Protéger sa vie privée sur le Web, exemple avec Firefox

Posté par Collectif le 26 février 2018 à 17:02. Édité par antistress, M5oul, Davy Defaud, PolePosition, Bruno Michel, Benoît Sibaud, Xinfe, Anonyme, BAud, Stéphane Aulery, Nils Ratusznik, _PhiX_, aurel, palm123, bolikahult, Julien.D, chdorb, da_kal, Nÿco, alendroi, Rozé Étienne, Gorta, anaseto, ariasuni, Johann Ollivier-Lapeyre, nanoseb, patrick_g, Milo, Jiel, François, DL, Xavier Combelle, Julien Wajsberg et _alex. Modéré par Nils Ratusznik. Licence CC By‑SA.

Étiquettes :

fév.

2018

Un internaute peut penser que sa navigation sur le Web est noyée dans la masse, et que personne ne s’intéresse à la pister, puisqu’elle n’a pas d’importance particulière. C’est le genre de réponse que l’on peut entendre autour de soi quand on tente de sensibiliser au pistage. Ces assertions ne sont malheureusement pas valables. Bien au contraire, le comportement des internautes intéresse beaucoup les grandes sociétés : beaucoup fondent leur modèle économique^W de fonctionnement dessus, pour refourguer de la publicité au passage qui est leur vrai client payant (vu que c’est gratuit en utilisateur, tu es le produit :/).

À partir des données recueillies, des techniques de manipulation sont appliquées aux internautes comme le datamining, le neuromarketing, le biais cognitif, etc. Ces techniques ont atteint une telle maturité et efficacité qu’il est impossible de ne pas en être victime. Il ne se passe pas une semaine sans que de nouveaux articles paraissent sur de nouvelles techniques. Même être conscient de l’existence de ces biais ne permet pas de s’en protéger directement. Tout cela est l’objet d’une marchandisation monstre dans lequel nous sommes tous plus ou moins victimes. Cet article vise à sensibiliser le lecteur et à proposer des solutions efficaces afin qu’il puisse préserver sa vie privée, son autonomie, son libre arbitre, sa liberté et son indépendance, ou simplement ne pas se faire polluer de pub clignotant à foison sur chaque page consultée.

Sommaire

Définition
En quoi le pistage est‐il un problème pour les internautes ? Y compris pour ceux qui prétendent n’avoir rien à cacher.
Récupération de données
Analyse, traitement
Florilège non exhaustif de techniques de pistage
Comment se protéger ?
À présent, sommes‐nous entièrement protégés ?
Conclusion
Contribuer
Les pratiques des auteurs de cette dépêche

Ligtbeam-extremum

Définition

Le pistage est la collecte silencieuse de données lors des activités en ligne des consommateurs et leur accumulation, aux fins d’établir les profils de ces consommateurs de la manière la plus complète possible en vue de personnaliser les publicités affichées.

Connaître les centres d’intérêts, les goûts, les opinions, les désirs, les préoccupations ou les inquiétudes des consommateurs, bref, leurs pensées intimes, est un prérequis au ciblage publicitaire.

En quoi le pistage est‐il un problème pour les internautes ? Y compris pour ceux qui prétendent n’avoir rien à cacher.

Les entreprises qui pistent la navigation des internautes réalisent des modèles de comportement et des analyses très poussées. Les personnes n’ayant soi‐disant « rien à cacher » sont victimes de manipulations. Et, par définition, la manipulation oblige la personne à effectuer une action (achat ?) qu’elle n’aurait pas faite sans ladite manipulation. Tout cela est insidieux, puisque la personne a l’impression d’agir selon sa propre volonté, alors que cette volonté fut guidée !

Sans tomber dans la paranoïa, une citation de Snowden vaut le détour :

« Le fait de dire qu’on se fout de la vie privée parce qu’on a rien à cacher revient à dire qu’on se fout de la liberté d’expression parce qu’on a rien à dire. »

Récupération de données

Un nombre impressionnant de sites Web commerciaux pistent des internautes, que ce soit pour connaître la fréquentation du site, analyser le parcours des internautes sur le site, ou pour maximiser les ventes en suggérant d’autres produits que ceux recherchés à l’origine par l’utilisateur. Qui ne s’est jamais vu suggérer un produit sur Amazon, suite à la recherche ou la commande d’un autre produit ? Qui n’a jamais reçu de publicité ciblée suite à une recherche comme « Nikon D300s » sur un site Web ?

Ceci fait suite à la récupération des mots‐clefs de recherches sur Internet ou des pages visitées.

En effet, beaucoup de sites Web comportent des Web bugs (en français : pixel espion ou pixel invisible) ou des scripts JavaScript qui envoient des données à, par exemple, Criteo qui est l’une des plus grosses sociétés de « reciblage publicitaire ». Cette société (cotée au NASDAQ, ce qui montre l’ampleur de son business) affiche ensuite des publicités ciblées, sur l’un des sites Web que vous visitez ensuite.

Et c’est là que réside toute leur force : imaginez que toutes les pages (on va dire toutes, pour simplifier le raisonnement) de chaque site Web au monde envoient des données à Criteo. Ces données sont du type : quelle empreinte (empreinte numérique de navigateur ou canvas fingerprinting en anglais), quelles ont été les pages visitées, quels liens furent cliqués.

Ce sont des dizaines de gigaoctets de données que reçoit chaque jour Criteo. Cette omniprésence lui permet d’être efficace et donc d’avoir un pouvoir de manipulation redoutable.

Analyse, traitement

Les sites qui mettent en place des publicités envoient les données récupérées aux régies publicitaires. Les régies sont donc en mesure de savoir quels noms de domaines vous intéressent en fonction des sites et des pages et des articles commerciaux que vous visitez. Mais le ciblage des publicités ne s’arrête pas là, puisque les périphériques que vous utilisez pour naviguer sur le Web sont également pris en compte.

Beaucoup de personnes pensent que les publicitaires ne s’intéressent pas à l’identité de l’internaute. Et ils ont raison. Ce n’est pas qui vous êtes qui est utile, mais plutôt quel type de personne vous êtes. Vous êtes jeune ou plutôt la cinquantaine ? Vous avez les moyens ? Vous êtes un homme ? Une femme ? Tous ces critères permettent de mieux cibler le consommateur pour augmenter les chances que la publicité proposée lui soit pertinente.

Quelques liens :

Florilège non exhaustif de techniques de pistage

Voici différentes techniques de récupération des données des internautes couramment utilisées, le plus souvent de manière cumulative. Ces techniques ont toutes pour point commun d’introduire subrepticement des tiers dans la relation entre l’internaute et le site Web qu’il choisit de consulter. Elles ont donc toutes pour effet de déclencher à l’insu de l’utilisateur des requêtes de son navigateur vers des sites tiers.

Lors de la visite d’un site, des données sont récupérées par les sites tiers. Ces requêtes peuvent être utilisées afin d’analyser la fréquentation du site, d’afficher un contenu multimédia, d’afficher des boutons de partage comme ceux de Facebook, des bibliothèques Web qui permettent par exemple d’afficher le texte de la page dans une belle police de caractères.

Par exemple, [[Google analytics]], qui est un outil gratuit qui permet d’analyser l’audience des sites Web. Cet outil détient 80 % du marché mondial, ce qui lui donne le pouvoir de pister tous les internautes qui visitent les sites qui utilisent ce service.

Quelques exemples des pratiques de Google et Facebook.

Les pratiques traditionnelles de pistage sont basées sur les cookies HTTP et l’adresse IP. Mais, depuis, de nombreuses autres techniques ont été développées à cet effet.

Les cookies HTTP

Les cookies (ou plus simplement des données) sont stockés sur la machine de l’internaute pour « améliorer l’expérience utilisateur ». Les cookies peuvent contenir l’identifiant de l’utilisateur, la langue qu’il a choisie, stocker le contenu d’un panier d’achat électronique… Cependant, ces informations permettent aussi de le pister.

Les cookies Flash

Le greffon Flash Player utilise son propre système de cookies appelés LSO (Local Shared Objects, ou objet local partagé en français) et surnommés « super cookies ».

Cf. Objets partagés par Adobe Flash localement, les objets locaux partagés.

Les scripts JavaScript

Dans les pages Web sont inclus des scripts, souvent du JavaScript. Ces scripts s’exécutent au sein du navigateur (côté client et non du côté serveur, ils peuvent donc potentiellement envoyer des données à des serveurs). Ces scripts peuvent être vraiment utiles étant donné qu’ils apportent beaucoup de fonctionnalités très appréciables. Par exemple, un site Web peut demander au navigateur quelle est la résolution de l’écran, quelles sont les polices de caractères installées. Ceci permet d’afficher le contenu de la page correctement. Le site Web peut également demander au navigateur de s’identifier (Internet Explorer, Firefox, etc., c’est ce qui s’appelle le User-Agent. Ceci permet de s’assurer que la page Web s’affiche bien. Par exemple, si la page web comporte des formules MathML, et que le navigateur Web ne gère pas bien l’affichage, le serveur peut décider d’envoyer une image représentant la formule mathématique.

Les services incorporés

Ces services peuvent être incorporés par n’importe quel webmestre dans des pages Web de son site pour leur apporter une fonctionnalité. Ce sont principalement les services de Google qui traquent : Google Maps, Google Analytics, YouTube, bouton de partage Google+, la publicité avec AdSense, Google Traduction, qui permet de traduire le site dans votre langue, les polices hébergées, les API et les scripts JavaScript.
Il y a aussi d’autres régies publicitaires, Facebook et Twitter avec les boutons Like.

Les pixels invisibles

Les pixels espion, pixels invisibles ou encore Web bugs en anglais, sont présents dans les sites Web. Cette technique permet de pister en déposant un cookie lors de la visite d’un site A et de le récupérer lors de la visite d’un site B.

Balise‐entité ETag HTTP

La balise‐entité ETag HTTP permet une gestion intelligente du cache du navigateur : au fichier adressé au navigateur (page Web, image…) va être joint son empreinte : si l’empreinte du fichier demeure inchangée lors d’une prochaine visite, le navigateur n’aura pas à récupérer ce fichier à nouveau et pourra le servir à partir de son cache.

Le système peut être détourné aux fins de pistage de l’internaute : si le serveur est configuré pour attribuer à chaque navigateur un ETag unique, il lui suffit de consulter sa base de données lorsqu’un navigateur se reconnecte pour le reconnaître. Même si vous désactivez les cookies, le JavaScript et utilisez un réseau privé virtuel (VPN), cette technique permet de vous pister.

Pour éviter cela, une fenêtre de navigation privée permet d’éviter le pistage par le cache du navigateur, random agent spoofer.

Stockage Web local (ou stockage DOM)

La fonction de stockage local faisait partie initialement de la norme HTML 5, avant de prendre son indépendance. Sans entrer dans la technique, considérez également cela dans le cadre de cette dépêche comme des super cookies (grande capacité de stockage, persistance).

L’URL

L’adresse URL peut être utilisée comme véhicule d’informations aux fins de pister l’utilisateur. Un identifiant de campagne lui est alors adjoint (commençant typiquement par utm= ou xtor=, par exemple) suivi de différents paramètres qui serviront à connaître par exemple la provenance du lien. Google Analytics, Feedburner et d’autres y ont recours.

N. B. : Ces pratiques sont réglementées par la CNIL.

Le référent HTTP

Le référent (ou referer en anglais) est une information transmise au site qu’il visite, lui indiquant l’URL de la page où se situe ce lien qu’il a suivi. Cela permet aux webmestres de faire des analyses sur la provenance de ses visiteurs. Par exemple, le serveur ajax.googleapis.com fait usage du référent HTTP pour connaître la page visitée lorsqu’une requête lui est adressée.

À noter qu’à partir de la version 59 de Firefox, dans les pages de navigation privée, il est prévu que le référent transmis se résumera au seul nom de domaine (l’URL entière sera masquée).

L’adresse IP

L’adresse IP permet de géolocaliser l’internaute avec la GeoIP, d’écouter le trafic IP avec une attaque de l’homme du milieu ou avec un accès aux journaux système de différents serveurs.

IPv4

L’adresse IP publique permet le pistage lorsque que l’on a une adresse IP fixe. Avec une adresse IP dynamique, le pistage est un peu plus dur. Si l’on est plusieurs utilisateurs derrière la même adresse IP publique, cela permet de brouiller le pistage.

IPv6

Un des inconvénients connus d’IPv6 est le fichage du trafic des ordinateurs particuliers pour le pistage. En effet, une des propriétés du protocole NAT était d’utiliser une seule adresse IPv4 publique pour plusieurs appareils, ce qui rendait plus difficile le fichage des utilisateurs, puisque plusieurs d’entre eux utilisaient la même adresse pour se connecter à Internet.

Il faudrait donc veiller à ce que les clients du réseau changent d’adresse IP publique pour rendre le fichage plus difficile. Il pourrait changer à travers le temps et selon le réseau auquel il se connecte.

Détails et solution dans la dépêche Garder sa vie privée avec IPv6.

Pistage DNS

Pour pouvoir accéder à un site, via son nom de domaine, il faut connaître son adresse IP. C’est la résolution DNS qui s’occupe de ça. Elle consiste à demander au résolveur DNS quelle est, par exemple, l’adresse IP de fr.wikipedia.org. Ce dernier va retourner l’adresse IP qui permettra d’accéder à Wikipédia.

Notre connexion réseau est par défaut configurée pour que l’on utilise le résolveur DNS de notre fournisseur d’accès à Internet. Le problème étant que le résolveur DNS a connaissance des sites que l’on consulte. Si de plus en plus de personnes font de l’auto‐hébergement, à savoir que chaque internaute ait son nom de domaine, il devient de plus en plus facile de connaître les personnes avec lesquelles on communique que ça soit via la messagerie instantanée ou le courrier électronique.

L’empreinte numérique

L’empreinte numérique (fingerprinting en anglais) est l’identité du navigateur Web utilisé, sa version, le système d’exploitation et sa version. Ces informations sont envoyées aux sites que l’on visite afin de permettre au site de nous envoyer un contenu adapté à notre navigateur et notre système d’exploitation.

Cf. Web Browsers Leave “Fingerprints” Behind as You Surf the Net.

Le onboarding

Le onboarding consiste à pister les internautes aussi bien en ligne que hors ligne, à partir de leur véritable identité, via leur adresse de courriel : il suffit que le magasin « en dur », à qui vous venez de révéler votre adresse électronique, communique ces éléments en ligne à un site de pistage pour que celui‐ci vous étiquette aux fins de pistage lorsque vous saisirez à nouveau votre adresse de courriel auprès d’un site partenaire (lire ici). Le déploiement de mouchards numériques dans le monde analogique (qu’il s’agisse du mobile que vous avez en poche ou des capteurs dédiés qui sont en train d’être déployés) crée un pont entre les mondes analogiques et numériques permettant le traitement automatisé et croisé des données pour un pistage total.

Le VPN

Et la palme du pistage le plus agressif revient à Facebook. Facebook a récemment intégré un VPN qui lui sert à espionner ces utilisateurs.

Comment se protéger ?

Deux formes de pistage sont possibles :

par le fournisseur du service en ligne que vous utilisez (en anglais : first party) ;
par des tiers (third parties).

online tracking

Pistage par le fournisseur du service utilisé

Admettons que vous décidiez d’utiliser un moteur de recherche sur le Web (par exemple Google Search), un webmail (au hasard Gmail), un site hébergeant des vidéos de tierces personnes (pourquoi pas YouTube), un site de cartographie (disons Google Maps), un site de réseau social (Facebook ?), un site hébergeant des blogues de tierces personnes (Blogger me vient à l’esprit), etc.

Jeu gratuit : un intrus est caché dans la liste précédente, saurez‐vous le trouver ?

