Un simple script permet de savoir si les internautes sont connectés à des services Web

Hinault Romaric · 26/01/2011, 13h15

Un simple script permet de savoir si les internautes sont connectés à des services Web
Nouveau problème de confidentialité en perspective

Un développeur Web anglais vient de trouver un moyen simple de savoir si les visiteurs de son site sont connectés à Gmail, Facebook, Twitter ou Digg.

Mike Cardwell a ainsi écrit un script JavaScript assez simple qui utilise les codes de statut retournés par de nombreux services. Ces retours diffèrent selon que l’utilisateur est connecté ou non. Conséquence, en analysant la réponse, il est possible de connaitre leur statut (connecté ou non).

Le Script fonctionne de manière assez fiable pour Twitter, Facebook et Digg.

Dans ces trois cas, Cardwel exploite le statut HTTP qui est retourné lorsque le navigateur du visiteur rencontre le lien qui se trouve dans son script. Cardwel estime que ce procédé est très efficace car il est très difficile d'éviter l’envoi des codes d’état HTTP.

Pour Gmail, Cardwel, utilise une autre méthode. Il met en ligne une photo dans un dossier public, mais uniquement consultable par les utilisateurs connectés à Gmail. Le Script essaye ensuite de voir si l'image est renvoyée (statut connecté) ou pas (déconnecté).

Ces méthodes fonctionnent sous Chrome, Safari ou Firefox.

Ces Scripts ne sont en aucun cas des exploits (ils ne permettent pas d'accéder aux services avec le compte de l'utilisateur). Mais ils posent question au moment où Firefox et Chrome tentent de trouver des parades au ciblage comportemental publicitaire. Savoir si un visiteur utilise tel ou tel service peut en effet rentrer dans ce genre d'analyse – cachée – des visiteurs.

Autre souci souligné par Mike Cardwell, étendre cette méthode permettrait de tracer un internaute, même de manière partielle, en sachant quel site il visite régulièrement (ceux pour lesquels il a choisi de se connecter automatiquement par exemple). Des plus évidents (Facebook, Gmail, etc.) aux plus « sensibles ».

Source : Blog de Cardwel

En collaboration avec Gordon Fowler

mekal · 26/01/2011, 13h47

si j'ai bien compris il declare une image et avec comme adresse celle d'une image qui appartient a un un compte gmail disponible quand le compte est loggé et si l'image est lu (onload) on en conclu que la personne est loggé

c'est tout con

Loceka · 26/01/2011, 14h15

Repost.

Gordon Fowler · 26/01/2011, 14h20

Citation:

Envoyé par Loceka

Repost.

Salut,

Il s'agit de deux sujets bien différents (bien que sur le même sujet de la confidentialité),

Cordialement,

Loceka · 26/01/2011, 14h23

Il s'agit du même exploit : se servir de l'historique du navigateur dans un javascript pour savoir si l'utilisateur est ou non connecté à un site.

Après c'est sûr que c'est juste un exemple d'application du premier post mais techniquement c'est la même chose.

Paul TOTH · 26/01/2011, 14h48

Citation:

Envoyé par Loceka

Il s'agit du même exploit : se servir de l'historique du navigateur dans un javascript pour savoir si l'utilisateur est ou non connecté à un site.

Après c'est sûr que c'est juste un exemple d'application du premier post mais techniquement c'est la même chose.

je n'accède pas à l'article...mais de ce qu'il en est dit, ce n'est pas une histoire de navigation mais de réponse HTTP, le code erreur ne serait pas le même pour une personne non identifiée (401 j'imagine) et non autorisée (403) (cf Wikipedia)

Marco46 · 26/01/2011, 16h02

En bref c'est un nmap de réseaux sociaux qui permet de déterminer le degré de lobotomisation de l'internaute ciblé

camus3 · 26/01/2011, 17h44

Perso chez moi javascript est maintenant désactivé par défaut.
Pas besoin de Js pour gmail , mais les sites qui ne proposent pas de fallback en pure html , c'est tant pis pour eux, et de plus en plus de monde fait de même.

pmithrandir · 26/01/2011, 17h57

Citation:

Envoyé par camus3

Perso chez moi javascript est maintenant désactivé par défaut.
Pas besoin de Js pour gmail , mais les sites qui ne proposent pas de fallback en pure html , c'est tant pis pour eux, et de plus en plus de monde fait de même.

Plus simple que ca on pourrait avoir un niveau de confidentialité ou un site a interdiction d'ouvrir un contenu depuis un domaine différent.

