Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

Les utilisateurs de l’excellente extension pour Firefox, Cookie Monster, sont problablement comme moi un peu frustrés lorsqu’ils sortent le smartphone pour aller cliquer sur quelques liens. En effet, celle-ci n’est pas disponible sur la version mobile du navigateur open source, et l’on se retrouve donc à imaginer le nombre impressionnant de petits espions qui se nichent dans notre appareil, pour ensuite se lancer dans une frénétique suppression à la main des saletés qui se sont déposées dans les coins.

Si je n’ai pas trouvé aussi radical que Cookie Monster, une petite extension nommée Self Destructing Cookies fait honorablement son job. Le principe est simple: tous les cookies sont acceptés, mais détruits automatiquement quelques minutes après la fermeture du site les ayant déposés (ça vaut évidemment aussi pour les cookies tiers).

Donc en attendant mieux, n’hésitez pas, ça ne demande pas un gros effort!

J’avais déjà écrit sur la gestion des permissions (notamment pour les cookies) dans Firefox, mais il faut avouer que le résultat n’est pas toujours à l’arrivée. Pour une gestion au millimètre de ce qui s’installe ou pas sur votre ordinateur, vous avez Cookie Monster!

Cette petite extension Firefox est extrêmement simple d’utilisation. Une fois installée, vous pourrez autoriser ou non le dépôt de cookies et de cookies tiers, par noms de domaines, sous-domaines et sites, et donc limiter le traçage dont nous sommes tous victimes lors de la navigation.

À la manière de NoScript, vous pourrez également définir des autorisations de façon temporaire ou « permanente », sur le principe de la liste blanche. Grâce à cette extension, il est donc tout à fait possible, et vivable, de n’accepter les cookies que pour quelques sites pour lesquels ils sont réellement nécessaires.

Firefox: téléchargez ici

Probablement connaissez-vous l’extension pour Firefox (et Chrome): Adblock Plus. Très populaire, elle permet de bloquer de nombreuses publicités qui envahissent nos pages lors de la navigation. Et bien une mise à jour a été effectuée il y a peu et désormais, certaines publicités sont jugées « acceptables ».

Adblock est le compagnon de beaucoup d’internautes pour qui la publicité est une plaie à tous les niveaux: visuel, auditif, intellectuel etc. Toujours plus intrusives, elles vont, grâce à la personnalisation rendue possible par le traçage des régies publicitaires, pouvoir proposer des annonces toujours plus susceptibles de vous faire revenir dans l’église de la Sainte Consommation (au cas où vous vous seriez égaré-e-s).

Nouvelle mise à jour, nouvelle politique

Il faut croire que le slogan: « les publicités c’est du passé ! » soit à remodeler quelque peu. Suite à une nouvelle mise à jour, certaines publicités seront désormais considérées comme « acceptables ». L’argumentaire mis en avant est bien rodé: permettre aux petits sites qui vivent de la publicité de s’en sortir. Qui pourrait critiquer cela?

Pour les plus dogmatiques de l’antipub, on précise tout de même que les publicités autorisées seront parmi les moins intrusives:

• « Les publicités statiques seulement (pas d’animation, de son ou choses similaires)
• De préférence textuelles, sans image accrocheuse
• Au maximum un script ralentissant le chargement de la page (en particulier, une seule requête DNS) »

What is a publicité non intrusive??

Si elle ne bouge pas ou ne nous claque pas le dernier single au top 5 de la semaine, il faudrait donc considérer qu’une publicité est non intrusive… Mais avez-vous demandé à voir cette pub en allant sur votre site préféré? Avez-vous tapé l’URL du site de la régie et accepté de vous connecter à leurs serveurs, et donc de laisser de nombreuses traces permettant de construire votre profil? L’avez-vous autorisée à déposer des cookies sur votre machine afin de pouvoir être tracé-e-s?

