Des chercheurs créent une empreinte pour pister un internaute via plusieurs navigateurs
Le progrès
Des chercheurs ont publié les résultats de leurs travaux : dans une grande partie des cas, il est possible de laisser sur la machine d’un internaute une empreinte exploitable par des navigateurs multiples. Un changement de taille puisque chaque navigateur avait jusqu’ici sa propre empreinte. Explications.
On appelle empreinte (« fingerprint ») un identifiant a priori unique tenant compte des caractéristiques du navigateur. Résolution, couleurs, liste d'extensions, fuseau horaire, signal Do Not Track, options WebGL, langue utilisée, liste des polices installées, plateforme, User Agent, support du tactile ou encore activation des cookies sont ainsi analysés pour générer cet identifiant. Bien sûr, l’unicité est relative dans la mesure où l’on peut rencontrer une configuration similaire.
De l'empreinte spécifique à un navigateur...
Cet identifiant est utilisé pour de nombreuses raisons, certaines bonnes, d’autres moins. Un site à caractère « sérieux », comme celui d’une banque, peut ainsi se rendre compte que l’utilisateur se sert visiblement d’un autre appareil pour se connecter. Il pourra donc appliquer une mesure de sécurité en réclamant une ou plusieurs informations de sécurité complémentaires.
Mais l’identifiant est surtout connu pour servir dans le domaine de la publicité. L’utilisateur aura beau vider son cache, il est bâti en fonction de caractéristiques qui, pour la plupart, ne changent pas à moins d’aller trafiquer certaines options. L’utilisateur peut donc être suivi à la trace, certaines enseignes commerciales n’hésitant pas à récolter toutes les habitudes de navigation pour mieux adapter les contenus publicitaires.
... à celle liée à une machine spécifique
Cependant, changer de navigateur suffisait jusqu’à présent à obtenir un nouvel identifiant. C’est là que les travaux des chercheurs des universités de Lehigh et Saint Louis (Yinzhi Cao, Song Li et Erik Wijmans) entrent en piste. Plutôt que de s’appuyer sur les caractéristiques du navigateur, ils se servent de fonctions faisant appel des API (Application Programming Interface) du système ou puisant dans les ressources matérielles de la machine. L’identifiant ne dépend donc plus du seul navigateur, mais d’un ensemble de caractéristiques de l’ordinateur lui-même.
Spécificités de la carte graphique, nombre de cœurs du processeur, carte son et autres entrent ainsi en piste pour compléter l’empreinte existante. En tout, 36 fonctions indépendantes du navigateur sont utilisées pour réaliser des calculs. La manière dont la machine les exécute permet de gérer une nouvelle empreinte qui ne peut pas varier. Du moins en théorie.
Un taux de réussite supérieur à 99 % dans les tests
Pour prouver leurs dires, les chercheurs ont mis en place un test nommé Unique Machine, qui permet d’afficher ce fameux identifiant et dont le code source est disponible sous licence MIT sur un dépôt GitHub. Sur 3 615 empreintes collectées auprès de 1 903 utilisateurs au cours d’une période de trois mois, le taux de succès était ainsi de 99,2 %, prouvant l’efficacité de la méthode – qui se veut d’ailleurs toujours expérimentale.
Nous avons-nous-mêmes testé Unique Machine. Les dernières révisions stables de Chrome, Firefox et Opera ont toutes affiché le même identifiant. Curieusement, Edge a donné une autre série de caractères. Notez au passage que Chrome et Edge ont pu donner un identifiant navigateur différent en mode Navigation privée. Dans le cas de Chrome cependant, l’identifiant machine restait le même que les autres. Le fait que seul Edge ait donné une valeur différente peut simplement venir du caractère expérimental du test, sur lequel les travaux se poursuivent.
Seul Tor Browser échappe pour l'instant à cette technique
Pour l’instant, et comme souligné par Ars Technica, la méthode des chercheurs ne fonctionne pas avec la configuration par défaut de Tor Browser. Ce dernier bloque notamment certaines fonctionnalités liées à WebGL et autres technologies. Cependant, puisqu’il s’agit d’un Firefox modifié, les options sont toujours présentes : si l’utilisateur les réactive, il s’expose à un risque potentiel accru.
Les tests montrent que des sites pourraient très bien utiliser cette technique pour suivre très efficacement les internautes à la trace, quel que soit le navigateur utilisé (en partant du principe que le cas spécifique d’Edge n’est que temporaire). Les chercheurs précisent que ces travaux ne sont pas conçus spécifiquement pour ouvrir la voie à ce genre de pistage, mais pour montrer ce qu’il est capable de faire. La publication du code en open source est d’ailleurs là pour prouver la démarche académique.
