Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Des chercheurs montrent que les utilisateurs peuvent être identifiés en ligne
Grâce à une API html5 qui donne le statut de la batterie

Le , par Michael Guilloux

0PARTAGES

4  0 
Des chercheurs en sécurité viennent de publier une étude dans laquelle ils expliquent qu’une API HTML5 serait en violation de la vie privée. L’API en question permet de lire l’état de la batterie via JavaScript, lorsque vos appareils mobiles ou PC sont connectés à Internet.

L’API de statut de la batterie a été introduite en 2012 par le World Wide Web Consortium (W3C). Avec l’avènement du Web 2.0, le W3C voulait permettre aux utilisateurs de profiter du plein potentiel du web moderne avec des applications riches. L’un des inconvénients majeurs est que cela nécessite l’utilisation plus ou moins intense des ressources des appareils, ce qui ne serait pas bienvenu quand la batterie de l’utilisateur est presque déchargée et qu’il souhaite passer un peu plus de temps sur le net. C’est à ce moment que cette API peut être d’une grande utilité.

L’API a été implémentée dans Firefox, Chrome et Opera. Comme l’explique le W3C, si un serveur peut détecter l'état de la batterie d'un appareil et qu’il reconnaît que le dispositif est presque déchargé, il pourrait faire passer l’utilisateur sur une version de page plus légère, optimisée pour permettre à l'appareil de rester beaucoup plus longtemps en marche grâce à une réduction des ressources utilisées. Si l’idée semble brillante, avec cette API, il est toutefois possible pour les sites web de consulter les propriétés de la batterie telles que le niveau de charge, le temps de charge et le temps de décharge entre autres propriétés disponibles. L’accès à ces informations a dès le début soulevé des questions de confidentialité sur lesquelles ont discuté les développeurs de Tor et Mozilla, mais les chercheurs notent qu’aucune révision majeure n’a été faite depuis lors.

Dans leur étude, les chercheurs montrent donc que les informations recueillies par l’API pourraient dire beaucoup plus sur les utilisateurs en ligne qu’on le pense à première vue. Ils ont identifié près de 40.000 statuts possibles de temps de décharge et 90 statuts de niveau de batterie possibles. En notant que ces informations sont en plus mises à jour toutes les 30 secondes, les chercheurs affirment que cela pourrait permettre de suivre les utilisateurs et de les identifier de manière unique lorsqu’ils sont connectés.

Avec ce nouvel identifiant, il se pose également un autre problème connu sous le nom de « respawning ». Cela signifie que si les cookies de l’utilisateur sont stockés à distance, même s'il supprime les cookies stockés localement, ils pourraient être rétablis une fois que l’utilisateur est identifié grâce aux données collectées sur l’état de sa batterie.

« Quand des visites consécutives sont faites dans un court intervalle, le site peut lier de nouvelles et vieilles identités en exploitant le niveau de la batterie et les temps de charge / décharge. Le site peut alors ré-instancier les cookies des utilisateurs et autres identificateurs côté client, une méthode connue sous le nom de respawning, », explique le rapport. Selon les chercheurs, le risque est encore plus élevé lorsqu’il s’agit de vieilles batteries ou de batteries utilisées avec des capacités réduites.

Pour réduire le risque de confidentialité, les chercheurs suggèrent de limiter les données fournies par l’API. Ils pensent également que les utilisateurs devraient décider eux-mêmes d’utiliser la fonctionnalité plutôt que de permettre son utilisation par défaut, comme c’est le cas actuellement. Le W3C avait en effet estimé que l’information divulguée par l’API avait un impact minimal sur la vie privée, donc ne nécessitait pas de demande d’autorisation.

Sources : The Guardian, rapport de l’étude

Et vous ?

Qu’en pensez-vous ?