Publicité non intrusive ne veut de plus pas dire petite régie publicitaire (d’ailleurs Google ne semble pas se retrouver à la rue dans cette histoire). Cela change-t-il quelque chose de voir une pub moins flashy si c’est pour être ciblé-e une fois de plus par l’une des quelques grandes régies qui dominent sur le web? La question du traçage et de la concentration des données n’est absolument pas réglée ici…

Pour ma part, le rejet des pubs n’est pas lié à une simple question esthétique (même s’il faut bien avouer qu’avec les pop up et les vidéos en flash, il y a de quoi péter un câble pour cette seule raison).

La pub ou rien

Cet étrange changement de politique laisse tout de même passer une idée qui est assez gênante: sans pub, point de web. Si ses sources de financement sont effectivement souvent les premières à faire tourner les sites, il existe bien d’autres modèles qui pourraient faire tout aussi bien.
Notons qu’un site comme celui de l’encyclopédie libre Wikipédia, l’un des plus consultés au monde, et fonctionnant même avec des salarié-e-s, fonctionne sans aucune forme de publicité!
De façon (beaucoup) plus modeste, Révolte Numérique fait de même (sans salariés 😉 ).
Comme quoi…

Ajoutons que c’est également la question de l’indépendance des sites qui se pose. Peut-on prétendre qu’elle existe lorsque l’on est soumis à une régie publicitaire (qui peut également avoir ses « préférences » en termes de contenu diffusé), et qu’on ne peut produire sans elle?

Que faire?

Heureusement, si les pubs « acceptables » sont désormais autorisées par défaut, il n’est pas encore interdit d’être un affreux gauchiste primaire et de refuser toute publicité!
Il vous faudra pour effectuer ce petit réglage, vous rendre dans le menu des « modules complémentaires », aller dans les préférences d’Adblock Plus, puis « préférences de filtre » et décochez « autoriser les publicités non-intrusives ».

Ça y est, vous êtes à nouveau un-e infâme pirate qui asséchera le web comme d’autres assèchent la création en téléchargeant de la musique!

Quand vous vous connectez à un site, vous chargez énormément d’informations. La plupart proviennent du site visité, mais c’est loin d’être toujours uniquement le cas. Cette extension pour Firefox vous permettra de savoir précisément à quels serveurs vous vous connectez, et donc à qui vous envoyez des informations.

Les apparences sont trompeuses

Nombreux sont les sites qui contiennent des informations stockées sur différents serveurs. Un exemple simple: les publicités qui s’affichent sur une page. Celles-ci sont sur des serveurs appartenant probablement à la régie qui en a la responsabilité.
Cela signifie donc que vous envoyez des informations au site sélectionné, mais également aux serveurs hébergeant ces pubs.

Alors que vous pensez naviguer sur le site de votre choix, vous communiquez avec les serveurs publicitaires, les serveurs hébergeant les logiciels de statistiques (comme avec Google Analytics, Xiti etc). S’il y a une vidéo incrustée mais hébergée ailleurs, c’est la même chose; si des bouts de codes appartenant à des entreprises (ex: Google API) sont présents, idem etc.

Fouiner juste pour le sport?

Pas tout à fait. Connaître toutes ces informations peut s’avérer très utile:

• Premièrement, cela permet de comprendre en partie comment les choses fonctionnent. On aurait tendance à penser de prime abord qu’il suffit de se connecter à un site et puis c’est tout.

• Deuxièmement, c’est un bon moyen de tester sa configuration. C’est grâce à ce type d’outil que j’ai pu me rendre compte que Firefox se connectait régulièrement sur les serveurs de Google, sans que je ne sois jamais au courant.
  C’est avec ce type d’outil que l’on peut vérifier si ses extensions de blocage des scripts, contenus flash, web bugs etc sont efficaces.

Bref, c’est plutôt quelque chose qui nous pousse à mettre un peu le nez dans le moteur pour voir ce qui s’y passe.

Houlà! (Réaction au premier contact avec les en-têtes http)

Ok. Si on n’a jamais mis le nez dans un bout de code, ou au moins dans une page html, ça parait un peu barbare au premier abord. Pour comprendre où vous vous connectez, il n’y a besoin d’aucune compétence particulière, sinon de savoir repérer une adresse URL. C’est la première ligne de chaque « section ».
Pour comprendre le reste de ce qui est affiché (tant qu’on y est!), vous pouvez jeter un œil sur cette fiche proposée sur Comment ça marche, ce n’est pas pas si compliqué vous verrez!