Devancer les recherches dans ce domaine
En l’état, la priorité est de redoubler d’inventivité pour découvrir l’ensemble des éléments qu’un site pourrait impliquer dans la création d’une empreinte. Dans le cas présent, un court code JavaScript est utilisé, assez petit pour être embarqué dans des pages web. Seul problème actuellement, le temps d’attente pour la fin des calculs, puisque l’on regarde un cadre afficher des éléments graphiques pendant une dizaine de secondes. Rien n’empêche cependant d’effectuer ces tâches en arrière-plan, seule une montée en charge du processeur pouvant être décelée.
Les chercheurs n'annoncent pas que les sites vont tôt ou tard se pencher sur ces mécanismes. Ils espèrent simplement attirer l'attention sur ce qu'il est possible de faire actuellement. Rien n'empêchera cependant certaines entreprises de se pencher sur ses résultats pour y trouver une inspiration.
Commentaires (130)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 14/02/2017 à 17h18
Faudrait aussi faire le test avec une machine virtuelle. Ça peut être la solution pour le mode Parano activé.
Le 14/02/2017 à 17h32
la technique semble lié à la configuration materielle et logicielle d une machine à un temps T. Si on change de matos et/ou de plusieurs logiciels, l Id devrait logiquement changer, non?
Le 14/02/2017 à 17h34
Difficile de changer de machine à chaque nouvelle session…
C’est vrai que c’est flippant. Espérons que ces recherches permettront améliorer aussi les défenses !
Le 14/02/2017 à 17h37
Bon bah voilà, bientôt Tor deviendra la norme …
Le 14/02/2017 à 17h54
Lire les articles c’est bien aussi..
“Seul Tor Browser échappe pour l’instant à cette technique”
Le 14/02/2017 à 17h57
Ça dépend..
Tu cherches des renseignements sur un bracelet. Les pubs vont te proposer des bracelets. C’est pertinent
Le problème c’est quand tu as fait ton achat, les pubs te propose encore des bracelets. Ça n’est plus pertinent.
Mais je préfère que les régies publicitaires ne soient pas au courant de tous mes achats :)
Le 14/02/2017 à 17h58
Réponse au dessus
(Les commentaires sur mobile c’est pas super génial)
Le 14/02/2017 à 18h14
désactive JS.
pas de js = pas de webgl, pas de test des fonts, pas d’upload de form, pas d’ajax…
Le 14/02/2017 à 18h18
et si on utilise ça sous FF
(en même temps que ça sous chromium )
Est ce que leur algo fonctionne toujours ?
Avec deux navigateurs différents peuvent-ils encore nous pister ?
Le 14/02/2017 à 18h20
liste des polices installéesQu’est-ce qu’il faut comprendre ? Qu’on peut réellement obtenir la liste des polices installées sur un poste ? (pas possible à ma connaissance) Ou plutôt que parmi une liste de polices donnée on peut identifier celles qui sont réellement installée sur le poste.
Le 14/02/2017 à 18h26
tu diminues peut-être un peu la précision de l’empreinte.
mais il reste : les polices, la langue, l’os, les capacités de ta carte graphique (exhttp://www.geeks3d.com/webgl/) …
Il y a de quoi faire.
Et vu viens de rajouter 1 bit d’information : utilise un anti-canvas fingerprinting tool.
Le 14/02/2017 à 18h26
J’avais testé Random agent spoofer (Un addons firefox) à une époque.
" />
C’est un addon qui permet changer d’empreinte régulièrement en piochant dans une base d’user-agent.
Il contient également pas mal d’option pour limiter ce genre authentification.
Le résultat était plutôt probant d’après Am I unique?à condition de configurer ça correctement (liste des plugins, Canevas, fonts, etc.)
Par contre, Il peut clairement vous rendre un site non fonctionnel.
Exemple: désactiver les canevas, et google maps n’affichera plus de zone de recherche
Par contre je ne sais pas si ce type de d’addons résiste à la méthode décrit dans l’article.
Le 14/02/2017 à 18h42
Je vois pas qui ça peut encore étonner…
À chaque article sur une nouvelle super API démentielle du web 4.0, on est plusieurs à expliquer que ça fuite de l’information
Bah oui, là on y est, c’est suffisant pour bien identifier
Le 14/02/2017 à 18h58
arfff, c’est juste parce qu’ils n’ont pas de vies qu’ils consument leur temps à savoir ce que fait la populace
" />
Le 14/02/2017 à 19h00
Le 14/02/2017 à 19h07
rien à foutre de Tor !
je parle d’un navigateur normal !
Le 14/02/2017 à 20h49
Bon ,imaginons que ces criteres soit juste binaire (j’ai ou j’ai pas). Ca nous donne 2³⁶ possibilités soit = 68.719.476.736, donc tant que chaque etre humain ne depassent pas ses 10 machines, ca passe.
Si les criteres sont analogique , et peuvent se moduler à l’infinie entre 0 et 1, ca fait encore plus.
