Internet Explorer 9 et les mécanismes de protection de la vie privée

  • [アーティクル]

L’objectif de cet article est de présenter :

  • Les problématiques de tracking et atteintes à la vie privée lors de la navigation Web
  • les solutions proposées par Microsoft dans Internet Explorer 9
  • Une plongée au coeur du mécanisme Tracking Protection et Tracking Protection List
  • Les approches techniques prises par la Fondation Mozilla et Google sur ces sujets pour leurs navigateurs

—————————————————

Le respect de la vie privée sur Internet est un sujet d’actualité vraiment très large et touchant de nombreux aspects, quelques exemples non exhaustifs :

Informations complémentaires : https://fr.wikipedia.org/wiki/Vie_priv%C3%A9e_et_informatique

Le respect de la vie privée concerne tout le monde même si ce sujet n’est pas perçu ou traité de la même façon selon les pays ou les cultures. Les sensibilités et attentes diffèrent donc entre la France, les Etats Unis, l’Allemagne, le Japon… Il est donc assez difficile d’avoir une approche contentant tout le monde.

En avril 2010, Microsoft a fait réaliser à TNS Sofres une enquête baptisée la vie privée des français (enquête réalisée auprès d’un échantillon national de 1200 personnes).

L’étude est téléchargeable à l’adresse suivante : https://www.rslnmag.fr/Content/Files/fc/file/Barometre_enjeux_numeriques.pdf

Parmi les résultats obtenus, il est à noter que 61% des personnes interrogées étaient inquiètes de l’utilisation des données personnelles par des sociétés commerciales.

40% des personnes interrogées trouvaient difficiles de maitriser les traces laissées lors de la navigation sur le Web

Et 58% des sondés estimait que le mode de navigation privée (disponible sur la majorité des navigateurs Web récents) est utile et une réponse potentielle au problème.

La navigation sur Internet est désormais clairement un point sur lequel il faut mettre en oeuvre des chantiers permettant d’assurer à l’utilisateur un minimum de respect de sa vie privée. Aujourd’hui, trop peu d’utilisateurs ont la connaissance ou le contrôle de ceux qui surveillent (track) leur activité en ligne. Si on fait un état du marché de la publicité sur le Web, des acteurs concernés et des enjeux financiers en jeu, on comprend parfaitement pourquoi beaucoup de sociétés surveillent votre activité en ligne :-) 

Sur les 6 premiers mois de l'année 2010, les revenus publicitaires en ligne aux USA ont atteint 12,1 milliards de dollars, en hausse de 11% en base annuelle selon l'Interactive Advertising Bureau (IAB) et PricewaterhouseCoopers (cf. https://www.journaldunet.com/ebusiness/breve/48919/etats-unis---la-publicite-en-ligne-connait-un-semestre-record.shtml)

Voici une représentation visuelle du paysage de la publicité en ligne (source : LUMA Partners LCC 2010). Oui je suis d’accord c’est impressionnant :-) 

Cliquer pour agrandir

Comment les sociétés / sites Web peuvent tracker la navigation des utilisateurs ? Les différentes formes de tracking

Naviguer sur Internet consiste fondamentalement à échanger de l'information. Votre navigateur Web "offre" de l'information afin d'obtenir d'autres informations. Cette information "offerte" est envoyée automatiquement pour vous faciliter la vie (par exemple votre langue de lecture préférée cf. la RFC2616 https://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html#sec14.4, vos identifiants) en adaptant le contenu reçu.

Les informations communiquées sont multiples :

  • Cookies
  • User agent
  • Système d’exploitation
  • Plug in installés
  • Résolution d’écran
  • Fuseau horaire
  • Adresse IP (et donc potentiellement geo targeting cf. https://en.wikipedia.org/wiki/Geo_targeting)
  • Type de Processeur
  • Page précédente visitée
  • …

Exemples de sites montrant les informations communiquées par le navigateur :

Au delà du navigateur, ce sont parfois les plug-ins qui envoient de l’information. Par exemple les “Flash cookies” (cf. https://en.wikipedia.org/wiki/Local_Shared_Object)

Informations complémentaires :

Pour complexifier un peu le tout, il faut savoir que le contenu affiché dans une page Web provient rarement d’une seule source et aujourd’hui la plupart des pages Web contiennent du contenu provenant de sites tiers. Certe l’utilisateur ne voit qu’une seule URL dans sa barre d’adresse, mais en fait de nombreux éléments de la page ne proviennent pas du nom de domaine visible. Du coup, comme je l’ai précisé précédemment, le navigateur fourni aussi à ces sites tiers de l’information (qui va donc pouvoir servir à tracer l’utilisateur, lui proposer du contenu ciblé…).