Allez, pour télécharger Live Http Headers, c’est ici.

Vous en avez marre de voir Google Map partout? Marre de dire à Google où vous allez? Optez pour OpenStreetMap!

Une solution libre!

Vous connaissez wikipédia? Et bien c’est pareil. Les cartes et les modifications sont entièrement réalisées collaborativement par les internautes, et elles sont en plus sous licence libre! (ce qui n’est pas le cas de Google Map).
Comme pour la célèbre encyclopédie, l’alchimie fonctionne et l’entraide donne des résultats. Vous pourrez vérifier par vous même, Troufillon-les-Oies semble être répertorié au bon endroit!

Et respectueuse de la vie privée!

En bon service Google qui se respecte, Google Map enregistre tout ce que vous faites.
Les différentes affaires de violation de la vie privée, liées au développement de  StreetView, ne font pas non plus reluire le blason de ce service.

On s’en souvient, les Google cars ont été incriminées dans des affaires de vols de données personnelles en se connectant aux réseaux wifi des riverains croisés lors de leurs prises d’images.
La CNIL avait d’ailleurs infligé une amende record de 100 000€ à Google après avoir constaté la récupération d’identifiants SSID et d’adresses MAC par les Google cars.

Le même type d’affaire a pu être observé en Belgique et dans plusieurs pays d’Europe.

Astuce pour Firefox

Si vous souhaitez intégrer directement OpenStreetMap dans votre barre de moteurs de recherches, vous pouvez installer le module Add to Search Bar pour Firefox.
Celui-ci vous permettra de faire de n’importe quelle page appropriée, un moteur intégré à votre barre.

Il suffit ensuite d’aller sur OpenStreetMap, de vous rendre sur « voir la carte », et de cliquer sur « ajouter OpenStreetMap Search » dans la barre des moteurs de recherche.

Vous avez très certainement déjà entendu parler de Flash Player. Il s’agit d’un lecteur multimédia distribué par la société Adobe et qui est très fréquemment utilisé lors de la navigation sur le web. Par exemple, les vidéos que vous regardez sur Youtube ou Dailymotion sont affichées grâce à ce lecteur. Certains sites sont entièrement développés grâce à la technologie Flash. La place que cette dernière occupe aujourd’hui dans le quotidien des internautes est donc non négligeable.

Flash pose cependant un certain nombre de problèmes. Pour les personnes qui défendent les principes du logiciel libre, il n’est clairement pas un allié. Étant propriétaire, le format Flash ne peut en principe se lire que grâce au lecteur Flash. Cela signifie donc que si par hasard vous aviez l’idée saugrenue de voir une vidéo sur internet, le choix des outils serait assez limité. C’est ainsi qu’il s’est retrouvé installé sur d’avantage de machines que ne l’est Windows de Microsoft.
Le propre des logiciels ou des formats propriétaires est également de masquer la façon dont ils fonctionnent. Dans le cas présent, il est impossible de savoir précisément ce qui ce passe sur notre ordinateur.

Les cookies LSO

Les cookies LSO (Local Shared Object) ou « cookies Flash » sont de petits fichiers qui s’enregistrent sur l’ordinateur de l’usager sans prévenir et sans autorisation. Ils résistent à la manipulation qui consiste à effacer les cookies « traditionnels » par le biais du navigateur web. Il y a quelques temps, ils s’incrustaient même lors de la navigation privée.
Autant dire que Flash pose un sérieux problème en ce qui concerne la vie privée et le droit à maîtriser les informations qui transitent par nos machines.

Les cookies LSO permettent donc de tracer les déplacements des internautes ayant utilisé la technologie Flash (soit à peu près tout le monde).
Les site auxquels vous avez accédé, les types de contenus, les paramètres de connexion et de navigation y sont enregistrés. N’ayant pas de date d’expiration, ils permettent de servir de base pour recréer des cookies « traditionnels » qui eux, ont une date d’expiration. Leur but est bien de contourner le peu de contraintes les encadrant et de neutraliser les outils proposés pour s’en prémunir par les navigateurs web. Ils n’attendent donc que vous pour être mis à la poubelle!

