Comment la CIA a crée GOOGLE et POURQUOI ? - Chrome -

[Parisien_entraide]

2023-11-18_143422.jpg

MANIFEST V3

Il y a plus de quatre ans, au début de l'année 2019, l'équipe de Google Chrome a annoncé des changements révolutionnaires pour la plateforme d'extensions du navigateur, connus sous le nom de "Manifest V3".

Bienvenue dans Manifeste V3
https://developer.chrome.com/docs/extensions/mv3/intro/
Et
Un guide pour convertir les extensions Manifest V2 en extensions Manifest V3.
https://developer.chrome.com/docs/extensions/migrating/




RESUMÉ (car il y a d'autres fonctions)


La version officielle pour le grand public est : Pour "mieux le protéger" :
En se débarrassant de l'API Web Request cela va empêcher de créer un peu trop facilement des extensions capables de voler les données personnelles des internautes par exemple (ce qui est partiellement faux : Voir le lien de l'EFF)

La version officieuse pour le business (Le fond de commerce de google il faut le rappeler)
Cela va limiter les capacités des bloqueurs de publicités puisque cette API, c'est l'outil qu'utilisent beaucoup d'extensions destinées à bloquer la publicité.



Google indique que :

Ces changements ne limiteront en rien les capacités des extensions bloqueuses de pub. En remplaçant la vieillissante API Web Request par une plus moderne, appelée Declarative Net Request,

Google affirme même que

les développeurs pourront "créer des bloqueurs de pubs plus sûrs et plus performants".

Evidemment on ne va pas les croire sur parole , parce qu'en fait le discours est biaisé
Alors OUI cela ne bloque pas les bloqueurs de pubs, mais ils travaillent de façon différente et pas pour l'utilisateur final

En utilisant Web Request, on peut analyser l’ensemble du trafic et bloquer le chargement d'éléments venant de certaines URL donc... celles appartenant à des régies publicitaires.
La nouvelle API " Declarative Net Request" n'autorisera plus ce genre de comportements.

Comme le précise l'EFF,

"les extensions ne pourront pas modifier la plupart des en-têtes ou décider de bloquer ou de rediriger sur la base de données contextuelles."

Sans compter que "

la proposition Manifest V3 ne fera pas grand-chose contre les extensions malveillantes qui extraient les historiques de navigation des personnes et les envoient à des agrégateurs de données douteux.

Lien, EFF https://www.eff.org/deeplinks/2019/07/g ... p-security

Du reste leur conclusion est :

"Manifest V3 limitera l’innovation et portera atteinte à la confidentialité et à la sécurité des utilisateurs de Chrome

QUID chez ADGUARD ?

On note que la position d'ADGUARD a évolué

MV3 pour Chrome émerge de la brume : à quoi s'attendre ?
https://adguard.com/fr/blog/chrome-mani ... stand.html
et
son application sur Chrome : https://chromewebstore.google.com/detai ... bbhjpklbdf

Initialement ils disaient

Toutes les règles incluses dans les filtres d'extension ont été divisées par Manifest V3 en règles statiques (intégrées) et dynamiques et leur nombre a été considérablement limité.

Pour les règles statiques, Chrome a fixé une limite minimale garantie de 30 000 règles par extension et une limite totale de 330 000 règles pour toutes les extensions installées par un seul utilisateur (cela prend également en compte la limite de 1 000 règles d'expression rationnelle par extension). L'astuce est qu'une extension peut obtenir la totalité du nombre de règles autorisé, ou il peut y en avoir plusieurs, et alors peut-être que certaines extensions n'atteindront pas la limite.

et autres restrictions et détails dans ce lien
https://adguard.com/en/blog/adguard-mv3.html




ET CHEZ LES AUTRES ?

J'avoue que je n'ai pas trop creusé. Mais dans ce lien (même si cela parle des versions Firefox, c'est la même chose sur le fond pour les extensions Chrome/chromium), on voit ce qu'il en était AVANT de leur fonctionnement, donc cela n'évoluera pas en bien
viewtopic.php?p=528497#p528497

Pour Ublock Origin voir plus bas




MANIFEST V3


Le Manifest V3 offrira (lecture de la doc de 19 pages) donc moins de données et moins de possibilités de blocage aux extensions en limitant le nombre de règles que ces dernières peuvent imposer au chargement d'une page web.

Le fait paradoxal c'est que certaines extensions de blocages de pubs, comme ADBLOCK PLUS, sont heureuses de ce changement mais si on gratte derrière on trouve cela (Des liens financiers avec Google et Microsoft)
Il faut préciser quand même que dans le principe de fonctionnement le blocage se fera a posteriori et non a priori
Après, on peut en tirer plein de conclusions :-)
https://www.theverge.com/2015/2/2/79635 ... gh-adblock

On note par ailleurs que Microsoft avec EDGE avait cesser d'accepter les nouvelles soumissions d'extensions v2 avec une visibilité publique ou masquée à partir de juillet 2022 (C'était dans leur intérêt :-)
https://www.extension.ninja/blog/post/e ... -timeline/



Puisque Google est derrière le Manifest V3, cela veut dire que cela s'imposera aussi sur les navigateurs ayant une base Chromium

Actuellement, si un navigateur intègre des fonctionnalités de blocage de pub au sein de son code, ces dernières ne seront pas désactivées par le Manifest V3
Mais jusqu'à quand ?
Il suffit après la période de rodage du ManifestV3, de virer le code et possibilité d'utiliser le ManifestV2 au sein de Chromium

Toujours est il que nombre de Navigateurs sous Chromium ont déjà annoncé qu'ils prendraient en charge la V2 aussi longtemps que possible, même si elle était supprimée de Chromium.
Google indique

"Les entreprises utilisant la stratégie ExtensionManifestV2Availability bénéficient d’un délai de grâce jusqu’en juin 2025.

A ce jour on sait que pour Chrome les extensions Manifest V2 seront désactivées à partir de juin 2024 (Chrome 127).

2023-11-18_143035.jpg

LE CAS MOZILLA

Mozilla utilise son propre moteur de rendu web (nommé Gecko) et n'est donc pas obligé de suivre le train en marche
Néanmoins, Mozilla a annoncé qu'il prendrait en charge les extensions construites autour du Manifest V3 (mais prend son temps) , mais qu'il garderait aussi la possibilité d'utiliser l'API Web Request.
Une manière de promouvoir un peu plus sa philosophie axée sur un Web ouvert et respectueux des données personnelles.

Le MV3 de Firefox continue donc d’autoriser les Event Pages pour les scripts en arrière-plan, plutôt que les Service Workers, eux aussi choisis dans le MV3 pour leurs apports en performances.
Selon Mozilla toutefois, les Event Pages ont pour eux des API Web et accès DOM non accessibles aux Service Workers. Pour Mozilla, les extensions doivent avoir les mêmes capacités que des applications complètes.


