🛡️ FIREFOX : Tracking, pistage utilisateur et sécurité

[Parisien_entraide]

Je rectifie ce sont celle ci uniquement

127.0.0.1 addons.cdn.mozilla.net
127.0.0.1 addons.cdn.mozilla.net

Et puis même en dehors, sur le site je n'y est pas accès, même avec une version portable, peut importe la version, ou nouveau profil.

Si tu relis, le but n'est pas de bloquer le magasin, mais d'éviter le tracking avec Google Analytics
En passant avec le lien direct au lieu du magasin intégré dans le navigateur, tu peux quand même utiliser le magasin mais.. sans tracking :-)

[devadip]

[ - VPN et WebRTC

media.peerconnection.enabled (false) Si vous utilisez un VPN (explication à https://www.undernews.fr/anonymat-cryp ... ction.html

[b]Désactiver WebRTC. WebRTC divulgue vos adresses IP même si vous utilisez un VPN.[/b]

Si vous conservez WebRTC, il est alors recommandé d’utiliser uBlock Origin et de cocher un paramètre dans le tableau de bord, pour sécuriser WebRTC

slt parisien
a propos de WebRTC, je voulais savoir si ça avait un intérêt (pour Mr tout le monde) d'avoir ce WebRTC activer ou si on pouvait le désactiver totalement parce que dans opera, il est recommandé de laisser activer (il faut donc mettre une extension pour empêcher la fuite WebRTC)

[Parisien_entraide]

Les raison sont expliquées car WebRTC permet à un site tiers d'exploiter le WebRTC dans notre navigateur pour détecter notre adresse IP réelle et l'utiliser pour nous identifier.
Sur Firefox pas besoin de faire des manips, Ublock Origin s'en charge (il faut cocher la case adéquate)

Je ne connais pas le comportement d'OPERA (du moins dans les dernières moutures) , mais après il faut savoir à quoi sert WebRTC (qui sera de plus en plus utilisé) et pourquoi OPERA souhaite que ce soit actif

[devadip]

slt
quand tu dis que "Ublock Origin s'en charge", il faut pas oublier de cocher la case

[Parisien_entraide]

C'est indiqué sur la page 1 "Si vous conservez WebRTC, il est alors recommandé d’utiliser uBlock Origin et de cocher un paramètre dans le tableau de bord, pour sécuriser WebRTC"

Mais au cas où c'est passé inaperçu je vais le modifier dans la phrase :-)

[Malekal_morte]

Pour information, depuis la version 57, Mozilla Firefox a introdui un blocage de contenu.
Cette fonctionnalité vise à protéger les internautes des traqueurs et pistages notamment utilisés par les régies publicitaires.

Un topo rapide sur cette page pour le fonctionnement de cette protection contre le pistage : Firefox et le blocage de contenu : protection contre le pistage, traqueur et publicités.

[Parisien_entraide]

Houaou....

L'article premier date de 2017
Il y aurait sûrement beaucoup à redire du fait de fonctions supprimées, ajoutées, dépréciées, sans compter les modules complémentaires disparus ou nouveaux et.. des nouveautés ou fonctionnalités ajoutées et/ou supprimées de Firefox

NEANMOINS la méthode reste toujours valable et les liens également


Si vous souhaitez une alternative à Firefox, du moins un Firefox qui est plus respectueux de votre vie privée, soit vous mettez les mains dans le cambouis comme sur ce qui est présenté sur la première page et liens en rapport, soit vous prenez :

LibreWolf
https://www.malekal.com/librewolf-une-a ... a-firefox/

Le GROS avantage c'est qu'à chaque nouvelle version de Firefox, vous n'êtes pas obligé de récupérer le fichier user.js à l'adresse
https://github.com/arkenfox/user.js et de vous plonger dans les modifs, pour ne serait ce que changer la langue US en FR


On peut même aller plus loin avec la configuration de LibreWolf

Déjà il faut savoir (l'auteur vit en Allemagne d'ou les .de je présume)

_______________
"La toute première fois que Librewolf est démarré, il contacte immédiatement le CDN du module complémentaire Mozilla, Amazon Cloudfront et plusieurs autres endroits, même si les mises à jour automatiques des extensions sont désactivées par défaut.