Où se cachent-ils?

Avant d’aller à la corbeille, passez par la case:

Linux: ~/.Macromedia/#SharedObjects
~/.Macromedia/macromedia.com

Windows: C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\#
C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\macromedia.com\

Mac: ~/Library/Preferences/Macromedia/Flash Player/#SharedObjects/
~/Library/Preferences/Macromedia/Flash Player/macormedia.com/

 Comment limiter les nuisances?

• Plutôt que d’effacer manuellement les cookies LSO, il est possible de télécharger betterprivacy. Cette extension pour Firefox vous permettra de les supprimer à chaque fermeture du navigateur par exemple.

• Le site de Flash propose une désactivation afin d’empêcher tout stockage sur les ordinateurs mais plusieurs personnes ont rapporté que cela ne fonctionnait pas chez eux. C’est également mon cas.

• Youtube et Dailymotion proposent maintenant l’affichage des vidéo grâce au langage htlm5. C’est une alternative qui se développe de plus en plus et qui permet de passer par l’un de vos lecteurs vidéo plutôt que par celui de Adobe. C’est plutôt une bonne nouvelle dans notre cas!
  Rendez-vous sur www.youtube.com/html5 ou www.dailymotion.com/html5

• Attention: l’extension Flashblock de Firefox ne fonctionne pas pour les cookies LSO. Elle est censée isoler le contenu Flash et ne permettre d’y accéder qu’en cliquant sur la cible mais je me suis rendu compte qu’en réalité le contenu était tout de même téléchargé. Même sans débloquer la vidéo, le cookie est déposé sur votre ordinateur.

• No script pourra être utilisé à la place mais il est un peu plus délicat à configurer. Ce sera probablement l’objet d’un prochain article.

Se passer de Flash?

Malgré le constat émis au début de cet article, il est en réalité envisageable de se passer de Flash. Et en plus, cela n’implique pas forcément de renoncer à vos soirées vidéos sur Youtube! 😉
L’une des propositions les plus alléchantes est certainement Gnash. Il s’agit d’un lecteur libre développé par la Free Software Foundation et ayant pour but remplacer le lecteur d’Adobe.
Cette solution libre est très intéressante et plutôt au point, mais elle ne permet malheureusement pas toujours d’afficher certains sites entièrement gérés en flash (c’est le cas pour Deezer par exemple) et elle peut contenir encore quelques bugs.
Edit: Gnash gère également les cookies LSO. Il convient donc de garder BetterPrivacy mais il faudra modifier dans les options, le répertoire dans lequel il ira chercher ces cookies. Il ne sera plus macromedia mais gnash/SharedObjects.

Une autre extension de Firefox permettra d’élargir les possibilités offertes par Gnash (notamment pour Dailymotion qui semble encore poser problème): GreaseMonkey. Grâce à elle, vous allez pouvoir ajouter de nouvelles fonctionnalités au navigateur. Vous ajouterez pour cela le script Linterna Màgica (cliquez sur « Userscript (not compressed) », sur « Download » (dans la nouvelle page) puis sur « Installer » dans la fenêtre qui s’ouvre) ou encore ViewTube (cliquez sur installer) qui prend en charge de nombreux lecteurs aussi. Une fois fait, les vidéos s’ouvriront dans un nouveau lecteur (si cela ne marche pas chez vous, téléchargez VLC) au lieu de passer par celui d’Adobe.

Le développement du html5 et des balises <video> qui permettent d’inclure des vidéos sans faire appel au lecteur Flash est certainement l’une des voies les plus intéressantes pour les personnes qui souhaitent se débarrasser de Flash.
(L’article traite ici principalement de la question de la vidéo mais cela n’est pas l’unique façon d’utiliser Flash, loin de là! Heureusement, de nombreuses autres possibilités offertes par le html5 développeront les outils pour se prémunir contre les dangers de Flash pour notre vie privée. Il faudra patienter encore un peu le temps que cela soit suffisamment intégré.)

