J’avais abordé il a quelques mois un changement prévu par Mozilla dans le célèbre navigateur open source. Il s’agissait d’utiliser les tuiles (Directory Tiles) habituellement occupées par notre historique à l’ouverture d’un nouvel onglet. On sentait venir la chose lorsque certains évoquaient du contenu sponsorisé adapté aux utilisateurs. Ça sentait gros le discours marketting habituellement fleuri d’arguments pro-ciblage faisant passer la publicité pour une chance donnée à l’utilisateur d’explorer un peu plus ses centres d’intérêts. On espérait juste que les responsables de Mozilla n’avaient pas fait leur ce discours manipulateur.

T’en veux de l’esprit du libre?

Depuis quelques semaines c’est donc fait, Firefox intègre des publicité dans ces vignettes. Alors qu’on nous promettait la mise en avant de partenaires de Firefox ou de tiers respectueux des principes de Mozilla, on se retrouve avec des Booking.com, et autres sociétés fleurons de l’esprit du libre. Je n’ai pas vu toutes les publicités proposées étant donné que je ne les croise qu’au boulot, mais ces deux-là sont déjà assez cocasses! Quand on pense que c’est Mozilla qui nous propose un logiciel soit disant orienté sécurité et propriétaire comme Dashlane, on touche le fond. Bonjour l’esprit du libre, et bonjour les leçons tirées de l’affaire Snowden!
Comme garantie actuellement: les données collectées concernent essentiellement les clics sur les annonces, et sont d’après la fondation anonymisées.

De plus, pour certains sites comme Amazon, relate le site du navigateur, au lieu d’avoir une capture d’écran, ce pourra être un logo qui sera affiché à la place. Rappelons que le rôle des logos publicitaires est de rester en mémoire, d’imprimer un cliché, lequel sera rangé parmi les images qui nous sont familières, en attendant la prochaine situation où il faudra faire un choix pour un achat. Les techniques publicitaires sont assez proches des méthodes de propagande, et c’est ce qui les rend dangereuses et non souhaitables, surtout dans un environnement libre.

Quoi qu’il en soit, Mozilla a les deux pieds dedans, et la fuite en avant est engagée. Firefox n’est dorénavant plus qu’un navigateur, mais également un prescripteur de sites d’achat.

La pé-da-go-gie (ou l’éducation pour ceux qui ont déjà appris)

Comme à l’accoutumée lorsqu’il s’agit de faire du fric, l’avis des utilisateurs n’est pas demandé par défaut. Il va falloir passer en mode classique en cliquant sur la petite roue en haut à gauche à l’ouverture d’un nouvel onglet. On peut déjà parier que de très nombreux utilisateurs ne se poseront pas la question et continueront leur chemin utilisant Google par défaut, avec les pubs intégrées dans Firefox par défaut elles aussi.
Une option un peu surprenante lorsque l’on écoute les positionnements pro éducation à la vie privée de Firefox, moins lorsque l’on aborde les méthodes des régies publicitaires en général.

La polémique est aujourd’hui bien engagée, et opposerait les sempiternels « pragmatiques » face aux « puristes ». Au-delà des postures, force est de constater que le web a de plus en plus de mal à s’envisager sans l’économie libérale et sans la publicité. Même si l’objectif annoncé est une libération de la tutelle de Google (toujours 85% des revenus), on est pas sûrs de gagner au change.
Si la centralisation de la firme de Mountain View est bien un problème démocratique, un morcellement des relations que nous avons avec les entreprises commerciales en ligne ne réglera pas forcément le problème des méthodes de captation de l’attention et des portes monnaie que nous subissons constamment.

Il semble bien loin le web sauvage des premiers temps, et c’est davantage à un centre commercial interactif que ressemble ce Frankeinstein qui a grandit sous nos yeux.
Alors? Vous préférez quoi? De la pub Google, ou de la pub sponso Mozilla? Les deux?

Ne touchez à rien…

Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

Depuis des années, Firefox a sans aucun doute été un acteur majeur de la promotion du logiciel libre auprès du grand public. Ayant été le premier navigateur, il a démocratisé l’idée de logiciel gratuit et pourtant non commercial (en gros), à l’inverse des shareware que l’on pouvait utiliser auparavant, ou plus récemment des navigateurs comme Chrome qui ne sont que des spyware récoltant toutes nos données.

