Avec App Tracking Protection, DuckDuckGo veut bloquer les trackers dans toutes les applications Android

Krystanos a dit:

Ils ont une version pro, ça aide. Je découvre le sujet, et par contre, en regardant l’état sur F-Droid, je suis un peu sidéré par la mentalité de Blokada, et ça me refroidit bien : https://gitlab.com/fdroid/fdroiddata/-/merge_requests/8536

Et toi, t’es cool comment avec ton app ? :)

Cool, je ne sais pas, c’est un peu subjectif!
En attendant, je peux te dire ce que je fais :

• Le site ne contient pas de tracker (de mémoire, je suis allé vérifier le code vite fait je n’ai rien vu. encore une fois, tout est sur GitHub)


• Pas d’identification des utilisateurs


• Pour la télémétrie, sujet très sensible que j’ai essayé de traiter au mieux à travers deux builds :
  
  
  
  
  • Celle que je distribue sur GitHub, le site officiel et XDA qui ne contient aucune télémétrie,
  
  
  • Celle distribuée par F-Droid qui intègre Sentry (choisi parmi d’autres services pour ses pratiques, Mozilla l’utilise pour ses produits et son étude m’a convaincu) en opt-in (donc désactivé par défaut et il faut aussi activer une autre option pour autoriser l’envoi de tous les logs).
  
  


• Pour le record DNS, je dois avoir la même chose. Ce code est pompé d’un ad-blocker à l’autre sans trop se poser les questions que ça implique si tu veux mon avis (j’ai moi-même repris le code de DNS66 avec l’accord de son auteur et citant son projet dans mes licences, lui-même ayant repris le concept d’AdBuster. / le code en question ici)


• Pas de user-agent custom pour identifier mes utilisateurs. Par contre, le code qui sert à vérifier les mises à jour envoie la version d’android et celle de l’application. Ce code est désactivable dans les options mais l’utilisateur ne sera plus notifié d’une nouvelle mise à jour.


• Concernant le fait de pinger le serveur de AdAway, comme je viens de le dire c’est désactivable dans les options (opt-out donc).


• Et pour finir, concernant les block lists, c’est justement le but de AdAway : récupérer et fusionner les block lists de l’utilisateur. Donc tu peux choisir n’importe quelle URL (https only, j’ai pris un torrent de caca à bloquer les lists en http only…) ou n’importe quel file provider sur android (stokage interne, Google Drive, etc…). AdAway fourmit par défaut sa propre block list qui me semble être reprise dans bien d’autres projets comme blockada et pi-hole par exemple.

Ce genre d’appli est toujours touchy. On donne quand même un accès ultra-privilégié à des données ultra sensibles. Si le ver s’installe dans la pomme (coucou les transferts et rachats), y’a moyen de perdre (donner) gros !

AdAway a deux modes :

• le mode root qui installe un /etc/hosts donc qui ne voit pas du tout le trafic des applications,


• le mode VPN (non root) qui utilise l’API VPN pour capturer le trafic DNS uniquement. En fonction des requêtes, je les transfère sur la connexion ou, répond à la place des resolvers (avec une nouvelle IP dans le cas d’une redirection utilisateur ou simplement répond que ce n’est pas trouvé dans le cas d’un domaine bloqué). Ca limite pas mal ce que peut voir l’application.

Encore une fois, tout est open source et vraiment ouvert. S’il y a des curieux si comment ça marche et ce que ça implique que de gérer un ad blocker, n’hésitez pas à me pinger (même de la part de la rédaction)

Concernant blokada, je ne serai pas étonné que tout ne soit pas si blanc que ça. Faudrait que je me penche sérieusement sur leur licence et CGU mais pas sûr que ça réponde à toutes mes interrogations…

La beta du VPN de DuckDuckGo semble capturer tout le traffic. Je suis toujours en train de regarder leur code source…

Gorom a dit:

Pareil et même expérience globale. Par rapport à d’autres exemples cités ici comme AdAway, j’aime bien le détail que ça apporte sur les blocages qui ont été opérés pour une application précise.

Je suis d’accord qu’ils donnent plus de détails dessus. Je reste beaucoup plus limité avec AdAway par choix, principalement pour être plus léger en terme de CPU/batterie. Tu peux logger toutes les requêtes DNS quand même, mais c’est uniquement dans le but de t’aider à construire ta propre block list.

Quand je m’inquiète de savoir ce que visite une application, j’utilise principalement le site d’Exodus Privacy plutôt que de l’installer et d’aller voir les logs après :)