Edit du 7/07/15: L’extention n’est plus disponible (Merci Alain Ternaute de l’avoir signalé)
Les accrocs à Google pourront toujours se tourner vers Disconnect Search ou GApps Browser sur Android.

Vous êtes accroc à Google (mais vous vous soignez)? Toutes les initiatives alternatives vous laissent de marbre et vous trouvez l’interface de Scroogle toute moisie? GoogleSharing est fait pour vous!

Il s’agit là d’une extension open source pour le navigateur web Firefox qui fera passer toutes vos requêtes dans le moteur de recherche par un proxy anonymisateur. Ainsi, vous pourrez utiliser les services de Google sans pour autant étaler toute votre vie privée aux yeux de la firme de Mountain View.
Grâce à elle, votre adresse IP ou encore les différentes traces de navigation ne seront pas connues de Google.

Contrairement à d’autres proxy anonymisateurs, l’extension masque également les entêtes HTTP transmises lors d’une requête à un serveur web. Celles-ci contiennent certaines informations (navigateur, système d’exploitation, dernier site visité, cookies…) qui peuvent mener à votre identification.

Les développeurs de GoogleSharing affirment ne conserver aucune donnée sur les utilisateurs du logiciel.

Note: L’anonymat n’est évidemment pas garanti pour les personnes qui ont un compte Google et qui s’y connectent!! 😀
Si vous n’utilisez pas HTTPS Everywhere, vous pourrez configurer cette extension pour que la connexion soit tout de même chiffrée: outils> modules complémentaires>  GoogleSharing> préférences> upgrade to SSL when possible.

Télcharger GoogleSharing
Site de GoogleSharing

Une fois encore, je vous propose une extension de Firefox sous licence libre…
Et oui, sans même considérer les questions politiques (ou philosophiques, n’ayons pas peur des mots :P) qui peuvent motiver l’utilisation de logiciels libres, il me semble que du point de vue de la sécurité, il est toujours préférable de pouvoir comprendre comment les choses fonctionnent. C’est grâce à la mise à disposition de tous du code source que les différentes communautés du libre ont la capacité d’analyser les programmes, d’en déceler plus facilement les failles, mais aussi les éventuelles fonctionnalités nocives pour les usagers et leur vie privée.

La présence de cette extension pour Firefox dans le projet Tor Browser est à mon sens un certain gage de qualité et permet je pense d’accorder un certain crédit à l’initiative. L’Electronic Frontier Foundation (EFF) qui développe cet addon est de plus réputée pour le travail qu’elle effectue sur la question des libertés numériques des internautes. Le projet Tor auquel elle participe en est une illustration.

HTTPS Everywhere vous permettra donc de naviguer sur le web en privilégiant les sessions sécurisées SSL (d’où le https).
Quel intérêt? Et bien l’immense majorité de vos connexions sur le net sont en général en « clair ». Cela signifie qu’il est tout à fait possible de les intercepter et de les lire, surtout si vous êtes sur du Wifi.
Contrairement à ce qui se raconte et ce que peut sous-entendre le site de l’EFF à première vue, ce programme ne chiffre rien du tout. Si vous voulez parler anglais avec quelqu’un, il sera plus productif de vous adresser à une personne qui comprend cette langue… C’est la même chose pour le dialogue entre votre ordinateur et un serveur. Si le site n’est pas prévu pour proposer une connexion sécurisée, envoyer des données chiffrées ne mènera nul part!
L’extension se contente donc de vous rediriger sur les pages de sites chiffrées lorsqu’elles existent, et c’est déjà pas mal.

Elle fonctionne par défaut pour Google Search, Wikipedia, Scroogle, Mozilla, Amazon, Twitter, Facebook, bit.ly, GMX, WordPress.com blogs, The New York Times, Paypal, EFF, Tor, Ixquick et bien d’autres. La liste sera évidemment trop courte pour les explorateurs de la toile mais elle constitue un bon point de départ.
Grâce à cette page, il vous sera possible d’élargir la liste des sites pris en charge par HTTPS Everywhere. On regrettera cependant la relative difficulté de l’opération pour les novices ainsi que les explications uniquement disponibles en anglais. Mais bon, on peut pas tout avoir!