Exemple, on autorise pas www.google.fr a faire une requete HTTP(image, AJAX, etc..) sur facebook.com

Mais on limitee l'experience utilisateur... pour prevenir juste le fait de savoir si l'utilisateur utilise ou pas des services...

Quand on desactiver javascript, c'est revenir au web d'il y a 10 ans, et moi il ne me manque pas.

WebPac · 26/01/2011, 18h15

Citation:

Envoyé par Hinault Romaric

Un script permet de savoir si les internautes sont connectés à des services Web, vers des problèmes de confidentialité ?

C'est moi où les news sur Developpez font de plus en plus racoleur pour lancer et nourrir des trolls ?

Neko · 26/01/2011, 21h45

Citation:

Envoyé par pmithrandir

Plus simple que ca on pourrait avoir un niveau de confidentialité ou un site a interdiction d'ouvrir un contenu depuis un domaine différent.

Exemple, on autorise pas www.google.fr a faire une requete HTTP(image, AJAX, etc..) sur facebook.com
...

Ce serait très très embêtant, pour tout ce qui est contenu embedded ( genre videos ), pour les pubs aussi ( qui même si vous les aimez pas, font vivre une très grosse partie du web )

pmithrandir · 26/01/2011, 22h15

Citation:

Envoyé par Neko

Ce serait très très embêtant, pour tout ce qui est contenu embedded ( genre videos ), pour les pubs aussi ( qui même si vous les aimez pas, font vivre une très grosse partie du web )

Pour le contenu embed, je pense qu'il est possible d'automatiser le ait que la zone se reserve, et que l'on nee voit ce qu'il y a dessus qu'en cliquant.

Pour la pub, c'est effectivement un soucis.
Mais mon idée etait de proposer le niveau de sécurité, pas de l'imposer a tous.

Paul TOTH · 27/01/2011, 05h37

Citation:

Envoyé par pmithrandir

Pour le contenu embed, je pense qu'il est possible d'automatiser le ait que la zone se reserve, et que l'on nee voit ce qu'il y a dessus qu'en cliquant.

Pour la pub, c'est effectivement un soucis.
Mais mon idée etait de proposer le niveau de sécurité, pas de l'imposer a tous.

tu ne fais jamais "clic droit, ouvrir dans un nouvel onglet ?" ou "copier l'URL" et coller dans un nouvel onglet ?

ça m'embêterait de retomber sur la page de login à chaque fois.

D'ailleurs si on désactive cela systématiquement, les boutons "J'aime" externes à FB ne fonctionneraient plus.

maintenant il serait intéressant en effet de pouvoir dissocier des instances de navigation...aujourd'hui il faut lancer deux navigateurs différents, il pourrait être intéressant de pouvoir le faire avec un même navigateur...

reste à savoir comment reconnaitre la session qui contient le cookie de Facebook de celle qui contient celui de gmail

...

hum après tout on pourrait avoir des icons en bas de page avec le F de facebook le G de gmail, le Y de yahoo, etc... qu'on pourrait activer ou pas à volonter (un peu comme Firebug ou xDebugSession), quand on décoche les cookies ne sont pas envoyés, quand on coche il le sont...du coup quand je suis sur une page autre que Facebook et que je décoche le F, une requête AJAX ne serait plus que je suis connecté...un peu lourd mais ça répond à la demande

ça devrait même pouvoir se coder comme une extension à priori.

goomazio · 27/01/2011, 20h25

Citation:

hum après tout on pourrait avoir des icons en bas de page avec le F de facebook le G de gmail, le Y de yahoo, etc... qu'on pourrait activer ou pas à volonter [...]

Et avec une iĉone pour bloquer tout le contenu extérieure, pour rassembler les 2 idées. Je vote pour, même sans.

pmithrandir · 27/01/2011, 22h42

Citation:

Envoyé par Paul TOTH

D'ailleurs si on désactive cela systématiquement, les boutons "J'aime" externes à FB ne fonctionneraient plus.

C'est ce a quoi je pensais.
Avoir ce niveau de sécurité qui interdit a la page l'accés aux url hors domaines.

Ce niveau de sécurité se situerai entre le comportement normal et le retrait de javascript.(et éviterait que javascript ne soit desactivé)

Ev3r10st · 28/01/2011, 12h27

Bah disons qu'une fois qu'un hacker sait quels services tu utilises, il peut utiliser le tabnabbing, voire le phishing pour te voler ton compte...

Au final, c'est quand même une "faille" importante puisqu'elle permet un meilleur ciblage des victimes de hacking.
Encore un truc qui rend plus dangereuses les failles XSS.

LhIaScZkTer · 28/01/2011, 12h30

Il n'y a pas besoin de chercher autant loin.

Aujourd'hui certains sites, comme Facebook, mettent à disposition des services qui permettent à un utilisateur, depuis un site Y, d'alimenter par exemple facebook. Donc au moment où l'utilisateur lambda se connecte au site Y on peut déjà savoir s'il est connecté ou non aux sites proposant ce genre de services.

LhIaScZkTer · 28/01/2011, 12h39

Citation:

Envoyé par Ev3r10st

Encore un truc qui rend plus dangereuses les failles XSS.

Rien à voir avec le XSS. Le XSS consiste en l'injection de code dans un site cible, ne pas confondre avec les différentes formes de pishing.

Warluck · 02/02/2011, 14h37

On est en droit de se demander si nos données confidentielles sont en danger. À quand le prochain script qui lui, peut, en utilisant une session ouverte, accèder au dit service comme par exemple Facebook ou même gmail?

Moral de cet histoire, ouvrez une seule session firefox, explorer, chrome, visitez votre service "sensible" puis ensuite fermez votre session avant d'en ouvrir une nouvelle pour les activités plus générales.

26/01/2011, 13h15	#1
Hinault Romaric Chroniqueur Actualités Hinault Romaric Consultant Inscription : janvier 2007 Messages : 2 115 Détails du profil Informations personnelles : Nom : Hinault Romaric Localisation : Cameroun Informations professionnelles : Activité : Consultant Secteur : High Tech - Éditeur de logiciels Informations forums : Inscription : janvier 2007 Messages : 2 115 Points : 31 039 Points : 31 039	Un simple script permet de savoir si les internautes sont connectés à des services Web Un simple script permet de savoir si les internautes sont connectés à des services Web Nouveau problème de confidentialité en perspective Un développeur Web anglais vient de trouver un moyen simple de savoir si les visiteurs de son site sont connectés à Gmail, Facebook, Twitter ou Digg. Mike Cardwell a ainsi écrit un script JavaScript assez simple qui utilise les codes de statut retournés par de nombreux services. Ces retours diffèrent selon que l’utilisateur est connecté ou non. Conséquence, en analysant la réponse, il est possible de connaitre leur statut (connecté ou non). Le Script fonctionne de manière assez fiable pour Twitter, Facebook et Digg. Dans ces trois cas, Cardwel exploite le statut HTTP qui est retourné lorsque le navigateur du visiteur rencontre le lien qui se trouve dans son script. Cardwel estime que ce procédé est très efficace car il est très difficile d'éviter l’envoi des codes d’état HTTP. Pour Gmail, Cardwel, utilise une autre méthode. Il met en ligne une photo dans un dossier public, mais uniquement consultable par les utilisateurs connectés à Gmail. Le Script essaye ensuite de voir si l'image est renvoyée (statut connecté) ou pas (déconnecté). Ces méthodes fonctionnent sous Chrome, Safari ou Firefox. Ces Scripts ne sont en aucun cas des exploits (ils ne permettent pas d'accéder aux services avec le compte de l'utilisateur). Mais ils posent question au moment où Firefox et Chrome tentent de trouver des parades au ciblage comportemental publicitaire. Savoir si un visiteur utilise tel ou tel service peut en effet rentrer dans ce genre d'analyse – cachée – des visiteurs. Autre souci souligné par Mike Cardwell, étendre cette méthode permettrait de tracer un internaute, même de manière partielle, en sachant quel site il visite régulièrement (ceux pour lesquels il a choisi de se connecter automatiquement par exemple). Des plus évidents (Facebook, Gmail, etc.) aux plus « sensibles ». Source : Blog de Cardwel En collaboration avec Gordon Fowler __________________ Si déboguer est l’art de corriger les bugs, alors programmer est l’art d’en faire Mon blog Mes articles En posant correctement votre problème, on trouve la moitié de la solution
	00

26/01/2011, 13h47	#2
mekal Membre chevronné Krusty Inscription : mai 2009 Messages : 472 Détails du profil Informations personnelles : Nom : Krusty Localisation : France Informations forums : Inscription : mai 2009 Messages : 472 Points : 617 Points : 617	si j'ai bien compris il declare une image et avec comme adresse celle d'une image qui appartient a un un compte gmail disponible quand le compte est loggé et si l'image est lu (onload) on en conclu que la personne est loggé c'est tout con __________________ programmer n'est pas connaitre tous les moindres détails d'un langage mais savoir exploiter sous toutes ses facettes ce que l'on connait.
	00

26/01/2011, 16h02	#7
Marco46 Expert Confirmé Développeur informatique Inscription : août 2005 Messages : 1 457 Détails du profil Informations personnelles : Sexe : Âge : 30 Localisation : France, Lot (Midi Pyrénées) Informations professionnelles : Activité : Développeur informatique Informations forums : Inscription : août 2005 Messages : 1 457 Points : 2 796 Points : 2 796	En bref c'est un nmap de réseaux sociaux qui permet de déterminer le degré de lobotomisation de l'internaute ciblé __________________ "Toute personne croyant qu'une croissance exponentielle peut durer indéfiniment dans un monde fini est soit un fou, soit un économiste." Kenneth E. Boulding "/home/earth is 102% full ... please delete anyone you can." Inconnu
	01

26/01/2011, 17h44	#8
camus3 Membre expérimenté Inscription : juillet 2010 Messages : 394 Détails du profil Informations forums : Inscription : juillet 2010 Messages : 394 Points : 540 Points : 540	Perso chez moi javascript est maintenant désactivé par défaut. Pas besoin de Js pour gmail , mais les sites qui ne proposent pas de fallback en pure html , c'est tant pis pour eux, et de plus en plus de monde fait de même.
	00

28/01/2011, 12h30	#17
LhIaScZkTer Membre confirmé Inscription : mai 2004 Messages : 536 Détails du profil Informations personnelles : Âge : 29 Informations forums : Inscription : mai 2004 Messages : 536 Points : 217 Points : 217	Il n'y a pas besoin de chercher autant loin. Aujourd'hui certains sites, comme Facebook, mettent à disposition des services qui permettent à un utilisateur, depuis un site Y, d'alimenter par exemple facebook. Donc au moment où l'utilisateur lambda se connecte au site Y on peut déjà savoir s'il est connecté ou non aux sites proposant ce genre de services. __________________ Sun Certified Java Programmer, SE 6 et Sun Certified Web Component Developer, J2EE 5
	00

26/01/2011, 14h15	#3
Loceka Membre Expert Tlouye Ci Inscription : mars 2004 Messages : 1 450 Détails du profil Informations personnelles : Nom : Tlouye Ci Informations forums : Inscription : mars 2004 Messages : 1 450 Points : 2 149 Points : 2 149	Repost.
	02

26/01/2011, 14h23	#5
Loceka Membre Expert Tlouye Ci Inscription : mars 2004 Messages : 1 450 Détails du profil Informations personnelles : Nom : Tlouye Ci Informations forums : Inscription : mars 2004 Messages : 1 450 Points : 2 149 Points : 2 149	Il s'agit du même exploit : se servir de l'historique du navigateur dans un javascript pour savoir si l'utilisateur est ou non connecté à un site. Après c'est sûr que c'est juste un exemple d'application du premier post mais techniquement c'est la même chose.
	05

28/01/2011, 12h27	#16
Ev3r10st Membre du Club Inscription : octobre 2010 Messages : 26 Détails du profil Informations forums : Inscription : octobre 2010 Messages : 26 Points : 59 Points : 59	Bah disons qu'une fois qu'un hacker sait quels services tu utilises, il peut utiliser le tabnabbing, voire le phishing pour te voler ton compte... Au final, c'est quand même une "faille" importante puisqu'elle permet un meilleur ciblage des victimes de hacking. Encore un truc qui rend plus dangereuses les failles XSS.
	01

02/02/2011, 14h37	#19
Warluck Futur Membre du Club Administrateur de base de données Inscription : décembre 2008 Messages : 19 Détails du profil Informations personnelles : Sexe : Localisation : Canada Informations professionnelles : Activité : Administrateur de base de données Secteur : Communication - Médias Informations forums : Inscription : décembre 2008 Messages : 19 Points : 16 Points : 16	On est en droit de se demander si nos données confidentielles sont en danger. À quand le prochain script qui lui, peut, en utilisant une session ouverte, accèder au dit service comme par exemple Facebook ou même gmail? Moral de cet histoire, ouvrez une seule session firefox, explorer, chrome, visitez votre service "sensible" puis ensuite fermez votre session avant d'en ouvrir une nouvelle pour les activités plus générales.
	00

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email