Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

Proposé au vote au sénat des États-Unis depuis la semaine dernière, le projet SOPA (the Stop Online Piracy Act) tient Internet en alerte. Étant une véritable menace pour la liberté d’expression et la vie privée, il semble malgré tout bien dans l’air du temps lorsque l’on observe les mesures prises par Google cette semaine, ou encore le projet Hadopi 3.

Google: les rebelles de salon

Ne nous ayant que peu habitués aux positions militantes, les géants du web (Google, Facebook, Linkedin…) qui s’opposent à SOPA ont cependant été clairs dans leur lettre de contestation, en se proposant pour « fournir des outils supplémentaires pour lutter contre les sites Internet étrangers voyous voués à la contrefaçon ou à la violation de la propriété intellectuelle ».

Faisant feu de tout bois, de la censure comme du « piratage » (voir le projet Google Book), la firme de Mountain View s’est illustrée cette semaine en enlevant de sa liste de suggestions, plusieurs sites de téléchargement dont The pirate Bay, 4shared, IsoHunt, BTJunkie, FileSonic ou encore FileServe.

Ayant déjà effectué ce type de démarche en début d’année pour Megaupload notamment, il est intéressant de noter que ces petites censures (qui semble-t-il peuvent avoir une influence non négligeable sur l’accès effectif aux sites), s’accordent assez bien avec les attentes des mêmes sociétés qui défendent SOPA.
Rappelons-le, une liste de sites indésirables avait déjà été publiée par l’association américaine de l’industrie cinématographique (MPAA) il y a un an, comprenant ces mêmes sites.

La semaine du passage de la loi au sénat, la RIAA (Recording Industry Association of America) annonçait elle aussi sa liste noire des sites à bloquer. Sans grande surprise, on se rend compte une fois encore que cette liste comporte des similitudes avec celle que Google a utilisée pour amputer sa base de suggestions du moteur de recherche.

Même s’il ne s’agit pas encore du blocage pur et simple des sites comme cela est réclamé par SOPA, et que ces listes ne sont pas bien surprenantes étant donnée la réputation de ces sites, cet alignement de Google sur de simples demandes des lobbys en dit long sur son attachement à un web libre…

Hadopi 3: taper au porte-monnaie

L’intervention de Sarkozy au forum d’Avignon cette semaine, à l’occasion de  laquelle le président s’est une fois de plus illustré en cageolant les professionnels de la « culture », a sonné le départ des hostilités sur Hadopi 3.

Comme d’accoutumée, le discours démagogique et mensonger (le piratage aurait parait-il baissé de 35% depuis Hadopi), a donné lieu à la préparation d’une nouvelle loi.

Hadopi 3 serait censée s’occuper du streaming illégal, et repousser une fois de plus les fans de Desesperate Housewifes derrière la ligne Maginot.

Ainsi, l’Hadopi a dors et déjà annoncé dans une lettre: « l’ouverture d’un dialogue intensif avec les sites et plateformes concernés ainsi que tous les intermédiaires qui contribuent à leur fonctionnement, dont notamment les établissements bancaires, intermédiaires de paiement ou de micro-paiement, et régies publicitaires, afin d’évaluer la situation et les moyens qu’ils pourraient mettre en œuvre pour y remédier ».
Ça ne vous rappelle pas SOPA ça?

Après, quand on a la Loppsi II, ou des méthodes comme celles employées récemment pour le site Copwatch, rien ne dit que ce ne sont pas plutôt les États-Unis qui nous ont copié dessus!