Une étude de l'EFF révèle que votre navigateur est unique et qu'il vous trahit, même sans les cookies

Votre navigateur est unique et il vous trahit
Même sans cookies révèle une étude de l'EFF, les web-marketeurs ne s'y trompent pas


Aucune configuration d'internaute ne ressemble à une autre.

C'est ce qui ressort d'une étude de l'Electronic Frontier Foundation (EFF) qui révèle que 84 % des combinaisons système d'exploitation / navigateurs / plug-ins / etc. sont absolument uniques.

Et alors ? - direz-vous.

Et alors, ces données ne sont pas camouflées. Elles donc largement et très facilement accessibles par les sites webs, y compris en mode de navigation furtive (ou privée). Et ce, même avec les cookies désactivés.

Autrement dit, chaque navigateur laisse une empreinte unique (l'étude parle de « fingerprints »). Une empreinte facilement accessible qui permet de dresser le profil d'un internaute (sans pour autant le lier à une identité réelle).

L'intérêt devient tout de suite plus évident.

Les experts en webmarketing les plus précurseurs ne s'y sont d'ailleurs pas trompés. Le traçage sans l'aide des cookies semble être un secteur d'avenir.

Et pas que pour le pire.

La société ThreatMetrix a par exemple utilisé cette technique d'identification de navigateur pour contrer une fraude massive.

Des cybercriminels serbes avaient récupéré des numéros de cartes bleues volées. Ils ont alors essayé de multiplier les transactions à 1,99 dollars sur un site marchand. Chaque transaction était faite depuis une IP différente. Mais cette « empreinte » du navigateur restait la même. Plusieurs IP, un même profil. La supercherie était dévoilée.

L'EFF précise qu'à 94 %, les navigateurs donnent suffisamment d'informations pour être différenciés les uns des autres.

Les informations qu'ils livrent touchent l'OS, le navigateur lui même, sa version, ses plug-in, l'écran, sa résolution, ses couleurs, la langue par défaut et les polices de caractères installées.

Comme le contrôle des cookies se fait de plus en plus facilement - et que dans une moindre mesure, les proxys et autres VPN commencent à se démocratiser - les webmarchands sont particulièrement intéressés par cette nouvelle source d'informations.

D'autant plus qu'il est « très difficile », d'après les dires du responsable de l'étude, de camoufler ces données.

« Analyser l'empreinte d'un navigateur est une technique puissante, et cette empreinte doit être prise en compte aussi sérieusement que les cookies et les adresses IP quand nous parlons de respect de la vie privée des utilisateurs ».

L'étude « How Unique Is Your Web Brower » note cependant que quelques navigateurs sont – pour l'instant – épargnés. Principalement ceux des smartphones. L'explication tient au fait que la diversité des configurations est beaucoup plus limitée sur ces terminaux que sur les ordinateurs de bureaux.

En revanche les extensions comme NoScript (qui bloque le JavaScript) pour Firefox ou Tor (The Onion Router) seraient particulièrement efficaces pour se préserver de ce traçage.

Efficace mais pas encore si « user friendly » que cela, surtout pour Tor.

« Nous espérons que les développeurs de navigateurs travailleront pour réduire ces risques d'intrusions dans la vie privée dans les futures versions de leurs codes », conclue l'étude.

Un beau vœu pieux ?

Source :

L'étude « How Unique Is Your Web Brower » (pdf)
La page test de l'EFF qui montre ce que votre navigateur révèle sur vous

Lire aussi :

Les rubriques (actu, forums, tutos) de Développez :

:fleche: Sécurité
:fleche: Webmarketing
:fleche: JavaScript
:fleche: Développement Web


Et vous ?

:fleche: Cette étude est-elle un nouveau FUD ?
:fleche: Ou cette analyse vous parait-elle pertinente ? Et quelles solutions préconisez-vous pour luter contre cette « empreinte » des navigateurs ?

Bonjour,

Ce qui est drole, c'est de voir que d'un cote, Facebook declare 450 millions de membres, dont une grande partie qui ne sait pas proteger ses donnees, et de l'autre on recommande la plus grande attention quand aux plugins que l'on peut devoiler a son insu dans un navigateur ??