Le développement du Web 2.0 et l’utilisation massive de mash-ups (cf. https://fr.wikipedia.org/wiki/Application_composite) ne fait que renforcer le phénomène.

Si vous souhaitez savoir pour une page données quels sont les différents sites web appelés, vous pouvez utiliser dans Internet Explorer le Privacy Report (disponible depuis IE6). Dans IE 9 :

Ici j’ai testé sur la page www.msn.fr

On constate dans cet exemple la présence de Cookies de Weborama.fr, de Tradedoubler.com mais aussi des scripts ou des images de noms de domaine hors MSN.

Les images sont un grand classique pour tracer la navigation d’un utilisateur : il suffit d’insérer une image d’un pixel par un pixel ou une image transparente provenant d’un domaine Y dans une page d’un domaine Z (technique appelée Web Bug. cf. https://w2.eff.org/Privacy/Marketing/web_bug.html ou Web Beacon cf. https://en.wikipedia.org/wiki/Web_beacon).

Donc focaliser le problème des traces aux cookies uniquement n’est qu’une approche partielle au problème (approche pourtant retenue par certains éditeurs de navigateurs Web, cf. à la fin de ce billet).

Informations complémentaires :

 

Et si le respect de la vie privée en ligne devenait une préoccupation des institutions publiques et gouvernementales ?

Le 1er décembre 2010, aux Etats Unis, la Federal Trade Commission a publié un rapport majeur concernant le respect de la vie privée des consommateurs sur Internet.

Le rapport est lisible ici : https://www.ftc.gov/os/2010/12/101201privacyreport.pdf

Dans ce rapport, la FTC indique qu’elle souhaite que soit instauré la possibilité pour les internautes de s'affranchir de la surveillance des annonceurs sur Internet. Même si la FTC indique que de nombreuses sociétés dans la publicité en ligne ont fait des progrès en termes déotonlogiques concernant le respect de la vie privée et donnent désormais la possibilité de refuser de la publicité ciblée, il reste encore nombreux efforts à faire. L’objectif de la FTC est notament de clarifier et simplifier le processus permettant à un utilisateur (consommateur) de ne plus être suivi.

The FTC report looks at recommendations in areas like Do Not Track, and others in the industry have discussed potential Do Not Follow solutions. The report asked a series of questions, including:

  • How can such a mechanism be designed to be clear, easy-to-find, usable, and understandable to consumers?
  • How can such a mechanism be designed so that it is clear to consumers what they are choosing and what the limitations of the choice are?
  • What are the potential costs and benefits of offering a standardized uniform choice mechanism to control online behavioral advertising?
  • What is the likely impact if large numbers of consumers elect to opt out? How would it affect online publishers and advertisers, and how would it affect consumers?
  • In addition to providing the option to opt out of receiving ads completely, should a universal choice mechanism for online behavioral advertising include an option that allows consumers more granular control over the types of advertising they want to receive and the type of data they are willing to have collected about them?

Informations complémentaires :

Les principaux fournisseurs de navigateurs (Microsoft, la Fondation Mozilla et Google) ont tous déclaré soutenir la FTC dans ce projet. Ainsi chaque éditeur propose son approche technique de la solution (cf. en bas de ce billet pour les solutions Mozilla et Google). Microsoft de son côté s’est engagé au côté de la FTC depuis un certain temps sur le sujet du respect de la vie privée.

 

Les mécanismes présents dans Internet Explorer 9 pour préserver (un peu de) vie privée:

– Le Filtre Smartscreen : qui permet de limiter les risques de vol d’informations sur des sites de Phishing

– La navigation en mode privé : pour ne pas conserver de traces à postériori de sa navigation sur le poste de travail. fonction accessible via la Ctrl+Shift+P ou en cliquant dans la page des sites les plus populaires.

– Le Tracking Protection + Les Tracking Protection Lists

C’est une des grosses nouveautés qui arrivent dans la Release Candidate d’Internet Explorer 9. La fonctionnatité Tracking Protection a été présentée le 7 décembre 2010 suite au rapport de la FTC.

  • Tracking Protection est un mécanisme d’IE 9 permettant d’identifier et de bloquer les différentes formes de tracking non désiré (présentées plus haut dans cet article)
  • Les Tracking Protection Lists (TPL)  permettent aux utilisateurs de contrôler quels sites tiers peuvent ou pas les suivre (tracker) en ligne

Important : par défaut, le Tracking Protection d’IE 9 n’est pas activé, c’est à l’utilisateur de l’activer en choisissant des TPL. L’utilisateur choisit donc son paramétrage personnalisé concernant son suivi lors de la navigation sur le Web.

