Ce sont des petites parties qui le sont (hash).

On pourrait en principe penser que puisque les comparaisons avec la liste se passent en local (dans votre ordinateur), les contacts avec Google se limitent à la récupération de cette liste.
Mais c’est mal connaître Google que de penser qu’un service ne se « monnaie » pas:

1. Google peut grâce à ce service, connaître les habitudes d’utilisation du navigateur. Avec l’adresse IP, ils se renseignent sur qui navigue, où (pays, ville: toujours  avec l’IP), quand (heures de chargement de la liste), et combien de temps (les intervalles de récupération de la liste sont assez peu espacés et permettent de savoir assez rapidement si l’internaute est déconnecté).
2. Un  cookies tiers (qui est déposé par un autre domaine que celui contacté) est déposé sur votre ordinateur, et permet ainsi de vous retrouver lors de vos déplacements sur des services appartenant à l’entreprise.

Officiellement (et d’après la politique de confidentialité de Mozilla), aucune information concernant l’historique de navigation n’est communiqué.
Le cookie permet tout de même à Google de tracer vos déplacements si vous ne l’effacez pas (vous gardez le même cookie, mais avez une adresse IP différente).

Solution: Il semblerait qu’il suffise de demander à Firefox de refuser les cookie tiers pour régler une partie du problème:

• Outils –> Options –> Vie privée –> Décochez accepter les cookies tiers
• (et Mac OS X?) Édition –> Préférences –> Vie privée –> Décochez accepter les cookies tiers

Il est aussi possible de désactiver purement et simplement la fonction safe browsing:
Dans about:config, entrez ces champs dans le filtre et changez-en les valeurs:
browser.safebrowsing.enable: false
browser.safebrowsing.malware.enable: false
Ou alors dans les Préférences>Sécurité puis décochez « Bloquer les sites signalés comme étant… » (2 entrées)

Conséquences:
Pour les utlisateurs de Linux (et Mac OS X je suppose), une navigation avec no script devrait largement suffire. Il s’agira d’être tout de même un minimum vigilant en ce qui concerne le phishing, mais ça, c’est une règle générale.

Pour les utilisateurs de Windows, c’est un peu plus délicat. Ce système d’exploitation étant un paradis pour virus, il sera préférable de remplacer la protection désactivée.
Vous pourrez opter pour WOT (Web Of Trust) par exemple. Ça n’est pas la panacée en ce qui concerne l’anonymat puisque selon les conditions d’utilisation, des informations vous concernant pourront être récoltées. Mais c’est sans doute mieux que de donner tous ces renseignements à une seule et même entreprise majoritaire.
Soit dit en passant, si ces questions vous sont chères, je vous conseille de laisser Microsoft de côté! 😉

browser.search.defaultenginename et browser.search.order.1

La première entrée concerne le moteur de recherche qui sera utilisé par défaut lorsque vous sélectionnez un mot et faites « rechercher avec *** sur le web » dans le menu contextuel (apparaît avec le clic droit).

La seconde définit le premier moteur de recherche apparent dans la barre de recherche à droite.

Solution: Vous pouvez modifier la première dans about:config en insérant l’URL du moteur de votre choix et la seconde de la même manière, ou plus simplement en cliquant sur la barre de recherche  puis en faisant « Gérer les moteurs de recherche » (cette dernière option semble être prioritaire sur la première. Le moteur « actif » influe également sur celui présent dans le menu contextuel).

gecko.handlerService.schemes.mailto.1.uriTemplate

Cette ligne définie le web mail à utiliser lorsque vous cliquez sur une adresse mail (mailto) dans une page.

Geo.wifi.uri

Ici, ça concerne la géolocalisation. Dans certains cas, les sites web peuvent demander à votre navigateur de révéler certaines informations sur vous afin d’affiner leurs réponses.
Ce peut-être le cas de Google Map par exemple. Honnêtement, c’est loin d’être indispensable!

Là encore, c’est un service de « nos amis » qui est intégré: Google Location Services. Celui-ci utilise:

• Votre adresse IP
• Des informations concernant les points d’accès wifi aux alentours
• Un cookie Google expirant toutes les deux semaines

Solution: En principe, Firefox vous demandera toujours votre autorisation avant d’autoriser ce service.
Si vous n’avez pas confiance, vous pouvez donc changer « enable geo » de « true » à « false » dans about:config.

Keyword.URL

Quand vous tapez des mots-clés dans la barre d’URL, vous avez peut-être remarqué qu’elle se comportait comme un moteur de recherche. Selon les personnes, certains préféreront taper les adresses et les recherches dans la même barre.
Mais si vous souhaitez faire une requête, il vous faut un moteur de recherche! Devinez lequel est utilisé dans cette barre? Google!

