RequestPolicy

cr  23.08.2020      r+  22.10.2024      r-  22.10.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

RequestPolicy était un module additionnel (un add-on) au navigateur Web Firefox. Lui et ses variantes n'existent plus.

RequestPolicy Continued qui est un « fork » de RequestPolicy, l'auteur de RequestPolicy originel ayant cessé de le maintenir. Il existe, actuellement (dernière vérification en février 2016), 4 versions de RequestPolicy. Aucune de ces versions n'existent encore :

1. RequestPolicy version originelle (dite Legacy), stable (version 0.5) : n'existe plus.

2. RequestPolicy version originelle (dite Legacy), (version 1.0) : n'existe plus.

3. RequestPolicy Continued stable (version 0.5) (c'est la même que RequestPolicy Legacy) : n'existe plus.

4. RequestPolicy Continued (version 1.0) appelé à remplacer toutes les autres : n'existe plus.

RequestPolicy, comme NoScript (les deux travaillent dans le même esprit) n'est pas à mettre entre toutes les mains.

Si ces deux outils représentent ce qui se fait de mieux en matière de protection de la navigation, ils nécessitent, de la part de l'utilisateur, une compréhension de ce qui se passe (la notion de client / serveur et la notion de requêtes), et une bonne capacité de discernement qui peut s'apprendre dans les livres mais qui s'acquier par la pratique du Web.

Vous êtes surveillé en permanence (24/24, 365/365), sur l'Internet, en temps réel, par des centaines de sociétés et officines, gouvernementales ou plus ou moins obscures, qui se conduisent comme des agents de nos Renseignements Généraux. Les gouvernements le font. Les régies publicitaires le font. Des centaines d'autres le font afin de collecter des informations et les vendre aux deux autres et à tout acheteur qui se présente (sectes cherchant à recruter des richissimes dont on détermine la fragilité mentale et la maléabilité, groupes terroristes cherchant à recruter de la chair à canon dont on détermine le niveau de crétinisme et l'influençabilité, etc.).

Des logiciels, dans des domaines appelés data mining et big data, existent qui analysent les données et déterminent les profils (les armées, par exemple, en posèdent pour recruter ou promouvoir, en interne, mais aussi pour identifier des cibles...). Lire :

• RIOT : Google des vies privées.
  

• TIA : Tout capturer Tout savoir
  

• GOSSIP - Profiling militaire
  

RequestPolicy vous permet de surveiller ceux qui vous surveillent et de clouer le bec à plusieurs d'entre eux.

Ecrit dans le langage de programmation de scripts JavaScript, RequestPolicy intercepte toutes les demandent (les requêtes HTTP, etc.) d'une page Web pour se rendre sur des serveurs tiers, et les bloque toutes.

L'utilisateur, une par une, débloque certaines requêtes, de manière temporaire ou définitives (l'utilisateur ne sera plus amené à autoriser quelque chose qui l'est déjà de manière définitive).

Ces requêtes sont appelées « Requêtes croisées entre sites » ("Cross-site requests").

Les « Requêtes croisées entre sites » posent plusieurs problèmes :

• De part l'infracstructure d'Internet, elles posent des problèmes de violation de la vie privée. Ce sont les données envoyées d'office lors de toutes les requêtes d'un « client » (votre navigateur Web et, donc, vous) à un serveur (une machine distante, appartenant à quelqu'un d'autre, que vous ne connaissez pas et ne maîtrisez pas). Ces données sont stockées dans l'entête de chaque requête : les http header.

• De part le fait que ces requêtes sont contrôlées par des scripts qui ajoutent à l'URL destinatrice de la requête, tout un tas d'autres informations, en plus de celles contenues dans l'entête http.

• De part le fait que ces requêtes sont souvent obfusquées (chiffrées, cryptées) et qu'il n'est pas aisé, voire impossible, de comprendre et savoir qu'est-ce qui est envoyé (qu'est-ce qui sort de nos machine) pour aller on ne saits où.

L'utilisateur consulte très simplement et très rapidement les demandes (les requêtes) bloquées / débloquées et peut, une par une, les autoriser ou non.

Les requêtes qui se dirigent manifestement vers des serveurs totalement inutiles doivent rester bloqués. Par exemple :

Toutes les requêtes faites par n'importe quel site du monde vers le serveur de polices de caractères de Google, doivent être et rester bloquées. Jamais un site n'a besoin de polices de caractères stockées sur les serveurs d'un tiers (Google). Ce " service " offert gratuitement par Google ne sert qu'à Google pour surveiller (traquer, espionner) les internautes. Cela participe du Principe d'encerclement de Google.

A l'inverse, et malheureusement pour la protection de la vie privée face à l'inquisition de Google, toutes les requêtes sont faites au serveur d'APIs () ajax.googleapis.com.