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de nchal
Membre expérimenté https://www.developpez.com
Le 04/08/2015 à 17:20
Ouai, bah faut quand même avoir l'esprit bien tordu pour trouver des exploits pareilles
1  0 
Avatar de tizotox
Futur Membre du Club https://www.developpez.com
Le 04/08/2015 à 18:39
40.000 statuts
1  0 
Avatar de Gugelhupf
Modérateur https://www.developpez.com
Le 04/08/2015 à 20:25
si un serveur peut détecter l'état de la batterie d'un appareil et qu’il reconnaît que le dispositif est presque déchargé, il pourrait faire passer l’utilisateur sur une version de page plus légère


Est-ce qu'un bouton "déconnexion" permet réellement de se déconnecter ? Rien n'empêche un site de laisser trainer un cookie sur le navigateur d'une personne "déconnectée" pour retrouver son identité par la suite.
Qui va vérifier la signification de chaque cookie laissé par un site sur son navigateur ? Qui nettoie ses cookies tous les jours ? Donc aller jusqu'à connaitre les caractéristiques d'une batterie pour identifier une personne me parait assez lourd comme technique.
1  0 
Avatar de juju26
Membre du Club https://www.developpez.com
Le 04/08/2015 à 15:34
ça me parait quand même fastidieux ....
0  0 
Avatar de Seb33300
Membre émérite https://www.developpez.com
Le 04/08/2015 à 16:28
ça me fait penser à https://panopticlick.eff.org
0  0 
Avatar de hotcryx
Membre extrêmement actif https://www.developpez.com
Le 04/08/2015 à 17:49
40.000 propriétés!
Et tout ça pour la batterie, il y a franchement de quoi se poser des questions.
0  0 
Avatar de jopopmk
Membre expert https://www.developpez.com
Le 05/08/2015 à 8:10
Salut,

d'après la recommandation W3C il y aurait 4 propriétés disponibles. Si on imagine que les statuts sont équitablement répartis alors on devrait pouvoir atteindre 10^16 états différents. Ce qui laisse une belle possibilité de retrouver une connexion unique.

Par contre, comme le montre Seb33300, il existe déjà des moyens via d'autres données accessibles d'arriver au même résultat. Et est-ce vraiment si important ? Que peut-on craindre de ce genre de pratique ? (c'est pas une question rhétorique, je veux bien qu'on m'éclaire).
0  0 
Avatar de Matthieu Vergne
Expert éminent https://www.developpez.com
Le 05/08/2015 à 15:12
Citation Envoyé par nchal Voir le message
Ouai, bah faut quand même avoir l'esprit bien tordu pour trouver des exploits pareilles
Justement, c'est le but : penser à ce que la personne initiale n'a pas pensé.

Citation Envoyé par jopopmk Voir le message
Et est-ce vraiment si important ? Que peut-on craindre de ce genre de pratique ? (c'est pas une question rhétorique, je veux bien qu'on m'éclaire).
Typiquement, tu peux craindre un profilage non souhaité. Par exemple, pour ceux qui voyagent beaucoup, il est devenu fréquent pour les sites de voyage de profiler les comportements des utilisateurs pour leur faire payer le prix fort. Style, tu vas sur une page avec différents tarifs pour un voyage en avion, tu sélectionnes un tarif pas cher, tu fais quelques essais pour voir ce que ça te coûterait au final mais sans valider, puis tu sors. 30min après (après que tu ais regardé d'autres sites pour comparer), tu reviens, et le tarif que tu souhaitais a augmenté, voire carrément disparut. Tu fais un bon nettoyage de cookies, voire change de navigateur ou de PC, et tu retournes sur le site... pour retrouver le tarif initial. Ce genre de pratiques pousse les gens à se dire "si je n'achète pas tout de suite, ça me coûtera plus cher", et donc à réfléchir/chercher moins et à payer tout de suite.
0  0 
Avatar de jopopmk
Membre expert https://www.developpez.com
Le 06/08/2015 à 9:23
Effectivement ça laisse quelques ouvertures. Maintenant je pense que ce genre de pratique est plus proche de l'arnaque que du "cibling". Commercialement c'est se tirer une balle dans le pied. En tout cas merci pour cet exemple.
0  0 
Avatar de JackJnr
Membre confirmé https://www.developpez.com
Le 06/08/2015 à 15:38
Je me pose une question. La batterie ne se décharge pas de la même manière selon les applis qui sont lancées et les services qui sont installées. Rien qu'en changeant d'antivirus ou en installant un service à la con (ou en se faisant installer un service à la con à son insu). Si l'idée de base est intéressante, en pratique ça me semble assez tricky à faire puisque d'une connexion à une autre l'état du système n'est pas forcément le même. Enfin j'attends de lire l'étude plus attentivement avant de me faire une idée définitive
0  0