Solution: Vous pouvez donc modifier le champ keyword.url par votre moteur de recherche respectueux de la vie privée préféré. Vous pouvez relire mon article à ce sujet si vous êtes en manque d’inspiration!

Et pour la route…

Les suggestions de recherche

Lorsque vous tapez des mots-clés dans la barre de recherche et que Google est le moteur utilisé (si vous osez encore faire ça sans protection! :-P), des termes sont proposés pendant que vous tapez. À chaque caractère tapé, vous envoyez des informations à Google et cela sans même avoir enfoncé la touche « Enter ».

Il n’est peut-être pas nécessaire de d’enrichir là encore les bases de Google. Pour y remédier, rien de plus simple (enfin si, rien faire peut-être!) :
Clic droit dans la barre, puis décochez afficher les suggestions. Hop!

La page d’accueil

Pour fignoler, on pourra également changer la page d’accueil de Firefox et mettre à la place votre navigateur favori, ou n’importe quelle autre page web.
Pour cela, il suffit de retourner dans les Préférence>Général, et de taper l’URL de la page que vous souhaitez.
Plus simplement encore, il suffit de glisser l’onglet correspondant à la page voulue, et de le faire glisser sur le raccourci qui mène à la page d’accueil (la petite maison en général).

Une petite vidéo sympa d’un certain Dave Null (qui est en fait sans images) pour toutes celles et ceux qui s’intéressent aux techniques d’anonymat.
C’est une bonne entrée en matière et permet de revenir sur des notions de base comme celles de réseau, d’adresse IP, de système d’exploitation, de chiffrement etc…
J’apprécie particulièrement l’accent mis sur l’importance de privilégier l’usage des logiciels libres, notamment pour des raisons de sécurité.

J’invite les débutants à ne pas se décourager devant certains termes qui ne sont pas compréhensibles dans un premier temps, mais qui peuvent aisément être réappropriés après quelques recherches rapides.

Cliquez sur l’image pour accéder à la vidéo

Note: La vidéo n’est pas intégrée dans cet article car la page dans laquelle elle se trouve comporte 5 web bugs. J’évite ainsi que ceux-ci aient accès aux informations concernant les visiteurs de Révolte Numérique.

Vous avez très certainement déjà entendu parler de Flash Player. Il s’agit d’un lecteur multimédia distribué par la société Adobe et qui est très fréquemment utilisé lors de la navigation sur le web. Par exemple, les vidéos que vous regardez sur Youtube ou Dailymotion sont affichées grâce à ce lecteur. Certains sites sont entièrement développés grâce à la technologie Flash. La place que cette dernière occupe aujourd’hui dans le quotidien des internautes est donc non négligeable.

Flash pose cependant un certain nombre de problèmes. Pour les personnes qui défendent les principes du logiciel libre, il n’est clairement pas un allié. Étant propriétaire, le format Flash ne peut en principe se lire que grâce au lecteur Flash. Cela signifie donc que si par hasard vous aviez l’idée saugrenue de voir une vidéo sur internet, le choix des outils serait assez limité. C’est ainsi qu’il s’est retrouvé installé sur d’avantage de machines que ne l’est Windows de Microsoft.
Le propre des logiciels ou des formats propriétaires est également de masquer la façon dont ils fonctionnent. Dans le cas présent, il est impossible de savoir précisément ce qui ce passe sur notre ordinateur.

Les cookies LSO

Les cookies LSO (Local Shared Object) ou « cookies Flash » sont de petits fichiers qui s’enregistrent sur l’ordinateur de l’usager sans prévenir et sans autorisation. Ils résistent à la manipulation qui consiste à effacer les cookies « traditionnels » par le biais du navigateur web. Il y a quelques temps, ils s’incrustaient même lors de la navigation privée.
Autant dire que Flash pose un sérieux problème en ce qui concerne la vie privée et le droit à maîtriser les informations qui transitent par nos machines.

Les cookies LSO permettent donc de tracer les déplacements des internautes ayant utilisé la technologie Flash (soit à peu près tout le monde).
Les site auxquels vous avez accédé, les types de contenus, les paramètres de connexion et de navigation y sont enregistrés. N’ayant pas de date d’expiration, ils permettent de servir de base pour recréer des cookies « traditionnels » qui eux, ont une date d’expiration. Leur but est bien de contourner le peu de contraintes les encadrant et de neutraliser les outils proposés pour s’en prémunir par les navigateurs web. Ils n’attendent donc que vous pour être mis à la poubelle!

