Invisible Gif : autre nom pour les Web Bug, un truc très simple pour forcer une requête HTTP dont l'en-tête, normal, va provoquer une fuite de données privées.

cr  01.04.2012      r+  22.11.2024      r-  22.11.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

« Invisible Gif » est un autre nom pour Web Bug.

Tous ces termes ou ces graphies de termes désignent exactement la même chose :

• 1 by 1 Gif
• Action tag
• Balise pixel
• Bogue Web
• Clear Gif
• Image tag
• Invisible Gif
• Pixel based event tracking
• Pixel de suivi
• Pixel de tracking
• Pixel-espion
• Pixel invisible
• Pixel tag
• Pixel Tracking
• Pixel transparent
• Single-pixel
• Tracking Bug
• Tracking Pixel
• Web Beacon
• Web Bug
• WebBug
• Web-Bug
• Etc.

Voir l'article complet sur les Web Bug :

En deux mots :

Les nombreux autres termes ci-dessus sont préférés à « Web Bug » par ceux qui pratiquent cette technique, car le terme « Web Bug » véhicule des concepts très pénalisants comme :

• Web caché
• Défaut (faute) dans l'écriture du code utilisé
• Atteinte à la vie privée (textes et lois définissant la notion de vie privée)
• Tracking
• Profiling
• Faute de conception
• Etc.

Et puis, le tout premier usage du terme bug, en informatique, est attribué à Grace Hopper le 9 septembre 1947 à 15h45 pour expliquer la panne totale d'un ordinateur (1947 - Le premier bug en informatique). Il y a toujours un bug quelque part.

« Web Bug » est le terme désignant l'utilisation d'une image de 1 pixel de côté (juste un micropoint), au format .gif (Graphic Interchange Format) ou .png (Portable Network Graphic), transparente pour être totalement invisible, quelle que soit la couleur du fond de la page Web sur laquelle il est affiché.

Cette image est stockée sur un serveur distant utilisé par une tierce partie et, comme toutes les ressources externes, elle est appelée, sur l'appareil ou l'ordinateur de l'utilisateur, par un lien (URL). Cela force le navigateur Web de l'internaute à se rendre sur ce serveur pour rapatrier cette image. Une requête HTTP standard (un lien), comportant son entête HTTP (header) standard, est utilisée.

Un « Web Bug » sert uniquement à provoquer une bête requête HTTP standard et sans aucun effet visible pour l'internaute. Il n'a strictement aucune autre utilité pour l'internaute, mais est, ô combien, utile à celui qui le met en place !

Les « requêtes HTTP » sont le « cheval de Troie »
de la « charge utile » que sont les « entêtes HTTP »
Les « requêtes HTTP » sont le « cheval de Troie » de la « charge utile » que sont les « entêtes HTTP »

Qui êtes-vous ? Vous et vos traces sur le Web

Les entêtes HTTP, dans les requêtes HTTP (les liens visibles ou invisibles) :

• Embarquent des informations qui sont alors collectées (tracking), conduisant à votre profilage.

• Permettent aux serveurs de dialoguer avec votre appareil ou ordinateur.

On appelle cela une « ressource distante » (que le mot « ressource » est bien nommé !)

Cela permet donc à l'auteur du « Web Bug » de récupérer, sans l'utilisation d'aucun dispositif d'espionnage (sans aucun spyware ou keylogger, etc.), tout un flot d'informations sur vous dont :

• Vos centres d'intérêt actuels - ce qui vous intéresse maintenant.
  Les ressources consultées sont identifiées et analysées, ainsi que le site d'où il vient et les diverses analyses qui existent sur ce site, dont :

  • Vérifier la présence d'un site dans une liste noire
  • Liste des services de « Web réputation »
  • Check Website Safe - « Web réputation » d'un site ou d'une URL
  • Malware Domain List : service de « Web réputation »
  • Quttera : service de « Web réputation »
  • Etc.

• Votre centre d'intérêt précédent - d'où vous venez.
  Le lien (URL) de la page sur laquelle vous pourriez retourner en cliquant sur le bouton « Reculer d'une page » de votre navigateur Web. Son contenu est également analysé. Ceci permet de suivre et enregistrer, dans des bases de données aux capacités infinies, la totalité de votre navigation (la totalité des pages Web que vous avez regardées) depuis le premier jour où vous vous êtes connecté sur le Web. Ceci permet de vous profiler en temps réel et les profileurs vous connaissent mieux que vous ne vous connaissez vous-mêmes, mieux que votre mère ne vous connaît.