IE9 permet aux utilisateurs d’utiliser des Tracking Protection List (TPL) proposées par des organisations auxquels ils font confiance. Ces listes peuvent bloquer ou autoriser des contenus provenant de tiers de manière à contrôler quelles informations l’utilisateur partage avec les sites lors de la navigation.

A quoi ressemble une TPL ?

Une Tracking Protection List est un fichier texte spécialement formaté qui va contenir plusieurs éléments, chacun sur leur propre ligne :

msFilterList ==>  entête du fichier
#  ==>  ligne de commentaire
: propriété ==> actuellement la seule propriété définie est la date d’expiration exprimée en nombre de jours de la liste. Après expiration, la liste est rafraichie depuis la liste disponible sur le serveur du fournisseur de la liste. Valeur Max : 30, valeur par défaut si non spécifiée : 7
– chaine, expression régulière ou nom de domaine ==> règle de blocage
+ nom de domaine ==> règle d’autorisation

Un fichier TPL nécessite au moins un block valide ou une règle d’autorisation

Exemple de fichier TPL :

Important : ici le but n’est pas d’avoir un bloqueur de publicité mais plutôt de bloquer ou autoriser le tracking. Ce sont ces informations de tracking qui sont utilisées (notamment pour personnaliser les publicités que vous recevez).

Une vidéo d’un chef produit IE concernant Tracking Protection dans IE9 : https://technet.microsoft.com/en-us/edge/Video/gg604899

Les mécanismes d’IE 9 garantissent à l’utilisateur de ne pas être suivi et ce même par les sites ne respectant pas les préférences de l’utilisateur (c’est le navigateur qui va bloquer les sites en fonction de la (les) liste(s) et aucune pré-requis n’est nécessaire sur les serveurs Web visités). La capacité pour un site de vérifier si l’utilisateur a exprimé le souhait de ne pas être suivi (via l’activation de la fonctionnalité) est inhérente au design de la fonctionnalité Tracking Protection.

Les premiers fournisseurs de Tracking Protection List

Microsoft travaille en collaboration avec plusieurs organisations qui gèrent et proposent des Tracking Protection Lists pour les utilisateurs. Voici les premiers qui proposent des TPL utilisables à partir de la Release Candidate d’Internet Explorer 9.

https://www.abine.com/tpl/ https://easylist.adblockplus.org/en/ https://www.privacychoice.org/trackerblock/ie9 https://tracking-protection.truste.com/

Bien entendu, le nombre d’organisations et de Tracking Protection List va augmenter dans les prochains mois avec le développement de la part de marché d’Internet Explorer 9 et sa disponibilité en version finale.

A suivre l’évolution du nombre de partenaires qui vont fournir des TPL sur https://ie.microsoft.com/testdrive/Browser/TrackingProtectionLists/

Comment installer une TPL dans IE9 ?

Les sites qui proposent (ou vont proposer) des TPL sont encouragés à rendre très visuel le lien permettant d’activer une Tracking List Protection (TPL). Par exemple avec la TPL de TRUSTe :

Pour l’utilisateur, rien de plus simple : il lui suffit de cliquer sur le bouton / lien.

Puis de cliquer sur Add List et c’est tout.

Comment désinstaller ou désactiver une TPL dans IE9 ?

Il suffit dans la gestion des Tracking Protection List

Ensuite il suffit de sélectionner la TPL à supprimer / désactiver et cliquer sur le bouton Remove / Disable

L’utilisateur peut-il gérer une TPL personnalisée ?

Oui, il lui suffit d’aller dans les paramètres Tracking Protection et sélectionner Your Personalized List puis de cliquer sur Setting (et Enable pour l’activer)

Est-il possible de créer son propre fichier TPL ?

Oui, il suffit de bien respecter le format du fichier TPL :

msFilterList
: Expires = 5
# blocked strings
- &keyword=
# domain rules
-d blockDomain
+d allowDomain.com home

Tous les détails sur le formatage de ce type de fichier à l’adresse suivante :

msAddTrackingProtectionList Method : https://msdn.microsoft.com/en-us/library/gg593069(d=lightweight,l=en-us,v=VS.85).aspx

Est-il possible de proposer son propre fichier TPL ?

Oui, il est cependant conseillé de faire un bouton visuel d’installation pour l’utilisateur sur votre page Web. Ce bouton est associé à un script d’installation de la Tracking Protection List :

function installTrackingProtectionList()
{
var myList = 'https://example.com/tracklist.tpl';
var myTitle = 'Example Tracking Protection List';
external.msAddTrackingProtectionList(myList, myTitle);
}
<button onclick="installTrackingProtectionList();">Install List</button>

Ouverture et Standards

En décembre 2010, Microsoft a rendu le format disponible sous Creative Commons Attribution license ainsi que sous Microsoft Open Specification Promise les TPLs disponibles peuvent donc être utilisées par d’autres navigateurs et ne sont pas limitées à IE 9 (sous réserve bien entendu que les éditeurs des navigateurs tiers implémentent un mécanisme de type Do Not Track et parsent ces fichiers)

Depuis, le W3C (qui est le Consortium définissant les standards du Web) a contacté Microsoft pour définir comment ce format pourrait devenir un format standard du W3C.

