Faut-il faire confiance au mode privé des navigateurs ?

Or, le long papier que vient de publier l'équipe de chercheurs, qui sera présenté du 11 au 13 août lors de la conférence Usenix Security, met au jour plusieurs vulnérabilités de ces modes de navigation dont la mise en œuvre varie selon les logiciels.

Ainsi, quand IE, Firefox ou Chrome cachent les cookies créés lors d'une session de surf classique, Safari les laisse apparaître lors de la navigation privée. De même, Firefox et Safari laissent tourner les extensions en mode privé, ce qui n'est pas le cas de Chrome, qui laisse le choix aux internautes d'utiliser ou non leurs extensions. Une option appréciable, car celles-ci peuvent rendre la navigation moins discrète en laissant sur l'ordinateur des informations relatives aux sites visités. Quant à Internet Explorer, il possède bien une option pour désactiver les barres d'outils et les extensions lors du lancement d'une session « InPrivate », mais les contrôles ActiveX sont toujours fonctionnels, d'après l'étude.

Que l'on se rassure tout de même : la plupart des techniques décrites par les chercheurs pour exploiter en local les faiblesses de nos navigateurs réclament un certain savoir-faire technique. L'équipe décrit par exemple une procédure pour fouiller le cache DNS ou la mémoire virtuelle après la séance de surf et la fermeture du navigateur, pour y trouver les sites fréquentés discrètement. Pour tous les sites chiffrés par SSL (Secure sockets layer), c'est un peu plus simple : IE, Firefox et Safari conservent les clés SSL après la navigation dans un endroit séparé du système, non effacé par le navigateur. On pourrait ainsi remonter aux sites visités à partir de ces données, expliquent les chercheurs.

Amusant : par le biais d'une technique maison leur permettant de savoir si un internaute utilise la navigation privée ou non, l'équipe est parvenue à distinguer l'usage qu'ils faisaient de cette fonction. On apprend ainsi grâce à l'étude que la « navigation privée est plus populaire lors de séances de surf sur des sites pour adultes que sur des sites d'achat de cadeaux et d'actualités ». Une demi-surpise, à vrai dire, mais aussi une petite pique en direction de Microsoft, qui a réalisé une publicité bien prude sur ce thème !

Les chercheurs ont par ailleurs indiqué que les utilisateurs de Safari sont les plus prompts à lancer la navigation privée lorsqu'ils surfent sur des sites classés X, avec 14 % de sessions masquées, contre seulement 2 % des utilisateurs d'IE 8 repérés en « InPrivate » sur le même genre de sites.