Pour télécharger HTTPS Everywhere: rendez-vous sur le site de l’Electronic Frontier Foundation.

Peut-on encore avoir confiance en Firefox? C’est la question que l’on est en droit de se poser après la découverte qui a été faite sur l’un des modules que son site met à disposition: Ant Video Downloader.

Le chercheur indépendant Simon Newton s’est rendu compte que ce module qui sert à télécharger ou visionner des vidéos, collecte des informations sur ses utilisateurs comme: les adresses des sites visités ainsi que l’heure de connexion, des informations sur le navigateur et des cookies pro à chaque utilisateur et permettant donc de les identifier.

Ce comportement a été également observé lors de l’utilisation du mode navigation privée de Firefox, de VPN ou encore du réseau Tor.  (cf: http://www.developpez.com/actu/32229/Firefox-Ant-Video-Downloader-trace-les-utilisateurs-Mozilla-oblige-de-retirer-l-extension-populaire-de-sa-galerie/)

La réaction de Firefox est dans cette affaire peu rassurante. Certes, la fondation Mozilla qui finance le projet n’est pas responsable de la programmation du module qui était d’ailleurs présenté comme étant  en phase expérimentale. Mais elle a tout de même déclaré que la collecte d’informations n’est pas forcément contraire à ses critères d’admissibilité (!). Sept millions de téléchargements ont été effectués pour cette extension qui a été retirée selon Mozilla mais qui est à l’heure de l’écriture de ce post toujours (à nouveau?) disponible sur le site. Aucun avis ne fait mention de cet incident et seuls les commentaires d’utilisateurs informent les internautes du danger que comporte son utilisation!

« Le fait d’avoir ces données personnelles a beaucoup de valeur. Moins on gardera de traces comme celles-là, plus on aura de chances de tous mourir ».

Ces propos prononcés par  Larry Page le co-fondateur de Google et rapportés par le Telegraph en 2009 questionnent sur l’état d’esprit qui anime ces personnes. Avec 970 Millions de visiteurs uniques en janvier 2011 selon le Cabinet d’étude Comscore, il s’agit du premier « site » consulté au monde. L’implication des propos de son actuel PDG ne sont donc pas à prendre à la légère: ils concernent une écrasante majorité des internautes. Et les affaires s’accumulent lorsque l’on se penche sur le cas de Google. En avril dernier par exemple, l’entreprise se retrouve au centre d’une polémique: alors que ses voitures étaient chargées de collecter des images pour le tristement célèbre service Street View, des informations personnelles captées des lignes wifi publiques des riverains ont été engrangées. C’est en scannant les connexions actives que cela a été réalisé. Google déclare à la suite de cela: “nous n’avons ni visionné ni utilisé ces données pour des produits ou services de Google ».

Quel crédit accorder à cela lorsque la conservation des données personnelles est une question de vie ou de mort selon Larry Page? Quel crédit accorder à une entreprise toute puissante (8,5 milliards de dollars de profit en 2010, une augmentation de 30% en un an) et qui se situe au dessus des lois. En effet, pour le cas de la France, la CNIL n’a pas une marge de manœuvre exceptionnelle du fait qu’il s’agisse d’une entreprise sous la juridiction américaine. L’un de ses membres déclare en  2007: « En clair, Google peut contrôler toutes les données personnelles des individus. En exploitant de façon corrélée ces outils, Google pourrait se transformer en une redoutable société de surveillance. (..) Les internautes doivent savoir qu’en utilisant les services de Google, ils lui donnent la possibilité de les surveiller. » Google a d’ailleurs refusé en 2009 de se conformer aux recommandations du G29 qui réclamait que la durée de conservation des données personnelles passe de 12 à 6 mois.