Mais dorénavant, nous devrons nous attendre à l’introduction de publicités dans le navigateur, comme l’a annoncé hier Mozilla.

Libres de communiquer nos données

Cependant, lorsqu’on y regarde de plus près, on se rend compte que si les visées n’étaient jusque là pas commerciales, l’utilisateur n’était pas pour autant protégé des logiques mercantiles. Le poids écrasant de Google dans le financement du projet (plus de 80%), ne s’est évidemment pas négocié sans contreparties. La présence du moteur de recherche par défaut ainsi que de très nombreux autres « petites » intrusions dans notre quotidien font de Firefox un outil pas si bienveillant que cela. De même, on peut être plus ou moins satisfait de trouver Google Analytics, l’outil de statistiques mouchard le plus répandu du web, sur le site permettant de télécharger de nouvelles extensions, alors que des alternatives libres et respectueuses de notre vie privée existent.

Bien qu’utilisant du libre, nous renforçons pourtant l’emprise de Google et remplissons ses bases de données (et son compte en banque), ainsi que celles de la NSA. Et l’ambiguïté de tout cela, c’est que c’est en utilisant des outils censés être respectueux de la vie privée. Mozilla ne manque pourtant pas de s’inscrire dans les mouvements de protestation comme ce fut le cas le 11 février pour la journée anti-NSA.

L’argument du pragmatisme

L’importance de Google en terme de financement pour Firefox pose pour tout le monde un problème d’indépendance du projet. Mais il semblerait que cette indépendance, et surtout la crainte d’une non reconduction du contrat, soit pour les décideurs dans la communauté ce qui prévale sur la nocivité des fonctionnalités intégrées par défaut. Parce que s’il est effectivement possible de tout désactiver, cela nécessite d’avoir la connaissance que problème il y a, mais aussi la capacité de le régler. Sur ce point, on ne peut pas dire que Mozilla fasse énormément de publicité aux nouveaux utilisateurs novices.

Pour les personnes qui voudront continuer à utiliser Firefox: cela sera probablement configurable en tapant about: config dans la barre d’URL, puis en mettant  browser.newtabpage.enabled à false.

Enfin, cet argument du pragmatisme fait irrésistiblement penser au basculement opéré dans ses premières années par Google, lorsque les visées pseudo-humanistes ont laissé peu à peu place au mercantilisme intrusif par l’introduction de publicités ciblées dans les résultats. Comment la fondation Mozilla peut croire qu’elle sera capable de résister à la pression de ce système? Est-ce bien sage de ne se donner comme choix que d’être financé soit par le premier espion de la planète, soit par l’utilisation des méthodes de ce dernier?

Il est d’autant plus décevant que le même verbiage mensonger promettant la mise au centre de l’utilisateur grâce à la consommation soit maintenant employé par Mozilla dans son article. « Être au centre… » Flatter l’égo des utilisateurs dans le seul but de faire passer la pilule les rendant non plus utilisateurs mais produits, est totalement mesquin de la part de personnes qui comprennent tout à fait le fonctionnement commercial du web actuel. Le dicton « si c’est gratuit, c’est que vous êtes le produit » prend une fois encore tout son sens, au détriment de l’esprit du libre.

Contrôle des données, transparence, vie privée

Le logiciel libre fait en général la promesse d’un plus grand contrôle des utilisateurs. Puisque le code est consultable et modifiable, la liberté de l’utilisateur grandit. Mais l’un des schismes qui a touché le mouvement nous a très vite appris que l’éthique n’était pas pour tous une donnée de premier ordre. L’Open Source a donc parallèlement diffusé l’idée de logiciels libres à visées tantôt commerciale, tantôt sans respect de la vie privée, voire les deux à la fois. Si dans le logiciel libre le contrôle est nécessaire, ce n’est pas que pour laisser le choix, mais aussi parce que les programmes trop curieux et les blocages au nom de la propriété intellectuelle proposés par défaut sont un problème. Le mouvement porte donc dans ses fondements l’idée de vie privée, et de liberté de partage.

Les publicités prétendument discrètes qui seront proposées par Firefox dans les « tuiles » visibles au démarrage trahissent totalement cet état d’esprit, et Mozilla adopte ainsi la rhétorique des Google et compagnie, promettant discression et personnalisation. Parce que si la publicité est vécue par beaucoup comme étant envahissante, on sait bien que le ciblage et une bonne dose d’intégration au contenu, de contextualisation, font augmenter les chiffres d’affaire. Elles sont de ce fait moins identifiées comme étant hétérogènes au contenu premièrement sélectionné par l’internaute.

