LEBIGDATA.FR I.A, Cloud & Cybersécurité
LeLes cookies apparaissent toujours en début d'ouverture de page sur le web. On vous demande parfois de tous les accepter ou de les personnaliser. Mais qu'en est-il vraiment ?
Qu'est-ce que c'est ?
Les cookies ou cookies HTTP sont de minuscules fichiers textes, composés de bits de données. Ils sont déposés sur les navigateurs web. A partir de ces données, le navigateur web poursuit l'historique des navigations de l'utilisateur. Cela leur permet de prévoir des personnalisations pour les futures sessions de navigations pour chaque utilisateur. Ils sont donc à la base de la fonctionnalité web et sont généralement utiles pour les navigations à titre commercial.
L'objectif initial des cookies est de préparer des pages web relatives à des sujets personnalisés. Mais ils servent aussi à enregistrer des informations de connexion à certains sites. Ils peuvent se révéler utiles.
Que se passe-t-il si l'on se connecte à un site web utilisant des cookies ?
En vous connectant, un formulaire vous est présenté. Vous devez le remplir avec vos données personnelles, telles que vos noms, courriel, centre d'intérêt, etc. Ensuite, ce formulaire dûment rempli parviendra au site web sous forme de cookie. Ensuite, le site le garde en stock pour les futures navigations. A chaque fois que le navigateur charge une page, ce message est renvoyé au serveur.
Le serveur n'est pas doté de mémoire, c'est la raison pour laquelle les cookies permettent au navigateur de se souvenir de vos préférences. A partir de ceux-ci, des pages web personnalisées vous sont présentés.
Pourquoi faut-il cerner ce que sont les cookies ?
Il est nécessaire de comprendre l'essentiel des ces trackers pour tous les internautes qu'ils soient utilisateurs amateurs ou développeurs web. Une bonne compréhension permet de les utiliser à bon escient et donc d'éviter les risques liés à la sécurité et à la confidentialité. Il faut donc savoir à quoi elles servent et comment les gérer pour éviter toute mauvaise expérience relative aux cookies.
Qu'est-ce qui compose un cookie ?
Les cookies sont généralement composés de bits de données spécifiques. Un cookie doit au moins contenir deux bits de données : un identifiant et des données reliées à cet identifiant.
Les différents types de cookies
Différents types de cookies existent et pour différentes raisons. Nous présenterons cependant les quatre types les plus populaires : ceux de sessions, les persistants, les propriétaires et les cookies tiers.
Les cookies de sessions
Ils sont temporaires, et ne sont stockés dans la mémoire du navigateur que lorsqu'on y navigue. Lorsqu'on ferme le navigateur, les cookies de sessions s'effacent de l'historique. Ils ne présentent donc pas trop de risque de sécurité. Ils se retrouvent souvent dans les paniers d'achats en ligne. Et ils contrôlent ce que l'utilisateur voit dans un même site sur plusieurs pages.
Les persistants
Ces cookies servent sur une période plus prolongée, ils bénéficient d'une date d'expiration soumise par un émetteur. Ce qui veut dire que même si vous fermez votre navigateur, les cookies persistants y seront quand même stockés. A chaque fois que l'utilisateur se promène sur le site qui a envoyé le tracker, les données seront renvoyées à l'émetteur. Et ce suivi peut aussi se faire dans des sites différents de celui qui a envoyé les cookies. C'est le cas pour Facebook et Google qui génèrent un historique d'activités des utilisateurs sur leurs sites web et sur d'autres sites web différents.
Lorsque l'on clique sur « Se souvenir de moi », on crée des cookies persistants. Les informations de connexion de l'utilisateur sont alors stockées dans le navigateur. Leur période de survie plus prolongée augmente les risques de sécurité.
Les propriétaires
Ces cookies permettent à certains sites web d'atteindre un objectif précis. Comme par exemple, remplir un panier d'achat sur un site pour des commandes en ligne. Si ces cookies sont désactivés, lorsqu'on ajoute un autre article au panier, ce sera perçu comme une nouvelle commande. Il ne sera pas alors possible d'effectuer plusieurs achats en une seule transaction.
Les tiers
Ils proviennent d'un site que l'utilisateur ne visite pas sur le moment. Les cookies tiers servent à suivre un utilisateur ayant cliqué sur une publicité et rattaché à cette dernière.
Quels sont les risques liés aux cookies et comment se protéger ?
Puisqu'ils collectent des informations sur l'utilisateur et ses préférences, les cookies représentent des instruments qui peuvent nuire à la sécurité et à la protection de la confidentialité des utilisateurs. Les risques liés à ces éléments peuvent se diviser en deux catégories : les fraudes et les risques liés à l'atteinte de la vie privée.
