J’avais abordé il a quelques mois un changement prévu par Mozilla dans le célèbre navigateur open source. Il s’agissait d’utiliser les tuiles (Directory Tiles) habituellement occupées par notre historique à l’ouverture d’un nouvel onglet. On sentait venir la chose lorsque certains évoquaient du contenu sponsorisé adapté aux utilisateurs. Ça sentait gros le discours marketting habituellement fleuri d’arguments pro-ciblage faisant passer la publicité pour une chance donnée à l’utilisateur d’explorer un peu plus ses centres d’intérêts. On espérait juste que les responsables de Mozilla n’avaient pas fait leur ce discours manipulateur.

T’en veux de l’esprit du libre?

Depuis quelques semaines c’est donc fait, Firefox intègre des publicité dans ces vignettes. Alors qu’on nous promettait la mise en avant de partenaires de Firefox ou de tiers respectueux des principes de Mozilla, on se retrouve avec des Booking.com, et autres sociétés fleurons de l’esprit du libre. Je n’ai pas vu toutes les publicités proposées étant donné que je ne les croise qu’au boulot, mais ces deux-là sont déjà assez cocasses! Quand on pense que c’est Mozilla qui nous propose un logiciel soit disant orienté sécurité et propriétaire comme Dashlane, on touche le fond. Bonjour l’esprit du libre, et bonjour les leçons tirées de l’affaire Snowden!
Comme garantie actuellement: les données collectées concernent essentiellement les clics sur les annonces, et sont d’après la fondation anonymisées.

De plus, pour certains sites comme Amazon, relate le site du navigateur, au lieu d’avoir une capture d’écran, ce pourra être un logo qui sera affiché à la place. Rappelons que le rôle des logos publicitaires est de rester en mémoire, d’imprimer un cliché, lequel sera rangé parmi les images qui nous sont familières, en attendant la prochaine situation où il faudra faire un choix pour un achat. Les techniques publicitaires sont assez proches des méthodes de propagande, et c’est ce qui les rend dangereuses et non souhaitables, surtout dans un environnement libre.

Quoi qu’il en soit, Mozilla a les deux pieds dedans, et la fuite en avant est engagée. Firefox n’est dorénavant plus qu’un navigateur, mais également un prescripteur de sites d’achat.

La pé-da-go-gie (ou l’éducation pour ceux qui ont déjà appris)

Comme à l’accoutumée lorsqu’il s’agit de faire du fric, l’avis des utilisateurs n’est pas demandé par défaut. Il va falloir passer en mode classique en cliquant sur la petite roue en haut à gauche à l’ouverture d’un nouvel onglet. On peut déjà parier que de très nombreux utilisateurs ne se poseront pas la question et continueront leur chemin utilisant Google par défaut, avec les pubs intégrées dans Firefox par défaut elles aussi.
Une option un peu surprenante lorsque l’on écoute les positionnements pro éducation à la vie privée de Firefox, moins lorsque l’on aborde les méthodes des régies publicitaires en général.

La polémique est aujourd’hui bien engagée, et opposerait les sempiternels « pragmatiques » face aux « puristes ». Au-delà des postures, force est de constater que le web a de plus en plus de mal à s’envisager sans l’économie libérale et sans la publicité. Même si l’objectif annoncé est une libération de la tutelle de Google (toujours 85% des revenus), on est pas sûrs de gagner au change.
Si la centralisation de la firme de Mountain View est bien un problème démocratique, un morcellement des relations que nous avons avec les entreprises commerciales en ligne ne réglera pas forcément le problème des méthodes de captation de l’attention et des portes monnaie que nous subissons constamment.

Il semble bien loin le web sauvage des premiers temps, et c’est davantage à un centre commercial interactif que ressemble ce Frankeinstein qui a grandit sous nos yeux.
Alors? Vous préférez quoi? De la pub Google, ou de la pub sponso Mozilla? Les deux?

Ne touchez à rien…

Les utilisateurs de l’excellente extension pour Firefox, Cookie Monster, sont problablement comme moi un peu frustrés lorsqu’ils sortent le smartphone pour aller cliquer sur quelques liens. En effet, celle-ci n’est pas disponible sur la version mobile du navigateur open source, et l’on se retrouve donc à imaginer le nombre impressionnant de petits espions qui se nichent dans notre appareil, pour ensuite se lancer dans une frénétique suppression à la main des saletés qui se sont déposées dans les coins.