Les gens sont volontaires pour donner des informations, donc je ne vois pas en quoi une information de plus ou de moins va changer quoi que ce soit. C'est juste un nouveau moyen de glaner des informations pour le marketing, afin de vendre des pubs ciblees.

Hum ça fait un peu peur tout ça :/
Mais du moment qu'on change la moindre informations la trace changera, comme l'ajout la retrait d'un plugin, des outils vont donc certainement apparaître pour contrer cette combine.

Par contre ça me réconforte que TOR est toujours efficace mais je ne comprend pas pourquoi en fait. Par contre je le trouve très user friendly, il s'installe très facilement, puis avec le plugin sur FF qui va avec il suffit d'appuyer en bas de la fenêtre pour passer dans le réseau TOR et inversement, rien de plus simple !

Citation:

---

Envoyé par gangsoleil

Bonjour,
Ce qui est drole, c'est de voir que d'un cote, Facebook declare 450 millions de membres, dont une grande partie qui ne sait pas proteger ses donnees, et de l'autre on recommande la plus grande attention quand aux plugins que l'on peut devoiler a son insu dans un navigateur ??

---

Je ne sais pas si c'est ça la question.
Quand tu es webmaster, si tu regardes bien les informations que tu peux récupérer sur un visisteur tu te rends compte qu'avec les numéros de versions et le nombre important de données, la combinaison de l'ensemble fait que dans plus de 80% des cas tu peux identifier un visiteur, même sans cookies.

Donc pour les visiteurs qui veulent êtres anonymes, masquer son IP (en passant par un proxy par exemple) ne suffit pas, puisqu'on peut tracer un visiteur par les informations techniques navigateurs accessibles aux webmaster du site.

Citation:

---

Envoyé par gangsoleil

Les gens sont volontaires pour donner des informations, donc je ne vois pas en quoi une information de plus ou de moins va changer quoi que ce soit. C'est juste un nouveau moyen de glaner des informations pour le marketing, afin de vendre des pubs ciblees.

---

Ca ne sert pas que pour la pub, ça peut servir à autre chose, comme par exemple à un webmaster d'un forum pour identifier un saboteur récidiviste, ou à tout autre usage...

Je dirais que l'utilité de la news est de prévenir les visiteurs qu'ils sont traçables facilement sur le net, pas que avec leur adresse IP, mais aussi avec leurs informations navigateur. C'était déjà le cas avant, mais avec la multiplication des navigateurs, des versions, des versions des OS, des plugings, etc, l'identification deviens de plus en plus exacte c'est ça la nouveauté...

Désactiver les cookies et passer par un proxy n'est pas suffisant pour être anonyme, il faut le savoir.

Effectivement d'un point de vue marketing tu peux te demander pourquoi certains sites arrivent à afficher des pubs totalement ciblées, genre un jour tu as acheté sur internet un pack de bière, et pendant un mois tu ne vas voir que des pubs sur la bière, au bout d'un moment c'est soulant (c'est le cas de le dire :mouarf: ), et bien il faut savoir que même cookies désactivés, c'est techniquement possible de le faire, avec une régie qui te suit à la trace quelque soit le site, vu que la régie peut passer sur plusieurs sites.

Big brother is watching you :aie:

Cette identification est la meilleure et la pire des choses alors.

L'idéal serait de garder le bon et se débarrasser du pire.

Pour se protéger d'une fraude à la carte il faudrait confier volontairement des infos d'identification à un "tiers de confiance" et brouiller le profil public en acceptant des mime-types aléatoires à chaque GET http...

Problème :
Le tiers de confiance n'existe pas
Le proxy de brouillage de profil non plus :pingoin2:

Citation:

---

Ca ne sert pas que pour la pub, ça peu servir à autre chose, comme par exemple à un webmaster d'un forum pour identifier un saboteur récidiviste, ou à tout autre usage...

---

Ben, il suffit d'utiliser deux navigateurs... :mrgreen:

Citation:

---

Envoyé par unBonGars

Cette identification est la meilleure et la pire des choses alors.

---

Exactement, c'est un outil qui peut être utilisé à bon ou mauvais escient.