• Une immense quantité d'informations dont :

  1. Un GUID permettant de vous identifier de manière précise et unique, que vous utilisez ou interdisiez l'usage des cookies dans votre navigateur Web.

  2. Votre géolocalisation précise, à quelques centimètres près.

  3. Etc.

  Voir les pages démonstratives des chapitres « Sommes-nous espionnés » et « Souriez, vous êtes cernés ».

  Sommes nous espionnés

  Souriez, vous êtes cernés

Tout ceci touche à la vie privée (ce que vous faites, ce qui vous intéresse, où vous le faites à quelques centimètres près, comment vous le faites, à quel moment vous le faites, etc.).

La simple récupération de ces deux liens (URLs) (page actuelle et page précédente), page par page, sur toutes les pages que vous ouvrez depuis votre premier jour sur le Web (votre « clickstream »), permet à toutes les tierces parties, qui sont obsédées par chaque internaute du monde, de reconstituer toute votre vie sur le Web.

Tout cela, et bien plus encore, est noté et analysé, à vie, à votre insu, dans des bases de données infinies dont les usages réels sont totalement ignorés. On vous jette en pâture que c'est pour vous délivrer des messages publicitaires plus pertinents (la publicité est le modèle économique d'un Web gratuit), mais quels sont les autres usages de ces données collectées ?

Dans un domaine connexe, comment constitue-t-on des bases de données privées : les fichiers de police et gendarmerie, en France, dont certaines données sont vendues clandestinement par des employés trop nombreux à y avoir accès et, pour certains, financièrement intéressés.

Tout cela relève exactement de ce que fait le service d'espionnage intérieur français anciennement appelé RG (Renseignements Généraux), mais en bien plus rapide (en temps réel) et infiniment plus complètement et insidieusement. En réalité, il n'y a pas qu'une seule officine qui vous espionne. Elles sont des dizaines simultanément, plus ou moins obscures, provenant de divers pays, sans relâche, 24 h / 24 - 365 j / 365, toute votre vie durant, depuis le premier jour où vous vous êtes connecté sur l'Internet (et bien avant avec les cartes de paiement, les chèques, les caisses enregistreuses, les cartes de fidélités, les abonnements, les DAB (Distributeurs automatiques de billets), les compteurs électriques relevés à distance, la domotique, les puces RFID, les caméras de surveillances, l'analyse en temps réel du déplacement de votre regard sur les affiches publicitaires, la reconnaissance faciale, etc.).

Le « Web Bug » est une technologie placée sur un site Web (dans toutes ses pages) ou dans le corps des e-mails, afin d’effectuer le suivi (la surveillance, l’espionnage) des activités :

• Qui ?
• En venant d'où (Site Web, page Web...) ?
• Où (géolocalisation) ?
• Quand (horodatage) ?
• Temps resté sur la page (par différence avec horodatage d’entrée sur la page suivante visitée) ?
• Détection de l'ouverture d'un e-mail (méthode souvent utilisée en plus des cookies) ?
• Etc.

Les « Web Bug » sont adossés à l'usage de cookies de tracking embarquant un GUID, ce qui permet de consolider le tracking autour d'une même personne physique à travers tout ce qui est fait.

Lire : « Commander une pizza » et le « Hit-parade des plus gros utilisateurs de Web Bug »

La Fondation Mozilla protège ses utilisateurs

Dans cette capture d'écran, c'est le courrielleur (client de messagerie) Thunderbird, de la Fondation Mozilla (également éditeur du navigateur Web « Firefox »), qui protège ses utilisateurs des Web Bug et requêtes à des objets distants.

L'accès à n'importe quelle image ou n'importe quel objet distant provoque une requête HTTP, avec son entête HTTP (header HTTP), ce qui permet le tracking.

Un opérateur de tracking qui n'a pas de raison apparente d'être présent dans un site Web offre un service quelconque au webmaster du site en question en échange de l'incrustation d'un Web Bug (pixel invisible), afin de capturer les informations offertes par et dans l'entête HTTP (header HTTP) et de les exploiter et revendre (à l'insu des webmasters et des utilisateurs).

Voir ce que cela permet dans le Dossier : qui êtes-vous ? Vous et vos traces sur le Web.