MAIS tout n'est pas rose et il y a des conditions
https://blog.mozilla.org/en/products/fi ... xtensions/

MAIS (bis) Bonne nouvelle, Mozilla indique

"Firefox garantit que les utilisateurs peuvent accéder aux outils de confidentialité les plus efficaces disponibles comme uBlock Origin et d'autres extensions de blocage de contenu et de préservation de la confidentialité."

A lire également pour plus de détails
https://adguard.com/fr/blog/firefox-man ... cking.html

C'est une bonne nouvelle pour les utilisateurs par ex de UBlock Orign qui déjà à la base est plus efficace sur Firefox que sur Chrome/Chromium

ublock.jpg

avec la version "Lite Plus" de Ublock Origin basé sur le ManifestV3 (déjà sortie depuis 2022)
https://chromewebstore.google.com/detai ... hcphecmpfh

Pour la petite histoire, l'auteur était tellement dépité de la regression sur l'efficacité qu'il avait baptisé initialement la version Chrome :
Ublock MINUS

Les limite pour cette version sont :

Code : Tout sélectionner

Pas de filtrage cosmétique
Pas d'injection de scriptlet
Pas de redirection = filtres
Pas de filtres csp=
Pas de filtres removeparam=

Raymond Hill en tous les cas ne se fera pas corrompre comme les autres AdBlockers et il indique :

Le projet uBO ne prend pas en charge le « Manifeste des publicités acceptables » d'Adblock Plus , car la campagne marketing « Publicités acceptables » est le plan d'affaires d'une entité à but lucratif.

---------
Liens de lecture :

https://www.nextinpact.com/article/6935 ... et-firefox
https://www.generation-nt.com/actualite ... nu-2032610

[Parisien_entraide]

2023-11-27_145155.jpg

GOOGLE CHROME : LA PROTECTION IP

Google avait lancé une nouvelle fonctionnalité pour Chrome appelée Protection IP

Cela avait été annoncé comme une fonctionnalité de confidentialité.


Le but ? : Protéger l'adresse IP des appareils des utilisateurs, afin que les sites Web n'y aient plus accès.

la protection IP de Google, est décrite comme protégeant l'adresse IP de votre ordinateur des autres sites Web tout en faisant passer tout votre trafic Web via des serveurs... appartenant à Google.


La protection IP de Google Chrome détruit la vie privée

Ce que Google a omis de mentionner lors de l'annonce, c'est que cette fonctionnalité lui donne accès à toute l'activité de l'utilisateur.

Cela donne à Google une vue d'ensemble de chaque site Web que vous visitez à tout moment lorsque vous utilisez Chrome, que vous soyez connecté à votre compte Google ou ... NON
Google obtient un autre point d'accès aux données des utilisateurs, ce qui est inestimable dans le monde de la publicité.

Comme l'a décrit un développeur
https://github.com/GoogleChrome/ip-protection/issues/21

""Il s'agit avant tout de contrôler, de récolter des données et d'assurer la position de Google en tant que leader de la publicité sur Internet."

MORALITE : Comme toutes les autres fonctionnalités de ce sujet, dès lors que Google fait une annonce censée renforcer la confidentialité de vos données, ou d'en supprimer une parce que la sté reste attentive à vos besoins en matière de sécurité/confidentialité, il faut toujours croire le contraire, car il faut se rappeler que derrière il y a un modèle économique qui prime

-----
PROTON donne son point de vue -Perso je ne conseille pas PROTON dont le passé me semble.. Curieux :-) Surtout que la Suisse est le terrain de jeux de la CIA pour l'Europe (Cf Snowden)
J'ai laissé le lien initial en bas,où figure les liens Proton, qui est la source de ce copier coller



Pourquoi Google fait-il cela ?
L'avantage concurrentiel de Google réside dans sa publicité hautement ciblée, avec 80 % de ses 224 milliards de dollars de revenus provenant de la publicité. Ces publicités n'ont de valeur que tant que Google connaît tous vos intérêts grâce à vos recherches et à votre activité de navigation.

En tant que navigateur Web le plus populaire au monde, Chrome est la fenêtre de Google sur des milliards de personnes, en particulier lorsqu'il est combiné avec d'autres sources de données, telles que la recherche Google ou Google Maps.

Si vous êtes connecté à votre compte Google, par exemple pour accéder à votre Gmail, l'entreprise peut alors associer toutes vos recherches à votre compte. L'entreprise dispose de moyens de vous suivre même si vous utilisez le mode navigation privée .

C'est pourquoi la protection IP est une imposture.

Dans sa phase initiale de développement, Google Chrome utilise son propre serveur proxy pour générer une adresse IP temporaire afin de masquer votre véritable adresse IP d'une liste de sites Web spécifiques appartenant à Google.
Pour activer la protection IP à ce stade, vous devez vous inscrire.

Dans les étapes futures, Google indique qu'il pourrait ajouter un deuxième serveur proxy exploité par une autre société. Le « deuxième saut », comme ils l’appellent, ne verrait que l’adresse IP temporaire du premier serveur et du site Web que vous envisagez de visiter.
Cette autre société est censée être indépendante, mais Google choisirait vraisemblablement le fournisseur et définirait ses politiques.

Le système à deux sauts peut ressembler à un avantage en matière de confidentialité, sauf que Google dispose déjà de nombreux autres moyens de vous suivre. Google voit votre historique de recherche, Google Analytics, votre historique Chrome, les cookies de son réseau publicitaire, votre emplacement mobile, votre boîte de réception, votre calendrier, etc.

Quel est l'intérêt d'une deuxième couche de confidentialité lorsque Google peut surveiller votre activité de tant d'autres manières ?

La protection IP concerne deux choses : le respect de la vie privée et la construction de douves.

Google veut vous convaincre que son service est privé tout en collectant vos données intimes et en empêchant ses concurrents de faire de même.
La protection IP sépare vos données du reste d'Internet tout en scellant l'appareil de surveillance de Google de votre côté du mur.

Que pouvez-vous faire à la place de la protection IP ?
Il est facile de commencer à construire un mur de confidentialité avec Google à l'extérieur.

