En théorie, quand vous regardez une vidéo sur YouTube, personne ne peut savoir de quel contenu il s’agit. Tous les échanges avec le site sont chiffrés en TLS. Même l’URL demandée n’est pas visible. Donc vous êtes parfaitement à l’abri d’éventuels fouineurs, tel que votre fournisseur d’accès ou les forces de l’ordre, n’est-ce pas?
Faux ! A l’occasion de la conférence de sécurité Black Hat Europe 2016, le chercheur en sécurité Ran Dubin a montré qu’il n’est pas nécessaire de déchiffrer le flux YouTube d’une personne pour savoir quelle vidéo elle regarde. Il suffit d’analyser son trafic et d’avoir un bon algorithme d’apprentissage automatique.
En observant le trafic entre YouTube et un navigateur Chrome, Ran Dubin et ses collègues ont en effet remarqué que certaines caractéristiques du trafic restent plus ou moins identiques, quelque soit le réseau emprunté et la qualité de vidéo demandée. C’est notamment le cas du « bit per peak » (BPP), qui représente le débit atteint à chaque pic de transfert de données. Lorsqu’on télécharge une vidéo, on peut observer toute une succession de pics dont l’allure générale ne va pas profondément changer. « En téléchargeant plusieurs fois la même vidéo, le BPP permet d’obtenir assez rapidement une empreinte de ce contenu que l’on pourra ensuite comparer avec les téléchargements d’autres personnes », explique Ran Dubin.
Pour le prouver, Ran Dubin et ses collègues se sont dotés d’un algorithme d’apprentissage automatique (en occurrence celui des « plus proches voisins ») et d’un set de données : trente vidéos qui ont été téléchargées une centaine de fois chacune. Après une période d’apprentissage supervisé, le résultat est sans appel: chaque nouveau téléchargement est reconnu avec une probabilité de 98 %. Donc presque à coup sûr. « Les connexions HTTPS ne permettent pas de protéger vos habitudes de consommation », conclut Ran Dubin qui précise que cette recherche peut être répliquée sans problème avec n’importe quel autre navigateur. Bref, si vous ne souhaitez pas que l’on sache ce que vous regardez sur YouTube, allez streamer les vidéos ailleurs que chez vous.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