Si ce service est (soi‐disant) gratuit et tenu par une entité commerciale, soyez à peu près certain que son fournisseur est le premier à vous épier lors des activités en ligne que vous menez sur son site, et à consigner minutieusement ces infos pour en faire un usage commercial. S’il ne sait pas le faire lui‐même, il le fera faire par un tiers (lire le paragraphe suivant : Pistage par des tiers).
geek & pote - pigs and the free_model - FR

Notez qu’il est acquis que les sociétés qui offrent des services pour lesquels vous êtes amenés à saisir du texte (moteur de recherche, réseau social…) consignent ce que vous écrivez au moment où vous l’écrivez, peu importe que vous décidiez au final de valider votre texte ou de l’effacer (ayez à l’esprit que ce que vous n’avez pas osé valider a encore plus de valeur pour qui désire vous connaître le plus intimement possible).

Il vous appartient en premier lieu de limiter le pistage de votre comportement sur la Toile en évitant ces sites qui recueillent discrètement vos données personnelles en contrepartie du service « offert » et, lorsque ce n’est pas possible ou facile, en diversifiant le plus possible les fournisseurs de service pour limiter l’accumulation et le croisement de vos données personnelles.

Néanmoins, les techniques de protection ci‐dessous peuvent être plus ou moins efficaces dans cette hypothèse, à condition toutefois que vous n’ayez pas créé un compte auprès des sociétés qui fournissent ces services : auquel cas vous êtes évidemment parfaitement identifié si vous êtes connecté avec ce compte (attention aux sociétés qui dirigent plusieurs services : par exemple, si vous utilisez l’interface Web de Gmail, sachez que vous restez connecté et donc identifié auprès de Google lorsque vous faites ensuite une recherche sur Google Search, ce qui permet à Google d’alimenter pleinement le dossier qu’il tient sur vous. La même chose est valable pour Yahoo! et Yahoo! Mail, et, côté Microsoft, pour Outlook et Bing).

Terminons avec un fournisseur de service un peu particulier : votre fournisseur d’accès à Internet (FAI), qui voit toutes vos connexions et toutes vos communications. Les conseils en ce cas sont : recours à un fournisseur d’accès à Internet associatif (v. la Fédération des fournisseurs d’accès à Internet associatifs, dite Fédération FDN), au chiffrement, à Tor ou à un réseau privé virtuel (VPN). Rappelons que, selon le droit français (et contrairement au droit européen), les FAI (et toutes les « personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l’intermédiaire d’un accès au réseau, y compris à titre gratuit »), pour les besoins de l’enquête judiciaire, doivent conserver pendant un an les données de connexion.

Pistage par des tiers

Dans ce cas, vous ne savez même pas que des sociétés parviennent à vous suivre de site en site pour collecter des données qui vous sont personnelles (vos goûts, habitudes, intérêts, opinions, etc.), ni qui elles sont (et elles sont très nombreuses). Cette forme de pistage revient à installer des caméras en douce chez vous pour espionner vos habitudes. Nous vous proposons ici des techniques de protection, c’est‐à‐dire de débrancher les caméras indiscrètes de votre domicile.

Et Mozilla réalisa que Firefox devait jouer un rôle actif contre le pistage

De mon point de vue, la prise de conscience du rôle actif que devait jouer Mozilla sur ces questions est tout à fait récente. En effet, Mozilla s’en est longtemps remis à son écosystème d’extensions tierces pour traiter cette question. Par ailleurs, j’avais noté qu’il n’existait pas de département « vie privée » chez Mozilla, mais seulement « sécurité et vie privée » ; or, lorsque deux portefeuilles sont regroupés dans un seul, c’est toujours au préjudice de l’un des deux.

Fidèle à son ADN (le pari de l’éducation et de la responsabilisation des acteurs), Mozilla s’était dans un premier temps engagé sur la question en faisant, début 2011, la promotion et l’évangélisation de bonnes pratiques à travers l’initiative Do Not Track (un réglage du navigateur qui traduit la demande de l’utilisateur de ne pas être pisté, intégré à la version 4 de Firefox sortie début 2011 et présent aujourd’hui dans la plupart des navigateurs). Cette initiative, activement promue par Mozilla auprès des éditeurs de sites et des annonceurs avec quelque réussite, respectée par Twitter, par exemple, a été torpillée par Microsoft, donnant aux Yahoo!, Facebook et Google le prétexte attendu pour ne pas respecter ce réglage. Cette liste ne serait pas complète sans Mozilla qui ne respecte pas non plus cette option…

Mais la prise de conscience de Mozilla qu’il ne pouvait plus rester neutre dans cette bataille et qu’il fallait dorénavant donner le pouvoir à l’utilisateur sur ces questions coïncide avec le lancement, en 2012, de l’extension Lightbeam (alors nommée Collusion) qui produit un graphique de toutes les connexions effectuées par le navigateur à des sites, en mettant en évidence leurs liens (lire ici).

Début 2013, Mozilla annonce que Firefox va bloquer par défaut les cookies tiers (à l’occasion de la version 22), décision qu’il décidera d’abandonner peu après pour deux raisons : les faux positifs (bloquer des cookies tiers qui n’en sont pas – comme lorsqu’un site a plusieurs domaines) et les faux négatifs (accepter des cookies first party qui servent à pister). La nouvelle orientation est donc de chercher une contre‐mesure qui soit plus granulaire.

Annonce fin 2014 de l’initiative Polaris pour chapeauter un travail partenarial sur les questions de la vie privée sur le Web. Les chantiers actuels sont : contribuer au projet Tor (comme premier résultat, Mozilla fournit dorénavant des relais Tor ; en outre, Mozilla travaille avec les membres du projet Tor à intégrer les correctifs qu’ils appliquent à Firefox pour réaliser leur navigateur sécurisé) ; implémenter dans Firefox une protection contre le pistage.

Cette protection contre le pistage (enfin !) consiste à bloquer les requêtes HTTP en direction des domaines connus pour pister les internautes au moyen d’une liste noire empruntée à l’extension Disconnect. Par défaut, elle n’est pas active, elle est même cachée pour le moment (sauf dans les dernières versions de Firefox, où il est possible de l’activer via l’onglet Vie privée des préférences du navigateur, mais seulement pour le mode particulier de navigation privée). Une page dédiée vous explique comme l’activer dans le mode de navigation normale, mais le plus simple est de l’activer par le bouton TRACKING PROTECTION que fournit Lightbeam.

Pour être complet, il faudrait encore citer l’intégration, fin 2014, de DuckDuckGo comme moteur de recherche alternatif supplémentaire dans la barre d’adresse.

Enfin, rappelons que, contrairement aux autres navigateurs, la fonctionnalité intégrée de protection contre les sites Web malveillants (Safe Browsing) de Firefox est conçue pour éviter les requêtes vers l’extérieur qui pourraient en révéler trop sur votre vie privée (Firefox télécharge une liste qu’il consulte en local, entre autres précautions).

Adopter un comportement prudent

Il peut être judicieux d’utiliser plusieurs profils différents pour isoler vos navigations ; par exemple, un pour votre surf quotidien, un pour vos besoins demandant davantage de sécurité, et un dernier profil « jetable ».

Modification de la configuration par défaut

une page sur mozilla.org liste les modifications à faire pour empêcher Firefox d’établir automatiquement des connexions sans la permission de l’utilisateur ; la version en anglais est plus à jour ;
désactiver les cookies tiers, dans l’onglet Privacy → History → Custom settings, never accept third‐party cookies ;
désactiver la géolocalisation : about:config, geo.enabled → false ;
désactiver la connexion silencieuse lors du survol d’un lien : about:config network.http.speculative-parallel-limit → 0 ;
désactiver le préchargement des liens : network.prefetch-next → False ;
désactiver le WebRTC (qui lorsqu’il est activé, il peut faire fuiter votre adresse IP) : media.peerconnection.enabled → false ;
désactiver Hello qui se connecte aux serveurs de Telefonica sans votre permission : loop.enabled → false ;
désactiver « block reported attack sites and Web forgeries », dont l’activation peut entrainer des fuites vers les serveurs de Mozilla ;
désactiver les suggestions de recherche. Celles‐ci sont envoyées au moteur de recherche, les suggestions basées sur les données locales fonctionnent toujours : browser.search.suggest.enabled → false (ou en passant par l’interface comme indiqué ici) ;
désactiver les polices Google : dans les Préférences → Vie privée → Exceptions, bloquez les domaines suivants : googleapis.com, gstatic.com, apis.google.com.

Pour ceux qui veulent aller plus loin, ghack-user.js est une excellente source.

Protections pour limiter le pistage

Voici des protections pour limiter le pistage sur le Web. Elles sont classées par ordre croissant d’efficacité, de difficulté à maîtriser l’outil, de contrainte et de détérioration du bon affichage du site.

La protection principale contre le pistage consiste en un mécanisme empêchant les connexions de s’établir vers des sites tiers à la demande du site visité. De cette façon, les sites tiers ne pourront rien enregistrer si votre navigateur ne les contacte pas (bonus : vous économisez la bande passante et les ressources de votre processeur). C’est le mécanisme mis en œuvre dans la protection contre le pistage embarquée dans Firefox (non active par défaut), ou encore par les extensions telles que Privacy Badger, Disconnect, uBlock Origin ou encore RequestPolicy Continued (voir ci‐après le descriptif de chacune d’elles). Il est également important d’éviter de recourir aux greffons (comme Flash, Java ou Silverlight) : ceux‐ci peuvent ouvrir des connexions à l’insu du navigateur ce qui rend difficile leur blocage.

Protections efficaces et peu exigeantes

Une fois mises en place, ces protections se font oublier :) :

Configuration de Firefox

Ces protections sont possibles pour Firefox avec le bon réglage (parfois, il existe une extension qui permet d’appliquer le bon réglage automatiquement) :

désactiver la transmission du référent : par les options de configuration de Firefox (cf. http://b.agilob.net/better-security-privacy-and-anonymity-in-firefox/) ou par une extension (par exemple, Smart Referer n’autorise l’usage du référent que sur le site courant).

Extensions pour Firefox

Ces protections sont disponibles sous forme d’extensions :

HTTPS Everywhere

HTTPS Everywhere (sous licence GPL version 2 et supérieures) a été présenté en juin 2010 par l’EFF et s’appuie sur l’implémentation STS de NoScript. Il force la connexion chiffrée dans le cas où le site le permet. Cela évite deux choses : d’une part, que le contenu transféré puisse être lu par ceux qui les intercepteraient ; d’autre part, que ce contenu puisse être modifié par ces mêmes personnes. En revanche, et comme le rappelle la FAQ, l’identité du site accédé (et même généralement l’adresse complète de la page accédée) voyage en clair, sauf à coupler HTTPS Everywhere avec Tor.

Privacy Badger

Privacy Badger (sous licence GPL version 3+) a été présenté en juillet 2014 par l’EFF et est sortie en version 1.0 en août 2015. Reprenant le code de ShareMeNot (qui lui permet de remplacer les boutons bavards des réseaux sociaux par des versions muettes reconnaissables au logo de l’extension apposé dessus) et s’appuyant sur celui d’AdBlockPlus, Privacy Badger pourrait avoir pour slogan « pister les pisteurs ». En effet, Privacy Badger ne fonctionne pas à partir d’une liste toute faite de sites à bloquer (liste noire) mais utilise un algorithme pour détecter dynamiquement des comportements de pistage par des sites tiers. Cette approche heuristique présente deux avantages : actualité (par la technique de l’apprentissage automatique la contre‐mesure est toujours à jour), impartialité (pas de pressions tierces concernant le contenu d’une liste centralisée préétablie).

Lorsque vous vous rendez sur un site, votre navigateur charge automatiquement des contenus de différents sites tiers : Privacy Badger recense ces sites. Puis, si au cours de vos pérégrinations en ligne ultérieures, les mêmes sites semblent pister votre navigation sans votre autorisation, alors Privacy Badger entre en action en demandant à votre navigateur de les bloquer. Et comme votre navigateur ne charge plus rien en provenance de ces sites, ils ne peuvent plus vous pister. Pour ces sites, c’est comme si vous aviez disparu.

En revanche Privacy Badger dispose d’une liste blanche de sites tiers auxquels la connexion semble nécessaire pour ne pas casser des fonctionnalités des sites. Dans ce cas, Privacy Badger acceptera les contenus de ces sites mais éliminera leurs cookies.

Vous pouvez contrôler ou modifier l’action de l’extension à tout moment en cliquant sur son bouton pour faire apparaître la liste des sites tiers reliés au site courant, grâce à un système de curseurs à trois positions : vert signifie que le site tiers ne semble pas vous pister (cette information est réévaluée au fur et à mesure de votre navigation par l’algorithme de l’extension : au départ, tous les curseurs sont au vert) ; rouge, qu’il vous piste ; jaune, qu’il vous piste mais, s’agissant d’un site de la liste blanche, les contenus seront chargés mais les cookies supprimés (c’est un compromis).
Attention : une fois qu’un réglage a été modifié par l’utilisateur, celui‐ci reste en mode manuel pour le site concerné et Privacy Badger ne l’examine plus ; une flèche d’annulation apparaît toutefois à côté d’un réglage modifié pour permettre sa réinitialisation et à l’algorithme de reprendre ainsi la main.

Dernier tour de passe‐passe : avec cette extension, l’EFF veut contraindre les sites à respecter l’en‐tête HTTP Do Not Track. Lorsqu’un site s’y engage conformément à la spécification, alors celui‐ci n’est plus bloqué par Privacy Badger, laissant la décision de blocage à l’utilisateur via l’option Do Not Track du navigateur.

Enfin, des contre‐mesures au relevé d’empreinte numérique (canvas fingerprinting) et contre les supercookies sont d’ores et déjà intégrées. D’autres contre‐mesures sont à l’étude, comme la substitution à la volée de scripts hébergés sur des serveurs tiers pour bloquer davantage de sites tiers sans casser les sites visités. À noter que Google Analytics échappe pour l’instant à l’algorithme, il faudra donc pour le moment penser à le bloquer manuellement à l’aide du système de curseurs évoqué ci‐dessus.

N. B. : Depuis la version 1.0 de Privacy Badger, l’extension peut être installée en même temps que Self‐Destructing Cookies, sans conflit.

Remove Google Tracking

Remove Google Tracking, à comparer avec d’autres : Clean Links, Pure URL, etc.

RedirectCleaner

RedirectCleaner nettoie les liens sur lesquels vous cliquez lorsque ces derniers essaient de pister une redirection vers un autre site, avec une URL en clair.

Better Privacy

Si Adobe Flash Player est installé, Better Privacy bloquera les cookies Flash de type LSO. Et si l’installation d'une extension spécifique vous agace, tapez ces commandes dans votre répertoire personnel pour empêcher le stockage de ces cookies :

rm -rf ~/.adobe ~/.macromedia
ln -s /dev/null ~/.adobe
ln -s /dev/null ~/.macromedia

uBlock Origin

uBlock Origin (ou uBlock₀ ou encore uBO) est un bloqueur de requêtes qui se veut léger et performant. Son fonctionnement « avancé » permet d’avoir un résultat similaire à RequestPolicy Continued (voir ci‐dessous). Le mode de fonctionnement « normal » est celui habituellement utilisé par les bloqueurs de publicités, à savoir l’utilisation de listes noires. Les listes chargées par défaut sont EasyList, Peter Lowe’s Adservers, EasyPrivacy et Malware domains. Certaines de ces listes ont pour objet de contrecarrer le pistage. Il permet également d’empêcher les fuites d’adresse IP liées à l’utilisation de WebRTC.

Self‐Destructing Cookies

Self‐Destructing Cookies** (sous licence GPL version 2) détruit les cookies stockés après avoir visité un site. Un réglage permet de conserver les cookies pour les sites de confiance. Cela permet de rester connecté à la session précédemment ouverte et de conserver ses paramètres de navigation comme la langue. Il est intéressant de désactiver les notifications indiquant la suppression de cookies dans les paramètres de l’extension.