Vous pouvez protéger votre activité de navigation et accomplir ce que prétend la protection IP en utilisant simplement un navigateur protégeant la confidentialité et un VPN.
L'un des objectifs de Google en matière de protection IP pourrait en fait être d'empêcher les utilisateurs d'utiliser des services VPN indépendants, d'autant plus que les meilleurs services VPN intègrent des technologies de blocage des publicités et des trackers


Utiliser un navigateur privé
Google Chrome est terrible pour la confidentialité. Mais il existe des alternatives qui respectent votre vie privée . Alors que Chrome collecte des données sur ce que vous faites en ligne, ce n'est pas le cas des navigateurs comme Firefox. Si vous êtes soucieux des améliorations de la confidentialité dans Google, vous devriez simplement arrêter d'utiliser Google.

Utilisez un vrai VPN
Bien que Google surveille votre activité de navigation via la protection IP, un VPN digne de confiance ne le fera jamais.
Un VPN crée un tunnel crypté entre votre appareil et le reste d'Internet, cachant vos données de navigation de votre réseau local tout en protégeant votre adresse IP des sites Web que vous visitez.

Google peut également être contraint d'enregistrer l'activité des utilisateurs en vertu de la loi américaine.

En plus de protéger votre adresse IP, unVPN vous protège également des publicités, des trackers et des logiciels malveillants grâce au bloqueur de publicités, ce que Google ne fera jamais


Google ne veut pas que vous utilisiez un vrai VPN ou que vous passiez à des services véritablement privés, espérant plutôt que vous accepterez la protection IP, la « confidentialité améliorée des publicités » et ses autres fonctionnalités de nettoyage de la confidentialité. Ne mordez pas à l'hameçon. Un meilleur Internet est possible si vous le souhaitez.

Sources :
https://protonvpn.com/blog/google-ip-protection/
https://proton.me/blog/google-privacy-washing

[Parisien_entraide]

À partir du 4 janvier 2024, Google commencera à tester la fonction "Tracking Protection"

Il s'agit de la première étape en lien avec la Privacy Sandbox.

Cette nouvelle fonctionnalité, qui sera déployée dans un premier temps pour 1 % des utilisateurs de Chrome dans le monde, vise à limiter le suivi intersite en limitant l’accès des sites Web aux cookies tiers par défaut.

Google indique que les utilisateurs qui participeront au test de la fonction Tracking Protection seront choisis au hasard.

Si vous avez la chance (ou la malchance ;-) d’en faire partie, vous verrez apparaître une notification dans Chrome vous informant de votre sélection, aussi bien sur Chrome desktop que sur Chrome sur Android.

Tous les cookies tiers seront alors restreints par défaut.

Néanmoins, il est possible que certains sites Web refusent de fonctionner correctement sans ces fameux cookies tiers.

Si c’est le cas, et que vous vous retrouvez, par exemple, à rafraîchir une page plusieurs fois d’affilée, Chrome détectera le problème et vous proposera de réactiver les cookies tiers momentanément pour vous permettre de visualiser la page demandée.

A compter du deuxième semestre 2024, Google étendra ce nouveau fonctionnement de Chrome à l’ensemble des utilisateurs pour éliminer progressivement tous les cookies tiers.

[Parisien_entraide]

A relier au sujet "Chrome"

Tracker first-party : Commment les sites violent le RGPD ? Merci Firefox et Ublock Origin
viewtopic.php?t=64996

[Parisien_entraide]

2024-03-08_114504.jpg

QUE CHOISIR a mis en place un site qui permet à la fois d'analyser nos données et de faire respecter ses droits par rapport à celles ci

Description et usage avec un exemple juste pour les données de Google

viewtopic.php?p=552183#p552183

[Parisien_entraide]

2024-04-02_154512.png

Google supprimera les données sur l'activité des utilisateurs de Chrome en mode navigation privée (Mode incognito)


Si vous pensiez être à l'abri en mode navigation privée... C'est raté :-) (Mais bon venant de Google qui peut s'en étonner ?)
A cela, mais Google avait joué sur l'ambiguïté de la chose, on y ajoute que les gens ne savent pas que ce mode ne protège.. QUE des autres utilisateurs du même PC (Et encore...)


Source : https://www.blaseur.com/papers/www18privatebrowsing.pdf

- 56,3% des participants pensent que même s’ils sont connectés à un compte Google, leur recherches ne sont pas enregistrés en mode incognito. Ils pensent cela car le mode privé ne sauvegarde pas l’historique de recherche. Le problème vient justement de la confusion entre, « historique de recherche » ou « historique de navigation » et « recherches Google ».
- 46,5% des participants pensent que les marques pages, enregistrés pendant la navigation privée, ne persistent pas à la fin de la session.
- 40,2% des participants pensent que le mode de navigation privée ne permet pas aux sites web de les géolocaliser. La plupart pensant que c’est simplement une fonctionnalité de la navigation privée, d’autres pensant que l’adresse IP ne peut être récupérée pendant le mode privé, et donc pas la géolocalisation non plus.
- 37% des participants pensent que leur employeur ne pourrait pas les pister en mode privé.
- 22,6% des participants pensent que les gouvernements ne pourraient pas accéder à leur activité en ligne.



Google a accepté (sous la contrainte il faut le rappeler) de supprimer des milliards d'enregistrements contenant des données concernant l'activité des utilisateurs du navigateur Chrome en mode Incognito.

Cette décision a aidé la société à régler un recours collectif.

Des documents judiciaires ( PDF ) montrent le montant que les avocats des plaignants estiment entre 4,75 et 7,8 milliards de dollars.
https://cdn.arstechnica.net/wp-content/ ... 1-2024.pdf

Il est à noter que les parties sont parvenues à un accord selon lequel Google doit supprimer les données des plaignants sur l'activité Web en mode Incognito du navigateur Chrome.

De plus, la société s'engage à activer par défaut le blocage des cookies tiers dans ce mode.

Google avait déjà mis à jour les informations destinées aux utilisateurs, en modifiant l'écran de démarrage affiché "au début de chaque session Incognito" pour informer les utilisateurs que Google collectait toujours des données de navigation privée.

Google avait affirmé dans le litige qu'il était impossible d'identifier (et donc de supprimer) les données de navigation privée en raison de la manière dont il stockait les données". Toutefois, aux termes du règlement, Google a désormais accepté de "corriger 100 % des données en cause".


Les efforts d'atténuation incluent

-

Code : Tout sélectionner

  la suppression des champs utilisés par Google pour détecter les utilisateurs en mode navigation privée,
-  la « suppression partielle des adresses IP » 
-  la suppression des « URL détaillées, ce qui empêchera Google de connaître les pages spécifiques d'un site Web qu'un utilisateur a visité en mode de navigation privée ». 

Conserver « seulement la partie de l'URL au niveau du domaine (c'est-à-dire uniquement le nom du site Web) améliorera considérablement la confidentialité des utilisateurs en empêchant Google (ou toute personne mettant la main sur les données) de savoir précisément ce que les utilisateurs naviguaient » a déclaré le dossier judiciaire.