Le 14/02/2017 à 20h52
Le 14/02/2017 à 20h53
Ce que je voulais te dire c’est qu’il n’y a même pas besoin de tracker le navigateur pour suivre des gens… même si l’info est un beau bonus ;)
Le 14/02/2017 à 20h54
Le 14/02/2017 à 20h56
Le 14/02/2017 à 21h07
Le 14/02/2017 à 21h07
Ils avaient vraiment besoi de bosser là dessus… ?? C’est su pain béni pour les régies publicitaires, quoiqu’ils en disent….
Et au vu des tests effectués faut-il s’attendre à voir son CPU et son GPU à 100% pendant 3 secondes à chaque page web visitée ?? Super la consommation électrique. J’espère qu’on va rapidement pouvoir dénicher un plugin Firefox qui s’occupe de mentir en random sur toutes ces chaînes de caractères demandées au lieu de donner les véritables informations de la machine. Histoir que ce genre d’algorithme ne puisse jamais “matcher”
Le 14/02/2017 à 21h13
about:config est ton ami
Le 14/02/2017 à 21h41
Le 14/02/2017 à 21h45
“sur 3 615 empreintes collectées auprès de 1 903 utilisateurs au cours d’une période de trois mois”En fait, pour le moment, ils ont juste prouvé que l’empreinte pouvait être identique en changent de navigateur.Ca montre pas qu’on peut te pister.
Le 14/02/2017 à 21h45
En supposant que le sujet de cette news puisse vraiment passer au stade pratique, les publicitaires se moqueront des gens comme toi.
Car la majorité des utilisateurs (aka les Mme & Mr Michu) sont beaucoup plus patients que nous quand ils utilisent un ordinateur. Là où une longue durée pour afficher un site ou un logiciel m’aurait déjà fait ticker voir même fait réagir vigoureusement, ces personnes supportent cela souvent très bien. En conséquence, en quoi rajouter quelques secondes de calcul pour affiner le suivi publicitaire peut constituer une gène ?
Quand à un plugin pour Firefox, manifestement le plus simple serait de faire comme Tor : Il faut normaliser. Toutes les installations doivent se ressembler. Ce qui est impossible.
Le 14/02/2017 à 21h54
Tu plaisantes j’espère ?
" />
Une grosse partie des efforts marketing actuels en terme d’expérience utilisateur concerne la fluidité, notamment avec de petites connexions, de petites configs.
1 secondes d’attente + c’est un taux de rebond qui augmente, des ventes en moins.
C’est un peu l’antithèse de la pub en fait.
Après il faut reconnaitre qu’il y a des régies peu scrupuleuses qui saque le travaille des développeurs, mais à la fin c’est toujours le sacro-saint ROI qui parle.
source au pif :https://www.soasta.com/blog/mobile-web-performance-monitoring-conversion-rate/
Le 14/02/2017 à 21h57
Tu prends le problème à l’envers.
Le SEUL intérêt du tracking du point de vue de ceux qui financent le marché (c’est à dire les clients, pas les chercheurs) c’est d’être unique et fiable. Et à priori ce n’est pas le cas avec cette technique.
Des techniques avancées de tracking fiables à 80% basées sur l’histo y en a à la pelle. Ici on est largement en dessous, le seul intérêt de la technique c’est d’être crossbrowser mais si c’est pas fiable…. Et même en admettant qu’ils arrivent à 90% de fiabilité c’est par machine et non par utilisateur (exit le cross media - pas de bol en tant que webmarchand j’aimerais bien savoir combien de % de mes clients visitent le site sur mobile pour acheter sur desktop ou l’inverse….), du coup…..
Et je ne parle pas de la technique en elle même que personne ne voudra implémenter : bouffer 80-100% du CPU de l’utilisateur pendant plusieurs secondes au chargement de la page alors qu’on essaye d’accélérer le chargement des scripts fonctionnels, mais bien sûr !
Sinon : les polices dépendent de l’OS (principalement), les plugins la plupart n’en ont pas, le support de webGL dépend du navigateur de la CG et des pilotes, canvas de l’OS et du navigateur (et du CPU mais non pris en compte pour des raisons évidentes). L’audio c’est devenu inutile depuis que toutes les CM implémentent la même carte….
Je le redis : c’est une recherche bidon publiée pour le fric. Le navigateur peut lire des données ! Scandale ! Ca fait jamais que 25 ans qu’on le sait (au bas mot), en attendant ça reste basé sur la fiabilité de l’IP (qui ne l’est pas, donc….)
Le 14/02/2017 à 22h03
Le 14/02/2017 à 22h03
Le 14/02/2017 à 22h03
Je ne vois pas comment obtenir la liste des polices.
Calculer une empreinte oui. Obtenir la liste, non
Le 14/02/2017 à 22h54
OK donne moi 8 noms de polices.
