Puis-je y faire confiance ? TechTok#5

Nous poursuivons notre série TechTok, où nous répondons à vos questions sur le blocage des publicités, les VPN et la technologie en général. Dans les quatre articles précédents, nous avons répondu à un nombre de questions sur le blocage des publicités, le VPN et le DNS. Aujourd'hui, nous allons nous concentrer sur un sujet peut-être un peu plus éphémère et moins concret, mais néanmoins très important : les questions de confiance. Qu'entendons-nous par là ? Nous interagissons avec le web par le biais d'innombrables applications, programmes et extensions de navigateur. Nous utilisons des services de messagerie pour envoyer des textos privés et des navigateurs pour surfer sur le web, nous saisissons nos informations financières pour effectuer des achats dans de nombreuses applications. Comment pouvons-nous être sûrs qu'elles sont toutes fiables ?

L'outil le plus important de votre arsenal numérique est sans doute votre navigateur, car il sert de passerelle pour la plupart de vos interactions en ligne. Vous devez être sûr de pouvoir lui faire confiance, ou au moins connaître les dangers potentiels pour votre vie privée avant de lui confier vos informations personnelles. Cette question émane d'une personne qui s'est présentée comme AdGuard lover, et il n'y a absolument aucun népotisme dans notre choix de question 👀:

Le navigateur Chrome n'a pas de traqueurs, alors comment font-ils pour suivre les utilisateurs ? Et les gens disent que Firefox est privé mais il a 4 traqueurs, trouvés même dans Firefox. Comment cela se fait-il ?

Avant de répondre à cette question, il convient de préciser que les chiffres qui y figurent sont quelque peu trompeurs. Nous ne pouvons que supposer qu'ils proviennent d'un service similaire à Exodus qui analyse les applications Android à la recherche de traqueurs. En effet, Exodus affiche 0 tracker pour Chrome Mobile et 3 scripts de tracking pour la version Android de Firefox. Cependant, ces chiffres ne doivent pas être pris pour argent comptant. Tout d'abord, ils ne reflètent que les applications mobiles, mais ce n'est pas la raison principale pour laquelle ils ne sont pas représentatifs de la situation réelle. Exodus prend en compte les scripts tiers uniquement, ce que Chrome Mobile n'a effectivement pas (ou, du moins, n'a pas de scripts connus d'Exodus). Au lieu de cela, Chrome s'appuie sur ses propres mécanismes de suivi. Il collecte directement les données des utilisateurs et les envoie aux serveurs de Google, contournant ainsi les algorithmes de détection d'Exodus. Dans quelle mesure Chrome, Firefox et les autres navigateurs vous pistent-ils exactement, et lesquels méritent le plus votre confiance ?

Les cookies tiers

Commençons par parler des cookies tiers. Bien qu'ils soient en voie de disparition et peu à peu on les remplace par d'autres méthodes de suivi, ils sont encore d'actualité aujourd'hui. Notamment grâce à Chrome, qui a fait marche arrière sur ses projets de suppression des cookies et qui les maintient par défaut. Edge, qui suit souvent l'exemple de Chrome en matière de protection de la vie privée, fait de même. Pratiquement tous les autres navigateurs, y compris Firefox, Safari et Brave, bloquent les cookies tiers par défaut.

Suivi de première partie

Passons maintenant au suivi de première partie intégré dans les navigateurs. Chrome est une fois de plus à la tête du peloton : Privacy Sandbox, son initiative phare visant à remplacer les cookies, peut sembler respectueuse de la vie privée sur le papier, mais ne l'est pas du tout dans la réalité. Lorsque l'on examine de plus près des technologies telles que Topics API et Protected Audience API, qui font partie intégrante de Privacy Sandbox, il devient évident qu'elles sont truffées de défauts et qu'elles ne présentent que peu d'avantages pour l'utilisateur. La solution de Microsoft Edge en matière de cookies, Ad Selection API, est étrangement similaire à Privacy Sandbox, et elle est préoccupante en soi. Les deux navigateurs rendent difficile, voire impossible, la désactivation complète de tout suivi, ce qui en fait un mauvais choix pour les personnes soucieuses de la protection de leur vie privée.