Donc la décision affecte tout le monde et pas que les plaignants (A priori techniquement il était impossible de faire du cas par cas)

Les avocats des plaignants estiment que cela contribuera à assurer davantage de confidentialité aux fans d'Incognito à l'avenir tout en limitant la quantité de données collectées.

Comme l'expliquent les avocats, au cours des cinq prochaines années, Google collectera moins de données sur les pages Web consultées et, par conséquent, gagnera moins d'argent grâce à de telles pratiques.

Ceci dit, ils ont DEJA nos données, qui sont déjà revendues, donc les effacer ils s'en moquent, d'autant plus qu'il y a d'autres moyens de le faire

[Parisien_entraide]

2023-12-08_1404471.jpg

Smartphones (Google Apple) : Les notifications PUSH nous espionnent
viewtopic.php?f=45&t=73605

[Parisien_entraide]

2023-04-26_185109.jpg

Même si c'est indépendant de l'OS (Android) cela fait un tout et pas du tout une erreur, un bug...
Il faut se rappeler que ce sont ces puces qui seront dans nos futurs PC pour traiter l'IA.. Vous voyez ce qui se profile ?

ANDROID : Qualcomm espionne des millions de smartphones
viewtopic.php?t=72579

[Parisien_entraide]

chrome.jpg

Une petite BD en image qui explique ce qu'est Chrome

https://contrachrome.com/comic/681/

[Parisien_entraide]

CHROME les nouveautés




CONCERNANT LES COOKIES

Google ressort ses vieilles recettes pour l'acceptation : Un gain de vitesse et "protéger" les utilisateurs, donc user du prétexte de la sécurité

Comme il a déjà été dit, si Google supprime c'est qu'ils ont mieux et plus efficace... pour eux
Quant à la vitesse... ils ne font que répondre aux répondre aux constats des utilisateurs qui vont choisir un navigateur parce qu'il va afficher une page 1/10ème de seconde par rapport à la concurrence (Et je n'exagère pas. Il suffit de lire les forums. Ce sont les mêmes qui s''extasient et insistent pour installer Windows 11 du fait de bord arrondis)


---------------------------------------
Google a partagé des détails sur une fonctionnalité Chrome récemment introduite qui modifie la façon dont les cookies sont demandés, les premiers tests montrant des performances accrues sur toutes les plates-formes.

Dans le passé, les navigateurs à processus unique géraient facilement les cookies car les données étaient conservées en mémoire. Cependant, les navigateurs modernes comme Chrome utilisent plusieurs processus pour améliorer les performances et la sécurité.

Chrome exécute un nouveau processus pour chaque fenêtre et plusieurs autres fonctionnalités. Cela signifie que la méthode qui gère les cookies doit traiter davantage de requêtes, ce qui peut ralentir les choses.

Google a constaté que les demandes répétées de cookies entraînaient de nombreuses interactions lentes dans Chrome.

"Nous avons découvert grâce aux traces d'interactions lentes que certains sites Web déclenchaient des scénarios inefficaces avec des cookies récupérés plusieurs fois de suite", a noté Google dans un article de blog.
(...)
"Nous avons été étonnés de découvrir que 87 % des accès aux cookies étaient redondants et que, dans certains cas, cela pouvait se produire des centaines de fois par seconde."
(...)
Selon les ingénieurs de Google, ce changement a permis de réduire de 80 % le nombre de messages liés aux cookies et d'accélérer l'accès aux cookies de 60 %.
(...)
Lors des premiers tests, Google a observé que la mise à jour améliore les performances jusqu'à 5 % sur toutes les plateformes.

Source et autres détails à :
https://www.bleepingcomputer.com/news/g ... rformance/

--------------------------------------------

MANIFESTS V3

Ca sera bientôt imposé car la désactivation des extensions sous Manifest V2 se fera automatiquement au fur et à mesure que les mois passent


Google affiche une bannière aux utilisateurs de Chrome qui exécutent les extensions Manifest V2 dans leur navigateur.
Cela a commencé le 3 juin pour les éditions de développement – ​​Beta, Dev et Canary – du navigateur.


Le calendrier
Source : https://developer.chrome.com/docs/exten ... line?hl=fr

Juin 2024 + 1 à X mois: déploiement stable de l'abandon de Chrome MV2
Nous estimons qu'il faudra au moins un mois pour observer et stabiliser les changements dans la pré-stable avant d'étendre le déploiement à la version stable de Chrome, où elle sera également déployée progressivement au fil du temps. Le délai exact peut varier en fonction des données recueillies. Pendant cette période, nous vous tiendrons informé de nos progrès.

Juin 2025: abandon de Chrome MV2 pour les entreprises, déploiement en entreprise
Les entreprises qui utilisent la règle ExtensionManifestV2Availability pour s'assurer que les extensions Manifest V2 continuent de fonctionner dans leur organisation disposeront d'un an supplémentaire (jusqu'en juin 2025) pour migrer les extensions Manifest V2 dans leur organisation. Les navigateurs pour lesquels cette règle est activée ne seront pas affectés par l'abandon avant cette date.



Astuce pour savoir laquelle de vos extensions installées utilise toujours Manifest V2.
Définissez chrome://flags/#extension-manifest-v2-deprecation-warning sur Enabled dans Chrome

Il est possible d'activer l'indicateur d'entreprise qui permet aux extensions Manifest V2 de fonctionner jusqu'en juin 2025.
https://chromeenterprise.google/policie ... ailability

La méthode par le registre est plus efficace pour les navigateurs sous Chromium, puisque la fonction ExtensionManifestV2Availability n'est pas toujours disponible dans l'interface "paramètres"

Il suffit comme l'indique le lien ci dessus de créer une valeur DWORD (32Bits) du meme nom et de lui attribuer une valeur dans

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome

2024-06-06_123029.png

La plupart des navigateurs basés sur Chromium suivront Google.
Certains peuvent étendre la prise en charge des extensions Manifest V2 , mais à la fin, il est probable que la prise en charge sera abandonnée.