Protections a priori plus fortes et plus exigeantes

Ces protections peuvent demander au quotidien des interactions de la part de l’utilisateur dans la mesure où elles sont susceptibles de rendre des sites inutilisables en tout ou partie. Vous voilà ainsi prévenus ;) :

Random Agent Spoofer

Random Agent Spoofer (téléchargement) permet, en modifiant l’en‐tête HJTTP, de mentir de manière aléatoire aux sites visités sur l’empreinte numérique dont :
* l’identité et la version de son navigateur Web ;
* l’identité de son système d’exploitation ;
* la définition d’écran ;
* le fuseau horaire ;
* la langue acceptée ;
* le fait que les requêtes passent par des serveurs mandataires (proxy) ; chose que fait l’extension IPFlood (démo pour tester la fonctionnalité article de blog pour en savoir plus).

RequestPolicy Continued

RequestPolicy Continued bloque les requêtes vers les sites tiers. Cependant, l’extension peut casser le site et le rendre illisible. Le déblocage des requêtes des sites tiers est finement réglable au cas par cas pour rendre au site son aspect original. Dans le cas où le site est cassé, le nombre d’éléments qui seront récupérés pour chaque site tiers est indiqué. En général, plus le site tiers comporte d’éléments plus il y a de chance que ce site tiers redonne au site principal son aspect original. uBlock Origin offre ce fonctionnement dans son mode « Filtrage dynamique ».

NoScript

NoScript (tutoriel détaillé) empêche l’exécution de JavaScript dans son navigateur Web, afin d’éviter les fonctionnalités malveillantes qui pourraient être présentes. Cependant, la désactivation de JavaScript peut bloquer des fonctionnalités ainsi que le bon affichage des pages. NoScript peut toutefois être configuré finement et être utilisé à des fins autres que la vie privée, comme la sécurité.

uMatrix

uMatrix, du même auteur que uBlock Origin, est une extension avancée qui permet de contrôler précisément les requêtes effectuées par le navigateur. Il présente ces requêtes selon une matrice, où les lignes sont les domaines et les colonnes le type de requêtes (CSS, images, scripts, etc.). Chaque case indique le nombre de requêtes pour le domaine et le type de la case. Il est possible de les autoriser (case verte) ou de les bloquer (case rouge).

Autres techniques sans extensions

Techniques pour changer ou passer par une autre adresse IP :

réseau privé virtuel — VPN — (mais qui sont probablement « sur écoute » d’une façon où d’une autre) ;
un serveur mandataire — proxy —, très facile à mettre en place avec SSH, si l’on dispose d’un accès à une machine distante qui sera utilisée comme proxy SOCKS 5.

Tor Browser

Tor Browser est une version modifiée de Mozilla Firefox ESR qui utilise le réseau Tor – une sorte de réseau anonymisant de serveurs mandataires (proxy) qui chiffre le trafic en son sein, pour faire simple – avec la plus grande sécurité possible. Il inclut en outre par défaut les extensions NoScript et HTTPS Everywhere.

Substitution de ressources

De nombreux sites se délestent d’une part de leur trafic en faisant appel à des ressources centralisées sur d’autres serveurs. Par exemple, Google héberge une flopée de polices de caractères et de morceaux codes tels que JQuery ou Angular. L’utilisation d’un cache privé, tel que Decentraleyes ou CDN cache couplé à l’extension HTTPS Everywhere ou d’un miroir d’ajax.googleapis.com, permet d’éviter de fournir votre historique de navigation à ces serveurs. Les ressources en question ne sont récupérées qu’une seule fois, puis conservées par votre cache auquel HTTPS Everywhere fera appel lorsqu’il les rencontrera à nouveau. CDN_cache nécessite de disposer d’une machine équipée d’un serveur HTTP et de PHP. Pour chaque ensemble de ressources à substituer, il faut définir une règle dans HTTPS Everywhere qui redirigera la requête initiale vers le cache. Si les ressources prédéfinies dans le code de CDN_cache ne couvrent pas vos besoins, il est suffisamment simple pour être étendu sans grande difficulté.

Protections non recommandées

Ces méthodes de protection sont souvent citées ; les auteurs de cette dépêche ne les recommandent pas pour les raisons suivantes :

Ghostery est un bloqueur de requêtes, ce n’est pas un logiciel libre ; l’éditeur assure que la remontée d’informations depuis le navigateur se limite au procédé GhostRank qui est désactivé par défaut, mais le modèle économique de l’éditeur peut être sujet à quelques questionnements, il semblerait que des informations soient envoyées à l’entreprise même lorsque Ghostrank est désactivé ;
Disconnect bloque principalement les requêtes vers Google, Facebook et Twitter sans pour autant endommager l’expérience utilisateur en laissant passer certains sites ; il peut être considéré comme un équivalent libre de Ghostery débarrassé du premier de ses défauts, mais il conserve malgré tout son deuxième défaut, à savoir, externaliser le traitement de votre navigation.

Fausses protections

L’option Firefox « Ne pas me pister »

L’option Firefox Ne pas me pister consiste en un paramètre à régler dans les options du navigateur relatives à la vie privée. Une fois activé, le navigateur envoie aux sites une demande de ne pas être pisté, mais cette demande est laissée au bon vouloir de ces derniers. À l’inverse des deux extensions précédemment citées, l’activation de cette fonctionnalité ne comporte aucun inconvénient, mais ses bénéfices sont au mieux incertains. Cette fonctionnalité ne saurait donc être considérée comme une protection efficace.

Le mode de navigation privée n’empêche pas le pistage. Ce mode a pour unique but de permettre de naviguer sur le Web sans que les données de navigation (comme la partie historique, les cookies, les identifiants et mots de passes) soient conservés lors du prochain lancement du navigateur. Il s’agit de ne pas laisser, dans le navigateur, de traces qu’un utilisateur postérieur pourrait découvrir (par exemple, si vous souhaitez acheter en ligne une surprise pour votre conjoint avec qui vous partagez votre ordinateur). Ouvrir une nouvelle fenêtre de navigation privée n’empêche pas le partage d’informations avec les autres sites des autres onglets qui seraient accédés dans la même session (les cookies restent communs :/).

Cela reste efficace pour une seule fenêtre et un seul onglet accédé dans la même session (ce qui limite son intérêt) pour une bonne partie des méthodes de pistage listées ci‐dessus (mais pas toutes, le pistage DNS ou la prise d’empreinte numérique restent efficaces).

Utilisation d’un résolveur DNS respectueux de la vie privée

Pour éviter le pistage via la résolution DNS, une solution simple existe. Il suffit d’utiliser un résolveur DNS respectueux de la vie privée. Cela peut être :

celui de FDN ;
le résolveur quad9 ;
celui du fournisseur d’accès Internet associatif FFDN (c’est celui qui vient par défaut si l’on est abonné chez eux) ;
ou son propre résolveur DNS installé chez soi.

On peut également utiliser une alternative au DNS. Par exemple, le GNU Name System, qui est en cours de développement, sera un système anonymisant basé sur une architecture pair à pair ainsi que sur une table de hachage distribuée.

Bonne pratiques

Éviter de recourir volontairement à des services tiers dont le modèle économique repose sur le pistage du comportement des internautes.

Pour les webmestres

préférez une carte du projet communautaire OpenStreetMap plutôt que de Google Maps pour ajouter à votre site (voir Comment intégrer OpenStreetMap sur un site Web quelconque) ;
analysez les journaux système de vos serveurs pour obtenir des statistiques de fréquentation de votre site, avec l’actuel Matomo (ex‐Piwik), le vénérable AWStats ou le Webalizer de votre hébergeur ; et si vous êtes contraint à utiliser un pisteur JavaScript, par exemple par l’incapacité à accéder aux traces du serveur ou par les fonctionnalités nécessaires comme la gestion de campagnes commerciales, utilisez le logiciel Piwik pour garder les données de vos utilisateurs chez vous, plutôt que de tout envoyer sur Google Analytics ;
hébergez localement les images, les bibliothèques JavaScript, les polices de caractères, etc. ;
si vous avez réellement besoin de sous pour faire fonctionner votre site, ne passez pas par des solutions tierces ; optez pour le prélèvement, le don par carte bancaire, le bitcoin ou tout simplement par l’envoi de chèque avec un petit mot, ça fait toujours plaisir.

Pour les internautes

n’utilisez pas de raccourcisseurs d’URL ;
utilisez un moteur de recherche alternatif (à Google Search et autres) (cf. _Se passer de Google, Facebook et autres big brothers 2.0 #1 - les moteurs de recherche et Framabee, le (méta‐)moteur qui va vous butiner le Web !) ;
utilisez un serveur mandataire (proxy) pour masquer son adresse IP.

Pour les deux

privilégiez des services libres et communautaires (voir les nombreux services proposés par Framasoft dans le cadre du projet Dégooglisons Internet, par exemple) ;
à défaut, variez vos fournisseurs (voir cette liste des alternatives aux services fournis par Google).

Vérification de l’efficacité des modules

Après installation et configuration des modules, il est possible de vérifier si l’on est unique ou pas sur Internet en visitant le site Web https://amiunique.org/ ou Panopticlick.

Lightbeam, qui est une extension maintenue par Mozilla, permet de visualiser interactivement les requêtes vers les sites tiers ainsi que les cookies déposés par ces derniers. C’est un outil qui permet de pister les pisteurs. Cette extension détecte le pistage via les techniques de site tiers et de cookies mais ne prétend pas détecter le pistage dans sa globalité.

Note aux utilisateurs de Random Agent Spoofer : ce qui est intéressant avec Random Agent Spoofer c’est que l’on s’en fout que amiunique.org déclare notre empreinte traçable puisque ce n’est pas la nôtre et qu’on en change peu après.

À présent, sommes‐nous entièrement protégés ?

Finalement, lorsque vous aurez bien appliqué toutes ces recettes et que vous penserez ne pas être pisté, sachez qu’il existe une technique assez surprenante, basée sur le rendu graphique WebGL. Voici une explication succincte :

« The method is based on the fact that the same HTML5 Canvas element can produce exceptional pixels on a different Web browsers, depending on the system on which it was executed. »

Traduction :

« Cette méthode est basée sur le fait que le même Canvas HTML 5 peut produire des pixels exceptionnels sur différents navigateurs Web, en fonction du système sur lequel il s’exécute. »

Source : https://amiunique.org/faq.

Existe‐t‐il des moyens pour se protéger contre cela ?

Conclusion

Dans le cadre de la défense de la vie privée (la nôtre mais aussi, à travers nous, celle de nos amis), nous avons vu la problématique du pistage de nos activités en ligne et passé en revue un certain nombre de contre‐mesures.

La défense de la vie privée impose également de se prémunir contre l’espionnage (privé ou étatique), pratique qui obéit à d’autres objectifs et qui n’a pas été traitée dans cette dépêche. L’enjeu est alors d’éviter d’une part que les flux de communication ne puissent être lus lorsqu’ils sont interceptés ; d’autre part, que nos données ne puissent être lues dans les serveurs où elles sont stockées. Dans les deux cas, la solution passe par la dissimulation de l’utilisateur dans le réseau et le chiffrement de bout en bout : chiffrement des courriels avec OpenPGP, recours à des réseaux d’anonymisation comme un réseau privé virtuel (VPN) chiffré ou Tor, pour chiffrer les communications et masquer son adresse IP.

Contribuer

Chacun peut contribuer selon ses moyens, en participant, adhérant ou donnant à des associations de défense de la vie privée, comme :

Mozilla ;
les développeurs des extensions ci‐dessus ;
l’April (donner ou participer, adhérer) ;
La Quadrature du Net (donner, participer) ;
The Electronic Frontier Foundation (faire un don) ;
Framasoft (donner, participer) ;
OpenStreetMap (donner à l'OpenStreetMap Foundation, aider à cartographier).

Les pratiques des auteurs de cette dépêche

Quelques‐uns des participants de cette dépêche vous dévoilent leur combo d’extensions et configurations pour tenter d’échapper au pistage :

antistress : Contre le pistage par des tiers : sur mon netbook aux performances limitées, j’utilise principalement la protection contre le pistage intégrée à Firefox (la plus optimisée a priori en termes de performances) ; sur mon PC fixe, plus musclé, j’utilise uBlock Origin que je trouve l’outil le plus efficace pour le moment, sans pour autant exiger d’interventions manuelles de la part de l’utilisateur. Mais je garde un œil sur Privacy Badger dont j’apprécie l’approche globale (arsenal de contre‐mesures qui continue à s’étoffer) et la méthode (heuristique), sans parler de la confiance que j’accorde à l’EFF qui développe cette extension. Sur les deux machines, j’ajoute HTTPS Everywhere, Self-Destructing Cookies et Random Agent Spoofer. J’ai utilisé précédemment le duo RequestPolicy et NoScript, que j’ai abandonné parce que trop contraignant. Startpage est mon moteur de recherche par défaut (avec Ixquick et DuckDuckGo comme alternatives) et OSRM (basé sur OpenStreetMap) me sert pour mes calculs d’itinéraires. Je ne recours directement à aucun service du GAFAM.
Moul : Pour empêcher que l’on piste ma navigation, j’utilise PrivacyBadger, NoScript, Random Agent Spoofer, uBlock Origin, Self‐Destructing Cookies, HTTPS Everywhere et Lightbeam pour voir mes exploits. J’utilise un mix de Startpage, Searx et Framabee.
Xinfe : J’ai supprimé Disconnect et Ghostery depuis que je suis passé à RequestPolicy puis à uBlock Origin, dans la mesure où je bloque toutes les requêtes tierces par défaut, sauf exceptions gérées manuellement. Autrement, HTTPS Everywhere et Clean Links complémentent mon navigateur, et DDG et OSM me servent de moteur de recherche et de service cartographique. Privacy Badger mange les cookies laissés par les services tiers faisant du pistage alors qu’ils sont nécessaires au fonctionnement de certains sites.
Bolikahult : uMatrix me permet de me passer d’Adblock-*, Ghostery, Do Not Track, etc. Sinon, j’utilise Self‐Destructing Cookies, car il me permet de refuser les cookies comme règle par défaut, et de l’adapter finement au cas par cas (je considère que refuser un cookie ne devrait pas casser l’utilisation d’un site). Mais aussi : Smart HTTPS (à la place de HTTPS Everywhere) ; I don’t care about cookies ; Google Search link fix ; Referrer Control ; Decentraleyes ; Firefox Multi‐Account Containers. Je n’utilise plus Better Privacy depuis que Flash est désinstallé de mon ordinateur. Mon moteur de recherche est Google ou searx.me, que je trouve très bien, avec notamment une option « proxy d’images », des liens non pistés et un résumé des cookies enregistrés.
NoNo : Je suis toujours à la recherche d’une solution plus adaptée. Actuellement, je navigue avec uMatrix et ClearURLs. Je m’en sors, car je connais bien le développement Web et je suis capable de bien comprendre les cases à cocher pour débloquer les sites Web, mais il m’arrive aussi d’avoir à recourir à un autre navigateur (Firefox Developer Edition) pour certains sites avec beaucoup de JavaScript. Ce n’est donc pas une configuration que je recommande en dehors des experts du Web : uBlock Origin avec potentiellement d’autres extensions listées ci‐dessus est déjà une grande avancée en termes de vie privée, sans avoir trop de contraintes.

Et vous, chers lecteurs, quelles sont vos pratiques pour contrer le pistage ?

Aller plus loin

« Do Not Track », une série documentaire consacrée à la vie privée et à l’économie du Web (438 clics)
« Vos traces », documentation CNIL pour internautes (298 clics)
« Comment mettre mon site Web en conformité », documentation CNIL pour responsables de sites (188 clics)
Rapport 2014 de la CNIL (v. les pages 16 à 23 de ce 35ᵉ rapport annuel de la CNIL) (80 clics)
Gary Kovacs : Tracking our online trackers (Vidéo TED) (128 clics)
Web Browser Security — BrowserLeaks.com (162 clics)
Voici à quoi ressemble l’Internet d’un hyper prudent (slate.fr) (932 clics)
Reprenez le contrôle de vos données (controle-tes-donnees.net) (272 clics)
Alessandro Acquisti : Pourquoi le respect de la vie privée est important (Vidéo TED) (119 clics)
Guide d’autodéfense numérique T2 (276 clics)
« Firefox, sécurité et vie privée » (Léa-Linux) (401 clics)
Les résolutions pour 2018 de NoNo (LinuxFr.org) (236 clics)
« Nothing to Hide », documentaire sur les atteintes de la vie privée sur Internet (VOSTFR) (156 clics)

# Modification de la config Firefox ?!

Posté par geb le 26 février 2018 à 17:44. Évalué à 1.