Citation:

---

Envoyé par trenton

Ben, il suffit d'utiliser deux navigateurs... :mrgreen:

---

Il reste d'autres infos traçables (ton os, etc...)
Et puis à chaque fois que tu veux faire un truc en anonyme (pour une raison qui t'est propre) tu vas installer un nouveau navigateur ? :mouarf:

Citation:

---

Envoyé par Marc Lussac

Il reste d'autres infos tracables (ton os, etc...)
et puis à chaque fois que tu veux faire un truc en anomyne (pour une raison qui t'es propre) tu va installer un nouveau navigateur ? :mouarf:

---

J'ai fait le teste : "Your browser fingerprint appears to be unique among the 920,492 tested so far." je sait pas si je dois être content de ça ? :mrgreen:
L'OS c'est les en-têtes HTTP, la mienne : "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.0)" 1 sur 255 me dit panopticlick ... Je me marre je suis sous Mac OSX :mouarf: :mouarf:
Par contre la résolution de l'écran... c'est du javascript ou du flash et j'aime de plus en plus Noscript et Adblock avec quelques adresse comme google-analitics à bloquer.:ccool:

Bonjour

perso ça ne me fait pas peur du tout. Je dois utiliser 3 ordinateurs différents. Et si il suffit de changer de résolution ou installer une nouvelle police ou de mettre à jour son navigateur pour ne pas être reconnu :mouarf:

Le commun des mortels à une config basique qui a de quoi se fondre dans la masse et le geek mets à jour ses plugins/son navigateur et change de PC au bout de 3 ans :lol:

Que la config soit unique est une chose, qu'elle ne change jamais en est une autre. Comment savoir si c'est toujours le même utilisateur ou un nouveau ? Je ne sais pas, faites le test de valkirys et installez un nouveau plug-in et refaites le test ^^

Concernant le "bon coté" :

Je viens de faire un achat en ligne et le serveur Caisse d'Epargne a envoyé un sms sur mon mobile avec un code à 6 chiffres à taper pour confirmer le paiement.
Ce qui m'énerve, c'est qu'il a fait ça APRES que j'eus validé mes numéro date limite et pin code, mais c'est un autre débat.

S'il s'avère que le coût des fraudes excède celui d'un sms par transaction, le système pourrait se généraliser et bien que ce ne soit pas une garantie absolue, les serveurs de transaction bancaires n'auront plus besoin d'un profilage approximatif de la config utilisateur pour sauver nos précieuses économies.

Concernant le "mauvais coté"
Bonne idée le changement de résolution, on peut aussi changer de compte utilisateur ou de navigateur mais un proxy un peu malin pourrait faire beaucoup mieux.

Je vois pas en quoi c'est une grand nouvelle ? c'est un truc que j'utilise depuis plusieurs annees, principalement pour les rapports de bug (ca aide de savoir quel browser et quels plugins ont ete utlises pour debugger).

Ca deviens assez n'importe quoi c'est peur de donner des info personnelles. Imaginez que demain tout le monde se balade masquer dans la rue, ca deviens l'anarchie total. Le vrai probleme, a mon sens, c'est la confiance. Certain site sont clair quant a ce qu'ils font des infos recoltees et d'autre moins.
Peut-etre faudrait-il travailler sur comment creer une connexion non pas securisee mais une connexion de confiance. Mais on rentre la dans le debat de ce qui acceptable ou non, ce qui varie sensiblement entre les pays (la notion de respect de la vie privee entre la Chine et la France ou meme les USA ne sont pas les meme).

Citation:

---

Envoyé par mon_nom_est_personne

Imaginez que demain tout le monde se balade masquer dans la rue, ca deviens l'anarchie total.

---

Maintenant, retourne la question... imagine que demain, quelqu'un te suive partout où tu va dans la rue ; surveille tes habitudes ; et constitue un listing de toute ces informations. Tu ferais quoi ?

Adresse IP

Citation:

---

Envoyé par mon_nom_est_personne

Ca deviens assez n'importe quoi c'est peur de donner des info personnelles. Imaginez que demain tout le monde se balade masquer dans la rue, ca deviens l'anarchie total.
Le vrai probleme, a mon sens, c'est la confiance. Certain site sont clair quant a ce qu'ils font des infos recoltees et d'autre moins.

