Des chercheurs en sécurité viennent de publier une étude dans laquelle ils expliquent qu’une API HTML5 serait en violation de la vie privée. L’API en question permet de lire l’état de la batterie via JavaScript, lorsque vos appareils mobiles ou PC sont connectés à Internet.L’API de statut de la batterie a été introduite en 2012 par le World Wide Web Consortium (W3C). Avec l’avènement du Web 2.0, le W3C voulait permettre aux utilisateurs de profiter du plein potentiel du web moderne avec des applications riches. L’un des inconvénients majeurs est que cela nécessite l’utilisation plus ou moins intense des ressources des appareils, ce qui ne serait pas bienvenu quand la batterie de l’utilisateur est presque déchargée et qu’il souhaite passer un peu plus de temps sur le net. C’est à ce moment que cette API peut être d’une grande utilité.
L’API a été implémentée dans Firefox, Chrome et Opera. Comme l’explique le W3C, si un serveur peut détecter l'état de la batterie d'un appareil et qu’il reconnaît que le dispositif est presque déchargé, il pourrait faire passer l’utilisateur sur une version de page plus légère, optimisée pour permettre à l'appareil de rester beaucoup plus longtemps en marche grâce à une réduction des ressources utilisées. Si l’idée semble brillante, avec cette API, il est toutefois possible pour les sites web de consulter les propriétés de la batterie telles que le niveau de charge, le temps de charge et le temps de décharge entre autres propriétés disponibles. L’accès à ces informations a dès le début soulevé des questions de confidentialité sur lesquelles ont discuté les développeurs de Tor et Mozilla, mais les chercheurs notent qu’aucune révision majeure n’a été faite depuis lors.
Dans leur étude, les chercheurs montrent donc que les informations recueillies par l’API pourraient dire beaucoup plus sur les utilisateurs en ligne qu’on le pense à première vue. Ils ont identifié près de 40.000 statuts possibles de temps de décharge et 90 statuts de niveau de batterie possibles. En notant que ces informations sont en plus mises à jour toutes les 30 secondes, les chercheurs affirment que cela pourrait permettre de suivre les utilisateurs et de les identifier de manière unique lorsqu’ils sont connectés.
Avec ce nouvel identifiant, il se pose également un autre problème connu sous le nom de « respawning ». Cela signifie que si les cookies de l’utilisateur sont stockés à distance, même s'il supprime les cookies stockés localement, ils pourraient être rétablis une fois que l’utilisateur est identifié grâce aux données collectées sur l’état de sa batterie.
« Quand des visites consécutives sont faites dans un court intervalle, le site peut lier de nouvelles et vieilles identités en exploitant le niveau de la batterie et les temps de charge / décharge. Le site peut alors ré-instancier les cookies des utilisateurs et autres identificateurs côté client, une méthode connue sous le nom de respawning, », explique le rapport. Selon les chercheurs, le risque est encore plus élevé lorsqu’il s’agit de vieilles batteries ou de batteries utilisées avec des capacités réduites.
Pour réduire le risque de confidentialité, les chercheurs suggèrent de limiter les données fournies par l’API. Ils pensent également que les utilisateurs devraient décider eux-mêmes d’utiliser la fonctionnalité plutôt que de permettre son utilisation par défaut, comme c’est le cas actuellement. Le W3C avait en effet estimé que l’information divulguée par l’API avait un impact minimal sur la vie privée, donc ne nécessitait pas de demande d’autorisation.
Sources : The Guardian, rapport de l’étude
Et vous ?
Qu’en pensez-vous ? 
Envoyé par nchal