De préférence avec au moins 1 installée sur ton poste (non détectée par le script précédent tant qu’à faire)
Le 14/02/2017 à 22h55
non cette empreinte c’est un bitarray pas un hash.
enfin ça peut aussi être un hash mais ce serait con de perdre de la donnée.
Le 14/02/2017 à 22h56
Le 14/02/2017 à 23h00
Tu veux quels genres de polices ? Exclusivement des non web j’ai le droit ?
Si ta question c’est “trouve moi une police qui sera pas listée” ça va pas être dur, des polices y en a une infinité….
Le 14/02/2017 à 23h05
Très vrai !
Mais ça reste une méthode excessivement lourde pour “juste” une précision de données
Le 14/02/2017 à 23h09
qu’est-ce que t’appelles non web ?
il faut qu’on puisse écrire <div style=“font-family:‘nom de la police’”>abcdefg</div> et que l’affichage soit différent d’un div normal
Le 14/02/2017 à 23h11
Exact. Non standard !
Genre si je duplique time new roman en toto.ttf
Tiens, au pif, choppé sur un site random :http://cdn.fontspace.com/Styles/font-icon/font/fsicons.woff2?81454616
Trouve moi un script non fait pour qui la détecte….
Le 14/02/2017 à 23h14
Le 14/02/2017 à 23h17
Le 14/02/2017 à 23h51
Ca a peu de sens de charger une police depuis un cdn.
Tout ce que tu pourrais tester c’est si le browser supporte le chargement dynamique.
Tu colles le script suivant dans une page ou jquery est chargée.
Et dans candidats tu mets la liste des polices que tu veux tester.
\(span = \)(”<span>abcdefg</span>”);
\(span.appendTo(document.body);
\)span.css(“font-family”,“blablabla”);
var width = \(span[0].getBoundingClientRect().width; console.log("largeur police par défaut :" + width);
var candidats = ["Perpetua","Gloucester","Renault","Renault","Purisa","Ubuntu"]for (var i=0;i<candidats.length;i++){ var fontname = candidats[i]; \)span.css(“font-family”,fontname); var twidth = $span[0].getBoundingClientRect().width; console.log(“police:” + fontname + “ largeur ” + twidth);
if (twidth.toFixed(4) != width.toFixed(4)) console.log(” installée”); else console.log(” non installée”);}
Le 15/02/2017 à 00h02
Le 15/02/2017 à 00h22
Et au passage ton script comporte des erreurs de syntaxe (ça passe peut être mais jusqu’à preuve du contraire ta ligne 1 renvoie un dom element, pas un tableau de dom element - après jQuery est excessivement crade sur la gestion du typage donc bon…) et ne prend pas en considération 2 police ayant le même empâtement, ni les différences entre la police chargée et la police de l’OS, ni…. bah rien en fait, il suffit que je change les alias de police dans mon navigateur et ton truc plante.
Du coup autant demander directement au DOM la police qu’il applique non ? Ca revient au même, c’est moins compliqué et c’est infiniment plus propre….
Le 15/02/2017 à 00h41
Je voulais dire peu de sens d’essayer de calculer une empreinte pour une police qui serait chargée depuis un cdn. Je ne disais pas que cela n’a pas de sens de charger une police custom. Bien sûr que ça en a.
On s’était mal compris. On est d’accord qu’il n’est pas possible de connaître la liste des polices installées.
C’est même moi qui l’ai dit le premier ; ) #22
Si ça n’a pas d’intérêt de tester les x polices qui viennent avec l’OS en revanche tester des polices particulières qui viennent avec certains logiciels (très chers) ça permet : et de créer une empreinte et de dresser potentiellement un profil d’acheteur (CSP-créatif ou vilain pirate collectionneur) sans que l’internaute ait même rempli le moindre formulaire.
Je ne vois pas en quoi il faut “deviner”.
La page citée fait un test de 512 fonts.
Ca prend pas des plombes à tester.
Ca prend pas de place (10 ko pour la liste des font-family)
Ca te fait -potentiellement- 2^512 combinaisons possibles.
Certes l’ajout/suppression peut modifier le bitArray des font identifiés
Mais si tu combines ça avec les infos leakés par le webgl ça te fait un identifiant relativement robuste.
Que tu peux apparier (et synchroniser) avec les cookies/IP. Et qui peut te permettre -potentiellement- de retrouver le vrai unique id si le client a essayé de se débarasser en virant cookie et en changeant d’IP.
Après c’est sûr que s’il a changé d’OS, d’écran, de carte graphique, qu’il a installé/supprimé des polices et qu’il a changé de langue ça va être compliqué de remonter jusqu’à un id connu.
Le 15/02/2017 à 00h50
Tu prends (comme Ricard) le problème à l’envers. La question n’est pas de savoir si l’on peut reconnaitre l’internaute, mais la robustesse de la reconnaissance.
Encore une fois, c’est caricatural mais créer une empreinte pour détecter si un internaute particulier a changé de navigateur c’est super simple, il suffit de se baser sur la résolution d’écran. Ce ne va pas t’aider quand tu auras 250k internautes qui ont la même….
