Lorsqu’un internaute visite un site web ou s’y inscrit, il laisse certaines de ses données personnelles au site. Mais des acteurs tiers peuvent aussi en être destinataires… Peu visibles de l’internaute, ils agissent parfois à l’insu du site web lui-même. Ce sont d’abord des acteurs situés au niveau applicatif, dont le code source s'exécute directement dans la page web (régies publicitaires, services de mesure d’audience, plateformes RTB). Ce sont aussi les CDN, qui se positionnent comme des intermédiaires au niveau réseau. Nous vous proposons l'analyse de deux méthodes utilisées pour détecter ces fuites de données. Les exemples présentés dans cet article sont fictifs, mais fondés sur des situations réelles rencontrées lors de contrôles de la CNIL.
L'essentiel est invisible pour les yeux. (Antoine de Saint-Exupéry)
1. Méthodologie et configuration de l'environnement proposées
1.1 Description générale de la méthodologie
L'un des objectifs de cet article est de proposer au lecteur de MISC une méthodologie reproductible afin de lui permettre d'analyser une partie des flux de données mis en jeu lors d'une inscription sur un site web (de e-commerce, de jeu en ligne, service de messagerie électronique, réseau social...). Le lecteur pourra alors se rendre compte par lui-même que, dans de nombreux cas, certaines des données personnelles transmises de son navigateur vers les serveurs du site sont également envoyées, souvent à son insu, vers des tiers qu'il ne connaît pas forcément.
La méthodologie se veut simple : elle consiste à réaliser une inscription sur le site web choisi puis, éventuellement, un achat avec paiement. On capturera alors d'une part les flux HTTP/HTTPS entre le navigateur et les...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
- [PSEUDO] : Il y a souvent une confusion entre anonymat réel et pseudonymat. D'un point de vue « informatique et libertés, » l'anonymat se définit « en creux » par rapport à la notion de données à caractère personnel (cf. article 2 de la loi du 6 janvier 1978 modifiée). Or dans le cas présent (identifiants uniques de cookies), il s'agit d'un cas de pseudonymat et pas d'anonymat, sinon les acteurs tiers ne pourraient pas "revenir" vers les internautes pour leur afficher une pub ou autre. Ceci est rappelé dans l'article 1 de la récente recommandation de la CNIL sur les cookies et autres traceurs : http://www.cnil.fr/documentation/deliberations/deliberation/delib/300/. Pour plus de détails sur la notion de données anonymes, on peut également se référer à l'avis récent du G29 (groupe des « CNIL » européennes) sur le sujet :
http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdf. - [LIVE_HTTP_HEADERS] : Extension « Live HTTP Headers » : https://addons.mozilla.org/fr/firefox/addon/live-http-headers/
- [RTB] : Real Time Bidding ou plateformes d'enchères publicitaires en ligne en temps réel. Elles permettant aux acteurs de la publicité ciblée en ligne d'acheter aux sites web des espaces publicitaires en temps réel. Les enchères (des micro enchères en fait) sont déterminées internaute par internaute et publicité par publicité en quelques millisecondes (trading à haute fréquence).
- [CLAUSES] : Si le prestataire est considéré comme un sous-traitant, il ne faut pas oublier l'article 35 de la loi « informatique et libertés » qui prévoit que : « Le contrat liant le sous-traitant au responsable du traitement comporte l'indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement. » Le guide de sécurité de la CNIL donne des modèles de clauses de confidentialité pouvant être utilisées en cas de sous-traitance : http://www.cnil.fr/fileadmin/documents/Guides_pratiques/Guide_securite-VD.pdf
- [AKAMAI] : « Instead, we have more than 125,000 servers deployed in more than 1,100 networks around the world so that content and applications can be delivered from Akamai servers located closer to website visitors — from what we call the “edge” of the Internet » : http://www.akamai.com/dl/investors/akamai_annual_report_12.pdf
- [TRAFIC_CDN] : http://blog.streamingmedia.com/wp-content/uploads/2013/07/2013CDNSummit-B102A.pdf
- [AKAMAI_CNAME] : http://www.akamai.com/dl/feature_sheets/fs_edgesuite_securecontentdelivery.pdf
- [ZAP] OWASP Zed Attack Proxy Project : https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
- [SPRING BISHOP] : Un bref descriptif du programme est disponible sur le site https://www.nsa-observer.net/ (aller dans "programs", puis sélectionner "target"). Des slides originaux avec schémas sont quant à eux disponibles à l'URL suivante : http://hbpub.vo.llnwd.net/o16/video/olmk/holt/greenwald/NoPlaceToHide-Documents-Uncompressed.pdf (à partir de la page 85).