Si je n’ai pas trouvé aussi radical que Cookie Monster, une petite extension nommée Self Destructing Cookies fait honorablement son job. Le principe est simple: tous les cookies sont acceptés, mais détruits automatiquement quelques minutes après la fermeture du site les ayant déposés (ça vaut évidemment aussi pour les cookies tiers).

Donc en attendant mieux, n’hésitez pas, ça ne demande pas un gros effort!

Depuis des années, Firefox a sans aucun doute été un acteur majeur de la promotion du logiciel libre auprès du grand public. Ayant été le premier navigateur, il a démocratisé l’idée de logiciel gratuit et pourtant non commercial (en gros), à l’inverse des shareware que l’on pouvait utiliser auparavant, ou plus récemment des navigateurs comme Chrome qui ne sont que des spyware récoltant toutes nos données.

Mais dorénavant, nous devrons nous attendre à l’introduction de publicités dans le navigateur, comme l’a annoncé hier Mozilla.

Libres de communiquer nos données

Cependant, lorsqu’on y regarde de plus près, on se rend compte que si les visées n’étaient jusque là pas commerciales, l’utilisateur n’était pas pour autant protégé des logiques mercantiles. Le poids écrasant de Google dans le financement du projet (plus de 80%), ne s’est évidemment pas négocié sans contreparties. La présence du moteur de recherche par défaut ainsi que de très nombreux autres « petites » intrusions dans notre quotidien font de Firefox un outil pas si bienveillant que cela. De même, on peut être plus ou moins satisfait de trouver Google Analytics, l’outil de statistiques mouchard le plus répandu du web, sur le site permettant de télécharger de nouvelles extensions, alors que des alternatives libres et respectueuses de notre vie privée existent.

Bien qu’utilisant du libre, nous renforçons pourtant l’emprise de Google et remplissons ses bases de données (et son compte en banque), ainsi que celles de la NSA. Et l’ambiguïté de tout cela, c’est que c’est en utilisant des outils censés être respectueux de la vie privée. Mozilla ne manque pourtant pas de s’inscrire dans les mouvements de protestation comme ce fut le cas le 11 février pour la journée anti-NSA.

L’argument du pragmatisme

L’importance de Google en terme de financement pour Firefox pose pour tout le monde un problème d’indépendance du projet. Mais il semblerait que cette indépendance, et surtout la crainte d’une non reconduction du contrat, soit pour les décideurs dans la communauté ce qui prévale sur la nocivité des fonctionnalités intégrées par défaut. Parce que s’il est effectivement possible de tout désactiver, cela nécessite d’avoir la connaissance que problème il y a, mais aussi la capacité de le régler. Sur ce point, on ne peut pas dire que Mozilla fasse énormément de publicité aux nouveaux utilisateurs novices.

Pour les personnes qui voudront continuer à utiliser Firefox: cela sera probablement configurable en tapant about: config dans la barre d’URL, puis en mettant  browser.newtabpage.enabled à false.

Enfin, cet argument du pragmatisme fait irrésistiblement penser au basculement opéré dans ses premières années par Google, lorsque les visées pseudo-humanistes ont laissé peu à peu place au mercantilisme intrusif par l’introduction de publicités ciblées dans les résultats. Comment la fondation Mozilla peut croire qu’elle sera capable de résister à la pression de ce système? Est-ce bien sage de ne se donner comme choix que d’être financé soit par le premier espion de la planète, soit par l’utilisation des méthodes de ce dernier?

Il est d’autant plus décevant que le même verbiage mensonger promettant la mise au centre de l’utilisateur grâce à la consommation soit maintenant employé par Mozilla dans son article. « Être au centre… » Flatter l’égo des utilisateurs dans le seul but de faire passer la pilule les rendant non plus utilisateurs mais produits, est totalement mesquin de la part de personnes qui comprennent tout à fait le fonctionnement commercial du web actuel. Le dicton « si c’est gratuit, c’est que vous êtes le produit » prend une fois encore tout son sens, au détriment de l’esprit du libre.

Contrôle des données, transparence, vie privée

Le logiciel libre fait en général la promesse d’un plus grand contrôle des utilisateurs. Puisque le code est consultable et modifiable, la liberté de l’utilisateur grandit. Mais l’un des schismes qui a touché le mouvement nous a très vite appris que l’éthique n’était pas pour tous une donnée de premier ordre. L’Open Source a donc parallèlement diffusé l’idée de logiciels libres à visées tantôt commerciale, tantôt sans respect de la vie privée, voire les deux à la fois. Si dans le logiciel libre le contrôle est nécessaire, ce n’est pas que pour laisser le choix, mais aussi parce que les programmes trop curieux et les blocages au nom de la propriété intellectuelle proposés par défaut sont un problème. Le mouvement porte donc dans ses fondements l’idée de vie privée, et de liberté de partage.