Firefox et Safari sont traditionnellement considérés comme des alternatives plus privées et plus fiables par rapport à Chrome, et pour une bonne raison. Ils n'ont pas été pris en flagrant délit de pistage de leurs utilisateurs et disposent tous deux d'outils qui bloquent par défaut le pistage par des tiers. Cependant, nous devons mentionner que ces derniers mois, Mozilla, l'entreprise à l'origine du navigateur Firefox, a envoyé des signaux contradictoires. Par exemple, la récente mise à jour de la FAQ sur la vie privée de Mozilla a supprimé la promesse de longue date de « ne jamais vendre les données des utilisateurs », et son achat d'une société de mesure publicitaire Acronym en novembre a suscité de nombreux sourcils. Mozilla s'est forgé un « coussin de confiance » suffisamment important au fil des ans pour que nous ne tirions pas encore de conclusions hâtives, mais le vent est en train de tourner chez le renard orange.

Enfin, il existe des navigateurs qui se sont positionnés dès le départ comme étant axés sur la protection de la vie privée, tels que Brave et le navigateur DuckDuckGo. Et ils ont fait ce qu'il fallait pour cela. Tous deux n'autorisent pas les cookies de tiers, bloquent les traceurs par défaut et proposent une série de fonctionnalités supplémentaires axées sur la protection de la vie privée.

En fin de compte, vous seul pouvez décider quels navigateurs méritent votre confiance et lesquels ne la méritent pas, mais quel que soit celui que vous choisirez, c'est une bonne idée de vérifier vos paramètres par rapport à notre guide pour vous assurer que vous optimisez votre vie privée.

Il est temps de passer à la question suivante, qui émane d'un utilisateur nommé PR :

Comment pouvez-vous assurer votre crédibilité et votre fiabilité en tant que programme à source fermée ? AdGuard pour Windows ou Android peut voir presque tout mon trafic Internet, même le trafic HTTPS crypté.

Une autre question d'un utilisateur qui a préféré garder l'anonymat y fait écho :

Lorsque j'active le filtrage HTTPS, ça veut dire qu'AdGuard (par exemple Adguard pour Mac) peut tout lire. Pourquoi devrais-je vous faire confiance ? Comment puis-je savoir qu'AdGuard n'envoie pas certaines informations à vos serveurs ?

Ces deux questions s'adressent directement à AdGuard, c'est pourquoi nous diviserons la réponse en deux parties. Dans la première partie, nous essaierons d'expliquer au mieux pourquoi avec AdGuard vos données sont en sécurité, et ensuite nous parlerons un peu plus de la façon de distinguer les applications et extensions de navigateur dignes de confiance de celles qui ne le sont pas en général.

Que se passe-t-il alors quand vous installez et lancez AdGuard sur votre appareil ? Il faut préciser que les applications de blocage des publicités AdGuard autonomes pour Windows, Mac et Android (par opposition aux extensions de navigateur et à l'application iOS dans une certaine mesure) fonctionnent au niveau du réseau. Bien sûr, il existe des différences entre elles, mais le principe de base est similaire. Pour filtrer votre trafic Internet, AdGuard le fait passer d'abord par lui-même, en vérifiant qu'il ne contient pas d'annonces publicitaires ou de demandes de suivi. Le plus important est que le processus de filtrage se déroule entièrement sur votre appareil. AdGuard n'envoie jamais d'informations sur les sites web que vous visitez à ses serveurs. Occasionnellement, nous pouvons envoyer des informations telles que la version de votre système d'exploitation ou la langue de l'application. Nous le faisons pour vérifier les mises à jour, le statut de la licence, envoyer un rapport de plantage — des cas comme ceux-ci. Vous pouvez voir tout ce qu'AdGuard envoie dans tous les cas possibles dans l'Avis de confidentialité de votre système d'exploitation : Windows, Mac, Android (des liens vers les autres avis de confidentialité sont disponibles au bas de la page).

