Facebook et Google sont souvent présentés comme menaçant vos données personnelles, mais qu'en est-il de votre navigateur? Démonstration par l'exemple.

Facebook est célèbre pour ses atteintes à la vie privée. Google est souvent présenté comme une hydre assoiffée de données personnelles. Mais depuis plus 10 ans, nos navigateurs comportent des failles de sécurités béantes et potentiellement beaucoup plus dangereuses pour votre vie privée qu’un profil Facebook mal sécurisé.

Ci-dessous le résultat du scan de votre historique:

	Quel internaute es-tu? Votre personnalité révélée par votre historique de navigation. URLs détectés

94% de navigateurs uniques

Le site Panopticlick, développé par l’Electronic Frontier Foundation (EFF), scannait les paramètres de votre navigateur (polices de caractère installées, liste des plugins etc.) pour en extraire une empreinte personnelle. L’étude réalisée avec les données récoltées a montré que 84% des navigateurs étaient uniques. En d’autres termes, votre navigateur ne partage son empreinte qu’avec 1 seul autre sur 286 777 ! Si vous avez installé Flash ou Java, c’est encore pire : 94% des navigateurs testés avaient une signature unique. Même si la signature évoluait dans le temps (mise à jour des plugins, par exemple), l’équipe de l’EFF était capable de lier la nouvelle signature à l’ancienne dans 99,1% des cas.

On peut gloser sur les cookies, qui permettent d’identifier les internautes et que la Commission Européenne cherche à encadrer, les moyens de suivre les internautes à la trace ne manquent pas.

Votre historique mis à nu

Dans la même veine, votre navigateur peut révéler votre historique de navigation à n’importe quel site, qu’il ait installé l’Open Graph de Facebook ou pas. En utilisant Javascript et les feuilles de style, 2 piliers du web depuis plus de 10 ans, on peut facilement déterminer quels sites vous avez visités.

Le site What the Internet Knows about You , démonstration la plus récente de cette faille, cherche certains sites dans votre historique de navigation et vous présente ses trouvailles (explications techniques ici).

Imaginez-vous dans la peau du webmaster du site du ministère de la Défense. Ca ne vous démangerait pas d’avoir une alerte à chaque fois qu’un utilisateur ayant visité les sites du Hezbollah ou  ayant téléchargé l’Insurrection qui vient débarque sur le site? Et que diriez-vous, en tant que chef de produit chez Meetic, d’une offre différenciée pour ceux qui fréquentent Oumma.com ou Gay.fr ?

On s’est essayé à l’exercice, en vous proposant un test de personnalité où seul votre navigateur répond aux questions. Le programme passe en revue une liste de 84 sites et détermine votre profil en fonction de ceux que vous avez visité.

Ne soyez pas vexé si le test n’est pas concluant. En effet, le script ne différencie pas les sites sur lesquels vous êtes passé une fois l’année dernière de ceux sur lesquels vous passez vos journées. En poussant un peu, on pourrait connaitre le nombre de pages visités sur chaque site, et ainsi raffiner le résultat. Mais votre historique ne stocke pas la date des visites (c’est déjà ça).

Alors, fail ou fake ? Une chose est sûre : quand il n’y a pas d’humain pour trier les données, les algo ne servent pas à grand-chose ;)

—

Photo CC Stéfan et Dunechaser

Retrouvez les deux autres articles de ce troisième volet du manuel de contre-espionnage informatique : Gorge profonde: mode d’emploi et Retour sur 10 ans de Big Brother Awards.

Retrouvez également le premier et le second volet de notre série sur le contre-espionnage informatique.