Comprendre l’empreinte digitale des navigateurs

Introduction : Qu’est-ce que l’empreinte digitale par navigateur ?

Alors que la plupart des internautes connaissent les cookies, une méthode de suivi bien plus persistante et invisible opère sur le web. Cette technique, connue sous le nom d’empreinte digitale par navigateur, peut créer un profil unique de vous sans rien stocker sur votre ordinateur, ce qui la rend essentielle pour toute personne soucieuse de sa vie privée.

L’empreinte digitale d’appareil, plus communément appelée empreinte digitale par navigateur, est la collecte systématique d’informations provenant d’un navigateur web et d’un appareil. L’objectif est de combiner ces détails pour créer un identifiant suffisamment unique pour identifier, suivre et construire un profil détaillé de l’utilisateur.

Cette technique a été développée comme une méthode de suivi plus persistante, conçue pour contourner les mesures de confidentialité contrôlées par l’utilisateur, comme la suppression des cookies. Contrairement aux cookies, que l’utilisateur peut trouver et supprimer, l’empreinte digitale fonctionne souvent de manière transparente, sans stocker de fichiers sur l’appareil de l’utilisateur.

Les techniques d’empreinte digitale ont été décrites dans la littérature spécialisée comme des « monstres sans cookies », étant donné qu’il n’est pas nécessaire d’installer un quelconque type de cookie sur l’appareil pour recueillir les informations...

Ces « empreintes digitales » sont construites en combinant de nombreux éléments d’information différents, que nous allons explorer ensuite.

1. Le principe fondamental : construire un identifiant unique

Le concept fondamental derrière l’empreinte digitale par navigateur est que, bien que toute information unique sur votre appareil puisse être courante, la combinaison de nombreux détails est probablement unique. Un site web rassemble un ensemble de ces caractéristiques, créant ainsi une « empreinte digitale » pour votre navigateur.

Voici quelques-unes des caractéristiques courantes qui peuvent être collectées pour former une empreinte digitale de base :

• Agent utilisateur : Une chaîne de texte identifiant votre type, votre version et votre système d’exploitation (par exemple, Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:58.0) Gecko/20100101 Firefox/58.0).
• Polices système : La liste complète des polices installées sur votre appareil.
• Fuseau horaire : Le fuseau horaire configuré par votre appareil (par exemple, -120 quelques minutes avant UTC).
• Résolution d’écran et profondeur de couleur : Les dimensions exactes et les capacités de couleur de votre écran (par exemple, 1920x1080x24).
• Plugins pour navigateurs : La liste des extensions ou extensions installées dans votre navigateur, comme Adobe Flash Player ou un lecteur PDF.

Bien que ces données de base puissent créer un identifiant étonnamment unique, les pisteurs utilisent souvent des méthodes encore plus sophistiquées pour augmenter la précision.

2. Techniques avancées d’empreintes digitales expliquées

Pour créer des empreintes digitales plus robustes et précises, les trackers utilisent des techniques avancées qui exploitent les fonctionnalités modernes des navigateurs web.

2.1. Empreintes digitales sur toile

Cette technique puissante utilise l’élément HTML5 Canvas , une fonctionnalité conçue pour dessiner des graphiques et des animations sur une page web. Le traceur demande au navigateur de dessiner une image ou un texte caché. Cette particularité vient du fait que différentes combinaisons de matériel (comme l’unité de traitement graphique (ou GPU), de logiciels (pilotes graphiques) et de systèmes d’exploitation rendent cette image de manière subtilement différente. L’image finale rendue est convertie en une signature numérique unique, appelée hachage, qui sert d’identifiant très stable.