Il est généralement peu recommandé de modifier la config de Firefox, cela peut casser des choses, ou simplement rendre le comportement du navigateur différent de l'immense majorité des autres, et donc … plus facile à tracer (tout comme installer plein d’extensions).

Si on souhaite mettre en place une protection avancée, il est préférable d'utiliser le navigateur Tor qui propose justement une version modifiée de Firefox, avec notamment WebRTC ou les Canvas de désactivés (activable à la volée dans le cas des canvas).
- [^] # Re: Modification de la config Firefox ?!
  
  Posté par Bisaloo le 26 février 2018 à 20:21. Évalué à 5.
  
  Sinon, il y a également l'option privacy.resistFingerprinting dans about:config qui bloque de nombreuses techniques de pistage sans donner une empreinte unique aux utilisateurs (tous ceux qui activent cette option sont censés avoir la même empreinte).
  - [^] # Re: Modification de la config Firefox ?!
    
    Posté par geb le 27 février 2018 à 22:39. Évalué à 2. Dernière modification le 27 février 2018 à 22:44.
    
    Sinon, il y a également l'option privacy.resistFingerprinting […] (tous ceux qui activent cette option sont censés avoir la même empreinte).
    
    Tous ceux qui activent cette option, ou tous ceux qui activent cette option et ont exactement la même version du navigateur 1, de l'OS/Architecture 2, la même taille de navigateur (et donc résolution & bureau si utilisé en plein écran) 3, la même liste d'extension (détection adblock etc) ?
    
    Si privacy.resistFingerprinting apporte des choses, ne serait ce que du travail en moins pour la maintenance coté Tor, cela reste un travail en cours 4, avec ses limites. Tout comme les autres préférences listées plus haut, il y a de fortes chances que l'activer ne fasse que rajouter un discriminant et donc augmenter la précision de la fingerprint (modulo WebRTC & Canvas / WebGL). Un simple test sur https://panopticlick.eff.org/ ou https://amiunique.org/ / https://fpcentral.irisa.fr devrait aisément l'illustrer.
    
    À moins de bien savoir ce que l'on fait, il vaut mieux éviter de toucher aux préférences de Firefox, et à fortiori de le recommander.
    - [^] # Re: Modification de la config Firefox ?!
      
      Posté par Bisaloo le 28 février 2018 à 10:16. Évalué à 6.
      
      Tous ceux qui activent cette option, ou tous ceux qui activent cette option et ont exactement la même version du navigateur 1, de l'OS/Architecture 2, la même taille de navigateur (et donc résolution & bureau si utilisé en plein écran) 3, la même liste d'extension (détection adblock etc) ?
      
      Si tu fais bien d'insister sur les limites de cette option, ce que j'aurais du davantage faire, tu les exagères très clairement :
      
      ont exactement la même version du navigateur
      
      Non, tout le monde est mis au dernier ESR donc FF52-58 sont listés comme FF52 ESR, FF59+ sont listés comme FF59 ESR. C'est marqué dans le rapport de bug que tu cites.
      
      de l'OS/Architecture
      
      Non. Ils ont effectivement changé le comportement. Avant, tout le monde était listé comme Windows. Maintenant, ils se contentent de mettre une chaîne de caractère identique pour tous les linux, une pour tous les windows, une pour tous les android, etc. Le patch explique ça mieux que moi.
      
      la même taille de navigateur (et donc résolution & bureau si utilisé en plein écran)
      
      Sauf que tu n'es justement pas censé utilisé le navigateur en plein écran dans ce cas. Comme pour le Tor Browser, il est ouvert par défaut à une taille fixe. Si tu changes cette taille, c'est ton problème.
      - [^] # Re: Modification de la config Firefox ?!
        
        Posté par Chuck #1 le 23 mars 2018 à 10:25. Évalué à 1.
        
        Non. Ils ont effectivement changé le comportement. Avant, tout le monde était listé comme Windows. Maintenant, ils se contentent de mettre une chaîne de caractère identique pour tous les linux, une pour tous les windows, une pour tous les android, etc. Le patch explique ça mieux que moi.
        
        Pour ceux qui, comme moi, chercherait l'explication dans le patch, c'est tout à la fin :
        
        We decided to give different spoofed values according to the platform. The reason is that it is easy to detect the real platform. So there is no benefit for hiding the platform: it only brings breakages, like keyboard shortcuts won't work in MAC OS if we spoof it as a window platform.
        
        Soit en français :
        
        Nous avons décidé d'utiliser de fausses valeurs différentes en fonction de la plateforme. La raison est qu'il est facile de détecter la plateforme réelle. Donc il n'y a aucun bénéfice de cacher la plateforme : cela n'apporte que des disfonctionnements, comme des raccourcis claviers qui ne marchent pas sur Mac OS si on le fait passer pour une plateforme Windows.
        
        Je me demande juste comment on peut facilement détecter la plateforme. Par exemple Chrome et Firefox existent tous les deux pour Windows, Linux et Mac avec la même version pour toute les plateformes.
        
        Cette signature est publiée sous licence WTFPL
# HTTPS Everywhere

Posté par Bisaloo le 26 février 2018 à 20:18. Évalué à 5.

Petite correction : HTTPS Everywhere est sous licence GPLv2+.

Par ailleurs, par rapport à votre appel à contribution à la fin, vous pouvez effectivement donner à l'EFF mais également contribuer au développement d'HTTPS Everywhere. Comme sur beaucoup de projets libres, les gens motivés sont toujours les bienvenus ! Tout est utile, pas seulement les pull requests mais également les rapports de bug.
- [^] # Re: HTTPS Everywhere
  
  Posté par Benoît Sibaud (site web personnel) le 26 février 2018 à 20:28. Évalué à 6.
  
  Corrigé, merci.
- [^] # Re: HTTPS Everywhere
  
  Posté par Goffi (site web personnel, Mastodon) le 01 mars 2018 à 14:33. Évalué à 6.
  
  Aussi la dépêche dit:
  
  En revanche, et comme le rappelle la FAQ, l'identité du site accédé (et même généralement l'adresse complète de la page accédée) voyage en clair, sauf à coupler HTTPS Everywhere avec Tor.
  
  c'est vrai pour le domaine, mais l'URL complète n'est pas envoyée en clair avec HTTPS.
  
  En tout cas superbe dépêche ! Ça serait super la mettre à jour régulièrement (tous les ans ?), c'est vraiment utile.
  - [^] # Re: HTTPS Everywhere
    
    Posté par antistress (site web personnel) le 01 mars 2018 à 15:03. Évalué à 2.
    
    Ton assertion est contraire à celle des devs de l'extension, je ne sais qui a raison !
    - [^] # Re: HTTPS Everywhere
      
      Posté par Bisaloo le 01 mars 2018 à 15:09. Évalué à 2.
      
      Tu pourrais préciser à quel texte en particulier tu fais référence ici ?
      - [^] # Re: HTTPS Everywhere
        
        Posté par antistress (site web personnel) le 02 mars 2018 à 00:41. Évalué à 2.
        
        La FAQ de l'extension dont j'ai donné le lien dans la dépêche et qui énonce :
        
        However, HTTPS Everywhere does not conceal the identities of the sites you access, the amount of time you spend using them, or the amount of information you upload or download from a particular site. For example, if you access http://www.eff.org/issues/nsa-spying and HTTPS Everywhere rewrites it to https://www.eff.org/issues/nsa-spying, an eavesdropper can still trivially recognize that you are accessing www.eff.org (but might not know which issue you are reading about). In general, the entire hostname part of the URL remains exposed to the eavesdropper because this must be sent repeatedly in unencrypted form while setting up the connection. Another way of saying this is that HTTPS was never designed to conceal the identity of the sites that you visit.
        
        Ce qui est contraire à ce qu'énonce Goffi.
        
        Donc deux assertions qui se contredisent, et moi au milieu qui ne suis pas expert je ne sais qu'en penser si ce n'est que le paragraphe de l'EFF semble précis à ce sujet ?
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Goffi (site web personnel, Mastodon) le 02 mars 2018 à 07:25. Évalué à 5.
        
        ça ne contredit pas ce que j'ai dit, le hostname est connu, c'est l'URL complète qui ne l'est pas (elle est chiffrée). Si tu as https://www.example.net/dossier_super_secret/fichier_super_secret?clef=clef_super_secrete toute la partie dossier_super_secret/fichier_super_secret?clef=clef_super_secrete est chiffrée par HTTPS.
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Goffi (site web personnel, Mastodon) le 02 mars 2018 à 07:33. Évalué à 3. Dernière modification le 02 mars 2018 à 07:36.
        
        Précisions: la partie www.example.net devrait être chiffrée aussi, mais il y a des appels DNS qui sont très certainement en clair, et d'autre part le fonctionnement de HTTPS Everywhere peut nécessiter des requêtes (ça je n'en sais rien, je suppose, je ne connais pas son fonctionnement interne). De toute façon on sait à quelle IP c'est destiné.
        
        edit: je pense que tu as lu la FAQ trop vite, et tu as loupé « the entire hostname part of the URL »
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Bisaloo le 02 mars 2018 à 09:30. Évalué à 1.
        
        Oui, c'est un problème que l'utilisation d'HTTPS ne peut pas régler. Il faudrait changer les protocoles actuels du web. C'est d'ailleurs listé dans le repo "internet bugs" de l'EFF.
        
        Il existe également un dernier cas de figure par rapport à ce que tu as évoqué (requêtes DNS souvent en clair, IP du serveur connue). Si tu communiques avec un host qui est sur un hébergement partagé, la seule adresse IP ne suffit pas à un attaquant pour savoir avec qui tu parles. Mais il y a une chaîne de caractère envoyé en clair qui indique l'host à qui le message est destiné (TLS/SNI).
        
        [^] # Re: HTTPS Everywhere
        
        Posté par antistress (site web personnel) le 02 mars 2018 à 10:46. Évalué à 2.
        
        requêtes DNS souvent en clair
        
        est-ce que https everywhere change quelquechose à cela ?
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Bisaloo le 02 mars 2018 à 13:06. Évalué à 1.
        
        Non, HTTPS Everywhere ne change rien à ça.
        
        Il faut passer par Tor ou utiliser des outils qui commencent à se développer doucement comme DNS over TLS.
        
        [^] # Re: HTTPS Everywhere
        
        Posté par antistress (site web personnel) le 02 mars 2018 à 10:45. Évalué à 3.
        
        ha vi c'est plus clair merci !
        
        Donc par exemple sur Wikipédia, site généraliste, on sait pas quelle page je consulte et le sujet n'est pas connu, mais sur un site spécialisé, par exemple j'ai-des-morpions.org, le sujet peut être inféré.
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Bisaloo le 02 mars 2018 à 13:15. Évalué à 1.
        
        Exactement !
        
        C'est pour cette raison que Wikipedia est parfois complétement interdit dans certain pays. Le gouvernement ne peut pas savoir si tu visites une page qui critique son action ou la page sur l'histoire de la tarte tatin.
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Benoît Sibaud (site web personnel) le 02 mars 2018 à 13:37. Évalué à 5.
        
        C'est en anglais, même ça vaut le coup de lire Understanding the Limitations of HTTPS si on s'intéresse techniquement au HTTPS (sujets abordés: Deployment Limitations (Mixed Content, Non-secure Links), Privacy Limitations (SNI / IP-Address, Data Length, Ticket Linking, Referer Header), Server Identity Limitations (Certificate Verification , One Hop, DOM Mixing, Server Compromise, Server Bugs), Client Identity Limitations (Client Authentication, Client Tampering), Real-world Implementation Limitations (Early Termination Detection,
        Validation Error Overrides)).
        
        [^] # Re: HTTPS Everywhere
        
        Posté par antistress (site web personnel) le 02 mars 2018 à 14:22. Évalué à 3. Dernière modification le 02 mars 2018 à 14:22.
        
        Faudrait lancer une dépêche de vulgarisation en français de ce que HTTPS protège et de ce qu'il ne protège pas, si ça n'existe pas déjà.
        Parce qu'il n'y a rien de pire que des fausses protections (=j'ai fait une démarche active et je me sens protégé alors que non)…
        Cette discussion est une bonne base…
        
        [^] # Re: HTTPS Everywhere
        
        Posté par Bisaloo le 02 mars 2018 à 16:38. Évalué à 2. Dernière modification le 02 mars 2018 à 16:39.
        
        En français, il y a ce dessin sur le site nos-oignons.net, traduit de sa version anglaise qui pourrait servir de base mais ça reste assez peu digeste pour les utilisateurs pas déjà familiers avec les concepts et la terminologie.
        
        Si un projet de dépêche se monte, j'essaierai de participer lors de la rédaction cette fois, plutôt que faire mes remarques après coup en commentaire.
        
        [^] # Re: HTTPS Everywhere
        
        Posté par antistress (site web personnel) le 02 mars 2018 à 17:10. Évalué à 4.
        
        Qqch comme ça ?
        
        https://linuxfr.org/redaction/news/https-tor-vpn-de-quoi-est-ce-que-ca-protege-exactement
# Self-Destructing Cookies

Posté par Ambroise le 26 février 2018 à 21:23. Évalué à 4.

il me semble que ce module n'est plus compatible avec Firefox depuis le passage en WebExtension.

Le remplaçant que j'ai trouvé pour l'instant, c'est Cookie Autodelete https://addons.mozilla.org/fr/firefox/addon/cookie-autodelete/

Cela m'a également permis de découvrir un truc sympa pour isoler des sites entre eux : les containers tab (à activer avec l'extension https://addons.mozilla.org/fr/firefox/addon/multi-account-containers/)
- [^] # Re: Self-Destructing Cookies
  
  Posté par L@ur3nt le 27 février 2018 à 14:25. Évalué à 1.
  
  Le remplaçant que j'ai trouvé pour l'instant, c'est Cookie Autodelete https://addons.mozilla.org/fr/firefox/addon/cookie-autodelete/
  
  Il existe aussi self destroying cookies
  
  Cela m'a également permis de découvrir un truc sympa pour isoler des sites entre eux : les containers tab (à activer avec l'extension https://addons.mozilla.org/fr/firefox/addon/multi-account-containers/)
  
  Le blog de la communauté mozilla francophone vient de publier un article sur les onglets contextuels : https://blog.mozfr.org/post/2018/02/En-faire-plus-avec-onglets-contextuels
  Par contre, je n'ai pas l'extension mais c'est activé chez moi.
- [^] # Re: Self-Destructing Cookies
  
  Posté par Bobyl le 28 février 2018 à 08:11. Évalué à 0.
  
  Il y a également une version de Self-Destructing Cookies qui fonctionne en WebEx:
  https://addons.mozilla.org/fr/firefox/addon/self-destructing-cookies-webex/
# Ad Nauseam

Posté par Layus le 26 février 2018 à 21:32. Évalué à 10.

Je suis tombé aujourd'hui, un peu par hasard, sur l'extension Ad Nauseam qui fonctionne complètement à l'envers. Pour éviter le pistage, elle clique en arrière plan sur la plupart des publicités.

De cette manière, elle fausse les profils d'intérêt mais fait aussi "perdre" de l'argent aux annonceurs. Cette deuxième partie est plus insidieuse, elle joue à long terme sur la confiance que les annonceurs peuvent avoir dans le nombre de clicks.

J'avoue ne pas trop savoir que penser de cette technique… Et vous ?
- [^] # Re: Ad Nauseam
  
  Posté par Chuck #1 le 23 mars 2018 à 10:41. Évalué à 2.
  
  Comme l'indique la page d'accueil, l'extension est bannie de Chrome par Google depuis plus d'un an et demi. Ça veut sans doute dire que c'est beaucoup plus efficace que des solutions comme AdBlock qui est toujours autorisée.
  
  Ad Nauseam : jusqu'à en gerber. C'est bien trouvé.
  