Le vidage réseau révèle certains des domaines et adresses IP suivants (j'ai raccourci la liste) :

addons.cdn.mozilla.net
serveur-13-33-240-122.hel50.r.cloudfront.net
ec2-34-253-97-22.eu-west-1.compute.amazonaws.com
content-signature-2.cdn.mozilla.net
rt4bb146-89-147.routit.net
injuste
statique.213-133-100-23.clients.votre-serveur.de
132.145.233.26
52.142.124.215
167.99.237.63
194.187.168.100

S'il est vrai que le projet lui-même ne collecte aucune télémétrie, les domaines que le navigateur visite la toute première fois que vous ouvrez le navigateur enregistrent ces demandes, ce qui - en plus des mises à jour opportunes - C'est le seul problème qu'il y a avec Librewolf dans ce domaine

Sur la FAQ Librewolf, ce qui suit est indiqué (au 07/03/2022):
____________________________
LibreWolf établit-il des connexions sortantes ?

Oui, mais ils ne portent aucunement atteinte à la vie privée et ils ont été soigneusement évalués. Plus précisément, ils sont nécessaires pour récupérer et mettre à jour les listes de blocage utilisées par uBO, Tracking Protection et CRL, que nous avons considérées comme plus importantes que la désactivation de toutes les connexions sortantes, en particulier celles qui sont inoffensives. LibreWolf établit également une connexion occasionnelle pour vérifier si vous avez reçu des notifications push des sites Web auxquels vous vous êtes abonné.

Cela étant dit, LibreWolf s'engage toujours à supprimer toutes les connexions envahissant la vie privée et à maintenir toutes les connexions au strict minimum requis pour maximiser et équilibrer la confidentialité et la sécurité.
______________________________

La parade si vous y tenez (Que LibreWolf applique en grande partie mais pas pour tout) :

https://github.com/arkenfox/user.js

et le petit script de mise à jour qui va bien
https://github.com/arkenfox/user.js/wiki/

Ce projet est maintenu par des personnes très compétentes, dont un développeur Mozilla actif et un développeur du projet Tor .


On peut y ajouter (attention aux possibles contraintes)
https://gist.github.com/0XDE57/fbd302cef7693e62c769

et
https://codeberg.org/12bytes.org/Firefo ... supplement
(cliquer sur le fichier user-overrides.js , puis cliquer sur le bouton "Raw" et appuyez sur Ctrl+S pour enregistrer le fichier)

En se rappelant qu'à chaque fois qu'on modifie Firefox, qu'on y ajoute des modules on se rapproche du fait que l'on peut devenir UNIQUE sur internet
De plus il ne faut pas oublier les innovations de type Dynamic First Party Isolation (dFPI) qui isole le stockage Web par domaine afin que les sites de collecte de données tels que Facebook, Twitter, Instagram, Twitter, etc., ne soient pas en mesure de vous suivre aussi efficacement

Que rester anonyme ou protéger ses données à 100% reste une chimère

Je conseille, et Firefox le permet, de se créer des profils par domaine d'utilisation (tout venant, shopping, études de sites)
Le soucis étant que tout cela prend du temps, mais par ex pour les achats internet, un Ublock origin réglé en mode par défaut suffit amplement

Pour le reste il faut bien comprendre ce que l'on fait, la portée et les inconvénients
Si on simplifie, le plus souvent, JavaScript et les cookies doivent être autorisés pour que les connexions réussissent

Javascript c'est génial MAIS c'est aussi un cauchemar en terme de sécurité
En plus de nombreuses techniques d'empreintes digitales et de suivi reposent sur l'activation de JavaScript
Le soucis c'est que sur la majorité des sites on ne peut s'en passer. Il faut donc l'activer suivant les besoins et en étant certain que le site est fiable (ce qui n'est pas évident à savoir)

Certains sites Web utilisent également un système de connexion inter-domaines dans lequel le navigateur est redirigé vers un domaine différent dans le but de se connecter, puis de nouveau vers le domaine d'origine. Dans ce cas, dFPI peut interrompre les connexions bien que Firefox utilise des "shims" pour surmonter les instances courantes de ce problème.