Cela laisse Firefox comme alternative
Firefox avait dit par le passé qu'il prendrait en charge les manifestes v2 et v3.
De toutes les façons ils ne peuvent pas trop s'y opposer puisque si on reprend l'année 2021, 83 % de l'argent de Mozilla provenait de Google

Les bloqueurs de contenu intégrés continuent de fonctionner. C'est le cas de Brave, Vivaldi ou Opera, qui incluent tous des options de blocage des publicités et de suivi sans installation d'extensions.
Sauf que ces options de blocage SONT pour ces navigateurs, pour court-circuiter ce qui remonte à Google
C'est du meme ordre que ces faux ad blockers
Extensions de type Ad Blocker à désinstaller : viewtopic.php?p=528497#p528497

Il faut se rappeler que cela implique des limitations
Le développeur de uBlock Origin, Raymond Hill, indique que le filtrage dynamique, certains commutateurs par site ou les filtres basés sur les expressions régulières ne sont pas prises en charge par Manifest V3 dans sa version uBOMinus (Nom pris à dessein)
Certaines fonctionnalités ne sont donc pas prises en charge par celui-ci. Hill répertorie spécifiquement le filtrage cosmétique, les injections de scripts, les filtres CSP, de redirection et de suppression de paramètres.
Ex concret : On ne peut plus bloquer lors de la visite d'un site, les polices hébergées chez Google et non pas directement sur le site visité (Ce qui est du pistage)

Evidemment il y a des aspects positifs dans le ManifestV3 mais il ne faut pas que le côté négatif l' emporte (1)

De toutes les façons les gens s'en moquent ou ne savent pas
Il suffit de voir les logs FRST par ex sur le forum
Une majorité de gens non seulement utilisent Chrome, mais celui ci est vierge de modules, dont de protection

Ensuite même si ils connaissent, ils installeront la dernière mouture de Ublock Origin compatible avec le nouveau Manifest, mais ne sauront pas ce qui se passe derrière
Ou mieux, vont désactiver comme sous V2 avec d'autres Adblockers, , "Parce que l'affichage Facebook n'est plus le même que des fonctions disparaissent comme le fil d'actualité, les commentaires de la galerie " (sic)
___________________________

(1) Manifest V3 devrait augmenter considérablement la sécurité des extensions dès sa conception. Actuellement, à l'aide de l'API webRequest, les extensions peuvent surveiller et potentiellement rediriger le trafic se produisant dans le navigateur
C'est utilisé par les malveillants



Edit : Pour contrer il faudra agir en amont avec un PI-Hole, ou AD Guard (version payante) par exemple ou certains DNS sécurisés

Pi Hole
https://www.malekal.com/pi-hole-bloquer ... -trackers/
et
https://www.malekal.com/pi-hole-ajouter ... whitelist/

Adguard
https://www.malekal.com/adguard-bloquer ... traqueurs/

ou en plus complexe
https://www.malekal.com/installer-adgua ... raspberry/

[Parisien_entraide]

2024-06-06_154037.jpg

Copier coller de
https://www.neowin.net/news/googles-gro ... the-world/

-------------------------

Juste un jour après que Google ait cessé de traîner les pieds et introduit l'application Gemini en Europe (1), la société a annoncé la disponibilité mondiale de NotebookLM, qui n'était jusqu'à présent disponible qu'aux États-Unis.

En bref, NotebookLM est un outil alimenté par le dernier LLM (grand modèle de langage) de Google, Gemini 1.5 Pro.

Vous lui transmettez les documents sources, puis cela peut vous aider à travailler avec ces documents, ce qui vous fait gagner beaucoup de temps en posant simplement des questions à l'IA. En fondant l’IA sur du matériel source réel, cela réduit considérablement le risque d’hallucinations que nous avons vu avec les chatbots IA, mais ce n’est toujours pas parfait.

Lorsque vous ouvrez un nouveau bloc-notes, vous pouvez télécharger du contenu depuis Drive, un PDF, un fichier texte, du texte copié ou un site Web. Vous n'êtes pas non plus limité à l'une de ces sources, vous pouvez donc demander à l'IA d'examiner une pléthore de données afin que vous n'ayez pas à le faire.

Avec l'expansion mondiale actuelle, Google a mis à niveau NotebookLM pour prendre en charge Google Slides et les URL Web, les citations en ligne qui vous amènent directement à la prise en charge des passes dans vos sources pour la vérification des faits, et Notebook Guide peut désormais vous donner une compréhension de haut niveau de vos sources en convertir le contenu en FAQ, documents d'information ou guides d'étude.

Comme Gemini 1.5 Pro est un LLM multimodal, vous pouvez transmettre des images, des graphiques et des diagrammes à NotebookLM et poser des questions à leur sujet. Le cas échéant, NotebookLM peut également inclure des citations d’images comme preuves à l’appui.

Expliquant comment NotebookLM a déjà été utilisé, Google a déclaré :

« Nous avons été étonnés par la gamme d'utilisations que les gens trouvent à NotebookLM. Le produit ayant été développé en étroite collaboration avec des auteurs, des étudiants et des enseignants, nous avons vu de nombreux utilisateurs précoces l'intégrer dans les flux de travail de recherche et d'écriture. L'auteur à succès Walter Isaacson a travaillé avec NotebookLM pour analyser les journaux de Marie Curie en vue de la recherche sur son prochain livre. Nous avons constaté un enthousiasme similaire de la part des chercheurs en documentaires et en podcasts qui doivent parcourir des archives complexes pour générer des scripts ou des idées d'histoire.

Pour commencer avec NotebookLM, rendez-vous simplement sur le site Web (Identifiant de compte google demandé)
https://notebooklm.google.com/
et prenez une nouvelle note dans laquelle il vous sera demandé de télécharger du contenu. C'est un peu déroutant si vous l'utilisez pour la première fois, mais il suffit d'allumer pendant un petit moment et vous comprendrez bientôt et découvrirez que c'est un outil vraiment puissant.
______________________

2024-06-06_154231.jpg

Lien https://play.google.com/store/apps/deta ... .apps.bard

(1) L'application Gemini pour Android nécessite qu'un smartphone dispose d'au moins 2 Go de RAM et doit exécuter Android 10 (ou version ultérieure). Le chatbot est destiné à remplacer Google Assistant sur les appareils Android, mais il ne prend pas en charge plusieurs fonctionnalités, notamment le contrôle des médias, les rappels et les routines.

Google a tenté de combler le manque de fonctionnalités de Gemini au fil des mois, par exemple, en ajoutant la possibilité de lire des chansons de YouTube Music , de démarrer automatiquement la navigation dans Google Maps , et bien plus encore via diverses extensions. Google s'est également associé à Opera pour intégrer les modèles Gemini AI au navigateur AI Aria d'Opera, et la société devrait apporter les réponses en temps réel de Gemini à sa version mobile.

Selon une page d'assistance , l'application Google Gemini pour Android peut être téléchargée dans plus de 150 pays à travers le monde et prend en charge 19 langues. Google a annoncé plusieurs mises à jour pour Gemini AI le mois dernier lors de sa conférence des développeurs d'E/S.