Cette stratégie est loin d’être nouvelle, Google l’a adoptée depuis longtemps et c’est le visage de l’utilisateur-produit qui s’est aujourd’hui imposé sur internet.
Malheureusement, Mozilla avoue aujourd’hui vouloir en faire partie. Nous devons en faire le deuil.

Rendue publique lundi, une déclaration de l’internet libre circule sur le web et commence à beaucoup faire parler d’elle. En effet, outre qu’elle fait suite à une année de luttes numériques assez riche (ACTA, SOPA, PIPA…), elle est déjà supportée par de grandes organisations comme l’Electronic Frontier Foundation (EFF), Amnesty International, Mozilla, Free Press…

Pour celles et ceux qui souhaiteraient apporter leur signature, cela semble se faire par le biais de certaines de ces organisations comme: l’EFF, Free Press et Access.

Nous militons pour un Internet libre et ouvert.
Nous soutenons des procédés de participation transparents pour promouvoir une politique d’usage d’Internet constituée de cinq principes de base :

Expression : Ne censurez pas Internet
Accès : Promouvoir un accès universel, rapide et abordable au réseau
Ouverture : Conserver Internet comme un réseau ouvert où chacun est libre de s’y connecter, communiquer, lire, regarder, parler, écouter, apprendre, créer et innover.
Innovation : protéger la liberté d’innover et de créer sans en demander la permission. Ne pas bloquer l’émergence de nouvelles technologies, et ne pas punir les innovateurs pour les actions de leurs utilisateurs.
Vie privée : protéger la vie privée et défendre la capacité de quiconque à contrôler comment ses données  et ses matériels sont utilisés.

http://www.internetdeclaration.org/freedom

Bon par contre, on va pas se raconter de conneries: c’est bien sympa tout ça, le discours est tout à fait intéressant et il est essentiel de le porter le plus largement possible. Mais on reste pour l’instant dans la déclaration de principe, et l’appel à la discussion. J’ai quelques doutes sur la force de frappe que cela puisse produire si on en reste là (surtout à la vue de l’ampleur des attaques opérées contre ces principes)…
À moins que cela ne soit qu’un début?

Si vous étiez au courant de la journée de mobilisation internationale, et des blackout qui se sont déroulés sur la toile en opposition aux lois de censure de l’Internet: SOPA et PIPA, vous avez comme moi, certainement été faire un tour sur le web histoire de juger un peu de l’ampleur de la mobilisation.

Sans surprises, le web américain a su se montrer à  la hauteur du défi, et de nombreux sites ont participé à l’effort de guerre. Sans surprises non plus: l' »action » de Google. Après avoir joué les gros bras et lancé parmi les premiers l’idée de blackout, ils se sont contentés de barrer leur logo d’un rectangle noir, uniquement pour la version américaine, et pendant une petite partie de la journée. Que de la gueule quoi!

Mis à part ça, beaucoup de « gros » ont tout de même participé aux États-Unis, comme Wikipédia, qui a bloqué la possibilité de faire des modifications sur les articles, Mozilla, WordPress, Minecraft, tumblr, l’EFF (Electronic Frontier Foundation), la FSF (Free Software Foundation) et beaucoup d’autres ont bloqué leur site pour la journée. Une liste des participants est toujours disponible à cette adresse.

Mais la France n’a pas été ridicule, loin de là! On a pu donc constater la participation de l’April, La quadrature du net, Framablog, LinuxFR, Internet sans frontières, GreenPeace, Forum Ubuntu, Korben, Indymedia Lille, Rebellyon, L’interassociation des bibliothécaires, archivistes et documentalistes français ^^… Révolte Numérique 😉 (et bien sûr beaucoup de bloggers qui ont comme moi apporté leur pierre à l’édifice, et ça fait bien plaisir!). Notons que certains ont également eu la bonne idée de lier cette journée au contexte français et européen en rappelant qu’une lutte est toujours engagée contre Hadopi et ACTA entre autres.

