Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

  1. #1
    Chroniqueur Actualités

    Une API HTML5 pour l’état des batteries poserait des problèmes de sécurité
    Une API HTML5 pour l’état des batteries poserait des problèmes de sécurité
    Des chercheurs notent qu’elle permet d’identifier les utilisateurs en ligne

    Des chercheurs en sécurité viennent de publier une étude dans laquelle ils expliquent qu’une API HTML5 serait en violation de la vie privée. L’API en question permet de lire l’état de la batterie via JavaScript, lorsque vos appareils mobiles ou PC sont connectés à Internet.

    L’API de statut de la batterie a été introduite en 2012 par le World Wide Web Consortium (W3C). Avec l’avènement du Web 2.0, le W3C voulait permettre aux utilisateurs de profiter du plein potentiel du web moderne avec des applications riches. L’un des inconvénients majeurs est que cela nécessite l’utilisation plus ou moins intense des ressources des appareils, ce qui ne serait pas bienvenu quand la batterie de l’utilisateur est presque déchargée et qu’il souhaite passer un peu plus de temps sur le net. C’est à ce moment que cette API peut être d’une grande utilité.

    L’API a été implémentée dans Firefox, Chrome et Opera. Comme l’explique le W3C, si un serveur peut détecter l'état de la batterie d'un appareil et qu’il reconnaît que le dispositif est presque déchargé, il pourrait faire passer l’utilisateur sur une version de page plus légère, optimisée pour permettre à l'appareil de rester beaucoup plus longtemps en marche grâce à une réduction des ressources utilisées. Si l’idée semble brillante, avec cette API, il est toutefois possible pour les sites web de consulter les propriétés de la batterie telles que le niveau de charge, le temps de charge et le temps de décharge entre autres propriétés disponibles. L’accès à ces informations a dès le début soulevé des questions de confidentialité sur lesquelles ont discuté les développeurs de Tor et Mozilla, mais les chercheurs notent qu’aucune révision majeure n’a été faite depuis lors.

    Dans leur étude, les chercheurs montrent donc que les informations recueillies par l’API pourraient dire beaucoup plus sur les utilisateurs en ligne qu’on le pense à première vue. Ils ont identifié près de 40.000 statuts possibles de temps de décharge et 90 statuts de niveau de batterie possibles. En notant que ces informations sont en plus mises à jour toutes les 30 secondes, les chercheurs affirment que cela pourrait permettre de suivre les utilisateurs et de les identifier de manière unique lorsqu’ils sont connectés.

    Avec ce nouvel identifiant, il se pose également un autre problème connu sous le nom de « respawning ». Cela signifie que si les cookies de l’utilisateur sont stockés à distance, même s'il supprime les cookies stockés localement, ils pourraient être rétablis une fois que l’utilisateur est identifié grâce aux données collectées sur l’état de sa batterie.

    « Quand des visites consécutives sont faites dans un court intervalle, le site peut lier de nouvelles et vieilles identités en exploitant le niveau de la batterie et les temps de charge / décharge. Le site peut alors ré-instancier les cookies des utilisateurs et autres identificateurs côté client, une méthode connue sous le nom de respawning, », explique le rapport. Selon les chercheurs, le risque est encore plus élevé lorsqu’il s’agit de vieilles batteries ou de batteries utilisées avec des capacités réduites.

    Pour réduire le risque de confidentialité, les chercheurs suggèrent de limiter les données fournies par l’API. Ils pensent également que les utilisateurs devraient décider eux-mêmes d’utiliser la fonctionnalité plutôt que de permettre son utilisation par défaut, comme c’est le cas actuellement. Le W3C avait en effet estimé que l’information divulguée par l’API avait un impact minimal sur la vie privée, donc ne nécessitait pas de demande d’autorisation.

    Sources : The Guardian, rapport de l’étude

    Et vous ?

    Qu’en pensez-vous ?
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre régulier
    Faut pas abuser
    ça me parait quand même fastidieux ....

  3. #3
    Membre émérite
    ça me fait penser à https://panopticlick.eff.org
    Zend Certified PHP Engineer

    « Crois-tu comprendre le monde juste en matant le 20H Ou connaître l'histoire en ayant lu que l'angle des vainqueurs ? » Keny Arkana

  4. #4
    Membre expérimenté
    Ouai, bah faut quand même avoir l'esprit bien tordu pour trouver des exploits pareilles
    Si la réponse vous convient, un petit ça encourage.
    Avant tout nouveau post, pensez à : la FAQ, Google et la fonction Recherche
    Si vous devez poster, pensez à: Ecrire en français, la balise [CODE] (#) et surtout

  5. #5
    Membre extrêmement actif
    40.000 propriétés!
    Et tout ça pour la batterie, il y a franchement de quoi se poser des questions.
    Si la réponse vous a aidé, pensez à cliquer sur +1

  6. #6
    Futur Membre du Club
    40.000 statuts

  7. #7
    Modérateur

    si un serveur peut détecter l'état de la batterie d'un appareil et qu’il reconnaît que le dispositif est presque déchargé, il pourrait faire passer l’utilisateur sur une version de page plus légère