Et si tout cela ne vous convient pas : https://www.malekal.com/quel-est-le-mei ... ie-privee/

[Parisien_entraide]

2023-10-22_160021.jpg

Une mise à jour intéressante à venir dans FIREFOX : la protection "BLOB URL "



Définition au plus simple :
Une URL BLOB est une référence locale pour des data en "raw"
Les trackers peuvent se servir des ces "URL BLOB" pour partager des données entre les sites web

Les blob URLs sont des URLs (Uniform Resource Locators) générées dynamiquement qui permettent d'accéder aux données binaires stockées dans un objet Blob (Binary Large OBject) en JavaScript.

Un objet Blob peut contenir des données de différents types, comme des images, des fichiers audio ou vidéo, du texte ou tout autre type de données binaires. Cela en fait une technique utile et souple pour manipuler des pseudo-fichiers en mémoire, qui n'existent pas en tant que tels sur un serveur web. D'ailleurs on ne pourra pas générer de Blob côté serveur (back-end), cela n'existe que du côté navigateur (front-end).

les blob URLs ne sont valides que pendant la durée de vie de l'objet Blob auquel elles sont liées, et donc très souvent durant la session de navigation. Le navigateur libère la mémoire lorsqu'on ferme la fenêtre, l'onglet, lorsqu'on recharge, etc. Une fois que le Blob est supprimé ou qu'il n'est plus accessible, la blob URL ne fonctionnera plus et devra être générée à nouveau si nécessaire.

Chez Mozilla
https://developer.mozilla.org/en-US/docs/Web/API/Blob
______________

Maintenant que l'on sait ce que c'est, (et que Chrome pour des raisons évidentes ne touchera pas) actuellement on voit qu'il y a un manque du côté de Firefox en version 118 à ce jour

2023-10-22_155105.jpg

Cela sera résolu si on regarde la prochaine Nightly (version 120)
Au passage cela touche LIBREWOLF et c'est normal

LIBREWOLF (basé sur Firefox avec un grand nombre de tweaks rempli les conditions)
En fait il absorbe ce que l'on trouve dans https://github.com/arkenfox/user.js sans pour cela passer des heures à tout configurer
https://www.malekal.com/librewolf-une-a ... a-firefox/

F8M8_S7bIAAkzzN.jpg

Source https://privacytests.org/

A noter qu'il existe un tableau également pour les applis de messagerie rapides

https://www.securemessagingapps.com/


Edit :
On peut voir que meme Chrome (Sous la pression, ou parque qu'ils ont mieux ?) s'est aussi amélioré nettement par certains côtés entre la V117 et 118

F7sYi0LbEAARGTi.jpg

Mais il ne faut pas se leurrer.. Le coeur de métier "annoncé" de Google ce sont les revenus de la publicité en ligne.
Chrome est un aspirateur de données déguisé en navigateur et son fond de commerce c'est la pub
Donc ils ne vont pas se tirer une épine dans le pied

Pour les autres aspects lire :
Comment la CIA a créer Google - Chrome
viewtopic.php?t=72960

[Parisien_entraide]

La position de MOZILLA et usage de FIRFOX et extensions pour les années à venir du fait du MANIFEST V3


Google Chrome Manifest V3 : les extensions Manifest V2 seront désactivées à partir de juin 2024 (Chrome 127)
viewtopic.php?p=547073#p547073

[Parisien_entraide]

Bonne nouvelle

Firefox sur Android est ENFIN compatible avec presque 500 nouvelles extensions.
Source : https://blog.mozilla.org/en/mozilla/new ... r-android/