Petite rétrospective en images:

États-Unis

Mozilla et WordPress

Minecraft et la Free Software Foundation

Wikipédia et l’Electronic Frontier Foundation

Identi.ca et Boing Boing

DuckDuckGo et Google.com

Tor Project et Free Art and technology

En France

l’April et Framablog

La Quadrature du Net et le Forum Ubuntu

Korben et LinuxFR

Indymedia Lille et Rebellyon

Le web est depuis plusieurs mois en lutte contre deux projets américains de censure du web mondial. SOPA (Stop Online Piracy Act) et PIPA (Protect IP Act) sont en passe d’être votés respectivement par la chambre des représentants et le sénat des États-Unis. Un blackout du web s’organise le 18/01 en signe de protestation.

Ces projets vont permettre aux lobbys des industries dites « culturelles » de censurer tout site considéré comme favorisant la diffusion de contenus protégés par des droits d’auteurs. Cette large définition permettrait en réalité de vouer aux limbes tout site hébergeant ce type de contenus (Youtube, Facebook ou n’importe quel site affichant une vidéo ou une image protégée par exemple).

Les méthodes préconisées par SOPA et PIPA sont dignes des systèmes mis en place par certains régimes dictatoriaux comme la Chine, l’Iran ou la Syrie.

Ainsi, il sera possible:

• de bloquer l’accès au site au niveau des serveurs DNS (Domain Name System). Ces serveurs permettent de faire l’association entre une adresse URL et l’adresse IP du site. En tapant son adresse, nous ne pourrions donc plus y accéder.
  De plus ce type de blocage risque non pas de censurer un seul site, mais l’ensemble du domaine auquel il est rattaché.
• d’obliger les moteurs de recherche à enlever de leurs résultats des sites proposant du contenu protégé par des droits d’auteurs.
• d’obliger les fournisseurs d’accès à Internet à bloquer ces contenus.
• d’obliger les sites proposant des liens vers ceux contre qui une plainte a été déposée à retirer ces liens.
• d’asphyxier les sites visés en interdisant aux intermédiaires publicitaires et financiers (Paypal par exemple) de traiter avec ces sites.

Tout cela impliquera potentiellement une surveillance accrue des communications entre individuEs, même par leurs échanges privés par mail.

Les outils permettant aux activistes du monde entier de communiquer anonymement (comme Tor par exemple) pourraient eux aussi être menacés, tout comme les serveurs DNS alternatifs utilisés pour contourner ce type de censure.

SOPA et PIPA sont votés aux États-Unis mais concernent les internautes du monde entier! N’oublions pas qu’une grande partie des services que nous utilisons sur le net proviennent des États-Unis.

Rejoignons le blackout!

Révolte Numérique appelle donc toutes les personnes administrant un site internet à se joindre au blackout organisé aux États-Unis pour la journée du mercredi 18 janvier 2012 de 8h à 20h.
De nombreux sites comme Reddit, Mozilla US, Minecraft, FSF, EFF, identi.ca, Anonymous (via Twitter) etc. (et peut-être Wikipédia) se joindront à cette initiative.

Même si la maison blanche semble prendre position contre certains aspects de ces lois, nous ne devons pas relâcher la pression!

• Si vous avez un site WordPress, des extensions sont disponibles afin de mettre votre site en maintenance en affichant un message de votre choix, ainsi que des extensions spécialement prévues pour l’événement.
  Vous pouvez également vous référer à cette méthode.
• Si vous n’avez pas de site, modifiez votre avatar sur les réseaux sociaux et apposez-y un bandeau STOP SOPA ou STOP SOPA & PIPA.
• Parlez-en autour de vous, faites monter la pression!

Liens utiles:
– Révolte Numérique sur identi.ca (vous pouvez vous abonner au flux RSS)
– Stop american censorship
– blackout SOPA

Marre de devoir penser à effacer vos cookies à la fin de la session? Ça s’accumule et vous êtes du genre parano?

Firefox vous permet de gérer site par site les permissions que vous accordez pour chacun d’eux. Tapez pour cela « about:permissions » dans la barre d’URL et la page suivante vous sera proposée:

À gauche, vous trouverez les derniers sites visités. Après avoir sélectionné celui sur lequel vous voulez agir, il vous sera possible de choisir précisément la façon dont se gèrent l’enregistrement des mots de passe, le partage de la géolocalisation, la gestion des cookies, l’ouverture des fenêtres pop-up et la conservation des données hors connexion.