Les publicités prétendument discrètes qui seront proposées par Firefox dans les « tuiles » visibles au démarrage trahissent totalement cet état d’esprit, et Mozilla adopte ainsi la rhétorique des Google et compagnie, promettant discression et personnalisation. Parce que si la publicité est vécue par beaucoup comme étant envahissante, on sait bien que le ciblage et une bonne dose d’intégration au contenu, de contextualisation, font augmenter les chiffres d’affaire. Elles sont de ce fait moins identifiées comme étant hétérogènes au contenu premièrement sélectionné par l’internaute.

Cette stratégie est loin d’être nouvelle, Google l’a adoptée depuis longtemps et c’est le visage de l’utilisateur-produit qui s’est aujourd’hui imposé sur internet.
Malheureusement, Mozilla avoue aujourd’hui vouloir en faire partie. Nous devons en faire le deuil.

Ça faisait un moment que beaucoup l’attendaient, la version Android de Https Everywhere est maintenant disponible.

Pour rappel, cette extension au navigateur web Firefox permet de rediriger automatiquement l’utilisateur vers les pages en versions chiffrées (https), lorsqu’elles existent, et si elles sont prises en compte par l’extension.

Par défaut, le trafic est en clair, c’est à dire visible par un tiers, s’il s’en donne les moyens, mais il peut également être altéré, modifié, sans que l’on ne s’en rendre compte.Le chiffrement garantit donc une certaine confidentialité et une authentification de l’interlocuteur.

Pour l’installer, rendez-vous sur le site de l’EFF, l’organisation de défense des intérêts de internautes qui développe cet outil simple et efficace.

Marre de devoir penser à effacer vos cookies à la fin de la session? Ça s’accumule et vous êtes du genre parano?

Firefox vous permet de gérer site par site les permissions que vous accordez pour chacun d’eux. Tapez pour cela « about:permissions » dans la barre d’URL et la page suivante vous sera proposée:

À gauche, vous trouverez les derniers sites visités. Après avoir sélectionné celui sur lequel vous voulez agir, il vous sera possible de choisir précisément la façon dont se gèrent l’enregistrement des mots de passe, le partage de la géolocalisation, la gestion des cookies, l’ouverture des fenêtres pop-up et la conservation des données hors connexion.

En autorisant les cookies uniquement pour la durée de la session, ceux-ci seront effacés à chaque fermeture du navigateur. Plutôt pratique! L’idéal pour ma part est de tout autoriser uniquement pour la durée de la session (voire interdire carrément ce qui est inutile), et d’appliquer le principe de la liste blanche (on choisit ce qui passe plutôt que de dire ce qui ne passe pas) pour les sites importants pour vous (boîte mail, sites auxquels vous vous connectez fréquemment etc.).

Attention: il peut arriver que certains cookies ne s’effacent pas toujours ou une fois sur deux, comme ceux de Google par exemple (comme par hasard!). Dans ce cas, je plaiderais pour un blocage pur et simple de leurs saletés.

Pour vérifier si la procédure a fonctionné: Préférences –> Vie Privée –> Afficher les cookies. Les règles que vous venez de définir peuvent être modifiées également dans cet onglet vie privée à « Exceptions ».

Note: il faudra y mettre une autorisation pour la session pour « youtube.com » notamment, si vous souhaitez par exemple pouvoir visionner certaines vidéos intégrées dans des sites (non non Google ne fait pas particulièrement chier avec ses cookies!).

Petit rappel: pour un nettoyage général (toujours salutaire et efficace), ça se passe dans Outils –> Supprimer l’historique récent, et vous pourrez choisir de supprimer:

• Historique de navigation et des téléchargements
• Historique des formulaires et des recherches
• Cookies
• Cache
• Connexions actives
• Préférences de sites (à ne pas cocher su vous souhaitez conserver les réglages dont on a parlé  ci-dessus)

Même après les avoir effacés, certains cookies peuvent réapparaître « comme par magie ». Dans certains cas, c’est qu’ils sont recréés grâce à des cookies LSO, ou cookies Flash (voir la partie sur BetterPrivacy).

Depuis pas mal d’années maintenant, le navigateur libre Firefox bénéficie d’un financement de Google à 85% (chiffres de 2006).
Il s’agit de 57 millions d’euros, soit une somme non négligeable, apportant nécessairement la garantie d’une contrepartie.

