Liste d'articles

WEI warning 2023-08-02

Web Environment Integrity

Cet article a pour but de mettre à jour les quelques personnes qui lisent mon articles afin de mieux appréhender ce qui risque de se passer dans le futur. Attention, il est relativement mal articulé et risque de finir dans la catégorie "Mauvais" après quelques temps, mais je tenais à faire comme tout le monde et partager ma version un petit peu.

Je vais commencer par lister les différents aspects de la proposition d'origine [1], le lien est dans la bibli' à la fin de l'article.

Introduction

Le standard "Web Environment Integrity" est un standard lié au web proposé par des employés de Google puis discuté sur les canaux de Google, puis implémenté sur la version Android de Chromium et qui a été publié sur le GitHub (hébergeur de code source) d'un des auteurs. Il permettra de sécuriser ainsi que de vérifier si ce sont des humains qui visitent x site. Il n'est pas très populaire auprès de tout le monde qui n'est pas Google.

Le but

Le but : authentifier les différents visiteurs d'un site afin de prévoir s'ils sont un robot ou non.
Ne pas interférer entre l'utilisateur, ses décisions avec son navigateur et le site (par exemple bannir certaines extensions).

Éviter quelques exemples :

Manipulation des réseaux sociaux avec du faux mouvement.)
Éviter des faux clics sur des pubs pour "améliorer" le web. )
Détecter les campagnes de phishing.)
Éviter le vol de comptes en masse et la création de comptes en masse.)
Contrer les logiciels de triche sur les jeux webs. (Pourquoi il devrait y avoir un standard pour ça ? Il suffirait de coder un anticheat pour les jeux qui en ont besoin et laisser le reste tranquille. ça encouragerait juste plus les développeurs à activer cette fonction sans penser aux conséquences.))
Éviter de laisser les comptes piratés se balader tranquillement quand les données d'un utiisateur)
Éviter de laisser les tentatives de vol de compte en détectant des mots de passe incorrects couplés à cette technologie)

Comment ça marche

Concrètement, c'est un "tiers" qui atteste du fait que l'on soit sur x ordinateur avec x navigateur avec x extensions, etc, afin de vérifier que celui qui accède à la ressource distribuée soit bel et bien un véritable utilisateur, entre autres.

Ce que ça contient

L'identité du "tiers" qui atteste ainsi si le verdict est favorable ou non.

Ce que ça pourrait contenir

D'après le dépôt officiel

Le nom de code de l'application comme "org.mozilla.firefox".
Un indicateur qui pourrait appliquer une limite de requêtes venant d'un même appareil.

Quelques dangers détectés par les auteurs

La qualité du "tiers" sera vérifiée par une chaîne de confiance détenue à moitié par le navigateur et l'autre par le site. Le site évaluera si le "tiers" est digne de confiance.
L'espionnage de l'historique ne sera pas un problème.
Du fingerprinting serait possible mais peu probable étant donné que les données données au site
Pistage multi-site :

lol débrouillez-vous les navigateurs

Un danger majeur déjà anticipé

La ségrégation suivant quel navigateur on utilise, elle serait possible, même sans lire de document tiers (uniquement avec le dépôt git d'origine).

La solution

Une idée très critiquée si on suit un peu la discussion autour de cette proposition :
De temps à autres, le protocole n'enverrait pas de message afin d'éviter de bloquer complètement une partie des utilisateurs... c'est pas très très joli comme solution mais au moins ils sont plus ou moins conscients du problème. (Même s'ils semblent plus se soucier du fait que ce genre de décision affaiblirait les enquêtes qu'un site mène sur ses utilisateurs.)