Où se cachent-ils?

Avant d’aller à la corbeille, passez par la case:

Linux: ~/.Macromedia/#SharedObjects
~/.Macromedia/macromedia.com

Windows: C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\#
C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\macromedia.com\

Mac: ~/Library/Preferences/Macromedia/Flash Player/#SharedObjects/
~/Library/Preferences/Macromedia/Flash Player/macormedia.com/

 Comment limiter les nuisances?

• Plutôt que d’effacer manuellement les cookies LSO, il est possible de télécharger betterprivacy. Cette extension pour Firefox vous permettra de les supprimer à chaque fermeture du navigateur par exemple.

• Le site de Flash propose une désactivation afin d’empêcher tout stockage sur les ordinateurs mais plusieurs personnes ont rapporté que cela ne fonctionnait pas chez eux. C’est également mon cas.

• Youtube et Dailymotion proposent maintenant l’affichage des vidéo grâce au langage htlm5. C’est une alternative qui se développe de plus en plus et qui permet de passer par l’un de vos lecteurs vidéo plutôt que par celui de Adobe. C’est plutôt une bonne nouvelle dans notre cas!
  Rendez-vous sur www.youtube.com/html5 ou www.dailymotion.com/html5

• Attention: l’extension Flashblock de Firefox ne fonctionne pas pour les cookies LSO. Elle est censée isoler le contenu Flash et ne permettre d’y accéder qu’en cliquant sur la cible mais je me suis rendu compte qu’en réalité le contenu était tout de même téléchargé. Même sans débloquer la vidéo, le cookie est déposé sur votre ordinateur.

• No script pourra être utilisé à la place mais il est un peu plus délicat à configurer. Ce sera probablement l’objet d’un prochain article.

Se passer de Flash?

Malgré le constat émis au début de cet article, il est en réalité envisageable de se passer de Flash. Et en plus, cela n’implique pas forcément de renoncer à vos soirées vidéos sur Youtube! 😉
L’une des propositions les plus alléchantes est certainement Gnash. Il s’agit d’un lecteur libre développé par la Free Software Foundation et ayant pour but remplacer le lecteur d’Adobe.
Cette solution libre est très intéressante et plutôt au point, mais elle ne permet malheureusement pas toujours d’afficher certains sites entièrement gérés en flash (c’est le cas pour Deezer par exemple) et elle peut contenir encore quelques bugs.
Edit: Gnash gère également les cookies LSO. Il convient donc de garder BetterPrivacy mais il faudra modifier dans les options, le répertoire dans lequel il ira chercher ces cookies. Il ne sera plus macromedia mais gnash/SharedObjects.

Une autre extension de Firefox permettra d’élargir les possibilités offertes par Gnash (notamment pour Dailymotion qui semble encore poser problème): GreaseMonkey. Grâce à elle, vous allez pouvoir ajouter de nouvelles fonctionnalités au navigateur. Vous ajouterez pour cela le script Linterna Màgica (cliquez sur « Userscript (not compressed) », sur « Download » (dans la nouvelle page) puis sur « Installer » dans la fenêtre qui s’ouvre) ou encore ViewTube (cliquez sur installer) qui prend en charge de nombreux lecteurs aussi. Une fois fait, les vidéos s’ouvriront dans un nouveau lecteur (si cela ne marche pas chez vous, téléchargez VLC) au lieu de passer par celui d’Adobe.

Le développement du html5 et des balises <video> qui permettent d’inclure des vidéos sans faire appel au lecteur Flash est certainement l’une des voies les plus intéressantes pour les personnes qui souhaitent se débarrasser de Flash.
(L’article traite ici principalement de la question de la vidéo mais cela n’est pas l’unique façon d’utiliser Flash, loin de là! Heureusement, de nombreuses autres possibilités offertes par le html5 développeront les outils pour se prémunir contre les dangers de Flash pour notre vie privée. Il faudra patienter encore un peu le temps que cela soit suffisamment intégré.)

Edit du 7/07/15: L’extention n’est plus disponible (Merci Alain Ternaute de l’avoir signalé)
Les accrocs à Google pourront toujours se tourner vers Disconnect Search ou GApps Browser sur Android.

Vous êtes accroc à Google (mais vous vous soignez)? Toutes les initiatives alternatives vous laissent de marbre et vous trouvez l’interface de Scroogle toute moisie? GoogleSharing est fait pour vous!

Il s’agit là d’une extension open source pour le navigateur web Firefox qui fera passer toutes vos requêtes dans le moteur de recherche par un proxy anonymisateur. Ainsi, vous pourrez utiliser les services de Google sans pour autant étaler toute votre vie privée aux yeux de la firme de Mountain View.
Grâce à elle, votre adresse IP ou encore les différentes traces de navigation ne seront pas connues de Google.

