Vie privée : le problème de traçage refait surface sur Firefox avec une extension téléchargée 7 millions de fo
Firefox : l'extension Ant Video Downloader trace les utilisateurs
Son développeur refuse de s'expliquer, Mozilla retire l'extension aux 7 millions de téléchargements
Une extension populaire du navigateur Firefox collecte secrètement, et sans l'aval de l'utilisateur, son historique de navigation et les relie à un identifiant unique soupçonné de tracer l'utilisateur à de fins non identifiés, d'après un chercheur en sécurité.
Il s'agit (ou s'agissait puisqu'elle vient d'être retirée) de l'extension Ant Video Downloader, destinée à télécharger et visualiser les vidéos FLV, MP4, OGG et autres, trouvés sur les sites comme YouTube ou Vimeo.
Son cas est d'autant plus préoccupant que cette extension ne respecte pas « l'intimité » des utilisateurs même lorsqu'ils choisissent de surfer en mode « Navigation privée » ou de passer par le réseau décentralisé de routeurs Tor, afin de rendre anonymes toutes leurs transactions.
La présence d'une telle extension (open source) sur une galerie de Mozilla, pourtant soumise à validation, soulève des interrogations sur la pertinence des mesures de sécurité de cette plate-forme.
Si l'argument souvent avancé en faveur du logiciel libre réside dans la possibilité d'analyser le code contre toute tentative de faire passer du code malicieux, comment expliquer qu'une telle menace potentielle sur la vie privée des utilisateurs n'ait pu être débusquée avant ?
Mozilla explique par voie de presse que la collecte des données de navigations ne viole pas forcément les conditions d'utilisation de sa galerie, et que toutes extensions qui ne portent pas la mention « expérimentale » sont jugées respectant les critères d'admission.
Parmi ces critères, la nécessité d'expliquer « clairement aux utilisateurs les risques auquels ils peuvent s'exposer [en utilisant l'extension] et quelles mesures ils peuvent prendre pour se protéger ».
Une mesure que Ant Video Downloader ne respecte justement pas, ce qui amène la fondation à la suspendre en attendant que son développeur corrige ce problème.
D'après Mozilla, cette extension collecte des données sur les sites visités afin d'améliorer sa fonctionnalité de classement (ranking) qu'elle affiche aux utilisateurs.
Des données qui pourraient être utilisées en outre pour améliorer la pertinence des résultats du moteur de recherche Ant.com, appartenant à l'éditeur de cette extension qui se refuse toujours à s'expliquer sur cette affaire.
Le chercheur indépendant en sécurité Simon Newton a découvert l'existence de ce traçage fortuitement, en diagnostiquant un problème apparu durant le développement d'une application Web.
En lançant un renifleur de paquet, Simon Newton a découvert que les informations sur toutes ses requêtes HTTP (et pas seulement celles des sites de partage vidéo) sont transmises au serveur rpc.ant.com,
Ces informations comportent les adresses des sites visités, l'heure, les détails du navigateur et plusieurs cookies persistants qui portent un identifiant universel unique (UUID).
Cette extension est toujours disponible sur le site de son éditeur et existe aussi pour Internet Explorer, avec probablement le même comportement.
Sur Firefox, elle a été téléchargée 7 millions de fois avant sa suspension.
ATTENTION : Ant Video Downloader et Video DownloadHelper (90 millions d'installations) sont deux extensions différentes
Source : blog de Simon Newton, critères d'admission des extensions sur Mozilla
Et vous ?
Que pensez-vous de cette découverte ?
Répondre avec citation
Envoyé par le merou
) mais à la limite pourquoi pas. 
Partager