AdThink et OnAudience : La navigation anonyme existe-t-elle encore ?

L’anonymat sur Internet, c’est une notion qui divise. Certains s’y opposent catégoriquement, comme la Chine. Mais en France, on tient à notre droit de navigation anonyme. Alors quand on entend que des scrappers sont susceptibles de voler nos données, on réagit…

« Navigation anonyme » : De quoi parle-t-on ?

Avec le scandale Intel lié à la vulnérabilité de ses puces – que le PDG avait vraisemblablement vu venir de très loin -, c’est la nouvelle qui a marqué l’univers IT et digital la semaine dernière.
Deux scripts ont été découverts sur de nombreux sites. Il s’agit de trackers dont l’objectif est simple : la collecte de données. Mais c’est plutôt leur mode de fonctionnement qui est remis en cause. Cette collecte s’effectue de manière tacite, à l’aide des gestionnaires de mots de passe par défaut des navigateurs.
Lorsque nous utilisons la saisie automatique, les scripts entrent en action et récupèrent nos identifiants de connexion sans que cela ne soit visible ou consenti par l’utilisateur.
Voyez plutôt la démonstration – avec de faux identifiants bien sûr  (que nous avons partagé il y a quelques jours  sur Twitter).

Et l’éthique dans tout ça ?

Bien entendu, les deux sociétés à l’origine des scripts, AdThink et OnAudience se défendent. Toutes deux affirment qu’elles n’agissent pas à l’encontre des lois établies. Tandis que la première assure que le code trouvé par les chercheurs était expérimental et a été maintenant supprimé, la seconde insiste sur le fait que l’idée selon laquelle la collecte se fait sans consentement est fausse.
Cela étant dit, certaines règles du web sont très fréquemment brisées ou contournées, on peut penser à l’Opt-in par exemple. Trouver une faille à exploiter dans un texte de loi ou dans les CGU d’un site ne rend pas l’usage de ce script plus légitime. De plus, nous ne disposons finalement pas plus que de la parole de ces sociétés quant à la nature des données récupérées ou même leur degré d’anonymat.

Mais ce n’est pas tout. Même sans mot de passe, l’email contenu dans les identifiants de connexion est une information privée, et surtout sensible. Cette seule donnée, mise entre de mauvaise mains, expose son propriétaire à des risques et attaques non négligeables. Phishing, usurpation d’identité, ransomware, et j’en passe.

Quelques solutions pour y échapper

Dans un premier temps, je vous invite à vous référer à cette liste. Elle référencie tous les sites qui utilisent ou ont utilisé ces scripts. Elle dispose d’une barre de recherche pour vous aider à vérifier les sites qui vous intéressent. Cela vous permettra de savoir si l’un des sites que vous fréquentez habituellement est concerné. D’expérience, il est très mauvais de se fier aux apparences ou à l’affect (cf : Sites web dangereux : Où sont-tils vraiment)
Vous pouvez également rejoindre le clan encore très fermé des adeptes de la navigation privée. Certes, en fonction de l’usage que l’on fait de son navigateur, cela peut être plus contraignant qu’autre chose. Mais en termes de navigation anonyme, on trouve difficilement mieux. Si vous n’êtes pas prêts à passer du côté privé de la navigation, vous trouverez un tuto pour désactiver la saisie automatique de votre navigateur dans cet article.

Il ne reste plus qu’à espérer qu’avec la GDPR, ce genre de pratiques soient prohibées voire sanctionnées. Neutralité déchue, censure et maintenant collecte abusive, le net a quelques défis à relever avant de trouver son sweet spot.