Contrairement à d’autres proxy anonymisateurs, l’extension masque également les entêtes HTTP transmises lors d’une requête à un serveur web. Celles-ci contiennent certaines informations (navigateur, système d’exploitation, dernier site visité, cookies…) qui peuvent mener à votre identification.

Les développeurs de GoogleSharing affirment ne conserver aucune donnée sur les utilisateurs du logiciel.

Note: L’anonymat n’est évidemment pas garanti pour les personnes qui ont un compte Google et qui s’y connectent!! 😀
Si vous n’utilisez pas HTTPS Everywhere, vous pourrez configurer cette extension pour que la connexion soit tout de même chiffrée: outils> modules complémentaires>  GoogleSharing> préférences> upgrade to SSL when possible.

Télcharger GoogleSharing
Site de GoogleSharing

Quand on navigue, on est jamais anonymes. Nous laissons de nombreuses traces sur tous les sites, par nos requêtes, nos clics, nos choix de sites.  Il est par exemple possible de connaître du visiteur d’un site: son adresse IP, son fournisseur d’accès, son système d’exploitation, son navigateur, s’il accepte les cookies, s’il accepte le javascript, la page précédente visitée, la résolution de son écran ou encore l’heure affichée sur son ordinateur (permet de localiser).

Le site de la CNIL permet de faire le test afin de se rendre compte de cette fuite d’informations qui peuvent se révéler personnelles.

Lorsqu’on couple toutes ces informations avec celles liées à la navigation, on estime en général qu’il est possible de localiser une personne dans un rayon de 40m.

Les solutions pour se protéger sont nombreuses et peuvent se révéler contraignantes. Il s’agira bien souvent, et avant tout de changer ses habitudes. Il faudra selon les cas, peut-être trouver un autre moteur de recherche, ne plus accepter tous les cookies et les supprimer régulièrement, désactiver certaines fonctionnalités etc…

Attention: le mode navigation privée, proposé par Firefox notamment, est un premier pas mais ne protège en rien contre les informations stockées en dehors de votre ordinateur! Ça n’est pas parce que l’on ne garde pas de traces qu’il n’y a pas de témoins…

Des web bugs, vous en croisez sur quasiment toutes les pages que vous visitez… Ah… c’est pas un virus alors… donc c’est pas grave..? ben si quand même un peu. C’est vrai que c’est plus trop la mode de parler de ces trucs là. Quand c’est apparu dans les années 2000, c’était comme de sortir les dossiers du pentagone après que Julian Assange soit passé par là! C’était, et impensable, et inadmissible. Aujourd’hui on a oublié.

Il s’agit donc de tous petits objets au départ de la taille de un pixel (et donc invisibles), et récupérant des informations sur les personnes qui visitent une page et s’appuyant sur la mise en place d’un cookie (on en trouve également dans les mails). Ce sont des traceurs dont les principaux concepteurs sont les agences de marketing. Ils sont l’un des outils qui permettent de transformer le web en un immense centre commercial dans lequel on pointerait devant chaque rayon visité. Les buts sont donc souvent le profilage marketing et la statistique de fréquentation. De nombreux webmaster s’en servent également pour savoir combien de personnes fréquentent leur site ou quelles pages sont visitées ce qui dans cette perspective peut être une utilisation légitime.
Dans la majorité des cas, c’est anonyme. Mais comment sont traitées les informations récoltées, ça, c’est une autre affaire. Google s’en sert également pour développer ses propositions lors de nos recherches parait-il. Facebook, l’un des plus grand fichier de données personnelles au monde (actuellement près de 700 millions de profiles), pose régulièrement ce genre de traceurs. L’un d’eux a permis ainsi de mettre en relation les données récoltées avec votre compte si vous en aviez un (voir Facebook Beacon). Anonymat dites-vous?

Que faire?

Heureusement, il y a des solutions! L’une d’elle consiste à télécharger un module pour le navigateur Firefox:
Ghostery ( http://www.ghostery.com/).
Les mouchards seront alors affichés pour chaque page, et il sera possible d’en connaître l’utilité, et bien sûr de les bloquer.

Note: les propriétaires jouent sur ambiguïté de la mise à disposition du code source mais cette extension n’est pas un logiciel libre. Noscript peut, pour les partisans du libre, faire office de remplaçant.

Pour celles et ceux qui ne savent pas installer un modules pour Firefox, cliquez sur l’image pour voir la vidéo: