L'extension, Privacy Pass est présentée comme un système pour rendre Internet plus accessible. Privacy Pass interagit avec les sites Web qui supportent son protocole pour introduire un mécanisme anonyme d'authentification de l'utilisateur. En particulier, Privacy Pass convient aux cas où un utilisateur doit effectuer une tâche pour s’authentifier auprès d’un service. En bref, l'extension reçoit des « passes » signés à l'aveugle pour chaque authentification et ces passes peuvent être utilisés pour contourner les futures tâches d’authentification en utilisant une procédure d'échange anonyme. Par exemple, Privacy Pass est pris en charge par Cloudflare pour permettre aux utilisateurs d'échanger des laissez-passer au lieu de devoir résoudre des CAPTCHAS pour visiter des sites Web protégés par Cloudflare.
« La procédure de signature à l'aveugle garantit que les laissez-passer qui sont issus à l'avenir ne sont pas susceptibles d'être liés à ceux qui sont signés. Nous utilisons un protocole cryptographique préservant la vie privée basé sur des fonctions pseudo-aléatoires vérifiables (VOPRF) construites à partir de courbes elliptiques pour renforcer l'insubmersibilité. Le protocole est exceptionnellement rapide et garantit la confidentialité pour l'utilisateur. En tant que tel, Privacy Pass est sûr à utiliser pour ceux qui ont des restrictions d'anonymat strictes », peut-on lire sur le billet de blog explicatif.
Alex Davidson, un doctorant à la Royal Holloway, Université de Londres, qui fait partie de l’équipe de cinq personnes derrière l'extension, a expliqué que « Privacy Pass vise à résoudre le problème de l'authentification aux services lorsque l'utilisateur cherche à préserver son anonymat. »
L'extension permet aux utilisateurs de générer un ensemble de jetons « signés » à partir d'un service après une tentative d'authentification réussie sur HTTP, a-t-il expliqué. « Ces jetons peuvent être utilisés comme des passes, apportant un moyen d'authentification sur le même serveur à l'avenir, au lieu d'avoir à s'authentifier explicitement, comme le font les cookies qui sont largement utilisés maintenant et qui épargnent à l’utilisateur la tâche de devoir se connecter encore et encore. »
Comment fonctionne le protocole ?
Lorsqu'une épreuve est résolue correctement par un utilisateur, Privacy Pass génère des nombres aléatoires qui seront utilisés comme jetons. Ces jetons seront anonymisés puis envoyés au fournisseur de l’épreuve. Si la solution est valide, le fournisseur va signer les jetons anonymisés et les retourner au client. Privacy Pass va les désanonymiser et les conserver pour un usage ultérieur.
Privacy Pass va détecter quand une épreuve Internet est nécessaire dans le futur pour le même fournisseur. Dans ces cas, un jeton signé sera intégré dans un passe de confidentialité qui sera envoyé au fournisseur de l’épreuve. Le fournisseur va vérifier la signature sur le jeton, si cette vérification est validée, l’épreuve ne sera pas proposée à l’internaute.
En somme, ce protocole permet à un utilisateur de contourner un certain nombre d’épreuves Internet proportionnellement au nombre de jetons signés. La fonction anonymisante utilisée dans le processus de signature préserve l'anonymat de l'utilisateur concerné en rendant aléatoires les jetons signés, ce qui les rend insubmersibles par rapport aux jetons utilisés.
Une alternative aux cookies ?
Davidson a déclaré que, parce que Privacy Pass est agnostique au mécanisme d'authentification utilisé, il peut être construit sur les frameworks existants. « Par exemple, nous prévoyons qu'il pourrait être utilisé comme une méthode alternative pour se connecter aux services sans avoir à utiliser des authentifiants qui ne préservent pas la vie privée, telle que les cookies. »
Cela a été particulièrement bien accueilli par les militants de la vie privée : « Le suivi des cookies est trop courant, donc les méthodes pour en supprimer le besoin sont une excellente idée », a déclaré Jim Killock, directeur de l'Open Rights Group.
Killock a ajouté que cela pourrait avoir des implications pour les services de vérification de l'âge. Ces derniers sont sous les feux de la rampe au Royaume-Uni, car la loi sur l'économie numérique exige que tous les sites pornographiques vérifient l'âge des utilisateurs, ce qui soulève des préoccupations en matière de confidentialité et de sécurité des données.
Pandora / Blake, militant du porno et des libertés civiles, a fait écho à cet espoir : « Privacy Pass n'inclut pas actuellement de protocole pour gérer la vérification de l'âge elle-même, mais si les services de vérification de l'âge utilisaient ce type de connaissance, cela augmenterait considérablement la vie privée des utilisateurs. »
« Si Privacy Pass fait ce qu'il dit, il indique que l'authentification anonyme est possible, et que les fournisseurs de vérification d'âge n'ont aucune excuse pour créer des protocoles qui voient et conservent inutilement les données utilisateur, avec des conséquences potentiellement dangereuses pour la vie privée. »
L'extension est disponible sur Chrome et Firefox.
Source : GitHub Privacy Pass, DRS
Et vous ?
Que pensez-vous de cette extension ? Représente-t-elle une alternative sérieuse aux cookies ? 
Envoyé par Stéphane le calme