Fraude
Cette méthode est fréquemment utilisée pour exploiter les utilisateurs. La fraude aux cookies se présente soit sous forme d'un site malveillant attaquant un autre site web en passant par le proxy. Soit en trafiquant l'activité d'un utilisateur légitime avec un faux identifiant de session pour des suivi de jeux. Quatre types de fraude ont été recensés pour une meilleure compréhension : le script intersite (XSS), la fixation de session, l'attaque de falsification de requête intersite (CSRF) et l'attaque de lancer de cookies
Le script intersite (XSS)
L'utilisateur reçoit un cookie après une visite sur un site malveillant. Ce cookie généré contiendra une charge script qui ciblera un autre site web. Cependant, ce cookie malveillant se camoufle sous un déguisement et falsifiera sa source. Plus tard, lorsqu'un visiteur se rend sur le site ciblé, le tracker frauduleux est envoyé au serveur du site ciblé. Les attaquants profitent généralement de cette navigation vulnérabilisée pour dévier des contrôles d'accès.
La fixation de session
Il se base sur la fraude de l'identifiant. L'utilisateur reçoit un cookie malveillant sous forme d'ID de session de l'émetteur du cookie. Lorsqu'il se rendra sur d'autres sites web, ces derniers n'enregistreront pas son ID de session, mais l'ID du cookie malveillant émis. L'utilisateur pensera alors qu'il effectue des actions propres alors que ce sera l'émetteur qui les effectue sur son dos. Cette fraude permet aux attaquants de contrôler des sessions d'utilisateur valide.
L'attaque de falsification de requête intersite (CSRF)
Après avoir visité un site légitime et envoyé des cookies légitimes, l'utilisateur se rend sur un site malveillant qui demandera à ce dernier d'attaquer le site légitime.
L'attaque de lancer de cookies
L'utilisateur reçoit des cookies d'un site malveillant qui semble provenir d'un sous-domaine du site ciblé. Lorsqu'il se rendra sur le site ciblé, toutes ses données seront envoyées. Mais le cookie interprété en premier sera celui du sous-domaine.
Comment se protéger ?
La meilleure façon de se protéger est de s'assurer de la mise à jour du navigateur ainsi que d'éviter tout simplement les sites risqués. Faites confiance aux avertissements en début de navigation.
L'atteinte à la vie privée
Ce risque de violation de la vie privée préoccupe les utilisateurs bien plus que les fraudes. Les invasions potentielles se reflètent par les publicités ciblées et intempestives qui s'affichent tout au long des navigations. La communauté des utilisateurs exprime cette situation comme un « suivi en permanence » des activités sur les navigateurs.
Comment protéger sa vie privée en ligne ?
Il n'est pas possible réduire totalement les risques mais l'on peut limiter l'accès à la vie privée en prenant soin de limiter les cookies. Prendre le temps de lire les paramètres de confidentialité et de sécurité du navigateur est la première chose à faire. Cela vous permettra de maîtriser la confidentialité et la sécurité de votre navigation par rapport aux cookies. La deuxième possibilité est la « navigation privée » ou incognito. Cette option empêche l'exploitation des cookies persistants.
Qu'en est-il de l'affichage et de la suppression des cookies ?
Ce procédé est simple. Il suffit de se rendre dans les paramètres de votre navigateur, dans la section confidentialité et sécurité. Une option « afficher les cookies » s'y retrouve. L'utilisateur pourra visualiser les trackers stockés dans le navigateur et par la même occasion les supprimer définitivement.
Les cookies zombies
Il est impossible de supprimer ces types de cookies de votre navigateur. Le problème est que la suppression les recrée automatiquement. S'ils ne sont pas toujours malveillants, les internautes désapprouvent en majorité leur caractère ineffaçable. Ainsi, il faut s'armer de patience pour les effacer. Faire des recherches sur Google sur le sujet peut aider. D'autres utilisateurs ou développeurs ont déjà pu effacer des cookies zombies. L'enjeu se trouve dans la recherche de la localisation du script de recréation du tracker. Une fois trouvé, la suppression de ce script empêchera la renaissance du tracker perturbateur.
La politique de contrôle
Il faut savoir que l'utilisateur peut contrôler la politique de ses cookies. L'internaute doit rechercher la politique en matière de cookies qui lui est adéquate pour ainsi réduire les risques liés à ces derniers. Cette gestion varie selon le navigateur que l'utilisateur utilise. Il est également possible de contrôler les trackers via les navigateurs sur appareils mobiles.
- Partager l'article :
