INF344 – Données du Web Pistage par les entreprises du Web

(1)

INF344 – Données du Web

Pistage par les entreprises du Web

Antoine Amarilli ; adapté d’une présentation par Pierre Senellart 2 mai 2017

(2)

Rappels sur le Web 1/3

On veut visiterhttp://www.cerre.eu/mission-objectives.

Mon navigateur : Qui estcerre.eu?

Serveur DNS de mon FÀI : C’est la machine 54.246.205.67 !

Mon navigateur : Bonjour 54.246.205.67, je parle à ton serveur Web. Est-ce que tu pourrais me donner la page

/mission-objectives?

Mon navigateur : Au fait, voici d’autres informations sur qui je suis Mon navigateur : Et voici les données (cookies) que tu m’as demandé

de t’envoyer à chaque fois que je viens

(3)

On veut visiterhttp://www.cerre.eu/mission-objectives. Mon navigateur : Qui estcerre.eu?

(4)

(5)

Mon navigateur : Bonjour 54.246.205.67, je parle à ton serveur Web.

Est-ce que tu pourrais me donner la page /mission-objectives?

(6)

Mon navigateur : Au fait, voici d’autres informations sur qui je suis

Mon navigateur : Et voici les données (cookies) que tu m’as demandé de t’envoyer à chaque fois que je viens

(7)

(8)

Serveur Web de 54.246.205.67 : Voici la page Web demandée

Mon navigateur : Cette page appelle d’autres ressources :

• D’autres scripts et images sur le même site

• Des scripts de Oracle, MaxCDN, JQuery foundation, Google, Twitter

Mon navigateur : Je vais envoyer une requête à tous ces gens-là . . .

(9)

Serveur Web de 54.246.205.67 : Voici la page Web demandée Mon navigateur : Cette page appelle d’autres ressources :

(10)

(11)

(12)

Mon navigateur : Je vais envoyer une requête à tous ces gens-là

. . .

(13)

(14)

Mon navigateur : Maintenant que j’ai tout le contenu, il ne reste plus qu’à exécuter tous les scripts ; ils vont sans doute me demander d’accéder à d’autres ressources

. . .

Mon navigateur : Cher utilisateur, la page est prête ! Ça m’a pris 74 requêtes et m’a fait télécharger 1.4 MB de données Mon navigateur : Au fait, tant que tu es sur cette page, je vais

contacter Twitter toutes les 30 secondes, comme elle me demande de le faire

(15)

. . .

(16)

. . .

Mon navigateur : Cher utilisateur, la page est prête ! Ça m’a pris 74 requêtes et m’a fait télécharger 1.4 MB de données

Mon navigateur : Au fait, tant que tu es sur cette page, je vais

(17)

. . .

(18)

Tous les sites ne sont pas comme ça

• C’estpiresur les sites Web avec de la pub (sites d’actualité, blogs, etc.) ou qui ont des accords avec les régies publicitaires (sites de vente en ligne)

• C’estmieuxsur certains sites “old-school” :

ec.europa.eu : pas de références externes

europa.eu : une seule référence externe (CloudFlare)

europarl.europa.eu : références à Google, Yahoo ! seulement

(19)

• C’estmieuxsur certains sites “old-school” :

ec.europa.eu : pas de références externes

(20)

• C’estmieuxsur certains sites “old-school” : ec.europa.eu : pas de références externes

(21)

(22)

(23)

Types de données

• Données fournies par l’utilisateur

• Données réseau

• En-têtes HTTP

• Données de scripts

• Visites précédentes

• Visites précédentes sur des sites dépendants

Ces données sont souventpartagéesd’une entreprise à l’autre

(24)

Types de données

• Données fournies par l’utilisateur

• Données réseau

• En-têtes HTTP

• Données de scripts

• Visites précédentes

• Visites précédentes sur des sites dépendants

(25)

Données fournies par l’utilisateur 1/2

Qu’est-ce qu’ils peuvent savoir ?

• Adresse email (pseudo-identifiant)

• Nom d’utilisateur (peut-êtreréutiliséailleurs, donc croisements)

• Mot de passe (attention à laréutilisation!)

• Vente en ligne : numéro de carte, adresse postale, etc.

• Autres données : date de naissance, amis, emploi, centres d’intérêt, etc.

(26)

Que vont-ils faire avec ?

Utile pour desraisons techniques, mais aussi pour duprofilage

Comment cacher ces informations ?

• Utiliser des comptesjetables:mailinator.com,bugmenot.com

• Fournir le moins d’information possible, ou mentir

(27)

Utile pour desraisons techniques, mais aussi pour duprofilage

• Utiliser des comptesjetables:mailinator.com,bugmenot.com

• Fournir le moins d’information possible, ou mentir

(28)

Données réseau 1/3

• Adresse IPdu client

• Institutionde l’IP (entreprise, FÀI, opérateur mobile)

• Géolocalisationapproximative (pays, voire ville)

• Qualité réseaulatence et bande passante

(29)

• Rediriger vers unsite local(langue, marché) suivant la géolocalisation

• Géoblocage : pour respecter le copyright, pour la censure, pour le droit à l’oubli

• Améliorer laqualité de serviceen utilisant un serveur proche de l’utilisateur

(30)

• Router le trafic viaTortorproject.orgmais les adresses de sortie sont publiques (donc on sait que vous utilisez Tor, et on peut vous bloquer)

• Router le trafic via unordinateur personnel, unVPN, etc.

(31)

En-têtes HTTP 1/2

User-Agent Identifie lenavigateur, la version, lesystème d’exploitation, voire plus

Referer Indique de quel URL onvient

Accept-Language Indique lalangue préféréede l’utilisateur

Fingerprinting On peut deviner des choses sur le navigateur à partir des autres en-têtes, le support de différentes

technologie, algorithmes de chiffrement, etc.

(32)

(33)

(34)

(35)

• Servir ducontenu différentaux différents navigateurs (ordinateur/mobile, compatibilité, etc.)

• Choix de lalangue

• Utile pour lamesure d’audience

• Pour User-Agent, Referer, Accept-Language : configurable

• Pour le comportement intrinsèque du navigateur : irréaliste

(36)

• Servir ducontenu différentaux différents navigateurs (ordinateur/mobile, compatibilité, etc.)

• Choix de lalangue

• Utile pour lamesure d’audience

(37)

Données de scripts 1/2

• Fuseau horairede l’utilisateur

• Résolution, couleurs de l’écran

• Géolocalisation GPSsur mobile (consentement préalable)

• Configurationdu navigateur (blocage des contenus tiers, etc.)

• Événementssur le site (ou autres fenêtres avec le même domaine) :

• Déplacements de souris, clics

• Frappes clavier, copier-coller

• Fingerprintingindirect (e.g., canvas, polices installées, etc.) panopticlick.eff.org

(38)

• Améliorer l’expérience utilisateuravec des contenus dynamiques

• Modifierle site Web suivant la configuration (CSS, etc.)

• Mesures pour améliorer l’expérience utilisateur: Heatmaps, A/B testing, etc.

• Blocage des scripts(uMatrix, etc.), mais beaucoup de sites deviennent inutilisables

(39)

• Améliorer l’expérience utilisateuravec des contenus dynamiques

• Modifierle site Web suivant la configuration (CSS, etc.)

• Mesures pour améliorer l’expérience utilisateur: Heatmaps, A/B testing, etc.

• Blocage des scripts(uMatrix, etc.), mais beaucoup de sites deviennent inutilisables

(40)

Visites précédentes 1/2

Les sites peuvent faire stocker au navigateur des informations qu’il devra renvoyer à chaque visite ultérieure, pour une durée

possiblement très longue

(41)

• Se souvenir dequi est l’utilisateuret des précédentes interactions avec l’utilisateur

• Nécessaire pour de nombreuses fonctionnalités : maintenir une session ouverte, se souvenir du panier de l’utilisateur, etc.

• Supprimerdes cookies, manuellement, ou à la fin d’une session (mode incognito)

• Refuserles cookies, mais beaucoup de sites Web ne fonctionneront plus

(42)

• Se souvenir dequi est l’utilisateuret des précédentes interactions avec l’utilisateur

• Nécessaire pour de nombreuses fonctionnalités : maintenir une session ouverte, se souvenir du panier de l’utilisateur, etc.

• Supprimerdes cookies, manuellement, ou à la fin d’une session

(43)

Visites précédentes sur des sites dépendants 1/2

Si un sitedépendde ressources hébergées par une entreprise (images, feuille de style, scripts, médias), cette entreprise peut faire son propre pistage

• Y compris en utilisantReferer

• Y compris avec ses proprescookies

(44)

C’est comme ça que lesrégies publicitairespeuvent pister la navigation de l’utilisateur d’un site à l’autre

Bloquer lesscripts tierce-partie, ou lescookies tierce-partie, mais certains sites Web ne fonctionneront plus

(45)

C’est comme ça que lesrégies publicitairespeuvent pister la navigation de l’utilisateur d’un site à l’autre

Bloquer lesscripts tierce-partie, ou lescookies tierce-partie, mais certains sites Web ne fonctionneront plus

(46)

Comment naviguer sur le Web sans laisser de traces

• Utiliser un navigateurlibreet configurable qui respecte votre vie privée, par exemple Tor Browser, Firefox, Chromium, Pale Moon, etc.

• Cacherson IP avec Tor (directement dans Tor Browser)

• Activer l’option “Do Not Track” ?

• Cacherou falsifier l’information User-Agent et Referer

• Bloquer lespublicitésavec uBlock Origin

• Bloquer sélectivement lesscriptsavec uMatrix (mais casse de nombreux sites Web)

(47)

Crédits

Online advertising schema CC-BY-SA John Nagle, see

https://commons.wikimedia.org/wiki/File:Adservingfull.svg

(48)

Beyond third-party Web sites : third parties of third parties I

Publisher Ad Server

Agency Ad Server Publisher

Content Server

Supply side platform

Brand Agency

Ad Exchange

Demand Side Platform

DSP DSP DSP

DSP

Data Management

Platform

Ad Exchange

• The publisher ad server and its supply-side platform (Google DFP, Rubicon) canidentifythe user with cookies. . .

• . . . but the demand-side platform (say, AppNexus, Criteo) cannot, since it doesnot directlyinteract with the user (at least until the ad is displayed to the user)

• To solve this “problem”, the SSP shares, through the ad exchange (typically Google Doubleclick) its cookie information with the DSP, which can then performcookie matchingto reidentify the user

(49)

Beyond third-party Web sites : third parties of third parties II

• Huge leak of information ! Mechanisms obscure, https://www.usenix.org/system/files/conference/

usenixsecurity16/sec16_paper_bashir.pdf

(50)

Use case : Google I

What can Google know about you ?

• Every information youwillinglyorsemi-willinglyprovided the company (credit card for Google Play, real name for Google Plus, full GPS history for Google Locations services on Android, etc.)

• Everypast interaction you had with a Web siteownedby Google (Search, Maps, Mail, Drive, etc.) unless you were not logged in and cookies were not shared (e.g., private mode)

• Every visit of a Web site that uses one of Google’shosted

(51)

Use case : Google II

• Every visit of a Web site that includesadvertisementsserved by a chain involving Google Doubleclick (the vast majority of Web sites with ads) unless third-party cookies are not shared

Not necessarilymaking full use of this, but the technical potential is there.