L'Electronic Frontier Foundation a publié les résultats de son étude Panopticlick, dont le but était de déterminer s'il est possible de distinguer des utilisateurs d'un site web sans utiliser de cookies mais seulement des informations que l'on peut obtenir depuis le navigateur. Pour cela, un site a été lancé en janvier 2010 : il récolte des informations sur l'utilisateur pour établir des statistiques et indique à quel point il peut être anonyme sur l'internet.
Les cookies pour traquer les utilisateurs
Le protocole
HTTP, qui sert à communiquer avec les serveurs web, n'a pas de notion de session : chaque requête est séparée des autres, et pourrait donc très bien être envoyée par un autre utilisateur. Les cookies constituent donc un moyen simple de reconnaître les utilisateurs d'un site web : le serveur envoie au navigateur quelques informations, qui seront ajoutées à toutes les requêtes lors des prochaines visites sur le site. Ils permettent, par exemple, de garder les préférences d'un site en mémoire ou bien de se connecter avec un compte utilisateur automatiquement.
Mais les cookies ne rendent pas toujours service : ils sont par exemple utilisés par les réseaux de publicité pour suivre les visiteurs entre les sites web, sans que l'utilisateur ne s'en aperçoive : cela permet d'afficher de la publicité plus ciblée. Pour ne pas être suivi par ce type de système, certaines personnes désactivent ou suppriment les cookies. D'autres mécanismes, comme
les cookies Flash ou "supercookies", sont parfois utilisés pour rendre le suivi plus efficace : ils peuvent être utilisés pour restaurer les cookies supprimés et ne respectent pas la configuration du navigateur contrairement aux cookies normaux.
Peut-on être suivi sans cookies ?
L'idée à l'origine de Panopticlick était de reconnaître les utilisateurs non pas par un cookie, mais par certaines informations propres à l'environement : version du navigateur, du système d'exploitation, des greffons installés, langue, résolution d'écran... Pour chacune de ces informations, le site attribue une valeur en bits permettant de savoir à quel point cette information permet d'identifier un individu. Par exemple, une valeur contient 10 bits d'informations si une personne sur 1024 (c'est-à-dire
) porte la même valeur de cette information. Ces empreintes peuvent changer avec le temps, mais un algorithme plutôt simple permet de déterminer ces changements dans 65 % des cas.
Les résultats de cette étude relèvent quelques faits étonnants : par exemple, certaines techniques comme le blocage de Flash, qui devraient transmettre moins d'informations concernant l'individu, le rendent en réalité plus facilement identifiable. Cependant, les extensions Firefox
TorButton et
NoScript ont un effet positif. Il a aussi été constaté que l'ordre dans lequel la liste des polices était donnée permettait de distinguer facilement les visiteurs. En général, 83,6 % des utilisateurs ont été identifiés de manière unique : c'est plutôt un bon score pour une technique qui utilise aussi peu d'informations.
La vie privée et la sécurité sont toujours des questions d'actualité sur le web : on découvre souvent des failles permettant à un site web d'accéder à des informations privées, comme l'historique ou le contenu du presse-papier. Une technique permettant de savoir si l'utilisateur a visité une page donnée auparavant a fait parler d'elle. Cette méthode utilise la propriété CSS
:visited
pour changer l'apparence d'un lien visité, et la récupérer ensuite par Javascript : c'est un problème de la spécification, qui couvre tous les navigateurs. Il devrait
être prochainement corrigé dans Firefox.
Quelques liens
Trouvez une formation
Précédente
Suggestions
Flux RSS News
Twitter
Facebook
Google+
69 Participations
Connectez-vous !
Connectez-vous !
Revenir à la liste des news