2.2. Empreinte digitale de la police Canvas

Il s’agit d’une variante spécialisée de l’empreinte digitale sur toile. Au lieu de dessiner une seule image complexe, il demande au navigateur d’afficher la même chaîne de texte plusieurs fois, à chaque fois en utilisant une police différente de la liste des polices installées par l’appareil. En mesurant les différences subtiles dans la façon dont chaque police est dessinée (sa taille, son anticrénelage, etc.), cette méthode peut générer un identifiant très spécifique à la collection unique de polices système de l’utilisateur.

2.3. Empreintes digitales WebRTC

WebRTC (Web Real-Time Communication) est une API qui permet une communication vocale et vidéo en temps réel directement entre navigateurs. Un effet secondaire de cette fonctionnalité est que l’API WebRTC peut être utilisée pour révéler l’adresse IP locale d’un utilisateur — l’adresse que son appareil utilise sur un réseau privé (comme un réseau Wi-Fi domestique), qui est normalement cachée. En combinant l’IP locale cachée d’un utilisateur avec son IP publique, un traceur peut créer un identifiant très cohérent et efficace, même si l’IP publique change.

2.4. Empreinte digitale AudioContext

Cette technique utilise l’API AudioContext , un outil pour traiter les signaux audio au sein du navigateur. Il est important de noter que cette méthode n’écoute pas le micro de l’utilisateur. À la place, il génère une onde sonore standardisée et inaudible (comme une onde sinusoïdale) et la traite via la pile audio du navigateur. Le signal numérique résultant diffère légèrement sur chaque machine en raison de variations uniques dans le matériel des dispositifs et les pilotes logiciels. Un hachage de ce signal traité est alors utilisé comme identifiant unique.

Maintenant que nous comprenons comment les empreintes digitales sont créées, voyons comment leur unicité est mesurée scientifiquement.

3. Quantification de l’unicité par l’entropie de l’information

La méthode scientifique pour mesurer l’unicité d’une empreinte digitale est par l’entropie de l’information. En termes simples, l’entropie est une mesure de l’incertitude, calculée en « bits ». Plus une caractéristique fournit de « bits d’information identifiante », plus elle est rare et plus elle aide à identifier un utilisateur de manière unique.

Par exemple, savoir qu’un utilisateur européen est sur Chrome (59 % de part de marché en mai 2018) fournit très peu d’informations identifiables (environ 1 bit). Cependant, savoir qu’ils utilisent Internet Explorer (4 % de part de marché) fournit beaucoup plus d’informations (environ 4 bits) car c’est beaucoup moins courant. En combinant de nombreuses caractéristiques de ce type, le total des bits d’entropie peut rapidement s’additionner pour créer un identifiant globalement unique.

Le tableau suivant, basé sur les données d’un test Panopticlick, montre comment différentes caractéristiques du navigateur contribuent à des quantités variables d’informations identifiantes.

Exemple : Des informations d’identification

Caractéristiques

du navigateur	: informations d’identification
Hachage de l’empreinte digitale de la toile	6.62
Taille de l’écran et profondeur de couleur	2.45
Détails du plugin navigateur	9.14
Fuseau horaire	2.70
Polices système	6.50
Quai	3.17
Agent utilisateur	7.68

Cette mesure de l’unicité n’est pas seulement théorique ; Il a des applications et des conséquences significatives dans le monde réel.

4. Utilisation et impact dans le monde réel

Dans une étude de 2018, l’Agence espagnole de protection des données (AEPD) a analysé plus de 5 000 URL pour comprendre la prévalence de ces techniques. Les résultats ont été révélateurs :

• Parmi toutes les demandes analysées, les techniques avancées d’empreintes digitales ont été détectées dans 28,19 %.
• Les techniques avancées les plus courantes étaient :
  • Empreintes digitales sur toile : 15,3 %
  • Empreintes digitales WebRTC : 10,1 %
  • Empreintes digitales de la police Canvas : 1,9 %
  • Empreintes digitales AudioContext : 0,9 %
• L’utilisation de ces techniques de suivi a été particulièrement élevée sur des sites web liés à des sujets sensibles, notamment le sexe, la pornographie, la religion, la santé et la politique.