C’est tout le problème de leur méthode : ils n’ont aucun moyen novateur d’identification. Après, combiné au reste, certes…. mais la plus grande discrimination est faite via l’IP et les cookies, ça n’est jamais que de l’affinage (genre la paille est jaune, mais j’ai une super méthode qui coute un million à implémenter qui permet de détecter la nuance exacte de jaune….).
Je vais citer juste un petit passage :
Screen Resolution.
The current measurement of screen resolu-
tion is via the “screen” object under JavaScript. However, we
find that many browsers, especially Firefox and IE, change the
resolution value in proportion to the zoom level. For example,
if the user enlarges the webpage with “ctrl++” in Firefox and
IE, the screen resolution is inaccurate. We believe that the
zoom level needs to be considered in both single- and cross-
browser fingerprinting.
Specifically, we pursue two separate directions. First, we
adopt existing work [13] on the detection of zoom levels based
on the size of a div tag and the device pixel ratio, and then
adjust the screen resolution correspondingly. Second, because
the former method is not always reliable as acknowledged by
the inventors, we adopt a new feature, i.e., the ratio between
2
screen width and height, which does not change with the zoom
level
Ouha ! Ils font des ratios largeur / hauteur ! Quelle innovation !
Le papier c’est uniquement des conneries du genre ! Que ça berne des marketteux qui pètent plus haut que leur cul, ok, c’est fait pour leur soutirer du fric. Mais des techniques (desquels tu me sembles faire partie) ça m’inquiète….
Le 15/02/2017 à 00h56
Le 15/02/2017 à 01h02
Le 14/02/2017 à 19h23
Le 14/02/2017 à 19h23
Tu peux utiliser le réseau tor avec n’importe quel navigateur si tu veux.
" />
edit : faudrait voir si ça marche aussi si c’est le réseau et pas le navigateur tor ?
Le 14/02/2017 à 19h24
Le 14/02/2017 à 19h42
Le 14/02/2017 à 19h53
En effet, mais bon pour avoir pas mal de chercheur en sécurité a coté de mon bureau, je sais qu’il y a pleins d’autres manières d’avoir une empreinte… les cours que j’ai eu il y a 2 ou 3 ans avaient de quoi donner le tournis…
Le 14/02/2017 à 20h01
Tu mets uBlock Origin, Privacy Badger et NoScript, t’auras l’internet des années 90…
" />
Le 14/02/2017 à 20h03
PAGE NOT FOUND! Unfortunately the page that you requested does not exist.
" />
Le 14/02/2017 à 20h04
Et quant, dans les extensions du navigateur, ils tombent sur un bloqueur de pub, ils ne laissent pas tomber = client non rentable?
" />
Le 14/02/2017 à 20h08
Euh, mais c’est NUL !
C’est quoi cet échantillon moisi ? 36 critères c’est ridicule ! Alors oui sur moins de 2000 utilisateurs, ok, sur 2 millions combien de collisions ? Sachant qu’en plus, sur la masse, les matos vont se recouper en fonction de certaines caractéristiques utilisateur (exemple : j’ai un proc de gamer, une CG de gamer et une carte mère de gamer. Dans les 3 cas la gamme est exactement la même et ce n’est pas une gamme sur laquelle il y a beaucoup de produits….) .
Complètement inexploitable ! Les chercheurs arrivent à avoir une empreinte unique sur plusieurs navigateurs (je veux bien), mais cette empreinte sera reproduite autant de fois qu’il y a de configuration similaires… Je demande à voir le taux de fiabilité sur un environnement réel avec plusieurs millions de connexions, mais j’ai de sérieux doutes….
Le 14/02/2017 à 20h08
Le 14/02/2017 à 20h12
Le 14/02/2017 à 20h14
Le 14/02/2017 à 20h27
Même pas besoin du navigateur… y a un papier qui déjà plusieurs années (c’est pas mon domaine de prédilection donc je vais pas te sortir le biltex de tête), qui montre que les habitudes de navigation sont très tenaces… globalement quand on se lève le matin, on vas tous regarder une suite de sites, souvent dans le même ordre, avec un timing précis… ça suffit déjà a faire un bon ciblage… sachant que tout ça peut être améliorer avec les tonnes d’infos qui peuvent être déduites et permettent de raffiner le suivi…
Le 14/02/2017 à 20h30
Le 14/02/2017 à 20h35
Avec wget, pourquoi ?
" />
Le 14/02/2017 à 20h38
Le 14/02/2017 à 22h08
Malheureusement d’expérience, les Mme & Mr Michu sont comme je le prétends.
Après si la tendance s’inverse et que la performance redevient prioritaire, tant mieux je ne vais pas m’en plaindre.