LIen direct des extensions https://addons.mozilla.org/en-US/android/

Exemples :

https://addons.mozilla.org/fr/android/a ... ck-origin/
https://addons.mozilla.org/en-US/androi ... ngle-file/
https://addons.mozilla.org/en-US/androi ... rch-fixer/
https://addons.mozilla.org/en-US/androi ... e_adblock/

Par contre dans la version classique de Firefox Android on ne peut pas installer les .xpi, dommage (peut etre en passant par la Beta et Nightly mais pas eu le temps de tester)

[Parisien_entraide]

2024-07-13_142540.png

Source : https://support.mozilla.org/fr/kb/attr ... vie-privee

Extrait de la source

_______________________

L’attribution respectueuse de la vie privée (privacy-preserving attribution, abrégé par PPA) est une fonctionnalité expérimentale qui arrive dans la version de Firefox 128.

Mozilla met au point cette fonctionnalité afin de mettre au point un standard du Web émergent conçu pour aider les sites à comprendre la performance de leurs publicités sans collecter de données sur les individus.
En offrant aux sites une alternative non invasive au pistage intersite, nous espérons obtenir une réduction significative de cette pratique malfaisante sur le Web.

Comment l’attribution respectueuse de la vie privée protège-t-elle mes données ?
La PPA n’implique pas le pistage par les sites web. À la place, c’est votre navigateur qui a le contrôle. Ce qui suppose de solides mesures de protection de la vie privée, allant jusqu’à l’option de refuser la participation.
(...)

L’attribution respectueuse de la vie privée agit ainsi :

1) Les sites web qui vous présentent des publicités peuvent demander à Firefox de s’en souvenir. Quand c’est le cas, Firefox conserve une « impression » qui contient quelques informations sur la publicité, notamment le site web qui en est la destination.

2) Si vous vous rendez sur le site web de destination et que vous agissez d’une façon que le site considère suffisamment importante pour la compter (une « conversion »), ce site peut demander à Firefox de générer un rapport. Le site web de destination précise quelles publicités l’intéressent.

3) Firefox produit un rapport en se fondant sur la demande du site web, mais ne lui donne pas le résultat. Firefox chiffre le rapport et le soumet anonymement en utilisant le protocole d’agrégation distribuée (Distributed Aggregation Protocol, DAP) à un « service d’agrégation ».

4) Vos résultats sont combinés avec nombre d’autres rapports similaires par le service d’agrégation. Le site de destination reçoit périodiquement un résumé des rapports. Celui contient le bruit fourni par confidentialité différentielle.


Cette approche possède nombre d’avantages par rapport aux méthodes d’attribution par contribution, qui amènent beaucoup d’entreprises à énormément étudier vos activités sur Internet.

La PPA n’implique pas d’envoi d’informations sur votre navigation à quiconque, y compris Mozilla et notre partenaire DAP (ISRG). Les annonceurs ne reçoivent que des informations agrégées qui répondent à des questions élémentaires au sujet de l’efficacité de leurs publicités.

___________________

Je n'utilise que des versions ESR de firefox, mais curieusement une autre fonction "globalprivacycontrol" n'était pas activée dans ma version 128 ESR (Bidouillée certes, mais...)

A la base cette fonction n'était disponible qu'aux USA , pour l'Etat de Californie qui a des restrictions de type RGPD
Ceci dit, cela n'a aucune incidence sur la nouvelle fonction, c'est différent
Pour la curiosité de la chose (parce qu'en fait passer à true n'active pas un nouveau paramètre mais active une fonction)
il suffit de tapoter dans la barre d'adresse : about:Config
et de faire une recherche sur

Code : Tout sélectionner

globalprivacycontrol

Chez moi elle était à "False" je l'ai donc mise à "True"

2024-07-13_134650.png

Il est dit

Introduite dans la version de Firefox 120, la fonctionnalité Global Privacy Control (contrôle global de la vie privée, abrégé en GPC) vous permet de notifier automatiquement un site web de ne ni vendre ni partager d’informations sur votre session de navigation sur ce site.

