Depuis quelques années, une guerre de tranchées invisible fait rage sur le web entre les éditeurs de sites et les fournisseurs de bloqueurs de pub. Les premiers tentent sans cesse de nouveaux stratagèmes pour éviter la détection des seconds qui, quant à eux, cherchent évidemment à neutraliser ces stratagèmes. Un jeu du chat et de la souris que cinq chercheurs en informatique viennent de détailler dans une analyse qui sera présentée en février prochain lors de la conférence Network and Distributed Security Symposium (NDSS).
Leur travail se focalise tout particulièrement sur l’usage par les sites web des scripts anti-bloqueurs de pub. Sur le principe, un bloqueur de pub repose sur des règles de filtrage qui vont soit bloquer les requêtes vers des fournisseurs d’encarts de pubs, soit faire disparaître visuellement la réclame gênante. Les anti-bloqueurs de pub, de leur côté, vont essayer de détecter la présence d’un bloqueur de pub en vérifiant que les pubs se chargent bien.
Google, plus grand fournisseur d’anti-bloqueurs de pub
Quand un vilain bloqueur est détecté, tout dépend de la stratégie du site : certains cachent le contenu rédactionnel et affichent un message d’alerte incitant l’internaute à désactiver le bloqueur de pub, d’autres vont remplacer à la volée la pub classique par des images autopromotionnelles, d’autres encore se contentent de collecter des statistiques. Le marché des anti-bloqueurs de pub est concentré sur une dizaine de fournisseurs. En tête, on trouve Google, PageFair, Taboola et Chartbeat.
Combien de sites utilisent ces anti-bloqueurs de pub ? Pour le savoir, les chercheurs ont mis en œuvre une technique dite « d’analyse différentielle de l’exécution des pages ». Cela consiste à comparer les fils d’exécution des pages avec et sans bloqueur de pub. S’il y a une différence entre les deux, c’est qu’il y a un système de détection sous-jacent.
En appliquant cette technique sur les 10.000 plus gros sites de la Toile, les chercheurs ont découvert avec surprise que les anti-bloqueurs sont présents sur 30,5 % d’entre eux. Le taux d’usage monte à 33,5 % pour les 5000 plus gros sites, voire 38,2 % pour les 1000 plus gros sites. Une étude précédente datant de mai 2016 n’avait détecté qu’un taux d’usage de 6,7 % sur les 5000 premiers sites. Soit cette analyse était inefficace, soit les éditeurs de sites ont sacrément mis les bouchées doubles pour lutter contre les bloqueurs de pub.
Lutter contre les anti-bloqueurs de pub n’est pas si facile. Jusqu’à présent, les bloqueurs de pub utilisaient des règles de filtrages URL, mais qui se révèlent compliquées à maintenir. Les chercheurs proposent deux nouvelles techniques qui s’appuient sur l’analyse différentielle précédemment évoquée.
La première est une réécriture à la volée du code Javascript de l’anti-bloqueur de pub pour faire en sorte que celui-ci pense qu’il n’y a pas de bloqueur de pub. Malheureusement, cette technique peut dans certains cas casser l’exécution de la page. Par ailleurs, elle nécessite l’utilisation d’un proxy d’interception pour modifier le code Javascript, ce qui n’est pas génial. Néanmoins, elle est assez efficace, vu que le taux d’évasion constaté est de 82 %.
La seconde technique est le « API Hooking ». L’idée est d’intercepter au niveau d’une extension de navigateur les requêtes API de l’anti-bloqueur, puis de faire en sorte que celui-ci pense que les pubs sont bien chargées (alors qu’en réalité elles ne le sont pas). Selon les chercheurs, cette seconde technique serait encore plus efficace. On est déjà impatient de connaître la parade du côté des éditeurs de site.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
