Firefox veut s'attaquer à une méthode sournoise de pistage des internautes
C'est une méthode de pistage méconnue et peu répandue mais à l'égard de laquelle la fondation Mozilla entend apporter une réponse ferme dans les mois à venir.
Sur le plan technique, celle-ci se sert de l'élément canvas en HTML5 pour collecter une sorte d'empreinte digitale sur un appareil et ainsi pouvoir l'identifier ailleurs par la suite. De cette façon, il est possible de suivre un internaute en pistant la trace qu'il laisse avec son terminal, via son navigateur web. C'est une approche redoutable, car elle marche même si les témoins de connexion (cookies) sont désactivés.
Il existe certes des extensions sur Firefox pour limiter l'exposition mais, comme le pointe le blog Naked Security de Sophos, si des « plugins peuvent vous aider en interceptant des scripts d'empreintes connus, ils rendent également les choses plus difficiles en ajoutant de l'entropie à l'empreinte de votre navigateur ». Ce qui n'est pas vraiment l'orientation désirée.
« Il est difficile d'arrêter les empreintes parce qu'elles retournent la complexité, la personnalisation et l'ouverture des navigateurs modernes contre eux-mêmes. Plus votre navigateur est personnalisé, et plus il est disposé à partager des informations sur lui-même, plus il se démarque dans la foule », ajoute Sophos. Mais l'approche de Mozilla est un pas dans la bonne direction.
D'autant qu'il n'est guère envisageable de supprimer purement et simplement l'élément canvas des composants du HTML5 car s'il est aujourd'hui détourné à d'autres fins pas très louables, il sert aussi à divers usages tout à fait légitimes. En clair, on ne peut pas faire comme avec l'API qui permettait de communiquer sur le statut de la batterie, celle-ci ayant été finalement été retirée de Firefox car elle s'avérait trop indiscrète.
Au départ, l'élément canvas est destiné pour dessiner des graphismes via des scripts JavaScript, explique Mozilla. On le retrouve dans la création de graphes, dans de l'affichage de vidéos en temps, dans la compositions de photos, dans du traitement ou encore des animations. C'est à partir de 2014 que ce genre de suivi a commencé à vraiment faire parler de lui.
Mozilla s'inspire de Tor
Selon les experts en sécurité informatique qui ont mis en lumière cette méthode de pistage, le navigateur web dérivé de Firefox adapté pour le réseau Tor affiche une alerte préalable lorsqu'un site web tente d'exploiter l'élément canvas. L'internaute peut alors décider s'il accepte, rejette ou reporte cette demande d'accès. S'il reporte ou rejette la demande, une empreinte vierge est retournée au site.
Ce n'est pas la première fois que les ingénieurs travaillant sur Firefox regardent les choix du projet Tor. En 2016, la version 50 de Firefox avait par exemple intégré de nouveaux réglages de confidentialité qui étaient d'abord apparus sur la version dérivée du logiciel. Rien de bien étonnant, à vrai dire : entre la fondation Mozilla et le projet Tor, il existe une réelle proximité.