C’est ainsi que le navigateur faisant figure de solution alternative se trouve être en réalité un relais de la politique de traçage de Google.

Comme Firefox reste un navigateur de qualité qui propose de nombreuses extensions garantissant un meilleur respect de la vie privée, nous allons, plutôt que de changer de navigateur, passer un coup de vermifuge sur le renard (c’est l’un des avantages des logiciels libres! S’il ne vous plaisent pas, modifiez-les!)

Note: Ce tuto concerne également, et à mon grand regret, les navigateurs dérivés (fork) de Firefox tels que Iceweasel (dans Gnu/Linux Debian) ou Icecat (du projet GNU).

Où se cache Google?

Firefox propose un outil pour gérer sa configuration. Beaucoup d’options sont modifiables par les menus mais pour certaines, il est nécessaire de passer par un autre biais.
Tapez about:config dans la barre d’URL (là où se trouvent habituellement les adresses des sites que vous visitez).
Vous allez accéder à un message d’avertissement vous prévenant des risques que peuvent comporter certaines manipulations pour le logiciel.
Cliquez sur « Je ferai attention, promis! », et faites attention! 😉

Dans le cadre « filtre », tapez « Google ». Nous obtenons ainsi tous les champs dans lesquels il est présent:

• browser.contentHandlers.types.2.title
• browser.contentHandlers.types.2.uri
• browser.safebrowsing.malware.reportURL
• browser.safebrowsing.provider.0.gethashURL
• browser.safebrowsing.provider.0.keyURL
• browser.safebrowsing.provider.0.lookupURL
• browser.safebrowsing.provider.0.name
• browser.safebrowsing.provider.0.reportURL
• browser.safebrowsing.provider.0.updateURL
• browser.search.defaultenginename
• browser.search.order.1
• gecko.handlerService.schemes.mailto.1.uriTemplate
• geo.wifi.uri
• keyword.URL

Mais qu’est-ce qu’il fabrique?

Browser.contentHandlers.types.*.title et browser.contentHandlers.types.2.uri

Ces lignes définissent les propositions faites lors de l’abonnement à un flux RSS. Pas de soucis pour votre vie privée donc. Il suffit de ne pas se servir du service proposé par Google.

Browser.safebrowsing

Firefox télécharge plusieurs fois par heure une liste de sites malveillants fournie par Google. Le navigateur compare chaque site visité à cette liste.

• browser.safebrowsing.malware.reportURL URL à laquelle renvoie le bouton « pourquoi ce site a été bloqué » lors d’une alerte.
• browser.safebrowsing.provider.0.gethashURL Adresse à laquelle les demandes d’URL « hachées »* sont envoyées.
• browser.safebrowsing.provider.0.keyURL Adresse de laquelle le navigateur reçoit les clés nécessaires pour les opérations cryptographiques (signature de mises à jour par exemple).
• browser.safebrowsing.provider.0.lookupURL Adresse à laquelle sont soumis les sites afin de savoir s’ils sont légitimes
• browser.safebrowsing.provider.0.name Nom du prestataire du service
• browser.safebrowsing.provider.0.reportURL Adresse à laquelle est envoyé un rapport sur les sites malveillants consultés, ce que l’utilisateur a fait après que l’avertissement soit apparu)
• browser.safebrowsing.provider.0.updateURL Adresse à laquelle les mises à jour de base de données «phishing / malware » sont demandées

*En théorie, les URL entières ne sont jamais communiquées à Google. Ce sont des petites parties qui le sont (hash).

On pourrait en principe penser que puisque les comparaisons avec la liste se passent en local (dans votre ordinateur), les contacts avec Google se limitent à la récupération de cette liste.
Mais c’est mal connaître Google que de penser qu’un service ne se « monnaie » pas:

1. Google peut grâce à ce service, connaître les habitudes d’utilisation du navigateur. Avec l’adresse IP, ils se renseignent sur qui navigue, où (pays, ville: toujours  avec l’IP), quand (heures de chargement de la liste), et combien de temps (les intervalles de récupération de la liste sont assez peu espacés et permettent de savoir assez rapidement si l’internaute est déconnecté).
2. Un  cookies tiers (qui est déposé par un autre domaine que celui contacté) est déposé sur votre ordinateur, et permet ainsi de vous retrouver lors de vos déplacements sur des services appartenant à l’entreprise.