En autorisant les cookies uniquement pour la durée de la session, ceux-ci seront effacés à chaque fermeture du navigateur. Plutôt pratique! L’idéal pour ma part est de tout autoriser uniquement pour la durée de la session (voire interdire carrément ce qui est inutile), et d’appliquer le principe de la liste blanche (on choisit ce qui passe plutôt que de dire ce qui ne passe pas) pour les sites importants pour vous (boîte mail, sites auxquels vous vous connectez fréquemment etc.).

Attention: il peut arriver que certains cookies ne s’effacent pas toujours ou une fois sur deux, comme ceux de Google par exemple (comme par hasard!). Dans ce cas, je plaiderais pour un blocage pur et simple de leurs saletés.

Pour vérifier si la procédure a fonctionné: Préférences –> Vie Privée –> Afficher les cookies. Les règles que vous venez de définir peuvent être modifiées également dans cet onglet vie privée à « Exceptions ».

Note: il faudra y mettre une autorisation pour la session pour « youtube.com » notamment, si vous souhaitez par exemple pouvoir visionner certaines vidéos intégrées dans des sites (non non Google ne fait pas particulièrement chier avec ses cookies!).

Petit rappel: pour un nettoyage général (toujours salutaire et efficace), ça se passe dans Outils –> Supprimer l’historique récent, et vous pourrez choisir de supprimer:

• Historique de navigation et des téléchargements
• Historique des formulaires et des recherches
• Cookies
• Cache
• Connexions actives
• Préférences de sites (à ne pas cocher su vous souhaitez conserver les réglages dont on a parlé  ci-dessus)

Même après les avoir effacés, certains cookies peuvent réapparaître « comme par magie ». Dans certains cas, c’est qu’ils sont recréés grâce à des cookies LSO, ou cookies Flash (voir la partie sur BetterPrivacy).

Quand vous vous connectez à un site, vous chargez énormément d’informations. La plupart proviennent du site visité, mais c’est loin d’être toujours uniquement le cas. Cette extension pour Firefox vous permettra de savoir précisément à quels serveurs vous vous connectez, et donc à qui vous envoyez des informations.

Les apparences sont trompeuses

Nombreux sont les sites qui contiennent des informations stockées sur différents serveurs. Un exemple simple: les publicités qui s’affichent sur une page. Celles-ci sont sur des serveurs appartenant probablement à la régie qui en a la responsabilité.
Cela signifie donc que vous envoyez des informations au site sélectionné, mais également aux serveurs hébergeant ces pubs.

Alors que vous pensez naviguer sur le site de votre choix, vous communiquez avec les serveurs publicitaires, les serveurs hébergeant les logiciels de statistiques (comme avec Google Analytics, Xiti etc). S’il y a une vidéo incrustée mais hébergée ailleurs, c’est la même chose; si des bouts de codes appartenant à des entreprises (ex: Google API) sont présents, idem etc.

Fouiner juste pour le sport?

Pas tout à fait. Connaître toutes ces informations peut s’avérer très utile:

• Premièrement, cela permet de comprendre en partie comment les choses fonctionnent. On aurait tendance à penser de prime abord qu’il suffit de se connecter à un site et puis c’est tout.

• Deuxièmement, c’est un bon moyen de tester sa configuration. C’est grâce à ce type d’outil que j’ai pu me rendre compte que Firefox se connectait régulièrement sur les serveurs de Google, sans que je ne sois jamais au courant.
  C’est avec ce type d’outil que l’on peut vérifier si ses extensions de blocage des scripts, contenus flash, web bugs etc sont efficaces.

Bref, c’est plutôt quelque chose qui nous pousse à mettre un peu le nez dans le moteur pour voir ce qui s’y passe.

Houlà! (Réaction au premier contact avec les en-têtes http)

Ok. Si on n’a jamais mis le nez dans un bout de code, ou au moins dans une page html, ça parait un peu barbare au premier abord. Pour comprendre où vous vous connectez, il n’y a besoin d’aucune compétence particulière, sinon de savoir repérer une adresse URL. C’est la première ligne de chaque « section ».
Pour comprendre le reste de ce qui est affiché (tant qu’on y est!), vous pouvez jeter un œil sur cette fiche proposée sur Comment ça marche, ce n’est pas pas si compliqué vous verrez!

Allez, pour télécharger Live Http Headers, c’est ici.