  Cette signature est publiée sous licence WTFPL
# Pistage GoogleAnalytics

Posté par tuxicoman (site web personnel) le 26 février 2018 à 21:54. Évalué à 4. Dernière modification le 26 février 2018 à 21:55.

Je serai intéressé par la démonstration que GoogleAnalytics peut suivre l'itinéraire d'un utilisateur sur plusieurs sites.

GoogleAnalytics ne fait appel à un cookie tiers mais à un cookie dit "first-party". GoogleAnalytics stocke un identifiant unique par domaine suivi, dans les cookies du domaine suivi. C'est cet identifiant qui est envoyé au serveur de GoogleAnalytics.

Donc 2 sites web ayant installé GoogleAnalytics renverront à GoogleAnalytics des identifiants différents et non identiques comme ca aurait pu l'etre si GoogleAnalytics utilisait un cookie tiers.

Je vous invite à regarder de plus près et lire la doc GoogleAnalytics.

Aussi, pour les autres services type dépot de scripts et de polices, je n'ai pas trouvé trace d'identifiant envoyé à Google lors de requêtes. Donc à part le referrer, comment Google pourrait utiliser ces services pour suivre un utilisateur particulier, je ne vois pas.
- [^] # Re: Pistage GoogleAnalytics
  
  Posté par Bruno Michel (site web personnel) le 27 février 2018 à 10:22. Évalué à 10.
  Je serai intéressé par la démonstration que GoogleAnalytics peut suivre l'itinéraire d'un utilisateur sur plusieurs sites.
  
  Google Analytics est capable de donner des informations sur l'age, sexe, centres d'intérêts des utilisateurs ayant visité un site. Je ne vois pas comment il pourrait faire ça sans faire de croisements des données entre plusieurs sites.
  
  GoogleAnalytics ne fait appel à un cookie tiers mais à un cookie dit "first-party".
  
  Google Analytics peut aussi faire appel à un cookie third-party quand certaines fonctionnalités liées à la publicité sont activées.
  
  GoogleAnalytics stocke un identifiant unique par domaine suivi, dans les cookies du domaine suivi. C'est cet identifiant qui est envoyé au serveur de GoogleAnalytics. Donc 2 sites web ayant installé GoogleAnalytics renverront à GoogleAnalytics des identifiants différents et non identiques comme ca aurait pu l'etre si GoogleAnalytics utilisait un cookie tiers.
  
  Certes, il y a des identifiants différents par site, mais Google Analytics remonte plein d'autres informations en même temps : adresse IP, navigateur, OS, langue, taille d'écran, etc. Techniquement, je ne vois rien qui empêche Google d'associer les identifiants par site pour une même navigation grâce à cette empreinte.
  
  Je vous invite à regarder de plus près et lire la doc GoogleAnalytics.
  
  Fait, mais elle ne permet pas de conclure sur la manière dont Google Analytics fonctionne vraiment. Par exemple, le glossaire parle de Données ne permettant pas une identification personnelle, avec cette définition : ce sont les informations enregistrées sur les internautes de telle manière qu’il est impossible de les identifier ou d’y faire référence de manière personnelle. Et Google semble à plusieurs reprises esquiver des questions en jouant sur la frontière entre données personnelles et données ne permettant pas une identification personnelle (ie pour Google, même s'il a un profil assez précis sur Google Analytics commun à plusieurs sites, il va considérer ça comme des données ne permettant pas une identification personnelle, ce qui lui permet d'éviter d'en parler sur des questions sur la vie privée et de ne pas avoir à fournir ces données quand une personne lui demande l'ensemble des données personnelles que Google possède à son sujet).
  
  Autre ambiguïté : sur la page d'aide Protection des données sur Google Analytics, les paramètres de confidentialité affichent ce point :
  
  Paramètres des comptes Google : depuis le 28 juin 2016, les utilisateurs Google peuvent examiner les paramètres leur permettant de mieux contrôler les données collectées concernant leur activité sur des sites et dans des applications partenaires de Google. Pour l'instant, ces paramètres n'ont aucun impact sur les fonctionnalités, les conditions d'utilisation, les règles de confidentialité, la sécurité des données ni sur les règles de partage de données de Google Analytics.
  
  J'aimerais bien que l'on m'explique ce que cela veut dire. Comment Google fait-il pour associer un compte Google à des données collectées dans Google Analytics (alors qu'il considère les données de Google Analytics comme ne permettant pas une identification personnelle) ?
  
  Au final, je résumerais ça en 3 points :
  - Techniquement, Google a tout ce qu'il faut pour associer un identifiant Google Analytics d'un site à un identifiants Google Analytics d'un autre site.
  - Il présente des fonctionnalités qui paraissent très difficilement réalisable sans avoir unifié un profil de navigation entre plusieurs sites.
  - Dans la documentation de Google Analytics, il transpire que c'est un bon moyen d'alimenter les services de publicité de Google.
  Donc, certes, je n'ai pas la preuve que Google ait des profils unifiés de la navigation des internautes grâce à Google Analytics, mais ça me paraît très improbable que ce ne soit pas le cas.
- [^] # Re: Pistage GoogleAnalytics
  
  Posté par ZeroHeure (site web personnel) le 27 février 2018 à 11:13. Évalué à 7.
  
  Je vous invite à regarder de plus près et lire la doc GoogleAnalytics.
  
  Je t'invite a lancer une campagne de pub avec Google AdWords, ensuite tu auras accès à la doc complète sur les fonctions de remarketing (ou retargeting) utilisant les cookies. En gros : tu lances une campagne couplée aux visites sur ton site. Les visiteurs passés de ton site verront tes pubs s'afficher sur d'autres sites (ou sur les résultats de recherche) ; ces pubs peuvent être ciblées en fonction du contexte de ta visite, de ton sexe, ton âge, etc.
  Voici la doc d'introduction au remarketing chez Google.
  
  "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay
  - [^] # Re: Pistage GoogleAnalytics
    
    Posté par tuxicoman (site web personnel) le 28 février 2018 à 00:27. Évalué à 2.
    
    Adwords et Doubleclick utilisent des third party cookies pour le remarketing qui est le nom à la mode pour dire suivi d'un utilisateur sur plusieurs sites.
    
    Mais ce n'est pas ce que fait google analytics dont on parle ici.
    
    Faut pas tout melanger.
    - [^] # Re: Pistage GoogleAnalytics
      
      Posté par ZeroHeure (site web personnel) le 28 février 2018 à 08:51. Évalué à 2.
      
      C'est vrai que c'est une cookie supplémentaire, mais il me semble que c'est bien Google Analytics qui la dépose et la lit. Le tableau de suivi est d'ailleurs au sein de Google Analytics.
      AMHA, on parle d'une action de « remarketing » parce qu'on propose une pub ciblée en fonction de ce que le visiteur a déjà fait sur un site ; par exemple s'il a abandonné un panier de jouets de plein air avant de payer, on va lui proposer une pub sur ces jouets lorsqu'il sera sur un autre site. Le terme est utile : le suivi sur plusieurs sites et l'analyse de son comportement ne sont pas la même chose.
      
      "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay
- [^] # Re: Pistage GoogleAnalytics
  
  Posté par Bruno Michel (site web personnel) le 28 février 2018 à 09:13. Évalué à 6.
  
  Aussi, pour les autres services type dépot de scripts et de polices, je n'ai pas trouvé trace d'identifiant envoyé à Google lors de requêtes.
  
  Je viens de regarder, j'ai un cookie nommé NID sur .gstatic.com. La page d'aide https://www.google.com/policies/technologies/types/ indique à propos de ce cookie :
  
  La plupart des utilisateurs de Google ont un cookie de préférence appelé "NID" qui est enregistré dans leur navigateur. […] Le cookie NID contient un ID unique […]
  
  Je peux rater quelque chose mais je ne vois pas d'autre intérêt que le pistage pour l'utilisation de cookies avec un identifiant unique sur un domaine qui ne sert que des fichiers statiques.
# LocalStorage, IndexDB

Posté par tuxicoman (site web personnel) le 26 février 2018 à 22:14. Évalué à 10. Dernière modification le 26 février 2018 à 22:17.

LocalStorage, c'est présent dans Firefox depuis la version 2 (2007)
Ca permet de stocker des données comme les cookies sur un domaine. Les données ne sont juste pas collées sur toutes les requêtes automatiquement.
Par contre, jusqu'à fin 2017 (bug firefox #527667), il n'y avait aucun moyen pour l'utilisateur de Firefox de les supprimer d'un domaine.
Donc, l'utilisateur pouvait effacer ses cookies autant qu'il voulait, dès qu'il revisitait le site web, celui avait juste à relire le données du LocalStorage et les recopier dans des cookies. GameOver de la vie privée en 4 lignes de javascript.

Avec le prefetch des ressources (URL, DNS, etc…) pour accélérer la navigation (enfin courir après les pratiques de Chrome pour paraître plus rapide à l'utilisateur), on met en place les parfaits outils de tracking. Il suffit pour un site A d'écrire une URL pointant vers un serveur B avec l'identifiant de l'utilisateur dans l'URL pour passer l'info tranquille.
On se marche sur la tête puisque recouvrir la vie privée consistera à désactiver ces fonctionnalités (donc pourquoi les introduire?) et sera réservé à quelques geeks.

Et que dire du niveau de protection des navigateurs sur smartphone? pourquoi ne parler que des navigateurs de bureau quand le plus gros du tracking se fait sur les navigateurs mobiles qui sont quasi dépourvus de protection. Je vous invite à essayer de trouver vos cookies sur Firefox Android… (vous pourrez peut etre effacer le Local Storage de Google être en 2025 ;D )

Un petit lien pour LocalStorage : https://github.com/oyenamit/web-storage-viewer
Pour IndexDB, ce sont des fichiers sqlite qui se trouvent dans le dossier "storage" de votre dossier de profil Firefox
- [^] # Re: LocalStorage, IndexDB
  
  Posté par ckyl le 27 février 2018 à 10:46. Évalué à 6.
  
  Et que dire du niveau de protection des navigateurs sur smartphone? pourquoi ne parler que des navigateurs de bureau quand le plus gros du tracking se fait sur les navigateurs mobiles qui sont quasi dépourvus de protection.
  
  Regarde ce que font les apps sur mobile et un Firefox sur Android te paraitra le top niveau vie privée… Les apps c'est juste effrayant (et beaucoup plus difficile à analyser / tracer / bloquer).
  - [^] # Commentaire supprimé
    
    Posté par Anonyme le 27 février 2018 à 14:31. Évalué à 6.
    
    Ce commentaire a été supprimé par l’équipe de modération.
  - [^] # Re: LocalStorage, IndexDB
    
    Posté par geb le 27 février 2018 à 22:47. Évalué à 5.
    
    Regarde ce que font les apps sur mobile et un Firefox sur Android te paraitra le top niveau vie privée… Les apps c'est juste effrayant (et beaucoup plus difficile à analyser / tracer / bloquer).
    
    Pour analyser, tracer, https://exodus-privacy.eu.org/ fait un très chouette boulot.
# Et si la solution la plus simple était coté serveur ?

Posté par tuxicoman (site web personnel) le 26 février 2018 à 22:31. Évalué à 8.

Je ne crois pas qu'on arriver à rester un minimum anonyme tout en ayant les dernières fonctionnalités permettant de faire du P2P, push, etc… qui nécessitent une certaine confiance dans le serveur.

Par contre, on peut faire des proxy. Par exemple, si vous allez sur Google.fr et que vous cliquer sur un lien de résultat mais ne relâchez pas la souris, vous verrez que le l'url du lien vient de changer. En fait Google inscrit un identifiant unique entre le moment où vous pressez la souris et le temps où vous relachez le clic. C'est dégeulasse mais c'est la réalité du data mining.

Si vous utilisez un proxy comme Searx, vous évitez tout ca.
Il y a plein de services qui ne cherchent pas à vous piller comme Mastodon.

La solution est principalement coté serveur. Il faut convaincre les éditeurs d'arrêter d'utiliser consciemment ou inconsciemment des services d'espionnage sous peine de boycott ou de création d'un proxy pirate de leur service.
- [^] # Re: Et si la solution la plus simple était coté serveur ?
  
  Posté par Adrien le 27 février 2018 à 10:39. Évalué à 8.
  
  Le Boycott est une bonne solution. Seulement lorsque les services de l'état s'y mettent, ça devient compliqué :
  
  https://www.service-public.fr/ --> utilise google.
  https://ivg.gouv.fr/ --> utilise Facebook, Google, CloudFare.
  
  Je ne suis pas sûr que l'utilisation des services de ses sociétés soit justifiable… Mais comment faire pour que ça change, à par connaître les admin du site, ou les sous-traitants qui ont pondu ces sites ?
  - [^] # Re: Et si la solution la plus simple était coté serveur ?
    
    Posté par Jean-Baptiste Faure le 27 février 2018 à 12:44. Évalué à 1.
    
    Google n'est pas nécessaire pour utiliser service-public.fr. Chez moi les requêtes éventuelles vers google.com sont bloquées par uMatrix et Firefox LightBeam me montre une icône service-public.fr isolée sans aucun lien vers un autre site.
    Je n'ai aucune icône Google dans LightBeam depuis que j'ai l'ai réactivé. Il faut dire que j'ouvre les sites sensibles (en gros la presse) dans des fenêtres de navigation privée séparées.
# Du développement de nouvelles richesses

Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) le 27 février 2018 à 10:06. Évalué à 7.

J'ai une question probablement naïve et assez difficile à exprimer après un tel article ; donc je précise qu'il ne s'agit pas d'une tentative de troll ; et commence par remercier les auteurs pour un article clair, de qualité, et surtout utile.

Apparemment les grandes compagnies du net ont développé une nouvelle ressource. Elles réussissent à créer de la valeur à partir de quelque chose de précédemment totalement inexploité et inexploitable. Dans l'article et plus généralement ici cette nouvelle ressource est vue comme totalement négative. Et j'aimerais interroger ce point de vue un peu plus avant ; sans prétention à faire changer qui que ce soit d'avis sinon moi-même à partir des réponses que j'obtiendrai.

Ma première réaction face à la publicité personnalisée est souvent : c'est trop bête. J'achète un produit en ligne, et ensuite pendant quelques temps tous les encarts publicitaires me le proposent à nouveau. Bof. Mais rien de bien dramatique. Mieux, éventuellement je me renseigne sur un objet ; par exemple Acca sellowiana ; et ensuite on me propose directement des pistes si je souhaite en acheter. Tant mieux. Non ?

Alors certes, nos pisteurs du web disposent de beaucoup plus d'informations sur nous que le service client de n'importe quelle grande enseigne physique où nous ferions nos courses. Mais y-a-il des exemples concrets de cas de figure où cela puisse porter atteinte à quelqu'un ?

Il est clair, que nous puissions donner, à notre insu — ou à l'insu de notre plein gré — bien plus d'informations que nous le souhaiterions à des tiers. Mais est-ce pour autant attentatoire à la vie privée ? À l'heure actuelle, ce ne sont point des pouvoirs publics qui disposent de ces informations. Mais simplement des entités commerciales, de simple colporteurs et autres bonimenteurs. Est-ce que la crainte pour la vie privée réside dans les fuites éventuelles vers des pouvoirs régaliens via des agences de renseignement ? Ou dans le modèle économique capitaliste qui tend à court terme à substituer la puissance économique à la puissance publique ?
De ces points de vue, les craintes exprimés dans cet article et d'autres me paraissent plus raisonnables. Mais s'il s'agit bien de ça (ou d'autres choses encore) ne faudrait-il pas que ce soit exprimé plus explicitement ?

« IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
- [^] # Re: Du développement de nouvelles richesses
  
  Posté par Benoît Sibaud (site web personnel) le 27 février 2018 à 10:37. Évalué à 8.
  
  Mais y-a-il des exemples concrets de cas de figure où cela puisse porter atteinte à quelqu'un ?
  