GPC fonctionne à la façon d’un mécanisme « Do Not Sell » (ne pas vendre) dans quelques États des États-Unis tels que la Californie, le Colorado et le Connecticut. Il peut également être utilisé pour signaler un refus des publicités ciblées ou une demande générale de limiter la vente ou le partage de vos données personnelles dans ces juridictions, comme dans d’autres telles que l’Union européenne, le Royaume-Uni, le Nevada, l’Utah et la Virginie.

Les explications ici
https://blog.mozilla.org/netpolicy/2021 ... y-control/
et en 2023
https://developer.mozilla.org/en-US/doc ... acyControl

En comparant avec et sans, la fonction existe déjà (surement du fait du RGPD) MAIS n'est pas activée
En la mettant à "True" cela l'active et.. C'est tout
Comme il a été dit, ce n'est pas une nouvelle fonction, mais un paramètre que l'on peut activer en passant par le menu




Cela ne change rien au nouveau paramètre, puisqu'avec ou sans j'ai la fonction qui apparait :


De toute les façons dans les paramètres
La préférence de sites WEB doit apparaitre

origin.png

Et pour tester :

https://globalprivacycontrol.org/

dsite gpc.png

[Parisien_entraide]

2024-09-26_122316.jpg

Mozilla accusé de suivre les utilisateurs de Firefox sans leur consentement

Le groupe européen de défense des droits numériques NOYB (None Of Your Business) a déposé une plainte auprès de l'organisme autrichien de protection des données (DSB) contre Mozilla, alléguant que la société utilise une fonctionnalité de confidentialité de Firefox (activée sans consentement) pour suivre le comportement en ligne des utilisateurs.

La fonctionnalité, appelée « Privacy-Preserving Attribution » (PPA) et développée conjointement avec Meta (anciennement Facebook), a été annoncée en février 2022 et a été automatiquement activée dans la version 128 de Firefox, sortie en juillet .

La plainte de NOYB affirme que, malgré son nom, Mozilla utilise cette fonctionnalité pour suivre le comportement des utilisateurs de Firefox sur les sites Web.

Le reste sur la source
https://www.bleepingcomputer.com/news/t ... -consent/
et
https://noyb.eu/fr/firefox-tracks-you-p ... ng-feature

et la discussion
https://mastodon.social/@Schouten_B/112784434152717689
____________________________

Ce paramètre n'existe pas sur la version 115 ESR, seulement sur la version 128 ESR (la seule que j'utilise) et le version "classique"


Est ce que cela valait le coup de déposer une plainte au lieu de discuter de la chose ? J'en doute
Mozilla n'a pas la puissance financière de Google et essaie de survivre (L'argent est le nerf de la guerre) et a besoin de sources de financements
Le soucis étant de trouver le juste équilibre entre la préservation du tracking.Vie privée et l'industrie marketing ce qui n'est pas évident (Mëme soucis avec les sites qui ne peuvent exister qu'avec la PUB)

Ne rien faire : Non
Mais il faut éviter de sombrer dans l'extrémisme
Firefox ce n'est pas Chrome


Pour rappel (voir sujet précédent) il suffit de décocher la chose

2024-09-26_123234.png

[Parisien_entraide]

2025-01-05_225159.png

QUE DIT MOZILLA ? (En résumé)

Sources : https://www.mozilla.org/fr/privacy/firefox/
et https://www.mozilla.org/fr/privacy/fire ... lth-report

- Nous collectons des informations relatives aux paramètres de navigateur par défaut actuels et précédents du système, ainsi qu'aux paramètres régionaux et à la version du système d'exploitation.

Ces données ne peuvent pas être associées à des données de télémétrie basées sur un profil standard. Si le schéma vous intéresse, vous pouvez le trouver ici .
- Les informations que nous collectons sont envoyées sous forme de ping de télémétrie en arrière-plan toutes les 24 heures.
- Nous respecterons les paramètres de désactivation de la télémétrie configurés par l'utilisateur en examinant le profil Firefox le plus récemment utilisé .
- Nous respecterons les paramètres de stratégie personnalisés liés à la télémétrie d’entreprise s’ils existent. Nous respecterons également la politique visant à désactiver spécifiquement cette tâche.