Une fois encore, je vous propose une extension de Firefox sous licence libre…
Et oui, sans même considérer les questions politiques (ou philosophiques, n’ayons pas peur des mots :P) qui peuvent motiver l’utilisation de logiciels libres, il me semble que du point de vue de la sécurité, il est toujours préférable de pouvoir comprendre comment les choses fonctionnent. C’est grâce à la mise à disposition de tous du code source que les différentes communautés du libre ont la capacité d’analyser les programmes, d’en déceler plus facilement les failles, mais aussi les éventuelles fonctionnalités nocives pour les usagers et leur vie privée.

La présence de cette extension pour Firefox dans le projet Tor Browser est à mon sens un certain gage de qualité et permet je pense d’accorder un certain crédit à l’initiative. L’Electronic Frontier Foundation (EFF) qui développe cet addon est de plus réputée pour le travail qu’elle effectue sur la question des libertés numériques des internautes. Le projet Tor auquel elle participe en est une illustration.

HTTPS Everywhere vous permettra donc de naviguer sur le web en privilégiant les sessions sécurisées SSL (d’où le https).
Quel intérêt? Et bien l’immense majorité de vos connexions sur le net sont en général en « clair ». Cela signifie qu’il est tout à fait possible de les intercepter et de les lire, surtout si vous êtes sur du Wifi.
Contrairement à ce qui se raconte et ce que peut sous-entendre le site de l’EFF à première vue, ce programme ne chiffre rien du tout. Si vous voulez parler anglais avec quelqu’un, il sera plus productif de vous adresser à une personne qui comprend cette langue… C’est la même chose pour le dialogue entre votre ordinateur et un serveur. Si le site n’est pas prévu pour proposer une connexion sécurisée, envoyer des données chiffrées ne mènera nul part!
L’extension se contente donc de vous rediriger sur les pages de sites chiffrées lorsqu’elles existent, et c’est déjà pas mal.

Elle fonctionne par défaut pour Google Search, Wikipedia, Scroogle, Mozilla, Amazon, Twitter, Facebook, bit.ly, GMX, WordPress.com blogs, The New York Times, Paypal, EFF, Tor, Ixquick et bien d’autres. La liste sera évidemment trop courte pour les explorateurs de la toile mais elle constitue un bon point de départ.
Grâce à cette page, il vous sera possible d’élargir la liste des sites pris en charge par HTTPS Everywhere. On regrettera cependant la relative difficulté de l’opération pour les novices ainsi que les explications uniquement disponibles en anglais. Mais bon, on peut pas tout avoir!

Pour télécharger HTTPS Everywhere: rendez-vous sur le site de l’Electronic Frontier Foundation.

Le phishing est une technique d’arnaque sur le web. La plupart du temps, on en entend parler à propos des boîtes mails. Dans ce cadre, le fishing consiste à envoyer un mail à un internaute en lui faisant croire que cela est fait par un interlocuteur de confiance. Par exemple, cela peut prendre la forme d’un faux mail de votre banque, votre opérateur téléphone etc. Le mail envoyé ressemblera traits pour traits à celui dont l’identité est usurpée, avec probablement les mêmes logos, chartes graphiques etc. Le but de la manœuvre est de récupérer des informations sur vous comme vos mots de passe, numéro de carte de crédit, nom, adresse, date de naissance etc. Ces informations, selon le degré de précision pourront ensuite servir pour être revendues puis utilisées pour des achats en ligne.

Les risques d’hameçonnage peuvent également se présenter pendant la navigation sur le web. De la même façon, vous pouvez vous retrouver sur de faux site web créés dans le but décrit précédemment.

Que faire?

• Un principe de précaution raisonnable pour combattre le phishing par mail consiste à ne jamais suivre les liens des messages se présentant comme étant de votre banque, votre opérateur téléphone …etc, et en particulier lorsqu’il s’agit de consulter un compte, d’accéder à un espace sécurisé etc. Attention aux mails alarmistes vous annonçant qu’il est nécessaire de réactiver un compte, de retaper un mot de passe etc. Ne jamais donner suite! En cas de doute, contactez directement le responsable de la structure expéditrice supposée (allez chercher le contact sur leur site par ex).
Pour ce qui est des numéros de cartes de crédits, partez du principe qu’aucun organisme sérieux ne vous demandera jamais cela par mail. Préférez dans tous les cas un accès direct par le site auquel vous vous connectez habituellement.