La société a lancé Gemini 1.5 Pro et un nouveau modèle léger appelé Gemini 1.5 Flash , tous deux prenant en charge une fenêtre d'un million de contenus. Les démonstrations sur scène de Google ont montré comment le chatbot peut aider avec des projets complexes, tels que la création d'itinéraires de voyage détaillés en extrayant les réservations d'hôtel et les informations sur les billets depuis Gmail. Cette nouvelle fonctionnalité sera disponible via le niveau d'abonnement payant du chatbot, Gemini Advanced.

[Parisien_entraide]

2024-06-15_130744.jpg

PRIVACY SANDBOX : Google accusé de mentir aux utilisateurs (Déjà la base il y a un pléonasme dans l'énoncé :-)


Depuis juillet 2023, Google a ajouté à son navigateur Chrome un mécanisme censé améliorer la vie privée autour de la publicité ciblée. Le principe de cette fonctionnalité était annoncé de longue date par l'entreprise pour mettre fin aux cookies tiers.

L'idée n'est pas de supprimer le ciblage publicitaire, mais de remplacer le suivi individuel par un regroupement des utilisateurs par profils de navigation similaires avec l'utilisation par les développeurs des sites en question d'une API de chez Google.

NOYB, association militant pour la protection de la vie privée, accuse GOOGLE de mentir

Le "Privacy Sandbox" est présenté comme une amélioration par rapport au suivi extrêmement invasif par des tiers, le suivi est désormais simplement effectué dans le navigateur par Google lui-même ».

Et l' association accuse l'entreprise de mentir dans la présentation de cette fonctionnalité dans son navigateur.

Dans sa plainte (.pdf), l'association considère que, « loin d'être un outil de "protection de la vie privée", le système derrière l'API Sandbox continue de suivre l'historique de navigation d'un utilisateur sur le web. La différence est que le navigateur Chrome lui-même suit le comportement des utilisateurs et génère une liste de "thèmes" publicitaires en fonction des sites web qu'ils visitent ».
(...)



Des darks patterns
L'association se plaint que Google utilise des dark patterns pour que les utilisateurs acceptent l'activation de la sandbox. Mais selon l’argumentaire de noyb, « il s'agit là d'un cas extrême : Google ne s'est pas contenté de modifier la couleur ou la taille d'un bouton, il a tout simplement menti à ses utilisateurs ».

Dans la plainte, noyb détaille que « plutôt que d'indiquer clairement qu'il demandait le consentement des utilisateurs pour que leur navigateur les suive, Google a vendu aux utilisateurs l'API Sandbox comme une "fonction de protection de la vie privée". Il s'agit d'un choix délibéré visant à manipuler la compréhension des utilisateurs et à garantir un taux de consentement élevé, les utilisateurs pensant que leur navigateur les protège désormais contre le suivi à des fins publicitaires ».



Pas encore de suppression des cookies tiers
L'association fait aussi remarquer dans le document déposé devant l'autorité autrichienne « qu'à ce jour, Google n'a pas supprimé les cookies tiers pour la plupart de ses utilisateurs, car l'autorité de marché britannique et l'autorité britannique chargée de la protection des données enquêtent sur ce changement de modèle commercial de Google en tant qu'infraction potentielle aux dispositions relatives à la protection des données et au droit de la concurrence ».

Perfide, noyb ajoute que « si l'API Sandbox a été conçue pour contrebalancer l'élimination du suivi par des tiers pour les utilisateurs de Chrome, il semble que Google ait été plus rapide à mettre en œuvre son propre outil de suivi qu'à supprimer les menaces existantes pour la vie privée des utilisateurs ».


Bref c'est la double peine pour les utilisateurs
-----------------

Source principale et autres détails, dont le fait que Google à transformé le terme "publicité" en "annonces"' à :
https://next.ink/140793/noyb-attaque-la ... lisateurs/

Autres Sources :
NOYB : https://noyb.eu/en/google-sandbox-onlin ... ad-privacy
La plainte : https://noyb.eu/sites/default/files/20 ... dacted.pdf

[Parisien_entraide]

2024-07-13_125710.jpg

Identification de l'utilisateur à l'aide du navigateur Chromium

A la base on a une déclaration de Luca Casonato, connu pour ses travaux sur l'interopérabilité des API https://lcas.dev/

Luca Casonato avait signalé un sujet lié aux navigateurs Chromium le 9 juillet 2024 dans un tweet
https://x.com/lcasdev/status/1810696257137959018 (Voir traduction automatique de l'image ci dessous)

2024-07-13_114317.png

Les tweets de Luca Casonato indiquent que Google Chrome donne à tous les sites Web *.google.com un accès complet au processeur, au GPU et à l'utilisation de la mémoire du système/onglet.
Le navigateur permet également d'accéder à des informations détaillées sur le processeur et fournit un canal de retour pour la journalisation. Cette API n'est pas accessible pour d'autres sites Web - uniquement pour *.google.com

Pour résumer, ce qu'il avait découvert donc, c'était que dans le navigateur, tous les sites Web de Google bénéficient d'un accès complet aux données du système telles que

Code : Tout sélectionner

- L'utilisation du processeur, 
- L'utilisation du GPU,
- L'utilisation de la mémoire 
- Des informations sur le processeur 

via une extension cachée.

Cela permet aux pages Google de fournir des informations détaillées sur le système, et donc une prise d'empreintes digitales.

De plus, ces informations peuvent également profiter à Google lors du débogage.
Cela constituerait une violation de la loi sur les marchés numériques (DMA).

Luca Casonato écrit que selon la façon dont on interprète le DMA, cette divulgation d'informations supplémentaires uniquement pour les propriétés de Google peut être considérée comme une violation du DMA.
Il cite Zoom comme exemple.
Leurs développeurs sont désavantagés car ils ne peuvent pas offrir la même fonction de débogage du processeur que Google Meet.


Dans son tweet, Luca Casonato se posait la question pour les autres navigateurs sous Chromium

La réponse est venue par la suite, et complétée par des chercheurs en sécurité, donc ... : OUI

Edge, Vivaldi, Brave ... mais pas https://github.com/win32ss/supermium ou Ungoogled-Chromium (désactivé par défaut)

La fonction est cachée dans les extensions du navigateur, où l'utilisateur ne peut pas la voir.
Le navigateur, en effet contient une « extension Chrome » cachée grâce à laquelle Google peut interroger des informations sur la consommation de mémoire, le GPU et des informations détaillées sur le CPU.




Extension intégrée, autres navigateurs concernés

Luca Casonato déclare que le tout a été implémenté via une extension Chrome intégrée qui ne peut pas être désactivée et n'apparaît pas dans la barre d'extensions.
Le code source de cette extension Chrome peut être consulté dans le projet Chromium .
https://source.chromium.org/chromium/ch ... _services/

Dans d'autres articles, le découvreur écrit que cette fonction est également disponible dans Microsoft Edge exclusivement pour les domaines *.google.com. Il ajoute ensuite que le navigateur Brave se comporte exactement comme Chrome et Edge.