---

Si les sites disaient ce qu'ils utilisent pour commencer?
D'ailleurs il est obligatoire d'indiquer la présence de google analitycs, combien le fond?
Au passage Xiti est utilisé sur Développez, quelqu'un pourrait nous expliquer ce qu'ils font des données (je ne les accuse pas de nous fourguer des pubs c'est pas google), on peut citer Akamai aussi que fait-il des données qu'il obtient vu qu'il est partout et entre autre avec des vidéo flash (récupération de la taille de l'écran, OS grâce à Action script) sur Allociné (combien de gens qui regarde des vidéos sont conscient d'être espionné?).

Mais a ce rythme la c'est la paranoiat la plus total, le probleme c'est qu'on vit dans un monde ou il est de plus en plus dure de garder un anonyma total. Ton telephone portable est quaisement toujours sur ecoute, ton telephone portable est triangulable meme eteint (faut virer la baterie), la securite social savent tout de ta sante, les impots de tes revenues et croisent meme les donnees entre fichiers (caf etc...) pour detecter les anomalies. Je dirait meme que si les gens recoltent des infos a mon sujet "juste" pour m'envoyer des pub ciblees que je vois emme pas car j'utilise adblock, et bien je suis bien content car on pourrait faire pire.

Citation:

---

Envoyé par tontonnux

Maintenant, retourne la question... imagine que demain, quelqu'un te suive partout où tu va dans la rue ; surveille tes habitudes ; et constitue un listing de toute ces informations. Tu ferais quoi ?

---

Un controleur des impots ? ma copine ? ma mere ? mon boss ? ma mutuel sante ? on les a tous deja, on les accept juste.

Citation:

---

Envoyé par mon_nom_est_personne

Un controleur des impots ? ma copine ? ma mere ? mon boss ? ma mutuel sante ? on les a tous deja, on les accept juste.

---

Mais oui bien sur... ton boss te suivrait partout ou tu irais tu "accepterais"...

Quand à ta mère et ta copine... un peu de sérieux, on parle d'un éventuel problème dans la protection de la vie privée...

Moi je veux bien débattre, mais faut des accroches qui donnent plus envie quand même...

Ba ton exemple au depart tiens pas la route, car le souci des info perso sur le net, c'est pas "une personne qui te suit" mais c'est ton boulanger qui enregistre ce que tu achetes, ton garagiste qui enregistre ta plaque d'imatriculation a chaque fois etc.. au final le probleme est pas ce que les sites prennent de toi, c'est ce que tu laisse a leur disposition, tu veux pas que ton browser servent a te traquet, fait tes requetes a la main. car au final, on en ferait pas tout in foin pour pas grand chose, a vrai dire le fichier edvige et consort sont bien plus dangereux que face de bouc ou google qui fait de la pub ciblee.

Citation:

---

Envoyé par mon_nom_est_personne

a vrai dire le fichier edvige et consort sont bien plus dangereux que face de bouc ou google qui fait de la pub ciblee.

---

Sauf que d'un côté t'as le gouvernement d'une démocratie et de l'autre des sociétés privées multi-nationnales avec pour seul but le profit...

Citation:

---

Envoyé par mon_nom_est_personne

Ba ton exemple au depart tiens pas la route, car le souci des info perso sur le net, c'est pas "une personne qui te suit" mais c'est ton boulanger qui enregistre ce que tu achetes, ton garagiste qui enregistre ta plaque d'imatriculation a chaque fois etc.. au final le probleme est pas ce que les sites prennent de toi, c'est ce que tu laisse a leur disposition, tu veux pas que ton browser servent a te traquet, fait tes requetes a la main. car au final, on en ferait pas tout in foin pour pas grand chose, a vrai dire le fichier edvige et consort sont bien plus dangereux que face de bouc ou google qui fait de la pub ciblee.

---

Pas du tout !
La tu ne décrit que le "bon" côté de la chose. Le problème, c'est qu'une régie publicitaire, ou tout autre société qui vend des outils de traçage peut scruter tes moindres faits et gestes SANS que tu n'ai pu exprimé ton consentement explicite. Et là ça va même bien plus loin puisque tu ne dispose finalement que très peu de moyen pour éviter ça.
N'oublions pas que le but de certaines entreprises est uniquement de constituer des fichiers pour les vendre.
En suivant ta navigation, il leur devient possible de constituer des fichiers même interdits en France (savoir tes choix religieux, politiques ton orientation sexuelle etc...).