•Vérifiez bien l’adresse de votre expéditeur et non pas seulement le nom d’expéditeur qui apparaît.

•Si votre boîte mail est infestée de SPAM (ou pourriels), ces messages qui essaient de vous vendre du viagra ou de vous soutirer de l’argent après vous avoir raconté une histoire ahurissante de deux pages; il est possible de la configurer pour activer des filtres qui devraient régler ce problème. Fouillez un peu, vous devriez trouver ça rapidement. Une autre solution particulièrement intéressante pour 1000 autres raison est d’installer le client mail Thunderbird. Ce logiciel libre produit par la fondation Mozilla (comme Firefox) fera une partie du travail, mais vous pourrez également y ajouter des modules comme Adblock Plus que l’on retrouve également comme anti-pub pour le navigateur Firefox.

•Lors de la navigation web, prenez l’habitude de vérifier l’adresse URL (http://www…), les sites malveillants ont en général une adresse similaire au site auquel vous voulez accéder mais comporte une petite erreur. Ex: www.revoltnumerique.herbesfolles.org Dans l’idéal, taper directement l’adresse de votre établissement vous procure davantage de sécurité.

•Lors de sessions sécurisées, certains sites vous demandent d’accepter un certificat. Assurez-vous avant de l’accepter qu’il s’agit du véritable site souhaité (en vérifiant l’URL par ex).

Était-il sérieux d’attendre quelque chose du eG8? La question se pose, et plus encore après le sommet. Nombreux ont été les personnes et les organisations qui se sont méfié de cet événement et ils ont eu raison. La CNIL, qui semble faire de plus en plus de la figuration, avait avant même le commencement du sommet dénoncé l’absence de temps consacré à la protection de la vie privée sur le net.

Premier élément révélateur des ambitions de Sarkozy: le casting. Tout d’abord: l’organisation était prise en charge par Publicis (groupe leader de la communication).  Présents à se sommet, les plus grand requins et prédateurs des internautes: Google, Facebook, Orange, Amazon, E-bay, Universal etc… Toute la clique quoi. L’invitation des quelques personnalités appartenant au monde du libre n’a pas permis de faire diversion. (On a pu noter la présence de Jimmy Wales le fondateur de Wikipédia; John Perry Barlow l’un des initiateurs de la « déclaration d’indépendance du cyber-espace »; Tristan Nitot, président de Mozilla Europe ou encore Lawrence Lessig qui a développé les licences Creative Commons. Le constat est qu’ils ont malheureusement d’avantage servit de cautions que de contre-pouvoirs.)

Tout était joué d’avance ou presque. Le Times lui-même prétendait quelques jours avant que le texte final était rédigé depuis un moment! Le sommet a donc surtout été une gigantesque plage publicitaire à portée mondiale: Pour se donner une idée des enjeux: il fallait verser 250 000 euros pour les sponsors qui voulaient profiter de l’affichage de leur marque sur les panneaux officiels et des premières loges pour les débats. Et question logos, on en a eu pour notre argent!

Confettis et compagnie.
Sarko a essayé de convaincre tout le monde qu’il était le président 2.0; qu’il passait ses nuits à chater sur msn tout en peaufinant son profil Facebook alors qu’il y a peu, il refusait à son ministre Bernard Kouchner l’organisation d’un sommet pour la défense de la liberté d’expression et le soutien des dissidents numériques de pays comme l’Iran. Il en fallait plus pour l’empêcher de prononcer un assez grotesque discours au cours duquel internet a été réduit a un vulgaire outil permettant de faire toujours plus de pognon. Et l’ego des stars-PDG de Google, Facebook etc a bien été flatté: la paternité du web leur a carrément été attribuée par notre cher président (ne le prenez pas mal populace d’internautes !) Pendant de très longues minutes, il n’a cessé de courtiser tout en faisant croire à la nécessité d’adopter une posture régulatrice pour le web. Et c’est là que ça se complique:
Oui, Sarko rêve d’un internet contrôlé…hum ! régulé. Les luttes contre la pédopornographie et pour le respect de la sacro-sainte propriété intellectuelle viennent justifier cette entreprise de censure du net. Il faut comme d’habitude émouvoir ! Et oui, violer les petits enfants c’est pas bien, et non on est pas content que Johnny il soit tellement pauvre à cause des impôts qu’il doive se barrer en Suisse, alors on va pas en plus allumer le feu et télécharger illégalement « Gabrielle » pour mettre sur notre baladeur mp3!