Le 14/02/2017 à 22h17
Le 14/02/2017 à 22h19
Le 14/02/2017 à 22h22
La faute à javascript (un peu) et flash (surtout). Tu peux le voir sur une des pages du lien donné par Ricard : fonts.
Le 14/02/2017 à 22h24
En réalité c’est une technique qui aurait eu beaucoup de mérite il y a 20 ans, avec des environnements extrêmement hétérogènes. Aujourd’hui tous les fabricants, tous les éditeurs, tous les assembleurs tentent par tous les moyens de réduire leurs coûts via des économies d’échelle…. et du coup les environnement sont très semblables d’un utilisateur sur l’autre (hors cas particulier : les devs, les sysadmin, les utilisateurs de BSD, de Lynx, etc…).
La technique se basant sur les différences d’environnement entre utilisateurs c’est on ne peut plus débile….
Le 14/02/2017 à 22h26
Mais ça marche pas : 60 polices me dit le site, windows me dit 98. Tu peux savoir si une police est présente ou non, pas obtenir la liste de celles présentes….. et pour peu que ton navigateur en ait chargé une distante sur un site juste avant ça foire l’empreinte….
Non vraiment c’est super comme technique….
Le 14/02/2017 à 22h29
Le 14/02/2017 à 22h30
Non ça ne donne pas la liste des polices installées.
Ca te dit si parmi 512 font connues, tu en as quelques-unes d’installées.
Ce n’est pas la même chose que de lister les polices installées sur le poste.
Si j’installe tititatatoto.ttf il sera incapable de me la proposer.
(sauf bruteforce sur le nom des polices mais je pense que le temps passé à le faire pourrait sans doute être mieux rentabilisé)
Le 14/02/2017 à 22h33
Le 14/02/2017 à 22h39
ouais enfin ajouter/retirer une police ça change 1 bit à l’empreinte, c’est pas ça qui va empêcher la comparaison.
Le 14/02/2017 à 22h41
Question conne mais essentielle selon moi, l empreinte generee, ou est elle stocke, le navigateur si j ai bien compris., donc on en reviens au principe de tor, mais qui pu du zgegue car chaque noeud peu etre un milieu…
Donc il faudrait pouvoir identifier chaque noeuds loool, on tourne en rond (^_^)v
Le 14/02/2017 à 22h44
Le 14/02/2017 à 22h48
Le 14/02/2017 à 22h48
Euh d’où ? Le principe de l’empreinte c’est d’être un hash d’un agrégat de données. Change un bit à la string initial et ton hash n’aura rien à voir….
Heureusement d’ailleurs, sinon j’aurais vraiment peur quant au paiement en ligne : si tu décales une virgules dans les paramètres tu changes tout le hash et le paiement devient invalide….
Le 14/02/2017 à 22h50
Le 14/02/2017 à 22h51
Elle est calculée sur le navigateur et renvoyée au serveur qui en fait ce qu’il veut.
L’associer à la page consultée par exemple.
Et vérifier si 1 semaine après quelqu’un revient sur la même page avec la même empreinte mais une adresse IP différente
Le 15/02/2017 à 14h11
Effectivement cela semble donner la liste complète avec Edge. Mais pas avec Chromium
Le 15/02/2017 à 14h15
Le 15/02/2017 à 14h33
Il y a aussi le détournement de technologies avec le tracking par ETAG par exemple : http://www.lucb1e.com/rp/cookielesscookies/
Bien plus simple à mettre en place..
Le 15/02/2017 à 18h19
Dans ce cas-là, c’est probablement suffisant. Mais parfois les jquery et consorts sont importés depuis le site du développeur
" />
Le 16/02/2017 à 16h55
Petite question (pas taper si je dis des conneries je ne suis pas spécialiste):
Si on utilise quelque chose comme no script on peut se protéger non?
Le 19/02/2017 à 15h04
Sinon il y a Flash qui permet de générer un identifiant unique c’est encore plus simple !. J’ai déjà remarqué que j’étais identifié en changeant de navigateur sur certains sites sauf si je vidais le cache de Flash. Le cache de Flash est commun à tous les navigateurs.
Le 14/02/2017 à 16h37
Lorsqu’on parlait des empreintes de navigateurs, certains parlaient de faire un soft qui rajoute/supprime des fausses polices aléatoirement, pour casser ce phénomène d’empreintes ( étant donné que c’est un des critères assez majeur dans le mécanisme
A votre connaissance, ça as été fait ou pas ? :)
Le 14/02/2017 à 16h38
edit: je sais pas comment j’ai put double post à 1 min d’interval, dsl ^^
Le 14/02/2017 à 16h41
Bon à savoir, mais il faudrait savoir le pourcentage de personnes qui utilisent plusieurs navigateurs pour savoir si ça a un intérêt concret. Je ne pense pas que ça dépasse 2 ou 3%.