L’occasion se représentera très probablement d’approfondir sur ce sujet et notamment sur les multiples services de fichage qu’ils proposent comme Gmail.

Quelles alternatives?

• (Ce projet a été arrêté) Issu du projet Google Watch visant à révéler les dérives du mastodonte de la Silicon Valley, Scroogle est une des solutions pour naviguer en sécurité. Faisant passer les requêtes de l’utilisateur par un serveur mandataire (ou proxy) open source qui chiffre et filtre les données transmises (pas de publicité même ciblée parmi les résultats), il nous permet donc d’accéder aux résultats de Google anonymement. Ceux-ci sont assez fidèles à ceux de Google mais nous n’avons malheureusement pas accès aux images ni aux vidéos. Autre point négatif, nous faisons quand même tourner Google en choisissant cette option.

Un module Firefox permet d’ajouter le moteur de recherche à sa barre: ici.

Site: http://www.scroogle.fr/ (ou .org pour la version anglaise).

• Ixquick est un méta-moteur (il utilise les résultats de plusieurs moteurs de recherche). De la même manière que Scroogle, il n’enregistre pas les adresses IP des utilisateurs. Les résultats proviennent de AOL, AlltheWeb, Altavista, Ask/Teoma, Bing, EntireWeb, Gigablast, Google, Open Directory et Wikipedia. Cependant, les résultats affichés ne sont pas si fidèles que cela lorsque l’on compare à une page de résultat Google.

Petits plus:
– un accès à des résultats d’images et de vidéos.
– La possibilité de passer toutes les requêtes en https (sécurisé).

site: http://www.ixquick.com/fra/
http://www.ixquick.com/fra/privacy-policy.html

Ixquick propose également le moteur StartPage, lequel propose les mêmes résultats que Google: https://startpage.com/

• Autre alternative: DuckDuckGo http://duckduckgo.com/

Des web bugs, vous en croisez sur quasiment toutes les pages que vous visitez… Ah… c’est pas un virus alors… donc c’est pas grave..? ben si quand même un peu. C’est vrai que c’est plus trop la mode de parler de ces trucs là. Quand c’est apparu dans les années 2000, c’était comme de sortir les dossiers du pentagone après que Julian Assange soit passé par là! C’était, et impensable, et inadmissible. Aujourd’hui on a oublié.

Il s’agit donc de tous petits objets au départ de la taille de un pixel (et donc invisibles), et récupérant des informations sur les personnes qui visitent une page et s’appuyant sur la mise en place d’un cookie (on en trouve également dans les mails). Ce sont des traceurs dont les principaux concepteurs sont les agences de marketing. Ils sont l’un des outils qui permettent de transformer le web en un immense centre commercial dans lequel on pointerait devant chaque rayon visité. Les buts sont donc souvent le profilage marketing et la statistique de fréquentation. De nombreux webmaster s’en servent également pour savoir combien de personnes fréquentent leur site ou quelles pages sont visitées ce qui dans cette perspective peut être une utilisation légitime.
Dans la majorité des cas, c’est anonyme. Mais comment sont traitées les informations récoltées, ça, c’est une autre affaire. Google s’en sert également pour développer ses propositions lors de nos recherches parait-il. Facebook, l’un des plus grand fichier de données personnelles au monde (actuellement près de 700 millions de profiles), pose régulièrement ce genre de traceurs. L’un d’eux a permis ainsi de mettre en relation les données récoltées avec votre compte si vous en aviez un (voir Facebook Beacon). Anonymat dites-vous?

Que faire?

Heureusement, il y a des solutions! L’une d’elle consiste à télécharger un module pour le navigateur Firefox:
Ghostery ( http://www.ghostery.com/).
Les mouchards seront alors affichés pour chaque page, et il sera possible d’en connaître l’utilité, et bien sûr de les bloquer.

Note: les propriétaires jouent sur ambiguïté de la mise à disposition du code source mais cette extension n’est pas un logiciel libre. Noscript peut, pour les partisans du libre, faire office de remplaçant.

Pour celles et ceux qui ne savent pas installer un modules pour Firefox, cliquez sur l’image pour voir la vidéo: