Privacy Pass promet de vous permettre de vous authentifier sur un site sans compromettre votre vie privée
Vers une alternative aux cookies ?

Le , par Stéphane le calme, Chroniqueur Actualités
L'extension, Privacy Pass est présentée comme un système pour rendre Internet plus accessible. Privacy Pass interagit avec les sites Web qui supportent son protocole pour introduire un mécanisme anonyme d'authentification de l'utilisateur. En particulier, Privacy Pass convient aux cas où un utilisateur doit effectuer une tâche pour s’authentifier auprès d’un service.

En bref, l'extension reçoit des « passes » signés à l'aveugle pour chaque authentification et ces passes peuvent être utilisés pour contourner les futures tâches d’authentification en utilisant une procédure d'échange anonyme. Par exemple, Privacy Pass est pris en charge par Cloudflare pour permettre aux utilisateurs d'échanger des laissez-passer au lieu de devoir résoudre des CAPTCHAS pour visiter des sites Web protégés par Cloudflare.

« La procédure de signature à l'aveugle garantit que les laissez-passer qui sont issus à l'avenir ne sont pas susceptibles d'être liés à ceux qui sont signés. Nous utilisons un protocole cryptographique préservant la vie privée basé sur des fonctions pseudo-aléatoires vérifiables (VOPRF) construites à partir de courbes elliptiques pour renforcer l'insubmersibilité. Le protocole est exceptionnellement rapide et garantit la confidentialité pour l'utilisateur. En tant que tel, Privacy Pass est sûr à utiliser pour ceux qui ont des restrictions d'anonymat strictes », peut-on lire sur le billet de blog explicatif.

Alex Davidson, un doctorant à la Royal Holloway, Université de Londres, qui fait partie de l’équipe de cinq personnes derrière l'extension, a expliqué que « Privacy Pass vise à résoudre le problème de l'authentification aux services lorsque l'utilisateur cherche à préserver son anonymat. »

L'extension permet aux utilisateurs de générer un ensemble de jetons « signés » à partir d'un service après une tentative d'authentification réussie sur HTTP, a-t-il expliqué. « Ces jetons peuvent être utilisés comme des passes, apportant un moyen d'authentification sur le même serveur à l'avenir, au lieu d'avoir à s'authentifier explicitement, comme le font les cookies qui sont largement utilisés maintenant et qui épargnent à l’utilisateur la tâche de devoir se connecter encore et encore. »

Comment fonctionne le protocole ?

Lorsqu'une épreuve est résolue correctement par un utilisateur, Privacy Pass génère des nombres aléatoires qui seront utilisés comme jetons. Ces jetons seront anonymisés puis envoyés au fournisseur de l’épreuve. Si la solution est valide, le fournisseur va signer les jetons anonymisés et les retourner au client. Privacy Pass va les désanonymiser et les conserver pour un usage ultérieur.

Privacy Pass va détecter quand une épreuve Internet est nécessaire dans le futur pour le même fournisseur. Dans ces cas, un jeton signé sera intégré dans un passe de confidentialité qui sera envoyé au fournisseur de l’épreuve. Le fournisseur va vérifier la signature sur le jeton, si cette vérification est validée, l’épreuve ne sera pas proposée à l’internaute.

En somme, ce protocole permet à un utilisateur de contourner un certain nombre d’épreuves Internet proportionnellement au nombre de jetons signés. La fonction anonymisante utilisée dans le processus de signature préserve l'anonymat de l'utilisateur concerné en rendant aléatoires les jetons signés, ce qui les rend insubmersibles par rapport aux jetons utilisés.

Une alternative aux cookies ?

Davidson a déclaré que, parce que Privacy Pass est agnostique au mécanisme d'authentification utilisé, il peut être construit sur les frameworks existants. « Par exemple, nous prévoyons qu'il pourrait être utilisé comme une méthode alternative pour se connecter aux services sans avoir à utiliser des authentifiants qui ne préservent pas la vie privée, telle que les cookies. »

Cela a été particulièrement bien accueilli par les militants de la vie privée : « Le suivi des cookies est trop courant, donc les méthodes pour en supprimer le besoin sont une excellente idée », a déclaré Jim Killock, directeur de l'Open Rights Group.

