B. Baudry, P. Laperdrix et W. Rudametkin : « Il est essentiel de faire de la recherche sur la sécurité et la vie privée dans le domaine du numérique »

LINC : Vos travaux de recherche portent sur ce qu’on appelle le « browser fingerprinting ». Avant toute chose, pouvez-vous préciser de quoi il s’agit ?

Walter Rudametkin : Il s'agit d'une technologie qui permet de bâtir le profil d'un navigateur ou d'un appareil, en collectant des informations caractéristiques du dispositif (par exemple type et version du système d'exploitation, liste des polices de caractère installées sur l'appareil, etc.). Le browser fingerprinting peut prendre différentes formes en fonction de la liste des caractéristiques et de la manière dont celles-ci sont collectées (requête sur des APIs, exécution d'un script, etc.).

Pierre Laperdrix : Dans tous les cas, il faut retenir deux points importants à propos de ces techniques :

• la collecte de caractéristiques peut se faire complètement à l'insu du propriétaire de l'appareil ;
• avec suffisamment de caractéristiques, approximativement vingt suffisent, il est possible de bâtir un profil qui est statistiquement unique pour l'appareil et peut donc être utilisé à la place ou en complément d'un cookie.

Comment en pratique, menez-vous vos travaux et comment collectez-vous les données sur lesquelles vous fondez vos analyses ?

Pierre Laperdrix : Pour récupérer des données, nous avons mis en ligne le site amiunique.org en octobre 2014. Ce site, dont le code est open source, vise deux objectifs:

• informer les visiteurs à propos du browser fingeprinting ;
• bâtir une base de données de browsers fingerprints, nécessaire à nos travaux de recherche.

Avec ces données, nous pouvons mieux comprendre quelles sont les caractéristiques les plus importantes pour reconnaitre un appareil. Ceci nous permet ensuite de réfléchir à des contre-mesures pour limiter la capacité de profilage du browser fingerprinting. Nous avons exploré différentes solutions pour masquer le fingerprint d'un usager. Elles se fondent sur l'idée de « brouillage » de l'information à travers des outils qui modifient aléatoirement des éléments du fingerprint, tout en limitant l'effet sur le ressenti des usagers.

Benoit Baudry : En développant une compétence technique originale sur le thème du browser fingerprinting, nous avons également eu l'occasion de collaborer avec des acteurs internationaux importants, tels que Tor (pour qui Pierre a développé une version spécifique du site amiunique) et Brave, qui développe un navigateur web qui protège la vie privée des usagers.

Quels sont les grands enseignements que vous tirez de l’étude menée et des travaux qui vous avez réalisés depuis ?

Walter Rudametkin : L'étude menée a été le point de départ de nos recherches effectuées sur le thème du fingerprinting. Elle nous a permis de comprendre les différents mécanismes derrière cette technique et d'avoir un aperçu de la diversité des appareils connectés à Internet. Un des enseignements que l'on a tiré est que les causes de l'unicité d'une empreinte peuvent fortement varier entre appareils. Par exemple, pour certains, le fait d'avoir un fingerprint unique vient de la combinaison de tous les attributs collectés. Avoir un système Windows et utiliser Chrome est très commun de nos jours mais, en plus, utiliser un écran 4K avec une carte graphique dernier cri et des polices de caractère d'un logiciel de montage vidéo l'est beaucoup moins. Pour d'autres, un seul attribut peut rendre l'empreinte unique. On a observé un paradoxe où les internautes qui installent des extensions pour se prémunir du traçage par empreinte deviennent plus visibles qu'avant. Ces outils modifient l'empreinte du navigateur mais créent des artefacts identifiables à cause de leur logique de fonctionnement !

Comment en pratique peut-on se prémunir du pistage par browser fingerprinting ?

Pierre Laperdrix : L'intuition c'est de choisir des outils populaires en gardant un appareil et son navigateur le plus neutre possible (donc le moins identifiable parmi d'autres) et de limiter l'exécution de scripts tiers dans le navigateur. L'utilisation d'un bloqueur de trackers directement dans le navigateur est fortement recommandée pour limiter les scripts de traçage avant qu'ils ne s'exécutent. Vous pouvez également opter pour un navigateur libre qui contient des protections intégrées contre le fingerprinting, tel que Firefox en activant la protection contre le tracking, Brave qui se spécialise dans la protection de la vie privée, ou le navigateur Tor qui essaie d'unifier l'empreinte de tous ses utilisateurs. Il faudra également mentionner que vous protéger contre le browser fingerprinting est important mais ça ne vous protège que partiellement du traçage, il faut également penser aux cookies et aux autres techniques de traçage, rendant d'autant plus intéressant l'utilisation d'un navigateur spécialisé dans la protection de la vie privée.

Si c’est la possibilité de traçage à l’insu des individus qui est principalement associée au browser fingerprinting,  d’autres utilisations ne sont-elles pas envisageables ?

Walter Rudametkin : En effet, certains travaux et outils commerciaux proposent d'utiliser le browser fingerprinting en tant que facteur d'authentification supplémentaire ou pour de la détection de bots. Cette technique est alors utilisée de façon constructive pour améliorer la sécurité des systèmes et des réseaux. Parmi les avantages de cette technique pour la sécurité on peut mentionner sa transparence vis-à-vis de l'utilisateur, le faible coût de son mise en production, et sa complémentarité avec d'autres facteurs d'authentification comme les clés de sécurité ou l'utilisation du téléphone portable.

Vous êtes lauréats du prix CNIL-Inria. En quoi celui-ci a-t-il changé votre vie ? Plus sérieusement, à l’heure du RGPD, quelles articulations voyez-vous entre les travaux menés par les chercheurs en protection de la vie privée et ceux des régulateurs en matière de protection des données ?

Benoit Baudry : Faire de la recherche sur la sécurité et la vie privée dans le domaine du numérique est essentiel pour informer les utilisateurs et les législateurs des dernières tendances. Définir des bornes d'action d'un point de vue légal est nécessaire pour redonner aux utilisateurs le contrôle sur le traçage de leur activité et leurs données. Cependant, au vu de la très grande vitesse d'évolution du web, il est important de maintenir et développer ces liens entre la recherche et les organismes législatifs pour être proactif face à de futures menaces.