En décembre 2010, le Chairman de la Federal Trade Commission, Joh Leibowitz, déclarait :

 “Microsoft deserves enormous credit for taking a critical step toward providing consumers with more choice about who can track their online browsing. Just as important, this announcement proves that technology is available to let consumers control tracking.”

En Janvier 2011, c’est au tour de la European Privacy Association (EPA – https://www.europeanprivacyassociation.eu) de reconnaitre la bonne approche prise par Microsoft :

“EPA welcomes the new Microsoft browser Internet Explorer 9, equipped with a new Tracking Protection functionality which allows users to block their browser from downloading third party content used to track users’ online behavior. The importance of this functionality is based on the fact that users are often not aware that they can be tracked across the web by third parties through content on web pages. This new feature developed by Microsoft allows users, or any consumer protection agencies or other interested parties, to create Tracking Protection Lists, including websites and applications tracking their online behavior” (source : https://www.europeanprivacyassociation.eu/2009/agenda_news.asp?funzione=scheda&id=36)

Bref on est sur la bonne voie :-)

Informations complémentaires :

Et les autres navigateurs Web ? quels mécanismes ?

– Mozilla Firefox

Suite à l’annonce de Tracking Protection dans IE9 en décembre 2010, la fondation Mozilla a également présentée sa solution de Do Not Track (DNT)  en janvier 2011 et l’a implémenté dans ses nightly builds puis dans ses versions beta de Firefox 4 en février 2011.

Important : Si l’objectif final reste le même (protéger la vie privée de l’utilisateur), le fonctionnement du mécanisme proposé par la fondation Mozilla est radicalement différent de celui de Microsoft dans IE9 car il s’appuie sur l’utilisation d’entête HTTP et nécessite que les serveurs Web l’activent. Donc tant que les sites Web et les sociétés de la publicité en ligne ne reconnaîtront pas le dispositif, il ne sera pas efficace.

“The challenge with adding this to the header is that it requires both browsers and sites to implement it to be fully effective. Mozilla recognizes the chicken and egg problem and we are taking the step of proposing that this feature be considered for upcoming releases of Firefox.” Source : https://firstpersoncookie.wordpress.com/2011/01/23/more-choice-and-control-over-online-tracking/

Informations complémentaires :

– Google Chrome

Le 24 janvier 2011, Google a annoncé, via son Blog Google Public Politic (https://googlepublicpolicy.blogspot.com) la sortie pour Chrome d’une extension baptisée Keep My Opt-Outs destinée mieux protéger l’utilisateur et sa vie privée. Là encore, si l’objectif semble assez proche de celui de Microsoft avec la fonction Tracking Protection, l’implémentation technique est bien plus restreinte puisque limitée uniquement à la gestion des cookies de certaines régies publicitaires (cf. image) et non pas à l’ensemble des cookies ou autres techniques de tracking (cf. plus haut dans cet article)

Quelques exemples de limitations (Source : https://chrome.google.com/webstore/detail/hhnjdplhmcnkiecampfdgfjilccfpfoe)

“Why not just block third-party cookies?
Chrome already offers the ability to block third-party cookies (https://www.google.com/support/chrome/bin/answer.py?hl=en\&answer=95647). But it’s important for users to understand that data collection and personalization of ads can also be done directly by the websites you visit — regardless of your cookie settings

Can I make individual selections of which cookies to allow and which cookies to opt-out of?
Not in the current version, though we plan to offer granular controls soon.

Is this available for all international vendors?
The current version is focused on cookies from U.S.-based online ad companies. We plan to include cookie opt-outs from European and other international companies soon”
 

Informations complémentaires :

– Stanislas Quastana – blogs.technet.com/stanislas

Tags: Internet+Explorer+9, Mozilla+Firefox, Firefox+4, Google+Chrome, Chrome, Keep+My+Opt-Outs, Tracking+Protection+List, Tracking+Protection, Do+Not+Track, DNT, cookies, respect+de+la+vie+privée, FTC, European+Privacy+Association, Federal+Trade+Commission, Creative+Commons+Attribution+license, W3C, Microsoft+Open+Specification+Promise, TPL, Tracking+Protection+Lists, Adblock, msFilterList, Smartscreen, Web+Beacon, Web+Bug, Tracking