Killock a ajouté que cela pourrait avoir des implications pour les services de vérification de l'âge. Ces derniers sont sous les feux de la rampe au Royaume-Uni, car la loi sur l'économie numérique exige que tous les sites pornographiques vérifient l'âge des utilisateurs, ce qui soulève des préoccupations en matière de confidentialité et de sécurité des données.

Pandora / Blake, militant du porno et des libertés civiles, a fait écho à cet espoir : « Privacy Pass n'inclut pas actuellement de protocole pour gérer la vérification de l'âge elle-même, mais si les services de vérification de l'âge utilisaient ce type de connaissance, cela augmenterait considérablement la vie privée des utilisateurs. »

« Si Privacy Pass fait ce qu'il dit, il indique que l'authentification anonyme est possible, et que les fournisseurs de vérification d'âge n'ont aucune excuse pour créer des protocoles qui voient et conservent inutilement les données utilisateur, avec des conséquences potentiellement dangereuses pour la vie privée. »

L'extension est disponible sur Chrome et Firefox.

Source : GitHub Privacy Pass, DRS

Et vous ?

Que pensez-vous de cette extension ? Représente-t-elle une alternative sérieuse aux cookies ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse Signaler un problème

Avatar de Namica Namica - Membre expérimenté https://www.developpez.com
le 16/11/2017 à 2:06
Citation Envoyé par Stéphane le calme Voir le message
... mécanisme anonyme d'authentification de l'utilisateur...
Citation Envoyé par Stéphane le calme Voir le message
... fonctions pseudo-aléatoires vérifiables (VOPRF) construites à partir de courbes elliptiques pour renforcer l'insubmersibilité...
Comment peut-on s'identifier de manière anonyme ? C'est contradictoire, non ?
Qu'est-ce que c'est cette notion d'insubmersililité ?
Quelqu'un peut il m'éclairer ?

Si je fait une commande sur un site e-commerce, il faut inévitablement que je m'identifie de manière non anonyme (paiement, facture, livraison).
Alors quid de ce bazar ?
Avatar de Neckara Neckara - Expert éminent sénior https://www.developpez.com
le 16/11/2017 à 9:45
J'avoue ne pas avoir tout compris moi non-plus. L'utilisation de jetons n'a rien de nouveau en soit.
Serait-il possible de nous donner au moins le lien vers l'article publié qu'on puisse le lire et comprendre les détails du système ?

Je ne vois pas non plus le problème des cookies, il suffit de le restreindre à un domaine donné pour éviter que les autres sites puissent pister l'utilisateur : https://secure.php.net/manual/fr/fun....setcookie.php
Avatar de Neckara Neckara - Expert éminent sénior https://www.developpez.com
le 16/11/2017 à 10:01
D'accord, je pense que je viens de comprendre.

Certains services veulent s'assurer que le visiteur n'est pas un robot, et donc demandent à l'utilisateur de remplir un captcha. Le problème, c'est qu'on veut que l'utilisateur remplisse un captcha une seule fois, pas qu'il ai à remplir un captcha pour chaque pages. Pour cela on utilise généralement un cookie qui comporte une preuve que l'utilisateur a déjà réussi à répondre à un captcha. Ainsi lorsque l'utilisateur demande une page, il envoie le cookie, prouvant qu'il n'est pas un robot, et n'a donc pas besoin de répondre à nouveau à un captcha.

Le problème, c'est que ce cookie qu'on dépose chez l'utilisateur lorsqu'il a répondu à un captcha, peut servir à traquer son activité, bien qu'il ne soit pas connecté à un compte. En effet, le cookie pourrait intégrer, e.g. un identifiant chiffré, et permettre au service de reconnaître l'utilisateur lors de ses différentes visites. D'où le protocole qu'on nous propose afin de garantir que l'utilisateur n'est pas un robot tout en empêchant le service de le pister.

En gros, l'utilisateur est anonyme parmi le groupe des non-robots.

 
Contacter le responsable de la rubrique Accueil