Officiellement (et d’après la politique de confidentialité de Mozilla), aucune information concernant l’historique de navigation n’est communiqué.
Le cookie permet tout de même à Google de tracer vos déplacements si vous ne l’effacez pas (vous gardez le même cookie, mais avez une adresse IP différente).

Solution: Il semblerait qu’il suffise de demander à Firefox de refuser les cookie tiers pour régler une partie du problème:

• Outils –> Options –> Vie privée –> Décochez accepter les cookies tiers
• (et Mac OS X?) Édition –> Préférences –> Vie privée –> Décochez accepter les cookies tiers

Il est aussi possible de désactiver purement et simplement la fonction safe browsing:
Dans about:config, entrez ces champs dans le filtre et changez-en les valeurs:
browser.safebrowsing.enable: false
browser.safebrowsing.malware.enable: false
Ou alors dans les Préférences>Sécurité puis décochez « Bloquer les sites signalés comme étant… » (2 entrées)

Conséquences:
Pour les utlisateurs de Linux (et Mac OS X je suppose), une navigation avec no script devrait largement suffire. Il s’agira d’être tout de même un minimum vigilant en ce qui concerne le phishing, mais ça, c’est une règle générale.

Pour les utilisateurs de Windows, c’est un peu plus délicat. Ce système d’exploitation étant un paradis pour virus, il sera préférable de remplacer la protection désactivée.
Vous pourrez opter pour WOT (Web Of Trust) par exemple. Ça n’est pas la panacée en ce qui concerne l’anonymat puisque selon les conditions d’utilisation, des informations vous concernant pourront être récoltées. Mais c’est sans doute mieux que de donner tous ces renseignements à une seule et même entreprise majoritaire.
Soit dit en passant, si ces questions vous sont chères, je vous conseille de laisser Microsoft de côté! 😉

browser.search.defaultenginename et browser.search.order.1

La première entrée concerne le moteur de recherche qui sera utilisé par défaut lorsque vous sélectionnez un mot et faites « rechercher avec *** sur le web » dans le menu contextuel (apparaît avec le clic droit).

La seconde définit le premier moteur de recherche apparent dans la barre de recherche à droite.

Solution: Vous pouvez modifier la première dans about:config en insérant l’URL du moteur de votre choix et la seconde de la même manière, ou plus simplement en cliquant sur la barre de recherche  puis en faisant « Gérer les moteurs de recherche » (cette dernière option semble être prioritaire sur la première. Le moteur « actif » influe également sur celui présent dans le menu contextuel).

gecko.handlerService.schemes.mailto.1.uriTemplate

Cette ligne définie le web mail à utiliser lorsque vous cliquez sur une adresse mail (mailto) dans une page.

Geo.wifi.uri

Ici, ça concerne la géolocalisation. Dans certains cas, les sites web peuvent demander à votre navigateur de révéler certaines informations sur vous afin d’affiner leurs réponses.
Ce peut-être le cas de Google Map par exemple. Honnêtement, c’est loin d’être indispensable!

Là encore, c’est un service de « nos amis » qui est intégré: Google Location Services. Celui-ci utilise:

• Votre adresse IP
• Des informations concernant les points d’accès wifi aux alentours
• Un cookie Google expirant toutes les deux semaines

Solution: En principe, Firefox vous demandera toujours votre autorisation avant d’autoriser ce service.
Si vous n’avez pas confiance, vous pouvez donc changer « enable geo » de « true » à « false » dans about:config.

Keyword.URL

Quand vous tapez des mots-clés dans la barre d’URL, vous avez peut-être remarqué qu’elle se comportait comme un moteur de recherche. Selon les personnes, certains préféreront taper les adresses et les recherches dans la même barre.
Mais si vous souhaitez faire une requête, il vous faut un moteur de recherche! Devinez lequel est utilisé dans cette barre? Google!

Solution: Vous pouvez donc modifier le champ keyword.url par votre moteur de recherche respectueux de la vie privée préféré. Vous pouvez relire mon article à ce sujet si vous êtes en manque d’inspiration!

Et pour la route…

Les suggestions de recherche

Lorsque vous tapez des mots-clés dans la barre de recherche et que Google est le moteur utilisé (si vous osez encore faire ça sans protection! :-P), des termes sont proposés pendant que vous tapez. À chaque caractère tapé, vous envoyez des informations à Google et cela sans même avoir enfoncé la touche « Enter ».

Il n’est peut-être pas nécessaire de d’enrichir là encore les bases de Google. Pour y remédier, rien de plus simple (enfin si, rien faire peut-être!) :
Clic droit dans la barre, puis décochez afficher les suggestions. Hop!