Stop tracking (espionnage) - Stop profiling (analyse comportementale)
Outil	Anti-pub (1)	Anti-track (2)	Anti-mal (3)	Anti-virus (4)	Anti-XSS (5)	Anti-CDN (6)	Payant	Navigateurs et systèmes supportés	La méthode fait regresser ou tue le Web gratuit	Recommandé ou Déconseillé
Ad Muncher	Oui	Oui	Oui					Tous navigateurs		Déconseillé Code plus mis à jour depuis fin 2014
Adaware Ad-Aware - polémiques	Oui	Oui	Oui	Oui						Déconseillé Détournement crapuleux de Ad-Aware
Ad-Aware Ad-Aware - polémiques	Oui	Oui	Oui							N'existe plus depuis le 18 janvier 2011
Adblock Créé le 03/09/2012. Inspiré (copié) de Adblock Plus.	Oui	Oui	Oui				Non	Firefox Chrome Edge Opera K-Meleon Safari Internet Explor Yandex brows Windows Mac iOS Android	Non (Liste blanche préconfigurée commercialement)	Déconseillé (machine à cash) Préférer Adguard.
Adblock Edge										N'existe plus depuis juin 2015
Adblock Plus Créé le 09/06/2006. Inspiré (copié) du Adblock originel de 2002, par Henrik Aasted Sorensen (plus ancienne trace le 06/12/2002).	Oui	Oui	Oui				Non	Firefox Chrome Edge Opera K-Meleon Safari Internet Explor Yandex brows Windows Mac iOS Android	Non (Liste blanche préconfigurée commercialement)	Déconseillé (machine à cash) Préférer Adguard.
AdBlocker Ultimate (application pour Windows)	Oui	Oui	Oui				Oui (30 jours gratuits)	Tous navigateurs sous Windows	Oui (Pas de liste blanche préconfigurée [acceptables] ni de liste blanche personnelle)	Recommandé, mais payant et tue le Web gratuit.
AdBlocker Ultimate (add-on pour navigateurs Web, Android et iOS)	Oui	Oui	Oui				Non	Firefox Chrome Edge Opera K-Meleon Safari Internet Explor Yandex brows Windows Mac iOS Android	Oui (Pas de liste blanche préconfigurée [acceptables] ni de liste blanche personnelle)	Recommandé
Adfender (application pour Windows)	Oui	Oui	Oui				Oui (14 jours gratuits)	Tous	Non	Déconseillé (Agit en proxy)
Ad-free time!	Oui						Oui	Tous	Oui (Bloque les serveurs publicitaires au niveau de leur propre serveur DNS)	Déconseillé (Serveur DNS et principe de tracking par les serveurs DNS)
Adguard (Adguard Adblocker) Version Premium (application Windows et Mac)	Oui	Oui	Oui				Oui (14 jours gratuits)	Tous	Non	Recommandé mais payant
Adguard (Adguard Adblocker) (add-on pour navigateurs Web)	Oui	Oui	Oui				Non	Firefox Chrome Edge Opera K-Meleon Safari Internet Explor Yandex brows Windows Mac iOS Android	Non (Pas de liste blanche préconfigurée, mais liste blanche personnelle - possibilité de désigner certains sites de confiance à soutenir ou sites qui, sans publicité, sont payants...)	Recommandé
Decentraleyes		Oui				Oui	Non			Recommandé (obligatoire)
Ghostery	Oui	Oui					Non	Firefox Chrome Edge Opera K-Meleon Safari Internet Explor Yandex brows Cliqz Windows Mac iOS Android		Recommandé
NoScript Security Suite		Oui			Oui		Non		Non	Recommandé (pour utilisateurs avancés)
Privacy Badger (par EFF Technologists)		Oui					Non			Recommandé (obligatoire)
uBlock (n'est pas uBlock Origin)										Interdit
uBlock Origin	Oui	Oui					Non	Firefox Chrome Edge Opera K-Meleon Safari Internet Explor Yandex brows Windows Mac iOS Android	Oui (Pas de liste blanche préconfigurée [acceptables] ni de liste blanche personnelle)	Recommandé, mais tue le Web gratuit.
µBlock (uBlock) (racheté par Adblock Plus)	Oui	Oui					Non		Non	Déconseillé (et n'existe plus)
RGPD (GDPR)		Oui					Non	Obligation légale entrée en vigueur le 25 mai 2018 imposée à toutes les organisations, numériques ou non, Européennes. Imposée également, par extraterritorialité, à toute organisation dans le monde qui stocke des données de citoyens résidents en Europe. Choisir de refuser les cookies et la collecte de données chaque fois que la question est posée.

Stop tracking - Stop profiling - Stop pub - Notes à propos de ce tableau de synthèse :

• Les annotations de couleur verte indiquent un avis favorable.

• Les annotations de couleur rouge indiquent un avis défavorable.

• Il n'est pas recommandé d'installer plusieurs bloqueurs de type add-on pour navigateurs Web.