  Tu veux dire que des gens qui se font refuser un emploi, une assurance, une mutuelle, etc. à partir d'infos collectées ? Qui seraient plus ou moins visibles ou « validés » sur les réseaux sociaux ? Ben il y en a, et c'est au final plutôt invisible puisque c'est un algorithme qui décide, sans justifier particulièrement pourquoi/comment.
  - [^] # Re: Du développement de nouvelles richesses
    
    Posté par ǝpɐןƃu∀ nǝıɥʇʇɐW-ǝɹɹǝıԀ (site web personnel) le 27 février 2018 à 11:01. Évalué à 5.
    
    « […] il y en a […] c'est un algorithme qui décide […] »
    
    Donc ici, il s'agirait de la revente de données de gré à gré (à moins qu'il n'existe un marché ouvert ?) entre entreprise ? Permettant à des assureurs ou des chasseurs de têtes d'obtenir plus d'informations que disponible autrement. Est-ce bien ça ? Est-ce documenté quelque part ? Sait-on s'il s'agit de pratique généralisées à M. Toutlemonde, ou encore seulement d'un marché de niche ?
    
    Par ailleurs comment sait-on qu'un algorithme décide ? Sans intervention humaine ? Et suffit-il d'être prudent sur le net pour lui échapper ? Ou au contraire passer sous les radars est-il synonyme de portes fermées ?
    
    Enfin cela soulève la question de l'association entre machine et utilisateur. Les algorithmes dressent le portrait de l'utilisateur type de machines et de compte. Mais vu le nombre de contrat d'assurance, de réservations, de factures, de documents plus ou moins confidentiels… que je reçois dans ma boîte mail à cause de bogues d'interfaces chaises claviers, n'est on pas en droit de supposer que les utilisateurs de ces données collectées s'emploient à des vérifications intensives ? Sinon, vu que les pistés sont eux-même capables de se tromper sur leur propre données, la fiabilité du système paraît plus que douteuse. Sans même mentionner l'utilisation partagée de ressources. Non ?
    
    « IRAFURORBREVISESTANIMUMREGEQUINISIPARETIMPERAT » — Odes — Horace
    - [^] # Re: Du développement de nouvelles richesses
      
      Posté par Christophe SELLIER le 23 mars 2018 à 12:26. Évalué à 2.
      
      il s'agirait de la revente de données de gré à gré (à moins qu'il n'existe un marché ouvert ?) entre entreprise ? Permettant à des assureurs ou des chasseurs de têtes d'obtenir plus d'informations que disponible autrement. Est-ce bien ça ? Est-ce documenté quelque part ?
      
      Lire Corporate Surveillance in Everyday Life de
      Wolfie Christl sur le sujet.
      
      A défaut parcourir l'infographie du document
      
      Sinon une recherche avec data broker donne un panorama instructif
      
      Aussi concernant la revente de données, citons le "firehose" de twitter :
      Extrait de
      http://blog.digitalinsighters.com/2015/topic-data-firehose-facebook
      
      Le terme "Firehose" nous vient de Twitter. En 2010, Twitter a décidé de commercialiser l'accès aux tweets via leur API.
      
      Trois options sont alors possibles :
      Spritzer : Un accès gratuit à environ 1% des tweets, via l'API publique.
      Gardenhose : Un "tuyau de jardinier" pour capter entre 10 et 20% des tweets, via une API délivrée par Twitter au cas par cas.
      Firehose : Un accès à 100% des tweets publiques (soit 500 millions de tweets par jour) en temp réel. Cette "lance à incendie" coûte $1 pour 1 000 tweets.
- [^] # Re: Du développement de nouvelles richesses
  
  Posté par Adrien le 27 février 2018 à 10:51. Évalué à 10.
  
  Mais y-a-il des exemples concrets de cas de figure où cela puisse porter atteinte à quelqu'un ?
  
  J'ai cet exemple en tête (en anglais) :
  https://www.propublica.org/article/facebook-advertising-discrimination-housing-race-sex-national-origin
  
  Facebook permet aux publicitaires d'exclure les gens de leurs annonces. Par exemple, un publicitaire peut faire afficher des annonces immobilières, en excluant les hispaniques ou les gens « intéressés par l'Islam ».
  De fait, ces derniers ne verrons donc pas les annonces, et le quartier pourra être préservé de ces gens-là. Seul problème, c'est illégal aux États-Unis, où l'article se situe.
  - [^] # Re: Du développement de nouvelles richesses
    
    Posté par Faya le 28 février 2018 à 23:27. Évalué à 7.
    
    En lisant cet article, je réalise qu'il est sûrement possible d'extraire des données de la banque de profil Facebook. Ils expliquent qu'on peut créer une publicité en choisissant d'exclure (ou d'inclure) les personnes intéressés par (exemple) le Coran. Du coup pour se constituer un listing de musulmans de sa ville, on pourrait aisément :
    - Créer une publicité qui les cible
    - Rattacher une URL dédiée à cette pub
    - À l'arrivée sur la page pointée par la pub, j'utilise la fonctionnalité OAuth "Se connecter avec Facebook/Google/Twitter…"
    - ~~Profit~~ Je sais que tel profil Facebook/Google/Twitter qui vient de s'inscrire sur mon site est intéressé par le Coran.
    
    Et ça marcherait bien sûr avec n'importe quelle autre composante sélectionnable dans les filtres de pub Facebook (orientation sexuelle, hobbies, …) Je voudrais bien que quelqu'un me contredise parce que le pistage par l'état ou les GAFAM est déjà inquiétant mais si n'importe qui peut accéder à ces données avec ce genre de ruse simpliste, c'est carrément flippant.
- [^] # Re: Du développement de nouvelles richesses
  
  Posté par kna le 27 février 2018 à 14:45. Évalué à 5.
  
  plus d'informations sur nous que le service client de n'importe quelle grande enseigne physique où nous ferions nos courses
  
  Même s'ils ne peuvent pas récupérer autant d'infos que des trackers sur le web, les enseignes physiques nous pistent aussi, avec des cartes de fidélités/scanettes, et le traçage du chemin emprunté par les clients via les caméras/le wifi de leur smartphone, et probablement d'autres techniques que je ne connais pas…
- [^] # Re: Du développement de nouvelles richesses
  
  Posté par Thierry Thomas (site web personnel, Mastodon) le 27 février 2018 à 15:38. Évalué à 5.
  
  Un exemple parmi d’autres : tu te renseignes sur le coût d’un billet d’avion. La semaine suivante, tu retournes sur les mêmes sites pour finaliser ton achat, et là tu te rends compte que le prix des billets est plus élevé, car ils t’ont repéré et se disent que de toutes façons tu vas conclure ton achat.
  Il y a quelques années, ce phénomène existait déjà, mais il suffisait d’effacer les cookies ou de passer en navigation privée pour y échapper. Mais maintenant, les possibilités de traçage sont plus complexes, et ça ne suffit plus !
  - [^] # Re: Du développement de nouvelles richesses
    
    Posté par geb le 27 février 2018 à 22:52. Évalué à 5.
    
    Un exemple parmi d’autres : tu te renseignes sur le coût d’un billet d’avion. La semaine suivante, tu retournes sur les mêmes sites pour finaliser ton achat, et là tu te rends compte que le prix des billets est plus élevé, car ils t’ont repéré et se disent que de toutes façons tu vas conclure ton achat.
    
    Pour ce cas précis, l'UFC que choisir recommande d'utiliser Tor https://www.quechoisir.org/actualite-achat-en-ligne-comment-payer-moins-cher-n51052/. Cela permet de déjouer le suivi évoqué, tout comme les prix/disponibilités par pays.
- [^] # Re: Du développement de nouvelles richesses
  
  Posté par ljf (site web personnel) le 28 février 2018 à 18:12. Évalué à 10.
  
  Mais y-a-il des exemples concrets de cas de figure où cela puisse porter atteinte à quelqu'un ?
  
  Ca porte atteinte individuellement et collectivement. Si on pense n'avoir rien à cacher individuellement, il faut se poser la question de demain, d'ailleurs, des autres (proche ou non), du collectif. Quelques exemples du passé, du présent ou des décisions en cours pour le futur:
  
  Facebook a fait de nombreuses "experiences" sur des millions de gens pour les encourager à aller voter. Ils s'en étaient même vanté sur facebook research: +3% de votant sur un panel de plus d'un millions ~~d'utilisateurs~~ (pardon) d'utilisés par rapport au panel témoins… Sommes nous vraiment sûr qu'il n'y a pas une utilisation de ces médias sociaux pour influencer tel ou tel groupe de personne qui pensent de tel façon… Où est la liberté d'opinion et le libre arbitre avec ce genre de trucs… Quid de la souveraineté des peuples ?
  https://gigaom.com/2014/10/31/facebooks-secret-newsfeed-experiments-affected-voter-turnout-in-the-2012-election/
  
  Faire acheter des choses à des gens c'est pareil c'est de la manipulation, sans parler que ça augmente le gaspillage des ressources. Petit exemple pour illustrer: il y a quelques années j'avais lu un fait divers d'une famille qui attaquait en justice un magasin car les pubs ciblées du magasins avait révélé la grossesse de leur fille à son insu. En même temps, cibler les femmes enceintes est quasiment devenu une discipline car on sait que c'est un bon moment pour faire changer les habitudes et que celles-ci ne changeront plus beaucoup après la naissance…
  https://www.forbes.com/sites/kashmirhill/2012/02/16/how-target-figured-out-a-teen-girl-was-pregnant-before-her-father-did/
  
  Que penser des assurances aux royaumes unis et ailleurs qui font des "réductions" pour ceux qui portent un bracelet connectés. Ce genre de trucs porte préjudices à plein de gens et détruit le modèle de solidarité voir le concept même d'assurance. C'est l'effet de dévoilement, ceux qui ne font pas le choix de porter le bracelet deviennent louchent et à terme payeront une assurance exorbitante.
  https://www.lesechos.fr/29/08/2017/LesEchos/22517-092-ECH_discovery--pionnier-de-l-assurance-sante-connectee--s-exporte-avec-succes.htm
  
  Que dire de la chine et du projet de "note de confiance" qui vise à noter chaque citoyens chinois en fonction des données collectées par le parti (notamment les nombreuses caméras) et de donner ou non accès à certains services en fonction (coucou black mirror)
  http://www.konbini.com/fr/tendances-2/alerte-big-brother-chine-systeme-credit-citoyen-note/
  
  Que penser de ces 80 pays (environ) qui pénalisent l'homosexualité (prison, peine de mort, fouet…) voir qui organisent carrément des rafles (Tchétchénie) sommes nous vraiment sûr qu'ils n'utilisent pas ou n'utiliseront les moyens technologiques à leurs dispositions?
  
  Sommes-nous à 100% sûr que dans 10ans 30ans 50 ans avec les changements géopolitiques évident (problèmes de ressources énergétiques) les minorités en France n'auront pas de nouveaux besoin de se cacher? Quid des militants écologistes qui se sont fait assigner à résidences ? Quid des boites noires imposées par l'état…
  
  Au sujet des boites noires, que penser du champs d'applications de la loi sur le renseignement qui permet d'user de techniques de renseignement sans autorisation d'un juge notamment pour la sauvegarde des intérêts économiques industrielles et scientifiques de la France ou pour la prévention des violences collectives ?
  
  Faut bien voir qu'il y a effectivement un lien fort entre la surveillance commerciale civile et la surveillance étatique. Le second est fortement facilité par l'existence du premier. Un peu comme l'intrication entre le nucléaire militaire et le nucléaire civile…
  
  Mais comme montré plus haut, la simple partie commerciale est déjà plus qu'inquiétante et manipule déjà énormément les gens, suffit de voir le temps passés sur les smartphones et cette sensation d'addiction chez certains utilisés pour s'en convaincre.
  
  Je termine en disant qu'au délà de la collecte de données, au delà de leurs traitements il y aussi le simple fait que les gens utilisent les mêmes services. Que ces interfaces sont comme les mots elles peuvent manipuler la façon dont on conçoit le monde. Tout comme il est nécessaire de savoir déconstruire le sens des mots pour ne pas se faire manipuler ("travailleur", "collaborateur" ne sont pas synonyme) il est aujourd'hui nécessaire de savoir déconstruire les interfaces pour comprendre en quoi ces dernières nous influences (quels mots, quels champs de saisies, quels algorithmes…). Les logiciels sont de formidables outils d'asservissements technologiques "code is law".
  
  Bref oui il est grand temps que Firefox obéissent à ses utilisateurs.
# Manipulation

Posté par arnaudus le 27 février 2018 à 14:07. Évalué à 5.

Le contenu technique de la dépêche est tout à fait valide, mais la partie «manipulation» me semble très très douteuse, voire franchement fantasmée.

«À partir des données recueillies, des techniques de manipulation sont appliquées aux internautes comme le datamining, le neuromarketing, le biais cognitif, etc. Ces techniques ont atteint une telle maturité et efficacité qu’il est impossible de ne pas en être victime.»

Le datamining n'a rien à voir avec la manipulation. C'est un ensemble de techniques statistiques qui permettent d'aller rechercher des corrélations ou des associations à partir de très grands jeux de données. La collecte d'informations sur les comportements des internautes permettent la construction de ce grands jeux de données, et les techniques de datamining permettent de comprendre les habitudes des internautes. Les techniques commerciales qui se basent sur de tels résultats existent depuis très longtemps ; par exemple, elles ont permis de déterminer un ordre rationnel des rayons dans les supermarchés (mettre côte à côte un produit dont l'acheteur a besoin et un produit dont il n'a pas besoin mais qu'il achèterait spontanément s'il le voyait, mettre le plus loin possible les produits dont l'acheteur a besoin pour qu'il parcourre le magasin, etc). Finalement, le datamining, c'est presque le contraire de la collecte de données personnelles : c'est en agglomérant des milliers de données individuelles qu'on arrive à déterminer des tendances.

Le neuromarketting est une discipline liée aux sciences sociales et à la neurologie ; ça consiste par exemple à montrer des publicités à des volontaires qu'on a mis dans des machines à IRM. L'objectif est de mieux comprendre le fonctionnement du cerveau face à des messages publicitaires, avec bien sûr en terme d'application l'amélioration des techniques de vente.

Un biais cognitif est un mécanisme de pensée involontaire qui parasite la pensée rationnelle. Par exemple, le biais de confirmation est le biais cognitif qui est à la base des théories du complot.

Tout ceci est très très loin du problème du tracking lors de la navigation sur internet. Le tracking permet d'accumuler les données qui sont soumises au data mining, il permet de "personnaliser" les services en donnant l'illusion du boulanger qui vous appelle par votre nom quand vous visitez une page, etc. Les techniques de manipulation commerciales existent, elles existent même depuis très longtemps, bien avant Internet ; un bon commercial ou un bon vendeur, c'est quelqu'un qui a su vous inciter à acheter un produit dont vous n'aviez peut-être pas tant besoin que ça à un prix qui lui permet de réaliser une marge confortable. Avant, ça reposait beaucoup sur des êtres humains et sur des critères pas forcément formalisés, maintenant c'est plutôt des algorithmes… voila, quoi. Les commerciaux ont toujours exploité les biais cognitifs, et les progrès des neurosciences montrent rapidement les limites des approches marketting (de toutes manières, on peut vous inciter à acheter, mais seulement dans des limites très restreintes ; les vraies guerres commerciales, ça n'est pas sur la question d'acheter quelque chose, mais plutôt à qui).