La page d’accueil

Pour fignoler, on pourra également changer la page d’accueil de Firefox et mettre à la place votre navigateur favori, ou n’importe quelle autre page web.
Pour cela, il suffit de retourner dans les Préférence>Général, et de taper l’URL de la page que vous souhaitez.
Plus simplement encore, il suffit de glisser l’onglet correspondant à la page voulue, et de le faire glisser sur le raccourci qui mène à la page d’accueil (la petite maison en général).

Edit du 7/07/15: L’extention n’est plus disponible (Merci Alain Ternaute de l’avoir signalé)
Les accrocs à Google pourront toujours se tourner vers Disconnect Search ou GApps Browser sur Android.

Vous êtes accroc à Google (mais vous vous soignez)? Toutes les initiatives alternatives vous laissent de marbre et vous trouvez l’interface de Scroogle toute moisie? GoogleSharing est fait pour vous!

Il s’agit là d’une extension open source pour le navigateur web Firefox qui fera passer toutes vos requêtes dans le moteur de recherche par un proxy anonymisateur. Ainsi, vous pourrez utiliser les services de Google sans pour autant étaler toute votre vie privée aux yeux de la firme de Mountain View.
Grâce à elle, votre adresse IP ou encore les différentes traces de navigation ne seront pas connues de Google.

Contrairement à d’autres proxy anonymisateurs, l’extension masque également les entêtes HTTP transmises lors d’une requête à un serveur web. Celles-ci contiennent certaines informations (navigateur, système d’exploitation, dernier site visité, cookies…) qui peuvent mener à votre identification.

Les développeurs de GoogleSharing affirment ne conserver aucune donnée sur les utilisateurs du logiciel.

Note: L’anonymat n’est évidemment pas garanti pour les personnes qui ont un compte Google et qui s’y connectent!! 😀
Si vous n’utilisez pas HTTPS Everywhere, vous pourrez configurer cette extension pour que la connexion soit tout de même chiffrée: outils> modules complémentaires>  GoogleSharing> préférences> upgrade to SSL when possible.

Télcharger GoogleSharing
Site de GoogleSharing

Une fois encore, je vous propose une extension de Firefox sous licence libre…
Et oui, sans même considérer les questions politiques (ou philosophiques, n’ayons pas peur des mots :P) qui peuvent motiver l’utilisation de logiciels libres, il me semble que du point de vue de la sécurité, il est toujours préférable de pouvoir comprendre comment les choses fonctionnent. C’est grâce à la mise à disposition de tous du code source que les différentes communautés du libre ont la capacité d’analyser les programmes, d’en déceler plus facilement les failles, mais aussi les éventuelles fonctionnalités nocives pour les usagers et leur vie privée.

La présence de cette extension pour Firefox dans le projet Tor Browser est à mon sens un certain gage de qualité et permet je pense d’accorder un certain crédit à l’initiative. L’Electronic Frontier Foundation (EFF) qui développe cet addon est de plus réputée pour le travail qu’elle effectue sur la question des libertés numériques des internautes. Le projet Tor auquel elle participe en est une illustration.

HTTPS Everywhere vous permettra donc de naviguer sur le web en privilégiant les sessions sécurisées SSL (d’où le https).
Quel intérêt? Et bien l’immense majorité de vos connexions sur le net sont en général en « clair ». Cela signifie qu’il est tout à fait possible de les intercepter et de les lire, surtout si vous êtes sur du Wifi.
Contrairement à ce qui se raconte et ce que peut sous-entendre le site de l’EFF à première vue, ce programme ne chiffre rien du tout. Si vous voulez parler anglais avec quelqu’un, il sera plus productif de vous adresser à une personne qui comprend cette langue… C’est la même chose pour le dialogue entre votre ordinateur et un serveur. Si le site n’est pas prévu pour proposer une connexion sécurisée, envoyer des données chiffrées ne mènera nul part!
L’extension se contente donc de vous rediriger sur les pages de sites chiffrées lorsqu’elles existent, et c’est déjà pas mal.

Elle fonctionne par défaut pour Google Search, Wikipedia, Scroogle, Mozilla, Amazon, Twitter, Facebook, bit.ly, GMX, WordPress.com blogs, The New York Times, Paypal, EFF, Tor, Ixquick et bien d’autres. La liste sera évidemment trop courte pour les explorateurs de la toile mais elle constitue un bon point de départ.
Grâce à cette page, il vous sera possible d’élargir la liste des sites pris en charge par HTTPS Everywhere. On regrettera cependant la relative difficulté de l’opération pour les novices ainsi que les explications uniquement disponibles en anglais. Mais bon, on peut pas tout avoir!

