Une faille sur le Net permet à des sites de voler l'historique des navigateurs, des chercheurs offrent un outil pour mesurer cet impact sur vous

Des chercheurs de l'Université de San Diego viennent de découvrir une faille très largement répandue sur le Web ; leur étude s'appuie déjà sur 485 sites qui se font un plaisir de l'exploiter (majoritairement, des sites réservés aux adultes, dans une sélection des 50.000 sites les plus visités au monde).

Mais de quoi parle-t-on ? D'une vulnérabilité qui permet à un domaine malveillant d'aller fouiner dans votre historique, et ainsi de tout savoir des sites que vous avez précédemment visité.

C'est la manière dont la majorité des navigateurs gère les liens qui ont été visités qui fait défaut. Ils sont en effet beaucoup à modifier la couleur du texte, pour vous signifier "tu l'as déjà cliqué celui-là !".

Un code spécifique exploite ce détail. Placé sur un site, il interroge le navigateur d'un visiteur pour voir quelles réponses il fournit pour une liste de pages données. Et donc, changement de couleur = site déjà consulté.

YouPorn utilise cette technique, pour afficher des publicités ciblées ou voir si la victime consulte régulièrement la concurrence. Mais des pages dans d'autres domaines que la pornographie en font également usage (sites de sport, d'informations, etc.).

Pour les scientifiques, il est urgent de prendre des mesures pour mieux défendre ses historiques. D'autant qu'en dehors de cette faille, d'autres techniques sont exploitées.

Par exemple, YouTube espionne ses visiteurs grâce à un script qui traque les mouvements de la souris d'un utilisateur sur ses pages.

"Les applications composites Web 2.0 populaires et les ciblages publicitaires sophistiqués sont réalisés avec diverses violations de la vie privée", peut-on lire dans leur recherche.

La faille qu'ils ont découverte a déjà été colmatée par plusieurs navigateurs : Chrome, Safari et la dernière version de Firefox. Pour les utilisateurs d'Internet Explorer, il faut passer en mode "private browsing" pour se protéger.

Pour être vraiment certain de ne pas laisser de traces derrière soit, le mieux est encore de visiter la page mise en ligne par les chercheurs, qui tente de récupérer votre historique et vous informe donc des informations que vous pouvez laisser échapper à votre insu.

Pour la suite, des travaux plus en profondeur sont prévus, afin de créer des outils aidant à lutter contre ce bug.

L'étude des chercheurs (PDF)