Lorsque l’on utilise Tor Browser, un Firefox modifié qui permet de se connecter au réseau Tor, le module NoScript autorise javascript par défaut. Et lorsque l’on a bien appris sa leçon, on sait que javascript c’est plutôt moche question sécurité. Mais le problème qui se pose alors, c’est que sans scripts, c’est souvent le site visité qui devient moche, voir inutilisable. Dilemme…

S’il n’y a comme d’habitude pas de solution miracle, mais la FAQ du site du projet Tor propose une explication à la question que vous vous étiez peut-être comme moi posée.

Premièrement, l’équipe souligne que l’importance qu’a pris javascript dans la construction des sites aujourd’hui porte le débat non plus uniquement sur la sécurité, mais aussi sur « l’accueil » des nouveaux utilisateurs de Tor. Si les sites sont à moitié fonctionnels ou ont l’air de ne pas être consultables par le biais Tor, le risque le plus probable est que ces personnes cessent tout simplement d’utiliser car ne sachant pas configurer NoScript, ce qui n’est évidemment pas souhaitable.

D’un autre côté, le problème de sécurité reste, mais il n’est pas nécessairement résolu non plus par des choix plus restrictifs de l’utilisateur. En effet, le fait de n’accepter que les scripts de quelques sites, pourrait s’avérer aussi parlant sur vos habitudes, et surtout votre indentité, qu’une bonne paire de cookies déposés sur votre ordinateur. Ouch! N’avais pas pensé à celle-là.

Les développeurs de Tor ont ainsi équipé le Torbutton (le petit oignon vert en haut à gauche) de fonctionnalités permettant de bloquer les scripts potentiellement dangereux. Et NoScript est toujours là pour s’occuper d’éventuelles attaques jouant sur les failles éventuelles du navigateur, même si les scripts sont autorisés.

Si vous le pouvez, il est donc toujours préférable de tout bloquer à l’aide de NoScripts, mais en cas de besoin, vos arrières sont assurés. Ça n’est pas une raison pour aller regarder des vidéos en flash non plus! 😉

Pour les plus consciencieux d’entre vous, il reste la solution du système live Tails, qui probablement renforcera encore vos chances d’augmenter votre sécurité et votre anonymat…

Moralité: les outils c’est bien, mais des outils et de la réflexion c’est mieux.

Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

Vous avez très certainement déjà entendu parler de Flash Player. Il s’agit d’un lecteur multimédia distribué par la société Adobe et qui est très fréquemment utilisé lors de la navigation sur le web. Par exemple, les vidéos que vous regardez sur Youtube ou Dailymotion sont affichées grâce à ce lecteur. Certains sites sont entièrement développés grâce à la technologie Flash. La place que cette dernière occupe aujourd’hui dans le quotidien des internautes est donc non négligeable.

Flash pose cependant un certain nombre de problèmes. Pour les personnes qui défendent les principes du logiciel libre, il n’est clairement pas un allié. Étant propriétaire, le format Flash ne peut en principe se lire que grâce au lecteur Flash. Cela signifie donc que si par hasard vous aviez l’idée saugrenue de voir une vidéo sur internet, le choix des outils serait assez limité. C’est ainsi qu’il s’est retrouvé installé sur d’avantage de machines que ne l’est Windows de Microsoft.
Le propre des logiciels ou des formats propriétaires est également de masquer la façon dont ils fonctionnent. Dans le cas présent, il est impossible de savoir précisément ce qui ce passe sur notre ordinateur.

Les cookies LSO

Les cookies LSO (Local Shared Object) ou « cookies Flash » sont de petits fichiers qui s’enregistrent sur l’ordinateur de l’usager sans prévenir et sans autorisation. Ils résistent à la manipulation qui consiste à effacer les cookies « traditionnels » par le biais du navigateur web. Il y a quelques temps, ils s’incrustaient même lors de la navigation privée.
Autant dire que Flash pose un sérieux problème en ce qui concerne la vie privée et le droit à maîtriser les informations qui transitent par nos machines.

Les cookies LSO permettent donc de tracer les déplacements des internautes ayant utilisé la technologie Flash (soit à peu près tout le monde).
Les site auxquels vous avez accédé, les types de contenus, les paramètres de connexion et de navigation y sont enregistrés. N’ayant pas de date d’expiration, ils permettent de servir de base pour recréer des cookies « traditionnels » qui eux, ont une date d’expiration. Leur but est bien de contourner le peu de contraintes les encadrant et de neutraliser les outils proposés pour s’en prémunir par les navigateurs web. Ils n’attendent donc que vous pour être mis à la poubelle!