Un raisonnement que j'ai souvent proposé ici, c'est de réfléchir aux quantités de données dont on parle. Stocker des données, ça coûte cher. Stocker des données massives, ça coûte très cher. Les analyser aussi, parce que les calculs statistiques sont lourds, et parce que les infrastructures nécessaires pour calculer rapidement quelle pub il faut afficher en fonction de votre profil, ça coûte cher aussi. D'un autre côté, combien d'argent cela représente-t-il? Si on exclut les gros achats (voiture, immobilier), on parle de quelques centaines d'euros mensuels par personne grand max. Pour simplifier, prenons des biens matériels ; des achats d'objets réels livrés par la Poste. Sur de tels achats, les prix sont tirés très fort vers le bas, la concurrence n'est pas loin d'être «parfaite et non faussée». Sur la faible marge qu'il reste, il faudra que le vendeur rémunère le publicitaire, qui lui-même devra rémunérer les boîtes qui assurent le tracking, qui ont elles aussi des frais fixes (charges, salaires, matériel…). Au final, si une dizaine d'euros par personne peut se permettre, à terme, d'aller vers cette industrie du pistage, ça me parait un grand maximum (ceci dit, l'emballement est tellement fort qu'il est tout à fait possible que la plupart de ces boîtes tournent à perte, donc le raisonnement est en réalité plus complexe). Regardez ce que vous pouvez stocker pour 10€ par mois, ça ne va pas chercher loin. Et ça, ça représente la totalité des données perso qui peuvent, de manière économiquement viable, être mémorisées et traitées par l'ensemble des acteurs de la filière. Ça n'est forcément que des données très partielles, qui sont rapidement écrasées et remplacées, avec beaucoup d'erreurs, et certainement beaucoup de fausses associations. Bref, si quelqu'un (genre les génies du FBI des séries US) avait magiquement accès à ces données, il ne pourrait pas en faire grand chose («il a probablement acheté un bouquet de fleur pour la Saint-Valentin», «il va sur des sites de boule pendant ses heures de travail, à moins que ça soit son stagiaire», …). En terme de fiabilité, je pense qu'un relevé de banque ou une fadette de téléphone mobile, ça a une valeur très très supérieure.

Ça n'est bien entendu pas une raison pour ne rien faire, et c'est quand même assez étonnant que les navigateurs ne prennent pas des décisions simples et claires pour limiter le phénomène (ne serait-ce que de supprimer tout type de publicité par défaut). Mais derrière l'emballement de la publicité ciblée, il y a surtout beaucoup de discours commerciaux, dont la plupart des promesses ne sont pas franchement réalistes. Il y a aussi pas mal de fantasmes sur l'idée qu'on nous surveille en permanence, alors que les données collectées sont d'une qualité plus que douteuse, et sont tellement importantes en volume qu'il ne peut pas être économiquement viable de les garder.
- [^] # Re: Manipulation
  
  Posté par ckyl le 27 février 2018 à 15:17. Évalué à 10.
  
  Regardez ce que vous pouvez stocker pour 10€ par mois, ça ne va pas chercher loin
  
  534 GB dans S3 ;)
- [^] # Re: Manipulation
  
  Posté par Bruno Michel (site web personnel) le 27 février 2018 à 17:30. Évalué à 8.
  
  Stocker des données, ça coûte cher. Stocker des données massives, ça coûte très cher.
  
  Non, le stockage de données ne coûte pas cher. Les services de type Drive (Dropbox, Google Drive, Cozy Cloud) offrent plusieurs Go gratuitement à leurs utilisateurs. Si ça coutait cher, ils ne pourraient pas se le permettre.
  
  Les analyser aussi, parce que les calculs statistiques sont lourds, et parce que les infrastructures nécessaires pour calculer rapidement quelle pub il faut afficher en fonction de votre profil, ça coûte cher aussi.
  
  J'ai entendu plusieurs fois Tristan Nitot dire que Facebook dépensait 5€ par an et par utilisateur (ça date peut-être un peu, mais ça doit rester sous les 10€ par an par utilisateur). Ça inclut les salaires, les serveurs de calcul, le stockage des photos et vidéos, la bande passante et plein d'autres choses. Et pourtant, Facebook fait parti de ceux qui stockent le plus de données sur leurs utilisateurs (et gagnent plein de sous grâce à la publicité ciblée).
  
  Au final, si une dizaine d'euros par personne peut se permettre, à terme, d'aller vers cette industrie du pistage, ça me parait un grand maximum
  
  Google a des revenus annuels provenant de la vente de publicité ciblée qui représentent à peu près 100 milliards d'euros. Même en comptant 5 milliards de personnes connectées à Internet, ça fait 20 euros par personne par an. Et on ne parle que de Google.
  
  Bref, si quelqu'un (genre les génies du FBI des séries US) avait magiquement accès à ces données, il ne pourrait pas en faire grand chose
  
  Heu, tu as raté les révélation de Snowden ??? La NSA a eu accès aux bases de données de Google, Facebook, Microsoft et ils en ont fait l'outil d'espionnage le plus efficace de tous les temps.
  
  Mais sans parler des états, les GAFAM (Google, Apple, Facebook, Amazon et Microsoft) ont un pouvoir énorme. Prenons un exemple : Google a accès aux traces GPS de quasiment tous les utilisateurs de smartphone android. Ils peuvent en déduire quand une personne va à l’hôpital, dans quels restaurants elle va (d'ailleurs, Google Maps peut te proposer de noter des restaurants dans lequel tu es passé), là où elle habite, et plein d'autres choses. Uber avait, à partir de ses mêmes données de géolocalisation, fait une liste de personnes qui avaient découché (pour dire ça poliment, c'était plutôt Walk of shame et Rides of glory les termes utilisés par Uber).
  
  Ça n'est bien entendu pas une raison pour ne rien faire, et c'est quand même assez étonnant que les navigateurs ne prennent pas des décisions simples et claires pour limiter le phénomène
  
  La bonne blague, le navigateur majoritaire est développé par Google, dont 90% des revenus viennent de la publicité ciblée. Ils ne vont quand même pas tuer leur poule aux œufs d'or.
  - [^] # Re: Manipulation
    
    Posté par arnaudus le 28 février 2018 à 10:16. Évalué à 2.
    
    La NSA a eu accès aux bases de données de Google, Facebook, Microsoft et ils en ont fait l'outil d'espionnage le plus efficace de tous les temps.
    
    Sur ces données, combien étaient renseignées volontairement par l'utiliateur? Le niveau de fiabilité est très différent dans les deux cas. Tout ce qui est déduit du comportement de navigation n'est pas fiable, ça ne serait par exemple pas opposable devant un tribunal.
    
    le navigateur majoritaire est développé par Google,
    
    Oui, mais si on prend Firefox, c'est globalement la même chose. On apprend à nos gamins à ne pas donner d'informations à des inconnus, et ton navigateur obéit bêtement à la moindre demande du moindre site louche. Il faut reposer sur des extensions ou mettre en place des méthodes complexes et pas forcément fiables pour se protéger, comme si Firefox obéissait plus à n'importe quelle demande d'un tiers plutôt qu'à son utilisateur.
    - [^] # Re: Manipulation
      
      Posté par Jean-Baptiste Faure le 28 février 2018 à 11:45. Évalué à 8.
      
      Tout ce qui est déduit du comportement de navigation n'est pas fiable, ça ne serait par exemple pas opposable devant un tribunal.
      
      Aucune importance, on n'a pas besoin de l'avis d'un tribunal pour te ficher S, te mettre sur écoute ou te refuser un prêt ou une assurance.
    - [^] # Re: Manipulation
      
      Posté par Bruno Michel (site web personnel) le 28 février 2018 à 11:50. Évalué à 8.
      
      Sur ces données, combien étaient renseignées volontairement par l'utiliateur? Le niveau de fiabilité est très différent dans les deux cas. Tout ce qui est déduit du comportement de navigation n'est pas fiable, ça ne serait par exemple pas opposable devant un tribunal.
      
      La NSA avait accès aux traces GPS, aux réseaux de personnes (untel est ami avec untelle sur Facebook, lui a envoyé un mail, un SMS ou l'a appelé par téléphone), aux historiques de sites consultés et plein d'autres choses. Ils sont intéressés par croiser les données : si une personne Américaine a passé des coups de fil vers l’Afghanistan, a téléphoné à d'autres personnes américaines pour lesquelles on pense qu'elles se sont radicalisés d'un point de vue religieux, qu'elle a commandé des câbles électriques sur Amazon et qu'elles consultent les sites web d'un paquet de magasins qui vendent de l'engrais, la NSA va se dire qu'elle prépare potentiellement un attentat et va envoyer le SWAT lui rendre une petite visite de courtoisie. Pour les personnes à l'étranger, les actions sont plutôt la torture à Guantánamo ou l'envoi de drones tueurs, pas les tribunaux. Un autre domaine qui intéresse beaucoup les services secrets est l'espionnage économique : ça peut être très intéressant de savoir que les dirigeants de deux grands groupes se sont retrouvées dans la même pièce au même moment.
      
      Mais, encore une fois, l'espionnage par des États est une problématique différente de celles par les grandes sociétés de consommation. Il se trouve juste que la NSA a trouvé pratique de piocher dans les base de données des GAFAM et vu les montants investis là dedans, ça montre que ces bases de données ont beaucoup de valeur.
      
      Oui, mais si on prend Firefox, c'est globalement la même chose.
      
      Firefox est plus respectueux de la vie privée que Chrome (ou moins pire, selon le point de vue adopté). Ils essayent de s'améliorer mais c'est compliqué. Un des motto du web est d'assurer la compatibilité avec les sites existants : c'est toujours possible d'afficher dans la dernière version des navigateurs des sites qui ont été fait il y a 10 ou 20 ans. Et beaucoup de choses dans le monde du web ont été standardisées à une époque où on n'avait pas conscience des dérives possibles en termes de vie privée (par exemple, les cookies, ça date du siècle dernier). Enfin, les GAFAM ont des moyens bien supérieurs à ceux de Mozilla.
      
      Pour Mozilla, il est important que Firefox conserve des parts de marché significatives pour pouvoir peser sur les standards dans le futur. Cela demande de consacrer beaucoup d'efforts aux performances, à l'implémentation des dernières nouveautés HTML5, CSS4, ES6+, etc. Et, au final, cela limite fortement ce que Firefox peut faire pour limiter les atteintes à la vie privée.
      
      comme si Firefox obéissait plus à n'importe quelle demande d'un tiers plutôt qu'à son utilisateur.
      
      J'aime beaucoup le texte "User-agent: moz://a" de Steve Klabnik à ce sujet. Il souhaite changer la vision de Firefox, passer d'un navigateur à un User-Agent, c'est-à-dire se recentrer sur être au service de l'utilisateur plus que sur un navigateur dont le rôle est de faire de ce que les sites web lui disent de faire.
      - [^] # Re: Manipulation
        
        Posté par arnaudus le 28 février 2018 à 13:40. Évalué à 5.
        
        Mais, encore une fois, l'espionnage par des États est une problématique différente de celles par les grandes sociétés de consommation.
        
        Oui, et les enquêtes de police sont aussi différentes du renseignement. Que la police, sous le contrôle d'un juge, ait accès à ce type de données, ne me gêne absolument pas.
        
        Cela demande de consacrer beaucoup d'efforts aux performances
        
        C'est un point de vue, mais il est contestable. Par exemple, il me semble bien que la plus grosse percée de Firefox est en grande partie due à l'existence d'AdBlock, l'extension qui bloquait les publicité quand les autres acteurs du marché te fournissait la page telle quelle.
        
        Avec un raisonnement hyper-technique sur le respect des standards, de la compatibilité, de la neutralité, etc., les e-mails seraient tellement pourris par des spams qu'ils seraient inutilisables. La lutte anti-spam passe par le bannissement de plages IP, par l'utilisation de listes noires, par une analyse logicielle du contenu afin de servir à l'utilisateur ce dont il a besoin, et pas ce qu'on veut lui faire lire. Je ne comprends pas pourquoi ça n'est pas non plus la base du fonctionnement d'un navigateur, pourquoi un filtre anti-spam «intelligent» est intégré depuis 15 ans à Thunderbird, et pourquoi un tel filtre anti-pubs n'existe pas nativement sous Firefox. Pourquoi Firefox continue-t-il de servir des user-agent hyper-informatifs à n'importe qui, pourquoi continue-t-il invariablement d'afficher des images d'un pixel sur un pixel, des publicités, des pop-ups, des bannières d'information des cookies ; pourquoi l'interface pour gérer ses cookies n'est pas utilisable… C'est quand même très surprenant ; au pire, on pourrait imaginer un "legacy mode" un peu sur le modèle de la navigation privée, qui permette d'ouvrir une page en respectant la totalité des standards, mais le mode de fonctionnement par défaut devrait privilégier le fait que l'utilisateur du navigateur, c'est moi, et pas le site tiers.
        
        [^] # Re: Manipulation
        
        Posté par antistress (site web personnel) le 28 février 2018 à 14:00. Évalué à 2.
        
        au pire, on pourrait imaginer un "legacy mode" un peu sur le modèle de la navigation privée, qui permette d'ouvrir une page en respectant la totalité des standards, mais le mode de fonctionnement par défaut devrait privilégier le fait que l'utilisateur du navigateur, c'est moi, et pas le site tiers.
        
        spabête
- [^] # Re: Manipulation
  
  Posté par ljf (site web personnel) le 28 février 2018 à 18:14. Évalué à 1.
  
  Cette collecte de données, son traitement et ses usages portent atteinte individuellement et collectivement. Si on pense n'avoir rien à cacher individuellement, il faut se poser la question de demain, d'ailleurs, des autres (proche ou non), du collectif. Quelques exemples du passé, du présent ou des décisions en cours pour le futur:
  
  Facebook a fait de nombreuses "experiences" sur des millions de gens pour les encourager à aller voter. Ils s'en étaient même vanté sur facebook research: +3% de votant sur un panel de plus d'un millions ~~d'utilisateurs~~ (pardon) d'utilisés par rapport au panel témoins… Sommes nous vraiment sûr qu'il n'y a pas une utilisation de ces médias sociaux pour influencer tel ou tel groupe de personne qui pensent de tel façon… Où est la liberté d'opinion et le libre arbitre avec ce genre de trucs… Quid de la souveraineté des peuples ?
  https://gigaom.com/2014/10/31/facebooks-secret-newsfeed-experiments-affected-voter-turnout-in-the-2012-election/
  
  Faire acheter des choses à des gens c'est pareil c'est de la manipulation, sans parler que ça augmente le gaspillage des ressources. Petit exemple pour illustrer: il y a quelques années j'avais lu un fait divers d'une famille qui attaquait en justice un magasin car les pubs ciblées du magasins avait révélé la grossesse de leur fille à son insu. En même temps, cibler les femmes enceintes est quasiment devenu une discipline car on sait que c'est un bon moment pour faire changer les habitudes et que celles-ci ne changeront plus beaucoup après la naissance…
  https://www.forbes.com/sites/kashmirhill/2012/02/16/how-target-figured-out-a-teen-girl-was-pregnant-before-her-father-did/
  
  Que penser des assurances aux royaumes unis et ailleurs qui font des "réductions" pour ceux qui portent un bracelet connectés. Ce genre de trucs porte préjudices à plein de gens et détruit le modèle de solidarité voir le concept même d'assurance. C'est l'effet de dévoilement, ceux qui ne font pas le choix de porter le bracelet deviennent louchent et à terme payeront une assurance exorbitante.
  https://www.lesechos.fr/29/08/2017/LesEchos/22517-092-ECH_discovery--pionnier-de-l-assurance-sante-connectee--s-exporte-avec-succes.htm
  
  Que dire de la chine et du projet de "note de confiance" qui vise à noter chaque citoyens chinois en fonction des données collectées par le parti (notamment les nombreuses caméras) et de donner ou non accès à certains services en fonction (coucou black mirror)
  http://www.konbini.com/fr/tendances-2/alerte-big-brother-chine-systeme-credit-citoyen-note/
  
  Que penser de ces 80 pays (environ) qui pénalisent l'homosexualité (prison, peine de mort, fouet…) voir qui organisent carrément des rafles (Tchétchénie) sommes nous vraiment sûr qu'ils n'utilisent pas ou n'utiliseront les moyens technologiques à leurs dispositions?
  
  Sommes-nous à 100% sûr que dans 10ans 30ans 50 ans avec les changements géopolitiques évident (problèmes de ressources énergétiques) les minorités en France n'auront pas de nouveaux besoin de se cacher? Quid des militants écologistes qui se sont fait assigner à résidences ? Quid des boites noires imposées par l'état…
  
  Au sujet des boites noires, que penser du champs d'applications de la loi sur le renseignement qui permet d'user de techniques de renseignement sans autorisation d'un juge notamment pour la sauvegarde des intérêts économiques industrielles et scientifiques de la France ou pour la prévention des violences collectives ?
  