    Est-ce qu'un bouton "déconnexion" permet réellement de se déconnecter ? Rien n'empêche un site de laisser trainer un cookie sur le navigateur d'une personne "déconnectée" pour retrouver son identité par la suite.
    Qui va vérifier la signification de chaque cookie laissé par un site sur son navigateur ? Qui nettoie ses cookies tous les jours ? Donc aller jusqu'à connaitre les caractéristiques d'une batterie pour identifier une personne me parait assez lourd comme technique.
    N'hésitez pas à consulter la FAQ Java, lire les cours et tutoriels Java, et à poser vos questions sur les forums d'entraide Java

    Ma page Developpez | Mon profil Linkedin | Vous souhaitez me contacter ? Contacter Gokan EKINCI

  8. #8
    Futur Membre du Club
    Je pense qu'ils en font tout une histoire pour rien... Pourtant je n'aime pas qu'on empiète sur ma vie privée. Et concrètement, 40000 statuts possible c'est pas hyper précis pour identifier une personne parmi des millions... Ou alors j'ai pas compris ce que ça signifiait...
    Peut importe je m'en fiche clairement qu'on puisse retrouver mon identité numérique par le biais de ma batterie. Ça ne divulgue rien ou presque de ma réelle identité. Après c'est à nous de faire attention à ce que nous laissons sur internet parce qu'ensuite on peut tout relier facilement... Mais ça, c'est la responsabilité personnelle de chacun. Faut pas se plaindre si on nous piste sur internet, c'est notre faute

  9. #9
    Membre expert
    Salut,

    d'après la recommandation W3C il y aurait 4 propriétés disponibles. Si on imagine que les statuts sont équitablement répartis alors on devrait pouvoir atteindre 10^16 états différents. Ce qui laisse une belle possibilité de retrouver une connexion unique.

    Par contre, comme le montre Seb33300, il existe déjà des moyens via d'autres données accessibles d'arriver au même résultat. Et est-ce vraiment si important ? Que peut-on craindre de ce genre de pratique ? (c'est pas une question rhétorique, je veux bien qu'on m'éclaire).
    Plus je connais de langages, plus j'aime le C.

  10. #10
    Expert éminent
    Citation Envoyé par nchal Voir le message
    Ouai, bah faut quand même avoir l'esprit bien tordu pour trouver des exploits pareilles
    Justement, c'est le but : penser à ce que la personne initiale n'a pas pensé.

    Citation Envoyé par jopopmk Voir le message
    Et est-ce vraiment si important ? Que peut-on craindre de ce genre de pratique ? (c'est pas une question rhétorique, je veux bien qu'on m'éclaire).
    Typiquement, tu peux craindre un profilage non souhaité. Par exemple, pour ceux qui voyagent beaucoup, il est devenu fréquent pour les sites de voyage de profiler les comportements des utilisateurs pour leur faire payer le prix fort. Style, tu vas sur une page avec différents tarifs pour un voyage en avion, tu sélectionnes un tarif pas cher, tu fais quelques essais pour voir ce que ça te coûterait au final mais sans valider, puis tu sors. 30min après (après que tu ais regardé d'autres sites pour comparer), tu reviens, et le tarif que tu souhaitais a augmenté, voire carrément disparut. Tu fais un bon nettoyage de cookies, voire change de navigateur ou de PC, et tu retournes sur le site... pour retrouver le tarif initial. Ce genre de pratiques pousse les gens à se dire "si je n'achète pas tout de suite, ça me coûtera plus cher", et donc à réfléchir/chercher moins et à payer tout de suite.
    Site perso
    Recommandations pour débattre sainement

    Références récurrentes :
    The Cambridge Handbook of Expertise and Expert Performance
    L’Art d’avoir toujours raison (ou ce qu'il faut éviter pour pas que je vous saute à la gorge {^_^})

  11. #11
    Membre expert
    Effectivement ça laisse quelques ouvertures. Maintenant je pense que ce genre de pratique est plus proche de l'arnaque que du "cibling". Commercialement c'est se tirer une balle dans le pied. En tout cas merci pour cet exemple.
    Plus je connais de langages, plus j'aime le C.

  12. #12
    Membre confirmé
    Je me pose une question. La batterie ne se décharge pas de la même manière selon les applis qui sont lancées et les services qui sont installées. Rien qu'en changeant d'antivirus ou en installant un service à la con (ou en se faisant installer un service à la con à son insu). Si l'idée de base est intéressante, en pratique ça me semble assez tricky à faire puisque d'une connexion à une autre l'état du système n'est pas forcément le même. Enfin j'attends de lire l'étude plus attentivement avant de me faire une idée définitive

  13. #13
    Expert éminent
    Si j'ai bien compris, l'idée serait de viser des accès consécutifs, de l'ordre de quelques secondes à quelques minutes. Dans ce laps de temps, ton système n'a sûrement pas beaucoup changé. Une fois que tu arrives à faire ça, ces accès consécutifs étant remis ensembles, on peut profiler la personne, ce qui permet d'utiliser d'autres types d'identification pour des laps de temps plus long, style plusieurs heures à plusieurs jours.
    Site perso
    Recommandations pour débattre sainement

    Références récurrentes :
    The Cambridge Handbook of Expertise and Expert Performance
    L’Art d’avoir toujours raison (ou ce qu'il faut éviter pour pas que je vous saute à la gorge {^_^})

###raw>template_hook.ano_emploi###