L'extension qui permet à Google de récupérer ces informations exclusivement à partir de *.google.com est également préinstallée dans Brave.

Brendan Eich a répondu sur X https://x.com/BrendanEich/status/1810775637759754332
et montre cette image où il est dit que l'extension est activée dans Brave pour garantir le bon fonctionnement de Google Meet.

2024-07-13_115653.jpg

Complément : https://github.com/brave/brave-browser/ ... or-remove)

Il indique :

Firefox et Brave utilisent Google Meet sans cette extension, pour autant que je sache.
Nous prenons en charge une version plus sûre de cette extension pour les utilisateurs de « Hangouts »

Il a été souligné dans un commentaire séparé qu'il s'agit donc bien de l'extension intégrée "Hangout_services" avec l'ID d'extension :

Code : Tout sélectionner

nkeimhogjdpnpccoofpliimaahmaaome

Cela existe depuis 2013. comme l'a souligné Simon Willison
https://simonwillison.net/2024/Jul/9/ha ... esthunkjs/

Google peut utiliser cette extension pour interroger les informations suivantes :

"permissions": [
"desktopCapture",
"enterprise.hardwarePlatform",
"processes",
"system.cpu",
"webrtcAudioPrivate",
"webrtcDesktopCapturePrivate",
"webrtcLoggingPrivate"

Ceci n'est accessible que pour les pages https://*.google.com/* .

C est utilisé par exemple par Google Meets (meets[.]google[.]com).

Le projet Chromium, , a également adopté le code.
Cependant, cette extension n'est pas activée sur Ungoogled-Chromium. Car l'ID mentionné ci-dessus n'apparaît pas lorsque vous tapez la commande suivante :

chrome://serviceworker-internals/

D'après ce post on peut tester son navigateur
https://x.com/simonw/status/1810731216796324080

MAIS cela ne fonctionne pas sur tous les sites Web.
Seuls les services hébergés sous le domaine Google.com ont accès à l'API mais même sur certains sites "Google", l'appel ne fonctionne pas et renvoie le message d'erreur "TypeError: Cannot read Properties of undefined" .

D'après un ancien employé de chez Google, cela permet aux développeurs de Google Meet de visualiser la charge du système via le navigateur pendant le débogage.
https://news.ycombinator.com/item?id=40918742




DESACTIVER

Sur Brave il faut aller dans Paramètres -> "Extensions" -> désactiver "Hangouts"
Sur Vivaldi il faut aller dans : Paramètres -> "Confidentialité et sécurité" -> dans la zone Désactiver « Extensions Google » « Meet ».

On peut retrouver ces accès dans les autres navigateurs sous Chromium



CONCLUSION

Un coup d'épée dans l'eau cette "découverte" ?

- OUI pour certains aspects car spécifique, (si la fonction n'est pas détournée) mais ces "miettes" éparses font partie des principes de l'informatique ubiquitaire et confidentialité différentielle (https://www.malekal.com/limites-anonymi ... erentielle)

- NON pour une majorité de "spécialistes" au regard du DMA

Par ex

L''expert en protection des données Lukasz Olejnik considère également la fonctionnalité découverte comme une violation du DMA.
Celui-ci stipule par exemple "que les contrôleurs d'accès doivent permettre une interopérabilité libre et efficace avec et l'accès aux mêmes fonctions logicielles qui sont disponibles pour les services fournis par le contrôleur d'accès, que ces fonctions fassent ou non partie du système d'exploitation "
Source : https://blog.lukaszolejnik.com/digital- ... ase-study/

[Parisien_entraide]

2024-08-16_083929.jpg

Google vend des téléphones Android avec une fonctionnalité cachée non sécurisée


La gamme phare de smartphones Pixel de Google met en avant la sécurité comme une fonctionnalité clé , avec des mises à jour logicielles garanties pendant sept ans et un système d'exploitation Android qui est censé être exempt de modules complémentaires tiers et de bloatware.

La société de sécurité des appareils mobiles iVerify a publié des conclusions sur une vulnérabilité Android qui semble être présente dans chaque version Android pour Pixel depuis septembre 2017 et qui pourrait exposer les appareils à des manipulations et à des prises de contrôle.

Le problème est lié à un logiciel appelé « Showcase.apk » qui s’exécute au niveau du système et est invisible pour les utilisateurs

Il s'agit en fait d'une fonctionnalité cachée, qui est installée depuis des années, qui n'est pas sécurisée et qui peut être activée pour permettre le contrôle à distance ou l'espionnage des utilisateurs


Officiellement cette fonctionnalité est destinée à donner aux employés des magasins VERIZON vendant des téléphones Pixel et d'autres modèles un accès approfondi aux appareils afin qu'ils puissent démontrer leur fonctionnement selon les chercheurs d'iVerify
Néanmoins les chercheurs ne savent pas pourquoi Google installe cette application tierce, systématiquement hors VERIZON, sur chaque appareil Pixel


Les chercheurs d'iVerify ont découvert l'application après que le scanner de détection des menaces de l'entreprise a signalé une validation inhabituelle d'application Google Play Store sur l'appareil d'un utilisateur.
Le client, la société d'analyse de big data Palantir, a travaillé avec iVerify pour enquêter sur Showcase.apk et divulguer les conclusions à Google. Dane Stuckey, responsable de la sécurité informatique de Palantir, a déclaré que la découverte et ce qu'il décrit comme la réponse lente et opaque de Google ont incité Palantir à éliminer progressivement non seulement les téléphones Pixel, mais tous les appareils Android de l'entreprise et de passer entièrement aux appareils Apple au cours des prochaines années

« La présence de logiciels tiers non sécurisés et non contrôlés sur nos appareils a porté atteinte à la confiance. Nous ne savons pas comment ces logiciels sont arrivés là, nous avons donc décidé d'interdire les appareils Android en interne. »

iVerify a décrit le problème comme «

unique à plusieurs égards et assez troublant ».

dixt Rocky Cole, directeur opérationnel d’iVerify et ancien analyste de l’Agence de sécurité nationale américaine.

« C'est vraiment très inquiétant. Les Pixels sont censés être propres »

La société de sécurité PALANTIR a déclaré avoir contacté Google au sujet de ses conclusions il y a plus de 90 jours et que le géant de la technologie n'a pas indiqué s'il supprimerait ou réparerait l'application.