Pour télécharger HTTPS Everywhere: rendez-vous sur le site de l’Electronic Frontier Foundation.

Comment aborder la question de l’anonymat sur internet sans parler de Tor?
Le nom de ce logiciel libre ne fait pas référence au dieu du tonnerre scandinave mais il s’agit de l’acronyme de « The Onion Router » (le routage en oignon).
Il s’agit probablement de l’initiative la plus aboutie pour les internautes qui souhaitent naviguer sereinement sur le web.
Attention (MAJ du 16/10/11) : Il est difficile de savoir dans quelle mesure le réseau Tor est fiable actuellement en raison d’une découverte de chercheurs français.

MAJ du 2/06/14: Pas de nouvelles, bonnes nouvelles, Tor resterait la solution la plus efficace pour garantir un niveau acceptable d’anonymat, de l’avœu même de la NSA cette année.

Tor est un logiciel libre proposant de procurer un niveau d’anonymat assez élevé aux internautes. Son utilisation concerne tant le surf sur le web que l’envoi de mails, l’utilisation de tchats etc.
La technologie qu’il utilise est issue de recherches militaires et continue aujourd’hui d’être utilisée par les autorités, comme cela fût le cas pour l’armée américaine pendant la guerre en Irak.
Journalistes, militants, particuliers, entreprises, militaires… etc. utilisent Tor pour limiter les possibilités d’être tracés.

Le fonctionnement du réseau

Tor repose donc sur un réseau d’ordinateurs. Chaque utilisateur peut s’il le souhaite, s’enregistrer, et faire de son poste un « nœud », un relais dans le réseau.

Fig 1. Image modifiée. Original issu du site du projet Tor

Lorsque vous vous connectez via Tor pour accéder à un site, le client Tor (le logiciel que vous avez installé), va télécharger sur un serveur la liste des « nœuds ». Ce premier transfert d’informations est chiffré.

Fig 2. Image modifiée. Original issu du site du projet Tor

C’est à partir de cette liste de nœuds que le client Tor va définir un chemin aléatoire vers le serveur du site web que vous souhaitez consulter.
Là encore, les informations qui passent par le réseau sont chiffrées. Il n’est pas possible de les connaître même pour le propriétaire d’un ordinateur faisant partie du réseau et du chemin emprunté (flèches vertes).
Entre le dernier nœud et le serveur du site que vous souhaitez consulter (ici représenté par le serveur de bob), les informations sont transmises en « clair » afin que la requête soit compréhensible.

 Fig 3. Image modifiée. Original issu du site du projet Tor

 Le chemin est automatiquement modifié par Tor lorsque vous accédez à d’autres pages web afin de limiter les possibilités de vous identifier par d’autres moyens.

Le système de chiffrement

Pour que tout cela soit efficace, il est nécessaire de chiffrer un certain nombre d’informations afin que l’on ne puisse pas retrouver l’origine de la requête (votre ordinateur).

Source: xmco.fr

Dans l’exemple ci-dessus, l’utilisateur Y souhaite se connecter au site xmcopartners.com par le biais du réseau Tor. Le premier paquet de données indiquant notamment le site à consulter, est représenté ici par le cylindre blanc « data ».

Les « nœuds » du réseau Tor B,C,F et A ont chacun une clé publique (dont le chiffrage est représenté respectivement par les couleurs orange, bleu turquoise, jaune et bleu).

Le client Tor de l’utilisateur Y va donc télécharger les clés publiques de chacun des nœuds du réseau et dans l’exemple présent, va chiffrer sa requête avec quatre couches différentes. La première couche de chiffrement correspond à la clé du dernier relais (A), la seconde à l’avant dernier (F), la troisième au relais C, et enfin la dernière au relais B.
Ainsi, lorsque les données seront transmises, le nœud B pourra déchiffrer la couche du dessus (orange) avec sa clé privée, le nœud C la suivanteet ainsi de suite jusqu’au dernier nœud A qui transmettra le paquet initial en « clair » avec la demande de la page xmcopartners.com au serveur web Z.

Pour le serveur Z, c’est le nœud A qui a émis la requête et non l’utilisateur Y.

Tout au long du trajet, il est en raison de ce système, impossible de connaître l’identité de l’utilisateur Y ainsi que la destination du paquet.
Par exemple, le nœud C sait uniquement que les données viennent du nœud B, et doivent être transmises au nœud F.
Le contenu ne peut pas être connu non plus puisqu’il est toujours chiffré avec des clés publiques qui ne sont pas en relation avec la clé privée de ce relais.