Le 14/02/2017 à 16h41
D’où l’importance de bloquer Javascript, mais ça nécessite un apprentissage (d’autoriser seulement des sites de confiance pour des cas d’utilisation particuliers, et de se priver des sites qui ne fonctionnent pas). Mais quand même, c’est grave.
Le 14/02/2017 à 16h45
Le 14/02/2017 à 16h46
Moi^^
" /> ) ou alors facebook qui à le droit d’être séparé du reste.
Je jongle avec plein de navigateurs, suivant les comptes, le taff, les conneries, le prOn (
Sinon c’est assez flippant ce besoin de savoir ce que font les gens tout le temps.
Le 14/02/2017 à 16h48
Ca veux surtout dire que le même utilisateur qui change de domaine (toto.com, nextinpact.com) peut être pisté (pas besoin de cookie traceur) #pub (la méthode existe déjà depuis un moment mais là on a en plus le changement de navigateur)
Le 14/02/2017 à 17h03
Le 14/02/2017 à 17h05
Le 14/02/2017 à 17h09
Décidément les sites peuvent recueillir trop de donnée. Il faudrait avoir un navigateur qui supprime toutes infos à fin d’empêcher que ce genre d’information sortent.
Parce que C’est bien beau le “do nit track” mais comme la bien expliqué Nxi, peut de site le respect et comme les régies publicitaires sont autonomes sur leurs fonctionnement bref aucune confiance…
À quand un navigateur bloquant ce genre d’indiscrétion ?
Le 14/02/2017 à 17h18
A partir du moment ou on sait quelles informations le navigateur doit fournir pour fabriquer l’empreinte, tu peux bricoler ton navigateur pour qu’il fournisse de manière aléatoire ces informations.
Le 14/02/2017 à 17h18
Quand on voit la tronche des pubs qu’on se tape on se demande bien si ça sert à quelquechose. Même Amazon qui doit être au courant de 90% de ce que j’achète en ligne n’a jamais été capable de me faire une reco pertinente.
" />
C’est la plus grosse arnaque du siècle la pub ciblée non ?
Le 15/02/2017 à 08h55
Le 15/02/2017 à 09h01
On peut leurrer toutes les chaines de caractéristiques avec about:config ? Si oui ça ne répond que partiellement à la demande : là il s’agirait de renvoyer une donnée random différente à chaque requête
Le 15/02/2017 à 09h03
Le 15/02/2017 à 09h06
Le 15/02/2017 à 09h10
c est claire que google et facebook avec tout leur outil gratuit qui nous piste dure de passer outre et pas beaucoup de site en https
des lien qui teste le pistage
avec script déactivé
là il voit même si on est au toilette
teste par-feux
htlm5
acid3
Le 15/02/2017 à 09h12
Les tests acid et autres donnent un résultat en fonction de la compatibilité du navigateur avec toutes les propriétés du standard.
Si tu as un score bas parce que tu as pris le parti de ne pas respecter le standard pour des raisons de sécurité, il ne faut pas considérer le score comme mauvais mais comme représentatif du ratio respect du standard/sécurité.
Je trouve NXI plutot pas mal du coup. T’as essayé FB ou VDM pour tester? :)
Le 15/02/2017 à 09h15
Chrome pour mes mails, ffx pour le dll, un autre ffx (portables) pour le pron, afin de séparer les historiques… et edge quand les autres refusent un contenu.
Je fais de même avec des adresses mail.
Cloisonner, pour mieux contrôler.
Le 15/02/2017 à 09h17
Si tu bloque tout JS qui n’est pas issu du domaine actif, tu élimines 99% des scripts publicitaires.
Le 15/02/2017 à 09h20
Mon impression est que des gens qui changent de navigateur pour aller sur un même site marchand plusieurs fois, on en trouve aussi parmi les non-technophiles. L’information sur le pistage des utilisateurs est arrivé dans la presse consumériste, et certains en ont tenu compte
Le 15/02/2017 à 09h21
le retour du pron en ASCII?
Le 15/02/2017 à 10h37
Le 15/02/2017 à 10h47
Avant je jonglais entre Chromium et FFx, depuis peu je n’installe plus FFx. Par contre j’utilise le hosts AdzHosts qui bloque un nombre incroyable d’IPs publicitaires, à voir si c’est efficace dans ce cas.
Le 15/02/2017 à 11h08
Le 15/02/2017 à 11h15
Le 15/02/2017 à 12h15
Le 15/02/2017 à 12h21
Le 15/02/2017 à 01h43
Le 15/02/2017 à 01h47
a priori getComputedStyle(… ).getPropertyValue(“font-family” ) te renvoie la chaîne que tu as donné pour le style et pas la police réellement utilisée.
Si tu dis que la font-family est “toto;blablabla” il te renverra “toto;blablabla” et pas la police réellement utilisée donc ça ne fait pas progresser le schmilblick
Le 15/02/2017 à 01h52
Ok. Vu comme ça ça se tient mais admet que c’est tiré par les cheveux… Et que implémenter un truc qui va mettre le CPU des clients à plats pour plusieurs secondes juste pour affiner l’identification de 0.01% de tes visiteurs c’est absurde.