Où se cachent-ils?

Avant d’aller à la corbeille, passez par la case:

Linux: ~/.Macromedia/#SharedObjects
~/.Macromedia/macromedia.com

Windows: C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\#
C:\Documents and Settings\UserName\Application Data\Macromedia\Flash Player\macromedia.com\

Mac: ~/Library/Preferences/Macromedia/Flash Player/#SharedObjects/
~/Library/Preferences/Macromedia/Flash Player/macormedia.com/

 Comment limiter les nuisances?

• Plutôt que d’effacer manuellement les cookies LSO, il est possible de télécharger betterprivacy. Cette extension pour Firefox vous permettra de les supprimer à chaque fermeture du navigateur par exemple.

• Le site de Flash propose une désactivation afin d’empêcher tout stockage sur les ordinateurs mais plusieurs personnes ont rapporté que cela ne fonctionnait pas chez eux. C’est également mon cas.

• Youtube et Dailymotion proposent maintenant l’affichage des vidéo grâce au langage htlm5. C’est une alternative qui se développe de plus en plus et qui permet de passer par l’un de vos lecteurs vidéo plutôt que par celui de Adobe. C’est plutôt une bonne nouvelle dans notre cas!
  Rendez-vous sur www.youtube.com/html5 ou www.dailymotion.com/html5

• Attention: l’extension Flashblock de Firefox ne fonctionne pas pour les cookies LSO. Elle est censée isoler le contenu Flash et ne permettre d’y accéder qu’en cliquant sur la cible mais je me suis rendu compte qu’en réalité le contenu était tout de même téléchargé. Même sans débloquer la vidéo, le cookie est déposé sur votre ordinateur.

• No script pourra être utilisé à la place mais il est un peu plus délicat à configurer. Ce sera probablement l’objet d’un prochain article.

Se passer de Flash?

Malgré le constat émis au début de cet article, il est en réalité envisageable de se passer de Flash. Et en plus, cela n’implique pas forcément de renoncer à vos soirées vidéos sur Youtube! 😉
L’une des propositions les plus alléchantes est certainement Gnash. Il s’agit d’un lecteur libre développé par la Free Software Foundation et ayant pour but remplacer le lecteur d’Adobe.
Cette solution libre est très intéressante et plutôt au point, mais elle ne permet malheureusement pas toujours d’afficher certains sites entièrement gérés en flash (c’est le cas pour Deezer par exemple) et elle peut contenir encore quelques bugs.
Edit: Gnash gère également les cookies LSO. Il convient donc de garder BetterPrivacy mais il faudra modifier dans les options, le répertoire dans lequel il ira chercher ces cookies. Il ne sera plus macromedia mais gnash/SharedObjects.

Une autre extension de Firefox permettra d’élargir les possibilités offertes par Gnash (notamment pour Dailymotion qui semble encore poser problème): GreaseMonkey. Grâce à elle, vous allez pouvoir ajouter de nouvelles fonctionnalités au navigateur. Vous ajouterez pour cela le script Linterna Màgica (cliquez sur « Userscript (not compressed) », sur « Download » (dans la nouvelle page) puis sur « Installer » dans la fenêtre qui s’ouvre) ou encore ViewTube (cliquez sur installer) qui prend en charge de nombreux lecteurs aussi. Une fois fait, les vidéos s’ouvriront dans un nouveau lecteur (si cela ne marche pas chez vous, téléchargez VLC) au lieu de passer par celui d’Adobe.

Le développement du html5 et des balises <video> qui permettent d’inclure des vidéos sans faire appel au lecteur Flash est certainement l’une des voies les plus intéressantes pour les personnes qui souhaitent se débarrasser de Flash.
(L’article traite ici principalement de la question de la vidéo mais cela n’est pas l’unique façon d’utiliser Flash, loin de là! Heureusement, de nombreuses autres possibilités offertes par le html5 développeront les outils pour se prémunir contre les dangers de Flash pour notre vie privée. Il faudra patienter encore un peu le temps que cela soit suffisamment intégré.)