L’étude a également confirmé l’inefficacité du signal « Do Not Track » (DNT), un paramètre de navigateur qui demande aux sites web de ne pas suivre l’utilisateur. L’étude a révélé que les sites web utilisant l’empreinte digitale ignoraient massivement cette demande. Dans le cas de l’empreinte digitale Canvas, un impressionnant 96,12 % des sites ont continué à compiler l’empreinte même lorsque l’utilisateur avait explicitement activé le DNT. Plus inquiétant encore, l’étude a révélé que le signal DNT lui-même peut être utilisé comme un autre point de données pour rendre l’empreinte digitale d’un utilisateur encore plus unique, transformant une demande de confidentialité en un outil d’identification.

Face à un problème aussi répandu et persistant, il est naturel de se demander ce qu’on peut faire pour protéger sa vie privée.

5. Défense contre l’empreinte digitale : ce qui fonctionne et ce qui ne fonctionne pas

L’étude de l’AEPD a testé diverses mesures d’atténuation pour évaluer leur efficacité à prévenir les empreintes digitales. Les résultats montrent une différence nette entre les fonctionnalités de confidentialité passive et les outils de blocage actif.

Méthode	: Efficacité	(basée sur une étude AEPD)
Mode privé / Incognito	Supprime l’historique local, les cookies et les données du site après la fin de la session.	Pas efficace. Elle ne modifie pas les caractéristiques sous-jacentes de l’appareil, donc l’empreinte digitale reste identique.
VPN / Réseaux d’anonymisation	Masque l’adresse IP publique de l’utilisateur au serveur de destination.	Partiellement efficace. Bien qu’ils masquent un point de données clé (IP publique), ils ne filtrent pas la collection des autres caractéristiques de l’appareil.
Options de confidentialité du navigateur (par exemple, blocage des cookies tiers, activation du DNT)	Utilise les paramètres intégrés du navigateur pour limiter le suivi.	Pas une réduction significative. L’étude a révélé que ces options avaient peu d’effet, à l’exception d’une réduction notable des détections WebRTC.
Extensions de navigateur (bloqueurs comme uBlock Origin, Ghostery)	Identifier activement et bloquer les scripts et connexions connus pour être utilisés pour le suivi.	Les plus efficaces. Ces outils ont entraîné une « réduction significative des détections » dans les techniques d’empreintes digitales.
Désactivation de Javascript	Empêche les scripts qui collectent les données d’empreintes digitales de s’exécuter.	Efficace, mais peu pratique. Cette méthode casse les fonctionnalités de nombreux sites web modernes, en faisant une solution irréaliste pour la plupart des utilisateurs.

Ces résultats conduisent à plusieurs conclusions importantes pour toute personne préoccupée par sa vie privée numérique.

6. Points clés

1. Unicité par combinaison : La puissance de l’empreinte digitale réside dans sa capacité à combiner de nombreux points de données communs et non uniques (comme la taille de l’écran et les polices installées) pour créer un identifiant hautement unique. Cette singularité se mesure scientifiquement en « bits d’entropie informationnelle ».
2. Omniprésente et cachée : En tant que technique « sans cookies », l’empreinte digitale fonctionne de manière transparente pour l’utilisateur et est répandue sur tout le web, y compris sur les sites web qui traitent des informations personnelles sensibles.
3. Le consentement est souvent ignoré : Les préférences de confidentialité des utilisateurs, notamment le signal « Ne pas suivre », sont largement ignorées par les sites web qui déploient ces techniques avancées de suivi.
4. Une défense efficace nécessite des outils actifs : Les fonctionnalités courantes de confidentialité comme le mode Incognito sont inefficaces contre l’empreinte digitale. L’étude a conclu que les défenses les plus efficaces sont des extensions de navigateur spécialisées conçues pour bloquer activement les scripts de suivi.