D’autant que si le mec gère vraiment il va savoir qu’il est tracé et va faire en sorte de pourrir (littéralement) son navigateur de données foireuses…
Tout ça pour un résultat qui est bien naze par rapport à ce que peut faire google via son omniprésence et la qualité hallucinante de leur analyse de données (nan parce que le cross media ça c’est un vrai truc de fou ! Il y a rien, aucune données identiques : ni IP, ni cookie, ni browser, ni CPU, ni OS… rien !).
Du coup, euh…. Publier un papier ça sert à quoi ?
Le 15/02/2017 à 02h03
Le 15/02/2017 à 02h09
Normalement non.
Je ne peux pas me prononcer sur le cas exact de font-family car je ne l’ai jamais fait, et j’ai carrément la flemme de mettre en place les conditions nécessaires pour un test réel. Mais en tous cas je peux garantir le bon fonctionnement sur tous les attributs de style “normaux” (height, width, padding, margin, etc….).
Normalement ça fonctionne bien, mais la gestion des polices est assez spéciale (ce n’est pas géré directement par le browser) donc je ne peux pas le garantir à 100%.
Definition and Usage
The getComputedStyle() method gets all the actual (computed) CSS property and values of the specified element.
The computed style is the style actually used in displaying the element, after “stylings” from multiple sources have been applied.
Style sources can include: internal style sheets, external style sheets, inherited styles and browser default styles.
The getComputedStyle() method returns a CSSStyleDeclaration object.
Source :https://www.w3schools.com/jsref/jsref_getcomputedstyle.asp
Le 15/02/2017 à 02h34
Après une recherche rapide il semblerait qu’effectivement la police soit uniquement gérée sous forme de string au niveau du DOM - et donc renvoie la string font family complète, à charge pour le navigateur de donner un rendu cohérent. La propriété n’est donc pas accessible au niveau du dom (et donc pas en JS)
Au temps pour moi
Le 15/02/2017 à 06h44
Pas de JS = pas de web, vu comme la plupart des sites sont conçus.
Le JS, c’est quand même la base sur internet maintenant. On n’est plus dans les années 90.
La seule solution viable serait que le navigateur soit capable de fournir des infos pour toutes les caractéristiques analysées qui varient légèrement sans dégrader l’expérience utilisateur.
Le 15/02/2017 à 06h46
ils n’ont vraiment plus rien d’autre à foutre que pister, surveiller, espionner, fliquer internet.
Qu’ils aillent bosser ça leur changera les idées
Le 15/02/2017 à 06h53
Le 15/02/2017 à 06h56
Le 15/02/2017 à 07h42
Je ne vois pas en quoi c’est choquant, on continue de découvrir qu’Internet ce sont des machines en réseau et qu’elles communiquent…
La meilleure sécurité sera toujours de débrancher son câble réseau, ou d’avoir conscience qu’on met sa machine sur un réseau d’autres machines dont les utilisateurs ne sont pas forcément aussi bienveillants que nous…
Le 15/02/2017 à 07h51
Oui.
Mais plus généralement, le problème vient du fait que tout ce fingerprinting est rendu possible par des technos de kékés, inutiles et donc indispensables, dont la suppression / désactivation entraîne des scores dégradés sur par exemple les tests acid3.acidtests.org ou html5test.com. Il n’y a qu’à comparer les scores de Firefox nu vs Tor Browser sur ces tests pour se faire une idée.
Et mine de rien, quand on désactive ce genre de techno on a volontier une expérience utilisateur dégradée ici où là. Voici par exemple à quoi ressemble nextinpact dans Tor Browser en sécurité élevée (avec JS activé quand même, sinon c’est juste inutilisable):http://hpics.li/40da4f1
Le 15/02/2017 à 08h07
Le 15/02/2017 à 08h33
Pas professionnel du tout. Sinon tu aurai abandonné le web pour les pizzinis. Mais même comme cela on finit par te choper.
Le 15/02/2017 à 08h35
Pourquoi est-ce que les navigateurs donnent ce genre d’infos à la base? Qu’est-ce qu’ils ont à donner les références des composants?
Le 15/02/2017 à 08h53
Une autre technique pour “casser” ce pistage est un script qui fait tourner toutes sortes de sites sans rapport les uns avec les autres. La traçabilité perdant alors toute sa valeur puisque sur des informations fausses.
Parce que là si j’ai bien compris même le VPS ne sert plus à grand chose.
Mais bon de toute façon je me doute depuis au moins 15 ans que le rêve des dirigeants à terme est d’obliger les internautes à s’identifier pour se connecter, via un CB ou une carte d’ID numérique, pour être sur de bien vous faire tous taire ;)