Ceci dit la télémétrie n'est pas QUE mauvaise et peut aider Mozilla à améliorer ses produits, sans compter les stats d'usage



Mozilla a fourni quelques paramètres sur la page Options (Vie Privée et sécurité) pour sélectionner le type de données que vous souhaitez partager avec Mozilla et que vous souhaitez envoyer aux serveurs Mozilla.

Vous pouvez modifier ces paramètres

2025-01-05_224109.png

MAIS...même après avoir désactivé ces options, Firefox collecte et envoie toujours des données aux serveurs.


Cela fonctionne spécifiquement grâce à un fichier nommé default-browser-agent.exe qui réside dans le dossier Firefox sous Windows.
Celui-ci se trouve normalement dans C:\Program Files\Mozilla Firefox.
Si un utilisateur a déjà désactivé la télémétrie, ce fichier restera en veille.
Dans le cas contraire, il collectera et enverra les données à Mozilla une fois par jour.

A une époque il se trouvait dans le planificateur de tâches, mais il a disparu
J'essaierai de voir si il n'y a pas un lien avec le nouveau fichier de maintenance qui s'y trouve (Et que l'on peut désactiver au passage sans que cela nuise aux mises à jour) et qui pourrait l'avoir inclus


Mozilla conserve les données de télémétrie pendant 13 mois.
Lorsque vous refusez l'envoi d'informations de télémétrie (voir capture où tout est décoché), Mozilla les traite comme une demande de suppression également de toutes les données précédemment collectées, qui, selon la société, seront effacées dans les 30 jours.




Désactivez la télémétrie et la collecte de données :

Pour ce faire :
Ouvrez Firefox et tapez

Code : Tout sélectionner

about:config

dans la barre d'adresse et appuyez sur Entrée.

Il y aura un message d'avertissement, cliquez sur "Accepter le risque et poursuivre"

averti.png

Dans la barre de recherche, saisissez chacune des préférences suivantes, puis définissez-les sur la valeur fournie

-------------------------------------

Mettre à "False"

Code : Tout sélectionner

browser.newtabpage.activity-stream.feeds.telemetry

Code : Tout sélectionner

browser.newtabpage.activity-stream.telemetry

Code : Tout sélectionner

browser.ping-centre.telemetry

Code : Tout sélectionner

datareporting.healthreport.service.enabled 

Code : Tout sélectionner

datareporting.healthreport.uploadEnabled

Code : Tout sélectionner

datareporting.policy.dataSubmissionEnabled

Code : Tout sélectionner

devtools.onboarding.telemetry.logged

Code : Tout sélectionner

toolkit.telemetry.archive.enabled

Code : Tout sélectionner

toolkit.telemetry.bhrPing.enabled

Code : Tout sélectionner

toolkit.telemetry.enabled

Code : Tout sélectionner

toolkit.telemetry.firstShutdownPing.enabled

Code : Tout sélectionner

toolkit.telemetry.hybridContent.enabled

Code : Tout sélectionner

toolkit.telemetry.newProfilePing.enabled

Code : Tout sélectionner

toolkit.telemetry.reportingpolicy.firstRun 

Code : Tout sélectionner

toolkit.telemetry.shutdownPingSender.enabled 	

Code : Tout sélectionner

toolkit.telemetry.unified

Code : Tout sélectionner

toolkit.telemetry.unifiedIsOptIn

Code : Tout sélectionner

toolkit.telemetry.updatePing.enabled

Mettre à TRUE

Code : Tout sélectionner

datareporting.sessions.current.clean

Code : Tout sélectionner

toolkit.telemetry.rejected

Mettre la valeur à 2

Code : Tout sélectionner

toolkit.telemetry.prompted

Effacer l'url (l'adresse) qui apparait

Code : Tout sélectionner

toolkit.telemetry.server