Parmi les nouvelles fonctionnalités du nouveau système d’exploitation macOS Mojave, celles relatives à la protection anti-tracking ont fait mouche, y compris chez les experts en sécurité informatique. Lors de la keynote d’hier soir, 4 juin, Craig Federighi, vice-président ingénierie logicielle chez Apple, n’y est pas allé par quatre chemins. En montrant une page web dans Safari, il pointe du doigt les mouchards publicitaires et de ciblage comportemental. « Nous tous les avons déjà vu, ces boutons ‘like’, et ces boutons ‘partager’ et ces zones de commentaires. Et bien, il s’avère que qu’ils peuvent être utilisés pour vous tracer, que vous cliquiez dessus ou non. C’est pourquoi cette année, nous allons y mettre fin », explique le dirigeant.
Cette fonctionnalité plutôt radicale s’appuie sur une technologie assez sophistique, baptisée Intelligent Tracking Prevention (ITP). Elle a été introduite l’année dernière et vient maintenant d’être renforcée. Son but est de supprimer automatiquement les cookies déposés par les publicitaires et autres aspirateurs de données, et de ne préserver que ceux provenant de sites que l’utilisateur fréquente vraiment. Mais dans le monde mouvant du web, comment séparer le bon grain de l’ivraie ?
A la base de ce système figure un algorithme d’apprentissage automatique qu’Apple utilise pour détecter les domaines qui ont la capacité de suivre l’internaute au travers de ses pérégrinations. Pour autant, cela ne veut pas dire que ces domaines seront automatiquement bloqués. Tout dépend du contexte et du niveau d’interaction que l’internaute entretient avec le domaine en question.
Par défaut, les cookies déposés par un domaine tiers – c’est-à-dire autre que celui de la page que l’on visite – sont stockés de manière isolée (« partitionnée » dit Apple) et systématiquement effacés après la visite. Ainsi, le domaine tiers ne pourra plus corréler entre eux les différents sites visités par l’internaute. Ce qui tord le cou aux agissements des sociétés purement publicitaires. Comme ils ne proposent pas de réel service en ligne, ils ne sont jamais fréquentés directement par les internautes. Leurs cookies n’auront plus de persistance.
A défaut d’interaction, les cookies seront effacés
La question se pose pour les domaines hybrides, qui proposent de vrais services en ligne et qui font aussi du tracking sur les autres sites. Les cookies primaires, qui sont déposés lorsqu’on visite directement leurs sites, ont par défaut une durée de vie de 30 jours. Toutefois, ils sont stockés de manière isolée. L’accès futur à ce fichier sera donc limité et conditionné au consentement de l’utilisateur.
Prenons un exemple. Patrick se rend sur facebook.com. Un cookie primaire est alors déposé sur son ordinateur. Le jour suivant, il se rend sur un site d’information qui intègre les boutons « J’aime » de Facebook. Ce bouton va tenter d’accéder au cookie primaire pour savoir de quel utilisateur il s’agit. Dans ce cas, le système ITP va afficher une alerte et demander explicitement à Patrick le consentement de ce recueil d’information. Evidemment, en cas de refus, le bouton ne pourra pas être utilisé. Et quoiqu’il arrive, si Patrick n’est pas retourné sur facebook.com au bout de 30 jours et s’il n’a donné aucun consentement sur un autre site, tous les cookies de Facebook seront automatiquement effacés. Le scénario est identique avec d’autres types de codes intégrés comme les vidéos YouTube ou les boutons de partage Twitter ou LinkedIn.
Une autre fonction anti-tracking qu’Apple a intégré dans Safari est la protection contre le « fingerprinting ». C’est une technique qui permet aux publicitaires de faire du ciblage comportemental sans recourir aux cookies. L’idée est de créer pour chaque internaute une empreinte unique en s’appuyant sur la configuration matérielle et logicielle de son ordinateur : le système d’exploitation sous-jacent, le paramétrage graphique, la version de navigateur, les plugins installés, les polices de caractères utilisées, etc. Ces informations peuvent en effet être récupérées au travers d’un simple Javascript. Plus elles sont nombreuses, meilleure sera l’empreinte. C’est pourquoi l’idée d’Apple est de limiter autant que possible la diffusion de ces caractéristiques techniques. Ainsi, Safari ne présentera aux pages web qu’une « configuration simplifiée du système » et « des polices préinstallées ». Par ailleurs, « les plugins obsolètes ne seront plus supportés et ne pourront donc plus contribuer à l’élaboration d’une empreinte », souligne Craig Federighi.
Tous ces efforts sont très louables. Il reste à savoir s’ils seront vraiment efficaces. Les études des dernières années ont montré que les experts du fingerprinting ont une imagination débordante quand il s’agit d’extirper des données techniques d’un ordinateur. Les mesures proposées par Apple pourraient donc se révéler trop simplistes à la longue.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