Après divulgation , Google a daigné réagir :

Nous aurions préféré que Google corrige ce problème avant d’en parler publiquement, mais leur incapacité à nous donner une date précise de mise à jour ne nous a pas laissé d’autre choix »

, explique Cole d’iVerify.
« Un adversaire doté de ressources importantes, comme un État-nation, pourrait exploiter cette faille, qui pourrait devenir une porte dérobée pour pratiquement n’importe quel Pixel dans le monde. »
(Ndr : Vu ce qu'est Google rien ne dit que l'Etat nation ne soit pas les USA)

« Le fait que Google intègre des logiciels tiers dans le firmware d’Android et ne les divulgue pas aux fournisseurs ou aux utilisateurs crée une vulnérabilité de sécurité importante pour quiconque s’appuie sur cet écosystème », a déclaré Stuckey (Palantir)
Il a ajouté que ses interactions avec Google tout au long de la période de divulgation standard de 90 jours « ont gravement érodé notre confiance dans l’écosystème.

La réponse de GOOGLE

« Par mesure de précaution, nous allons la supprimer de tous les appareils Pixel pris en charge sur le marché avec une prochaine mise à jour logicielle Pixel dans quelques semaines »,

a déclaré le porte-parole de l'entreprise, Ed Fernandez. Il a ajouté que les distributeurs d'autres téléphones Android seraient également informés.

A noter que depuis cette découverte, l’application n’est pas présente dans les nouveaux appareils de la série Pixel 9 que Google a annoncé cette semaine.


L'application, appelée Showcase.apk, est normalement inactive.
iVerify a cependant pu l'activer sur un appareil en sa possession, et la société pense que des pirates informatiques qualifiés pourraient également l'activer à distance.

Étant donné que Google a le contrôle direct des Pixels, il installe ces mises à jour immédiatement, mais les modèles Android fabriqués par Samsung et d'autres fabricants de téléphones sont parfois en retard lorsqu'il s'agit d'installer les mises à jour de sécurité publiées par Google.


Elle ne peut pas être supprimée des téléphones via le processus de désinstallation normal.




QUELSQUES DETAILS

Au plus simple l'exploitation de cette application sur le téléphone d'un utilisateur nécessite à la fois un accès physique à l'appareil et le mot de passe de l'utilisateur, mais il existe d’autres moyens par lesquels un attaquant distant potentiel ou une personne déjà sur le téléphone avec un logiciel malveillant pourrait l’activer et l’utiliser pour une élévation de privilèges

iVerify précise

À notre connaissance, l’accès physique limite le danger.
Le moyen clair de le faire à distance, je ne voudrais pas le divulguer publiquement, car les appareils de millions de personnes seraient alors en danger. »

Il ajoute qu’iVerify limite les détails techniques qu’il divulgue sur le problème jusqu’à ce que Google propose son correctif.

Lorsqu'elle est active, l'application télécharge des instructions à partir d'un site hébergé et récupère le fichier de configuration à partir d'un seul domaine basé aux États-Unis et hébergé par AWS (Amazon Web Services. )
Mais elle essaie de se connecter à une adresse Web non sécurisée commençant par « http » au lieu de « https », plus sécurisée, afin que ces appels puissent être interceptés et que le site soit usurpé, avec des instructions d'espionnage malveillantes envoyées à la place.

IVerify a déclaré que l'application semblait avoir été conçue par une société de Pennsylvanie appelée Smith Micro Software, qui développe des logiciels pour l'accès à distance et les outils de contrôle parental.
Smith Micro n'a pas répondu à un courriel envoyé mercredi après-midi.




RESUME DE l'ANALYSE TECHNIQUE par iVerify


Ce programme est remarquable car l'application s'exécute dans un contexte hautement privilégié, ce qui n'est pas nécessaire pour l'objectif visé par l'application.

Parmi les autres caractéristiques notables de l'application, citons :

- L'application ne parvient pas à authentifier ou à vérifier un domaine défini de manière statique lors de la récupération du fichier de configuration de l'application. Si l'application conserve déjà un fichier de configuration persistant, il n'est pas certain que des vérifications supplémentaires soient en place pour garantir que les paramètres de configuration pour la commande et le contrôle ou la récupération de fichiers sont à jour


- L'application utilise une initialisation de variable par défaut non sécurisée lors de la vérification du certificat et de la signature, ce qui entraîne des contrôles de vérification valides après un échec


- Le fichier de configuration de l'application peut être modifié avant la récupération ou le transit vers le téléphone ciblé


- L'application ne parvient pas à gérer la condition dans laquelle les clés publiques, les signatures et les certificats ne sont pas regroupés dans ses ressources ; l'exclusion de ces fichiers non obligatoires peut entraîner le contournement complet du processus de vérification lors du téléchargement du package ou du fichier


- L'application communique de manière non sécurisée avec une URL prédéfinie via HTTP pour récupérer des fichiers distants et le fichier de configuration de l'application. L'URL est construite de manière prévisible


Le rapport complet est dispo ici
https://iverify.io/resources/showcase


---------------------------------------------------------------------

CONCLUSION

Google n'a pas réagi initialement face aux conclusion d'iVerify, mais a été obligé de communiquer passé le délai de grâce des 90 jours durant lequel l’entreprise peut réagir sans que la vulnérabilité soit rendue publique est terminée.
Mais c'est surtout sous la pression, suite aux révélations publiques par iVerify/Palantir, que Google a réagi et a demandé plusieurs semaines pour corriger le problème sur SES propres smartphones


Le temps de trouver un remplaçant à ce cheval de Troie ? :-)

[Parisien_entraide]

2024-08-25_092501.jpg

Source : https://next.ink/brief_article/google-p ... ar-chrome/


Une cour d’appel de San Francisco a décidé le 21 août que Google devrait répondre aux poursuites intentées par des utilisateurs de Chrome.

Ces derniers accusent l’entreprise d’avoir collecté des données personnelles depuis son navigateur, sans leur accord, et alors qu’ils avaient choisi de ne pas synchroniser Chrome avec leurs comptes Google, YouTube et leur messagerie Gmail.


Le recours collectif avait initialement été rejeté : un premier juge avait estimé que Google avait démontré avoir récolté le consentement des usagers à collecter leurs données.

Cette fois - ci, en revanche, les plaignants ont réussi à faire entendre que la formulation choisie par Google au moment de recueillir le consentement puisse prêter à confusion à un utilisateur classique, n’ayant pas « les compétences d’un avocat d’affaires expérimenté ou d’une personne capable de se frayer facilement un chemin dans un labyrinthe de jargon juridique ».

Fin décembre, rappelle l’AFP, Google a déjà accepté de détruire les données récoltées sur des millions d’internautes ayant utilisé le mode « incognito ». Les plaignants avaient réussi à démontrer que celui - ci donnait la fausse impression de naviguer en ligne sans être suivis.