Réponses intéressantes

Le PDG de Brave ainsi que l'équipe de Vivaldi (à travers leur articles, ce qui a sûrement plus de poids que juste l'opinion du patron) émit leur désapprobation du projet. Je vais ignorer celle du PDG étant donné qu'elle n'a que peu de réelle substance et je vais me concentrer sur celle de Vivaldi. [2]

Vivaldi

Okéay, je vais quand même parler de la réponse du PDBrave, au moins pour la comparer (comme absolument tous les gens qui ont parlé du sujet) à celle de Vivaldi qui est bien plus complexe (même si elle est très simple elle aussi). Concrètement, le PDBrave a dit "Hell no, ces Googlistes ne nous auront pas, nous ne sommes pas une déclinaison (fourchette) et nous allons tout bloquer, yeah !".
Tandis que Vivaldi a pris une position bien plus mesurée en parlant du potentiel danger que la décision de Google aurait pour le net, s'ils refusent d'accepter cette nouvelle condition, aucun de leurs utilisateurs ne pourra visiter un site qui l'utilise. Tout en mentionnant que Google, étant un géant difficilement comparable à quelque chose d'autre, a assez de force pour forcer une bonne partie du net à adopter cette réforme. Google étant tellement énorme que même si seulement Google (recherche), Youtube, GMail et leurs autres possessions adoptent cette nouvelle restriction, une bonne partie des gens seraient obligés d'abandonner les navigateurs qui ne supportent pas cette mesure.
Et surtout, ils touchent probablement la raison principale du projet, protéger leur système de publicité, comme je l'ai rappelé au début de l'article, un des avantages de ce standard est qu'il pourrait éviter les faux clics sur les pubs, en sachant que Google Ads domine le marché, et qu' énormément de sites contiennent des publicités, y compris quasiment tous les sites importants, je vous laisse imaginer la suite.
L'espoir de Vivaldi est l'Europe, avec les décisions pro-utilisateurs de ces dernières années, ils espèrent qu'elle pourra limiter le pouvoir des "attesteurs tiers" en les forçant à être raisonnables. Certes un peu morose, mais c'est quand même un petit espoir. Ils finissent par dire que Google est une vraie menace pour le web libre.

Mozilla

Sur un de leurs dépôts GitHub, un employé de Mozilla a exprimé l'opinion de l'entreprise [3]; je souhaite surtout souligner ce passage-là, qui m'a l'air plus ou moins omis alors que c'est drôlement important pour l'utilisateur lambda : "Additionally, the use cases listed depend on the ability to “detect non-human traffic” which as described would likely obstruct many existing uses of the Web such as assistive technologies, automatic testing, and archiving and search engine spiders."
Ce ne serait guère amusant si la Wayback Machine ou si un lecteur de texte pour handicapés se retrouvent bloqués à cause de cette décision prise quasi-uniquement pour bloquer les robots.

Mon opinion en bref

Je pense que cette idée pourrait venir d'un bon sentiment (même si c'est peu probable étant donné que ça vient de Google) mais qu'en réalité, ça risque de limiter grandement la liberté sur Internet telle qu'on la conçoit aujourd'hui. "Être obligé d'utiliser x navigateur" est déjà quelque chose qui existe mais qu'on utilise presque uniquement pour bloquer les vieux navigateurs qui sont troués de failles de sécurité. Alors que, avec ce standard, il faudrait avoir un navigateur qui soit d'accord avec les sensibilités de ces ingénieurs Googlistes. Ce qui voudrait dire que peut-être que Firefox et Brave seront bloqués d'une bonne partie du 'net s'ils décident de rester sur leurs acquis moraux. Tout en sachant que les sites ayant besoin de "DRM" l'utilisent déjà, comme Spotify par exemple. Ce besoin de sécurité semble également contredire la direction que prend Google depuis que je suis né, comme les curieux ont pu le voir avec leur jeu de cache-cache avec les options de vie privée sur Android, Google n'estime pas la sécurité en tant que reine. Je tiens d'ailleurs à mentionner une petite issue probable que pourrait prendre ce standard : la porte. Je l'ai vue mentionnée dans une vidéo d'un barbu australien et je vais le répéter ici, Google abandonne tellement de projets au fil des années [4], il est possible que cette proposition peu populaire soit également abandonnée, avec intervention des autorités ou pas.

Bibli'

[1] La proposition d'origine : https://github.com/RupertBenWiser/Web-Environment-Integrity/blob/main/explainer.md

[2] Le réponse du navigateur Vivaldi : https://vivaldi.com/articles/googles-new-dangerous-web-environment-integrity-spec/

[3] La réponse de Mozilla : https://github.com/mozilla/standards-positions/issues/852

Le tweet du PDG de Brave : Je ne mettrai pas de lien Twitter ici, ew.

[4] Killed By Google : https://killedbygoogle.com/