1. Comportement anti-adwares (blocage des publicités, avec ou sans listes blanches préconfigurées et/ou liste blanche personnelle de l'utilisateur [merci de permettre à assiste.com de survivre]).

2. Comportement anti-tracking des anti-adwares (conséquence du blocage des publicités, mais le tracking [espionnage] utilise bien d'autres technologies, trucs et astuces imparables qui s'exécutent côté serveur. Il est même envisagé l'abandon des cookies côté internaute (client), car il y a bien d'autres méthodes côté serveur où personne ne pourra intervenir pour filtrer/supprimer ces données volées, sauf à instaurer des textes législatifs incontournables et des sanctions totalement dissuasives, y compris dans les paradis fiscaux et la totalité des pays du monde, avec extraterritorialité). Notons que dès l'invention du Web (W3C) Tim Berners-Lee avait prévu une restriction de capture des données personnelles, mais cela fut abandonné.

3. Le comportement anti-malware des anti-adware n'a rien à voir avec la présence d'un antivirus, ni avec la présence de bases de signatures, mais avec la simple consultation de listes noires publiques.

4. Le comportement antivirus d'un anti-adware ne provient jamais du développement d'un antivirus par l'éditeur de l'anti-adware, mais de la signature d'un contrat de licence, par l'éditeur de l'anti-adware, avec un véritable éditeur d'un véritable antivirus. Cela dit, les antivirus, eux, sont de plus en plus souvent enrichi d'une fonction d'anti-adware, les adwares ne provenant pas de grands éditeurs étant parfois des vecteurs d'attaques.

5. Le Cross-site scripting (XSS) est un type d'exploitation de vulnérabilités numériques (faille de sécurité) généralement rencontrées avec les navigateurs Web.

   • Historique des alertes et avis de sécurité sur Microsoft Edge (forum en panne).

   • Historique des alertes et avis de sécurité sur Google Chrome (forum en panne).

   • Historique des alertes et avis de sécurité sur Mozilla Firefox (forum en panne).

   • Historique des alertes et avis de sécurité sur Internet Explorer (forum en panne).

   • Historique des alertes et avis de sécurité sur Apple Safari (forum en panne).

   • Opéra ne communique jamais sur ses failles.

     • Sécurité par l'ignorance.

     • Sécurité par l'obscurité.

     • Sécurité par le silence.

     • Mais on peut trouver la liste des CVE référençant Opéra

     • CVE ?

     • CVE - tromperies et full disclosure.

   • Les CDN sont des appropriations, par certains grands opérateurs sur le Web, de codes exécutables divers dans tous les domaines, développés et distribués gratuitement par des passionnés oeuvrant pour la communauté.
     
     

     L'idée apparente est d'agréger certains de ces codes sur un unique serveur puissant et fiable au lieu de les laisser éparpillés sur de petits serveurs dans le monde entier, serveurs risquant de tomber en panne ou de disparaitre, mettant tous ces sites et leurs visiteurs en péril.
     
     L'idée sous-jacente est sournoise : capter un maximum d'internautes au monde pour utiliser des outils de tracking et de profiling.

6. En tant que développeur de sites ou service Web, pas besoin de chercher où se trouve des codes de fonctions (des programmes informatiques) astucieux à utiliser pour mes propres sites ou services Web, voire même de découvrir des fonctions que je ne connaissais pas.

7. En tant qu'internaute, pas besoin à mon ordinateur et ma connexion de contacter plusieurs serveurs si tous les codes sont groupés sur très peu de gros serveurs.

   Mais ces super serveurs deviennent de super centralisateurs / agrégateurs au service de nombreux sites ou services Web recevant de très nombreux internautes et s'érigent donc en supers centres de tracking (espionnage). La solution pour empêcher totalement leurs trackings est de les rendre totalement inutiles avec Decentraleyes.

Les « bannières publicitaires » sont des incrustations publicitaires à l'intérieur de documents. Elles sont le moyen le plus utilisé pour faire de la publicité et, donc, procurer un revenu à l'auteur du document, voire à payer tout le staff de salariés qui développent un site Web (parfois des dizaines ou centaines de salariés) et toutes les charges financières d'hébergements du site, les serveurs, les locaux, l'assurance de la permanence du service, les énergies, etc.

La publicité est le modèle économique d'un Web gratuit.

Permettez aux sites que vous aimez et consultez de vivre, de survivre, en leur permettant d'afficher quelques publicités et de cliquer dessus de temps en temps. Assiste.com (et son auteur) sont dans ce cas (après s'être opposé à la moindre publicité durant des années).