Julien Pauli DevPHP blog

Un article de doctorrock    2 Commentaires

Personne n’aime l’idée du BigBrother qui les espionne, et pourtant le Web est tout à fait propice à celà.

Prennez votre FAI. Simple : il est votre réseau, il peut donc tout savoir de votre surf. Soit en descendant dans TCP/IP, soit simplement en monitorant son serveur DNS (vous pouvez par contre très bien utiliser des DNS ouverts et libres comme OpenDNS ;-))

Mais ce n’est pas tout. Par exemple les barres d’outils des navigateurs sensées vous aider, vous espionnent. C’est pas pour rien que des pactes commerciaux sont passés entre certaines sociétés qui vous proposent souvent d’installer une barre hors sujet par rapport à leur activité.

Autre chose: HTTPS. HTTPS fonctionne sur SSL grâce à des certificats. Lorsque votre navigateur se connecte via HTTPS, il reçoit un certificat et va alors demander à l’autorité qui a fournit celui-ci, s’il est valide. Seulement ces autorités sont très peu en nombre (Thawte, Verisign …), Verisign détient environ 57% des certificats SSL et lorsqu’on sait qu’un certificat est souvent à usage unique (il ne concerne qu’un seul site), on peut donc supposer que ces autorités sont capables de connaitre toutes les connexions de la planète vers ces sites là (sites marchands typiquement). Heureusement que ceux-ci ne semblent pas envoyer de cookies aux clients, sinon il y a traçage en règle…

Si on parlait des pages par défaut des navigateurs. Là il y a à redire. Chaque fois que vous ouvrez votre navigateur, la page d’accueil que vous chargez sait que vous avez ouvert celui-ci.
Pire, la page d’accueil d’Apple pour Safari inclut un lien vers metrics.apple.com qui collecte tout un tas de statistiques vous concernant comme la résolution d’écran, les plugins de navigateurs. Certaines fois des requêtes vers metrics.apple.com redirigent vers Doubleclick.net (que l’on ne présente pas).
La page d’accueil de Opera, elle, utilise GoogleAnalytics.
Or certains d’entre eux peuvent clairement vous identifier, grâce à un cookie de session unique.
Microsoft et sa page MSN utilisent m.webtrends.com qui vous envoie un cookie dès l’ouverture de votre navigateur. Ils peuvent ensuite vous tracer sur les sites où ils incluent un lien, grâce notamment au referer HTTP (qui est désactivable, du moins sous Firefox).
Méfiez vous aussi de Microsoft et de ses tendances à vous rediriger vers microsoftxxxx.msn.com. Le domaine MSN possède souvent un cookie car beaucoup de personnes utilisent la messagerie WindowsLive et hotmail. Un cookie permanent est utilisé et donc Microsoft sait quand vous ouvrez votre navigateur, et quand vous surfez sur leurs sites ou les sites de leurs partenaires.
Idem pour Google et iGoogle. Si vous avez un cookie permanent (Gmail ?), alors dès que vous ouvrez votre navigateur, Google sait que vous l’avez ouvert et tous les sites de ses partenaires peuvent inclure des liens vers google.com (et donc votre navigateur les suivra gentiment en envoyant le cookie permettant de vous identifier de manière unique).

Les filtres anti phishing. Génial ça ! Rien de mieux pour s’introduire dans votre surf privé.
Pour chaque URL visitée, une vérification en base de données est faite pour savoir si ce site là ne comporte pas de risque. Comment est faite cette vérification ? Certains navigateurs téléchargent en local cette base de données : pas de fuite d’informations privées donc, et la requête est locale donc beaucoup plus rapide. Mais certains seulement …
La palme est détenue par Opera : Leur filtre de vérification de site, activé par défaut, envoie une requête en temps réel pour chaque domaine visité à sitecheck2.opera.com. Opera peut donc savoir, s’ils le souhaitent, toute l’utilisation qui est faite de leur navigateur. En revanche ils n’utilisent pas de cookie traceur, ils doivent se résoudre à l’IP, ce qui est déja pas mal lorsqu’on sait que l’IP fixe est de plus en plus proposée par les FAIs.
On pourrait soupçonner IE8 et ses « sites suggérés »

Bref, ça fait froid dans le dos tout ça. Toutes ces sociétés savent trier et exploiter ces millions d’informations quotidiennes qu’elle reçoive, ahh les statistiques et le datamining…
Certes un utilisateur avertit qui connait le fonctionnement du Web (un professionnel du Web) sait tout ça, et sait le contrer. Mais quid des autres utilisateurs Lambda qui ont encore peur d’allumer « leur ordinateur » sous peine qu’il n’explose (je caricature) ?
Ces personnes là sont-elles au courant qu’elles sont espionnées, contre leur gré, par des grandes sociétés et à des fins bien sombres ?
C’est bien joli d’indiquer « qu’aucune information personnelle n’est envoyée », c’est comme si rien n’était fait (ne soyons pas naïf, la compléxité des systèmes d’informations est telle que personne ne peut vérifier ce genre d’affirmation).
Le plus simple pour vérifier tout cela et le contrer niveau utilisateur est le forward proxy.

Le web est vraiment passionnant n’est-il pas ?