Quelques mots sur la stratégie d'AdGuard pour filtrer HTTPS et sécuriser l'ensemble. Normalement, lorsqu'un navigateur tente de se connecter à un site web, ce dernier présente un certificat de sécurité pour prouver qu'il est bien ce qu'il prétend être. Il est important que le certificat utilisé par un site web soit émis par une autorité de certification (AC) à laquelle votre navigateur fait confiance. Une telle autorité de certification garantit que le certificat SSL est bien délivré au propriétaire du site web. Ajoutons maintenant AdGuard à ce tableau. Pour chaque requête du navigateur, AdGuard établit deux connexions sécurisées : l'une avec le navigateur et l'autre avec le site web auquel vous vous connectez. Mais le navigateur doit faire confiance à AdGuard tout comme il fait confiance aux sites web dans le scénario normal, et pour cela AdGuard génère son propre certificat et l'installe dans le système.

Bien entendu, votre connexion reste sécurisée. Après avoir vérifié que le contenu de la requête Web ne contient pas de publicités ni de traqueurs, AdGuard la recrypte avant de la transmettre au serveur Web. Comme le navigateur ne peut plus voir le certificat du site web et vérifier sa validité, AdGuard effectue cette vérification lui-même et nous prenons des mesures de sécurité supplémentaires. Pour savoir comment le filtrage HTTPS est effectué, consultez notre base de connaissances.

Il est maintenant temps de répondre à l'autre question que toute personne consciente de la protection de sa vie privée se poserait : comment puis-je faire confiance à tout cela ? Comment puis-je être sûr que votre application (ou n'importe quelle autre) ne vole pas mes données tout en affichant une belle façade ? La vérité, c'est qu'il n'y a pas de moyen infaillible d'y parvenir. Chaque application que vous installez risque d'être malveillante, de voler vos données ou d'infecter votre appareil avec des virus. Il y a suffisamment d'exemples où même les applications les plus crédibles se sont avérées avoir des activités plutôt louches derrière les rideaux. Voici donc ce à quoi il faut faire attention pour augmenter vos chances de détecter un logiciel potentiellement dangereux :

• Vérifiez si l'application/l'extension est open source. Le fait que l'application soit open source ne signifie pas automatiquement qu'elle est digne de confiance, mais cela augmente considérablement les chances. Le fait d'avoir un dépôt GitHub ouvert, par exemple, est un grand avantage pour le facteur de confiance de l'application et vous permet même souvent de suivre le processus de développement.

• Faites des recherches sur le développeur. Consultez le site web du développeur, voyez s'il a d'autres applications réputées. Recherchez-les sur le web. Méfiez-vous des développeurs qui n'ont qu'une seule application/extension et dont les sites web sont basiques et sans coordonnées.

• Vérifiez les autorisations de l'application. Même si ce conseil peut paraître stupide et évident, il faut vraiment faire attention aux autorisations que vous avez accordées lors de l'installation de l'application. Si vous pensez que l'application demande plus d'autorisations qu'elle n'en a besoin, faites des recherches avant d'accepter la demande et optez pour la prudence.

• Analysez la politique de confidentialité. L'absence totale de politique de confidentialité est un signal d'alarme important - il vaut mieux éviter ce type d'application. La situation n'est guère meilleure lorsque la politique de confidentialité se résume à un document PDF d'une page. Mais même si elle semble crédible, passez 5 minutes à la parcourir, vous serez parfois surpris par les informations qu'elle contient.

• Utilisez un logiciel de surveillance de réseau (pour les utilisateurs avancés), par exemple WireShark pour PC ou NetGuard pour Android. Ces outils vous permettront de voir si l'application fraîchement installée envoie des requêtes à des domaines suspects.

Comme vous pouvez le constater, il n'y a pas de bouton magique qui vous dise si vous pouvez faire confiance à l'application ou non, même avec AdGuard. Mais si vous faites vos recherches et que vous ne lésinez pas sur les contrôles de confidentialité, vous pouvez réduire considérablement les risques de vous faire voler vos données personnelles ou pire encore.

Nous reviendrons certainement bientôt avec d'autres réponses — envoyez-nous d'autres questions sur n'importe quel sujet lié à la technologie via ce formulaire, et vous les verrez peut-être déjà dans la prochaine édition de TechTok !