  Faut bien voir qu'il y a effectivement un lien fort entre la surveillance commerciale civile et la surveillance étatique. Le second est fortement facilité par l'existence du premier. Un peu comme l'intrication entre le nucléaire militaire et le nucléaire civile…
  
  Mais comme montré plus haut, la simple partie commerciale est déjà plus qu'inquiétante et manipule déjà énormément les gens, suffit de voir le temps passés sur les smartphones et cette sensation d'addiction chez certains utilisés pour s'en convaincre.
  
  Je termine en disant qu'au délà de la collecte de données, au delà de leurs traitements il y aussi le simple fait que les gens utilisent les mêmes services. Que ces interfaces sont comme les mots elles peuvent manipuler la façon dont on conçoit le monde. Tout comme il est nécessaire de savoir déconstruire le sens des mots pour ne pas se faire manipuler ("travailleur", "collaborateur" ne sont pas synonyme) il est aujourd'hui nécessaire de savoir déconstruire les interfaces pour comprendre en quoi ces dernières nous influences (quels mots, quels champs de saisies, quels algorithmes…). Les logiciels sont de formidables outils d'asservissements technologiques "code is law".
  
  Bref oui il est grand temps que Firefox obéissent à ses utilisateurs!
  - [^] # Re: Manipulation
    
    Posté par Jean-Baptiste Faure le 28 février 2018 à 21:24. Évalué à 1.
    
    Bref oui il est grand temps que Firefox obéissent à ses utilisateurs!
    
    Firefox obéit à ses utilisateurs, quand ils lui demandent quelque chose. Mais combien d'utilisateurs se préoccupent de décider eux-mêmes ?
    - [^] # Re: Manipulation
      
      Posté par arnaudus le 01 mars 2018 à 09:17. Évalué à 6.
      
      Mais combien d'utilisateurs se préoccupent de décider eux-mêmes ?
      
      De décider d'eux-mêmes quoi? On parle de trucs tellement techniques que les politiques et même les développeurs ne savent pas contrer. Si seulement il existait un mode dans Firefox, ou même une extension, qui permettait d'éviter le tracking… mais non, il faut installer plein de trucs redondants avec des milliers d'options que personne ne comprend, c'est complètement ridicule d'imaginer que ça puisse être aux gens eux-mêmes de se protéger contre des pratiques intrusives mises au point par des ingénieurs. Si quelque chose peut protéger les utilisateurs, c'est bien le navigateur, la seule brique qui obéisse encore à l'utilisateur.
      
      Et non, les capacités de Firefox sans extension d'effectuer des opérations simplissimes garantissant un peu le respect de la vie privée sont quasi-nulles. Soit il faut passer par l'activation d'obscures options aux effets de bords incompréhensibles dans about:config, soit il faut une tripotée d'extensions (certaines non-libres) aux modèles économiques parfois douteux (cf AdBlock). Rien qu'une opération de base, comme lister les cookies enregistrés par la page ouverte sur un onglet, est quasiment impossible (la seule manière que j'ai reouvée, c'est de créer une session vierge, d'ouvrir une seule page, et par comparaison de déduire quels cookies avaient été installés—grosse galère. Pourtant, ça me parait quand même élémentaire, les cookies sont un outil de base du pistage, n'importe quel navigateur devrait par défaut supprimer dès la fermeture de l'onglet l'intégralité des cookies qui ne proviennent pas du domaine qu'on a explicitement visité. Ce genre de trucs devraient avoir le statut de failles majeures de sécurité ("Un site A peut savoir que vous avez visité un site B précédemment"), mais on préfère se cacher derrière le respect des standards. C'est bien les standards du web qui sont troués de partout, et si les navigateurs ne bouchent pas les trous, personne ne le fera.
      - [^] # Re: Manipulation
        
        Posté par antistress (site web personnel) le 01 mars 2018 à 10:20. Évalué à 3.
        
        Et non, les capacités de Firefox sans extension d'effectuer des opérations simplissimes garantissant un peu le respect de la vie privée sont quasi-nulles
        
        Ce n'est plus tout à fait vrai avec la protection contre le pistage intégrée : pas d'appel vers des sites externes = pas de cookie, de fingerprinting etc par ces sites.
        
        Ce que Firefox ne gère pas ou très mal c'est le pistage 1st party (purger les cookies à la fermeture de l'onglet, etc.)
      - [^] # Re: Manipulation
        
        Posté par Renault (site web personnel) le 01 mars 2018 à 11:09. Évalué à 3.
        
        Si seulement il existait un mode dans Firefox, ou même une extension, qui permettait d'éviter le tracking… mais non, il faut installer plein de trucs redondants avec des milliers d'options que personne ne comprend, c'est complètement ridicule d'imaginer que ça puisse être aux gens eux-mêmes de se protéger contre des pratiques intrusives mises au point par des ingénieurs.
        
        Firefox utilise la liste de l'extension Disconnect pour limiter les trackers nativement depuis quelques mois.
        
        Options > Vie privée et sécurité > Protection contre le pistage
        Bref, ce n'est pas suffisant mais ce n'est pas rien.
# Remplaçant de RequestPolicy pour Firefox Quantum

Posté par cpm le 27 février 2018 à 14:51. Évalué à 3.

Pour ceux qui cherchent un remplaçant à RequestPolicy pour Firefox Quantum, voici un petit nouveau : 3P Request Blocker https://addons.mozilla.org/fr/firefox/addon/3prb/?src=api

C'est un logiciel libre. Installé aujourd'hui, encore plus ergonomique que RequestPolicy, transition sans regret. Pourvu que ça dure :-)
# Loi? Police?

Posté par devnewton 🍺 (site web personnel) le 27 février 2018 à 16:24. Évalué à 6.

Merci pour cette belle dépêche!

Sa lecture me fait penser qu'il faudrait une intervention étatique, car il y a une limite aux protections qu'un individu peut mettre en place seul.

Quand un voleur essaye de vous cambrioler une première fois parce que vous avez laissé la porte ouverte, vous pensez à fermer à clef. S'il revient une deuxième fois et crochète la serrure, vous achetez une alarme. S'il revient une troisième fois avec un pied de biche et coupe le courant, vous vous procurez un fusil. Et s'il revient une quatrième fois avec des potes armés de M16?

Le post ci-dessus est une grosse connerie, ne le lisez pas sérieusement.
- [^] # Re: Loi? Police?
  
  Posté par Bruno Michel (site web personnel) le 27 février 2018 à 17:37. Évalué à 8.
  
  C'est en train d'arriver, mais très doucement. Ce n'est pas facile à réglementer car ce n'est pas très visible, que ça reste un sujet assez technique et que l'on peut voir que nos hommes politiques ne sont pas toujours très à l'aise avec les technologies modernes. Mais ça arrive quand même. Un grand bond en avant a été le vote par le parlement européen du RGPD, qui va vraiment entrer en action à partir de mai 2018.
# Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin

Posté par Aldian le 28 février 2018 à 18:53. Évalué à 4.

Merci beaucoup aux auteurs de cette belle dépêche qui explique beaucoup de choses et va me permettre de me mettre à jour même si j'ai déjà un beau combo protectif

J'ai néanmoins quelques points de regret sur des aspects où ça ne va pas assez loin dans la vulgarisation:
- on n'échappe pas à l'écueil du catalogage.
- Il est difficile d'évaluer le cout en performance des différentes méthodes proposées. Il y a un des auteurs qui explique varier en fonction de sa machine mais c'est tout
- Il est difficile de comprendre quelles sont les extensions qui sont redondantes, lesquelles couvrent plusieurs domaines à la fois, quels sont les bons combos et ceux à éviter (une matrice de comparaison aurait été la bienvenue).

Là à l'issue de la dépêche je n'ai par exemple pas réussi à comprendre si Privacy Badger était une alternative à Ghostery (idem uMatrix) et s'il était conseillé ou non d'utiliser Decentraleyes.

L'idéal aurait été d'établir des profils type d'utilisateur en fonction du niveau de connaissance web et de l'acceptation de dégradation de l'UX et de conseiller des combo d'addon/paramètrage pour chaque cas.
- [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
  
  Posté par Jean-Baptiste Faure le 28 février 2018 à 21:16. Évalué à 0.
  
  Très intéressant. À ton avis, en combien de journaux tu pourras traiter tout ça et à quelle fréquence tu pourras les publier ?
  - [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
    
    Posté par Aldian le 01 mars 2018 à 11:03. Évalué à 2.
    
    … dit quelqu'un qui n'a rien posté sur le site depuis 2009. A une époque j'ai écris de nombreux billets pour vulgariser des extensions Firefox. Tout le monde ne peut pas en dire autant.
    
    Mais tout trolling à part, je ferai un journal si je trouve un combo idéal pour une situation donnée, pour ça il n'y a pas de soucis ;)
    - [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
      
      Posté par Benoît Sibaud (site web personnel) le 01 mars 2018 à 11:19. Évalué à 7. Dernière modification le 01 mars 2018 à 11:28.
      Juste pour préciser un point car il n'existe pas (encore) de statistiques facilement accessible sur le sujet, on peut aussi contribuer sur les contenus sans en être l'unique auteur ou l'auteur mis en avant (bref en participant à la rédaction d'une dépêche collaborative). En l'occurrence, depuis la mise en place du mécanisme :
      
      +-------+----------+----------+ | année | dépêches | éditions | +-------+----------+----------+ | 2013 | 1 | 1 | | 2014 | 1 | 3 | | 2016 | 1 | 1 | | 2017 | 2 | 32 | +-------+----------+----------+
      
      (entrée de suivi Mise en avant des contributions à la rédaction collaborative sur la page d'un compte créée)
    - [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
      
      Posté par Jean-Baptiste Faure le 01 mars 2018 à 12:16. Évalué à 0.
      
      … dit quelqu'un qui n'a rien posté sur le site depuis 2009.
      
      Et alors ? Je ne te reproche pas de ne rien publier. Ce qui me choque c'est que tu donnes un programme de travail aux auteurs de la dépêche comme s'ils étaient à ton service et sans même proposer de participer toi-même à ce travail.
      - [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
        
        Posté par Aldian le 01 mars 2018 à 15:04. Évalué à 1.
        
        C'est toi qui interprète mal mes propos. Et j'avoue que je ne goute pas du tout l'ironie de répondre par une seule phrase lapidaire et limite insultante. Mon commentaire se voulait constructif. J'ai félicité les auteurs de la dépêche et expliqué pourquoi j'étais un peu frustré que ça n'aille pas assez loin sur certains points. A aucun moment je n'ai dit "faites ceci, faites cela", c'est TON interprétation.
        
        Et accessoirement je ne propose pas de faire le travail moi même, peut-être parce que je fais déjà pas mal de boulot au service de la communauté et qu'à un moment donné je ne peux plus me disperser davantage? Si tu veux candidater pour m'aider à administrer le wiki d'ubuntu tu es le bienvenu. Peut être que ça me dégagera du temps pour travailler sur des journaux pour linuxfr ;)
- [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
  
  Posté par Bruno Michel (site web personnel) le 01 mars 2018 à 11:18. Évalué à 3.
  
  Pour ma part, j'en suis toujours à essayer de comprendre ce que font les différentes extensions (j'en découvre régulièrement des nouvelles) et lesquelles utiliser pour mon usage. Du coup, je ne me sens absolument pas en capacité de conseiller d'autres personnes selon leur profil, en dehors de choses très génériques comme : utilisez au moins un bloqueur de pub (uBlock Origin par exemple), ou uMatrix est très bien pour les experts (et seulement pour eux).
  
  J'espère que certains contributeurs du site vont pouvoir aller plus loin et proposer d'autres dépêches sur le sujet. Si c'est le cas, j'essayerais de participer à ces dépêches, mais je me sens pour le moment trop confus sur ces sujets pour initier et structurer moi-même les dépêches en question.
  - [^] # Re: Belle dépêche très intéressante mais l'effort de vulgarisation ne va pas assez loin
    
    Posté par antistress (site web personnel) le 01 mars 2018 à 12:43. Évalué à 4. Dernière modification le 01 mars 2018 à 12:44.
    
    à un novice tu peux conseiller les extensions de l'EFF : https everywhere et privacy badger, c'est déjà assez complet
    et leur montrer les trackers avec lightbeam ou kimtrak
# Firefox Configuration Guide for Privacy Freaks and Performance Buffs

Posté par Bruno Michel (site web personnel) le 02 mars 2018 à 11:09. Évalué à 4.

Je viens de trouver un article en anglais qui explique comment configurer Firefox aux petits oignons pour qu'il protège au mieux votre vie privée (par contre, c'est de la configuration avancée, ça demande de bien comprendre ce que l'on fait) : http://12bytes.org/tech/firefox/firefoxgecko-configuration-guide-for-privacy-and-performance-buffs
# lien mort

Posté par Jean-Baptiste Faure le 03 mars 2018 à 23:48. Évalué à 1.

Le lien vers https://blog.simplexsolutionsinc.com/stop-ip-leak-chrome-firefox/ pour webRTC donne une erreur 404

Par ailleurs la mention de Hello et de l'option correspondante est obsolète pour les versions récentes de Firefox.
- [^] # Re: lien mort
  
  Posté par Benoît Sibaud (site web personnel) le 04 mars 2018 à 13:49. Évalué à 3. Dernière modification le 04 mars 2018 à 13:49.
  
  Corrigé, merci.
# Request policy n'est plus

Posté par Context le 04 mars 2018 à 00:22. Évalué à 3.

Pas pu être porté sous Firefox 57

uBlock peut le remplacer, sinon il y 3PRB:
https://addons.mozilla.org/fr/firefox/addon/3prb/?src=search

Un acharné de coréen qui développe activement 3PRB: les mises à jour sont fréquentes et les nouvelles fonctions aussi. Dernières en date: la possibilité de gérer les javaScript, les objets, les contenus… sinon basiquement le travail de cette extension est le blocage des requêtes tierces. En cela il est plus sympa à utiliser que uBlock, mais il a aussi plus d'options (beaucoup plus même).

Une vraie machine de protection, mais pas trop destinée Michus
Seul truc: l'extension est en anglais
# et tant qu'on y est a renforcer la securite

Posté par gurumekun le 07 mars 2018 à 13:09. Évalué à 0.

sudo apt-get install haveged rng-tools

Je demande meme si ca ne fait pas du bien aux connections https cette petite
manip.
# Évolution dépêche?

Posté par Anonyme le 09 mars 2018 à 12:39. Évalué à 2. Dernière modification le 09 mars 2018 à 12:40.

C'est un peu dommage que cette dépêche soit figée dans le temps.

Une modification qui pourrait etre mentionnee concerne ghostery, qui est sous licence MPL 2.0 depuis avant-hier: https://github.com/ghostery/ghostery-extension
- [^] # Re: Évolution dépêche?
  
  Posté par Faya le 20 mars 2018 à 22:55. Évalué à 2.
  
  ça pourrait avoir sa place ici : https://linuxfr.org/wiki/web-propre
# gHack ou là là

Posté par Mike_X le 21 mars 2018 à 18:16. Évalué à 1. Dernière modification le 21 mars 2018 à 18:17.

Bon j'ai essayé gHack ben j'aurai pas du
Je n'ai pas sauvé mon profil car j'ai cru qu'il allait le faire. En fait il sauve un user.js si celui-ci est déjà présent.
Alors quoi ? Et bien impossible de se connecter à médiapart j'ai du utiliser chromium super hein ?
Bon finalement j'ai dezingué le profil et reconfiguré la bête avec les modules NoScript AdBlock et Privacy Badger qui m'a l'air très bien.
J'utilise aussi bind.
Pour en revenir à gHack c'est bien gentil de modifier tout plein de param mais à quoi servent t'ils ? C'est pourquoi modifier un par un à la main est plus prudent, on teste et l'on voit. et l'on rollback si besoin. Et toujours faire une sauvegarde du profil ca fait gagner du temps.
Mike