Différentes lois ont déjà entamé les libertés des internautes (Hadopi, Loppsi II etc) mais malheureusement (façon de parler), les législations ne sont pas toujours accordées au niveau international. C’est surtout là qu’est le problème et l’un des obstacles au rêve de « Chine-ternet » au niveau mondial de Sarko. Le discours des entreprises comme Google semble officiellement hostile à cette régulation par les États. Il y a beaucoup trop d’argent à perdre même si la loi n’est pas toujours un obstacle à la course au profit (cf: la numérisation à grande échelle de livre encore soumis au droit d’auteur). Mais il ne faut pas faire l’erreur de penser qu’elles sont pour autant pour le web libre car ces entreprises appliquent déjà à leur manière un filtrage du net. Elles fichent déjà les internautes et stockent déjà des tonnes de données sur nos habitudes de navigation, nos sources d’intérêts, notre profil etc. Il s’agit en fait plus probablement de savoir, qui dans cette affaire aura le plus gros bout de la couette! Reste à savoir dans quelles mesures ces différents acteurs seront capables de collaborer et de partager leur ambition commune d’un internet contrôlé par quelques uns.

Et maintenant ?
-Le eG8, préalable au sommet du G8 de Deauville a par ses débats, alimenté une déclaration commune rédigée par les chefs d’États:  http://www.g20-g8.com/g8-g20/g8/francais/en-direct/actualites/un-nouvel-elan-pour-la-liberte-et-la-democratie.1313.html Comme on pouvais l’attendre, rien de concret à se mettre sous la dents; rien que des déclarations généralistes mais surtout un rappel de la nécessité de préserver le droit à la propriété intellectuelle sur le net.

-A peine le eG8 était-il terminé que les réactions se faisaient entendre. Le CNN (conseil national du numérique) a pris ses fonctions en dénonçant la taxe dite « Google » qui devait être mise en application début juillet. Tirant une légitimité de la Silicone Valley mania du sommet, le CNN défend les intérêts de ses semblables (étant composé d’entreprises du secteur web) et s’insurge contre cette taxe. Devant ne représenter que 1% des revenus publicitaires touchés par l’entreprise, ce qui est loin de ruiner le mastodonte en position de quasi monopole, elle n’en reste pas moins une aberration pour le conseil. Il ne faudrait bien sûr pas accabler les entreprises innovantes (géolocalisation, filtrage des web mail, spywares…) pour des réformes soviétiques comme celle-là !

-Face à l’absence totale de légitimité de cette mascarade, un contre sommet s’est improvisé avec des organisations réfractaires comme la quadrature du net.

Peut-on encore avoir confiance en Firefox? C’est la question que l’on est en droit de se poser après la découverte qui a été faite sur l’un des modules que son site met à disposition: Ant Video Downloader.

Le chercheur indépendant Simon Newton s’est rendu compte que ce module qui sert à télécharger ou visionner des vidéos, collecte des informations sur ses utilisateurs comme: les adresses des sites visités ainsi que l’heure de connexion, des informations sur le navigateur et des cookies pro à chaque utilisateur et permettant donc de les identifier.

Ce comportement a été également observé lors de l’utilisation du mode navigation privée de Firefox, de VPN ou encore du réseau Tor.  (cf: http://www.developpez.com/actu/32229/Firefox-Ant-Video-Downloader-trace-les-utilisateurs-Mozilla-oblige-de-retirer-l-extension-populaire-de-sa-galerie/)

La réaction de Firefox est dans cette affaire peu rassurante. Certes, la fondation Mozilla qui finance le projet n’est pas responsable de la programmation du module qui était d’ailleurs présenté comme étant  en phase expérimentale. Mais elle a tout de même déclaré que la collecte d’informations n’est pas forcément contraire à ses critères d’admissibilité (!). Sept millions de téléchargements ont été effectués pour cette extension qui a été retirée selon Mozilla mais qui est à l’heure de l’écriture de ce post toujours (à nouveau?) disponible sur le site. Aucun avis ne fait mention de cet incident et seuls les commentaires d’utilisateurs informent les internautes du danger que comporte son utilisation!