Ne pas foncer tête baissée!

Évidemment, il va falloir changer vos habitudes de navigation. Comme expliqué, les données restent transmises en clair entre le dernier nœud et le serveur du site. L’anonymat est ainsi garanti, mais pas la confidentialité. Si vous envoyez un mail et signez avec votre nom et votre prénom, vous ne serez évidemment pas anonyme! (simple, mais à préciser quand même. On ne sais jamais!). Idem pour les messages sur les forum etc. Toutes les données sont à la fin transmises exactement comme si vous ne passiez pas par Tor, à la différence près que l’on ne peut pas dire à priori que vous en êtes l’expéditeur.
Chiffrer les données au départ, avant même de passer par le réseau peut-être une solution pour augmenter la confidentialité.

Pour un plus haut degré d’anonymat, il n’est pas conseillé d’utiliser Tor pour aller sur les mêmes sites que vous consultez quotidiennement. Il serait possible à l’aide de données statistiques, de faire des recoupements et potentiellement de vous identifier.

Des mises à jour sont régulièrement proposées. Il est donc conseillé de les surveiller afin de garder un logiciel le plus sécurisé possible.
Bien que cela soit l’une des propositions les plus performantes, Tor n’en est toujours pas à sa version 1.0. Cela signifie, de l’aveu même de ses concepteurs, qu’il n’est pas infaillible. Ceux-ci mettent d’ailleurs en garde les personnes ayant besoin d’un niveau d’anonymat maximal.

Pour approfondir ses connaissances et limiter les risques, vous pouvez consulter les sites suivants:
http://free.korben.info/index.php/Discussion:TOR
https://www.torproject.org/download/download.html.fr#Warning

Comment utiliser Tor?

Pour justement limiter le nombre d’erreurs lors de la navigation, je vous conseille de télécharger Tor Browser.
Il s’agit certainement de la solution la plus simple et la plus sécurisée pour naviguer sur le web (seul le navigateur Firefox qui y est embarqué est configuré pour utiliser Tor, mais rien ne vous empêche de paramétrer d’autres logiciels, comme un client IRC par exemple). Il n’y a rien à installer et un mini navigateur Firefox est inclus dans le programme. Vous serez ainsi sûr de ne pas confondre les sessions « classiques » et sessions Tor ou de ne pas faire d’erreurs en configurant votre navigateur.

Le Firefox qui est fourni intègre déjà l’extension No script. Elle permet de bloquer en particulier le javascript qui peut être utilisé pour vous identifier. Étant très répandu notamment avec le web 2.0, ne soyez pas surpris si toutes les pages ne s’affichent pas forcément aussi bien que vous pourriez l’espérer.

Ce logiciel réserve encore bien des surprises mais ce sera peut-être l’objet d’un autre article!

Site du projet Tor: https://www.torproject.org/index.html.fr

Peut-on encore avoir confiance en Firefox? C’est la question que l’on est en droit de se poser après la découverte qui a été faite sur l’un des modules que son site met à disposition: Ant Video Downloader.

Le chercheur indépendant Simon Newton s’est rendu compte que ce module qui sert à télécharger ou visionner des vidéos, collecte des informations sur ses utilisateurs comme: les adresses des sites visités ainsi que l’heure de connexion, des informations sur le navigateur et des cookies pro à chaque utilisateur et permettant donc de les identifier.

Ce comportement a été également observé lors de l’utilisation du mode navigation privée de Firefox, de VPN ou encore du réseau Tor.  (cf: http://www.developpez.com/actu/32229/Firefox-Ant-Video-Downloader-trace-les-utilisateurs-Mozilla-oblige-de-retirer-l-extension-populaire-de-sa-galerie/)

La réaction de Firefox est dans cette affaire peu rassurante. Certes, la fondation Mozilla qui finance le projet n’est pas responsable de la programmation du module qui était d’ailleurs présenté comme étant  en phase expérimentale. Mais elle a tout de même déclaré que la collecte d’informations n’est pas forcément contraire à ses critères d’admissibilité (!). Sept millions de téléchargements ont été effectués pour cette extension qui a été retirée selon Mozilla mais qui est à l’heure de l’écriture de ce post toujours (à nouveau?) disponible sur le site. Aucun avis ne fait mention de cet incident et seuls les commentaires d’utilisateurs informent les internautes du danger que comporte son utilisation!