Qu'est-ce que le fingerprinting et comment se protéger ?

C'est étrange, je refuse tout le temps les cookies sur chaque site que je visite, et pourtant, j'ai encore l'impression de recevoir de la publicité ciblée !

Vous êtes-vous déjà fait cette réflexion ? Si oui, je vais vous expliquer comment les collecteurs de données et les publicitaires parviennent encore à leurs fins, sans cookies, grâce au fingerprinting.

Qu'est-ce que le fingerprinting ?

Le fingerprinting (ou "empreinte numérique") est une technique utilisée pour identifier un appareil ou un utilisateur de manière quasi unique, sans cookies.

Mais comment est-ce possible ? En collectant toutes les informations que votre navigateur ou votre appareil envoie automatiquement :

• Le navigateur que vous utilisez, sa version, le système d'exploitation
• Langue, fuseau horaire, taille de l'écran
• Polices installées, plugins, configuration audio/vidéo
• Rendu graphique via WebGL ou Canvas

Toutes ces données, croisées entre elles, permettent de créer une sorte d'empreinte digitale numérique, un profil. Ce profil peut être unique ou non, en fonction de l'équipement et des logiciels que vous utilisez :

• Vous tendrez du côté "standard" si par exemple vous utilisez Windows et Chrome, car c'est statistiquement un couple OS/Browser très répandu.
• A l'inverse, vous tendrez du côté "unique" si vous naviguez via LibreWolf, installé sur Zorin OS (Linux), car c'est un cas de figure rare.

Au cours de mes recherches sur le sujet, j'ai appris que certains sites poussaient même l'exercice jusqu'au fingerprinting comportemental, une technique qui exploite les comportements uniques de chaque utilisateur pour les distinguer de manière encore plus précise :

• Les mouvements de souris et sa vitesse de déplacement
• Les vitesses de frappe au clavier
• Le lexique utilisé
• Les habitudes de défilement (scroll)

Tester et découvrir sa propre empreinte numérique

Pour cela, des sites utiles propose de tester votre configuration et vous partager les résultats, ce qui est toujours intéressant pour prendre conscience des possibilités de cette méthode de pistage.

• Am I Unique ? (FR/EN) : Un site proposé par des chercheurs de l'université de Lilles et qui permet de comparer votre empreinte dans le temps, parmi une base de données de 3,8 millions empreintes.
• Cover Your Tracks (EN) : Un site proposé par l'association Electronic Frontier Foundation. En plus de tester votre empreinte, le site propose du contenu pour comprendre ce qu'est le fingerprinting et comment s'en prémunir.

Il existe d'autres sites proposant ce type d'analyse.

Les risques sur la vie privée

Le fingerprinting pose un vrai problème de confidentialité, car :

• Il fonctionne même en navigation privée
• Il ne dépend pas de cookies
• Il permet de vous suivre d'un site à l'autre, même si vous bloquez tout le reste

Et ce n'est pas théorique : des sociétés d'analyse marketing et des courtiers en données (brokers) l'utilisent déjà pour tracer les internautes de façon très précise.

Même si vous utilisez un VPN ou que vous vidiez vos cookies, vous pouvez quand même être reconnu. Pas idéal si vous souhaitez garder le contrôle de vos données et ne pas être profilés par les publicitaires.

On peut se poser légitimement la question suivante : si un site collecte mon empreinte numérique, comment cette empreinte peut-elle être liée à un second site, puis un troisième, un quatrième, ... et ainsi faire l'objet d'un suivi ? Le fingerprinting est généralement proposé par les annonceurs et les applications de statistiques. Si vous visitez plusieurs sites qui disposent des mêmes outils de publicité et/ou statistiques, alors votre empreinte numérique peut être reconnue au travers de ces différents sites, ce qui permet de traquer votre parcours.

Pour vous illustrer cela, imaginez combien de sites dans le monde utilisent les services Google Analytics (statistiques web) et Google Ads (publicité) ? (Réponse non chiffrée : beaucoup 🙃). Imaginez ensuite que chacun de ces sites contiennent un script fourni par Google pour utiliser ses services, script qui collectent toutes les données utiles au fingerprinting. Vous comprenez la suite... ?

Sans trop tomber dans la paranoïa, à partir du moment où un site utilise un service tiers, il y a un risque de fingerprinting, connu ou non.

Se protéger du fingerprinting : chercher à disparaître, ou se fondre dans la masse ?

C'est bien beau de nous inquiéter, mais comment agir pour lutter contre le fingerprinting ?

En premier lieu, on pourrait être tenter de vouloir disparaitre en bloquant le maximum de données collectées et il existe des techniques pour cela : bloquer les trackers à l'aide d'une extension, désactiver le javascript (qui exécute les scripts externes), ... Mais dans le cas du fingerprinting, disparaitre n'est peut-être pas la meilleure approche.

Disparaître : Une fausse bonne idée

Plus vous tenterez de vouloir faire disparaitre votre empreinte numérique, plus celle-ci deviendra unique, car rare. Repensez à l'effet de masse et les techniques utilisées pour vous profilez. Une configuration rare est plus facile à repérer et à suivre qu'une configuration banale.

A l'inverse : Pourquoi ne pas se fondre dans la masse ?

L'idée ici est plutôt de ressembler aux autres utilisateurs, pour rendre le suivi plus difficile. En standardisant ou en randomisant certaines données, on brouille les pistes sans se rendre unique, ce qui complexifie ou rend impossible la capacité à vous traquer.

Solutions pour se protéger du fingerprinting

Voici une sélection de solutions que j'ai trouvé au cours de mes recherches sur ce sujet.

Si vous êtes team "Disparaitre"

👉 Utiliser un navigateur très protecteur de la vie privée, comme LibreWolf ou Mull

👉 Utiliser des extensions protectrices comme AdBlock, uBlock, Privacy Bager, Canvas Blocker ou Ghostery

👉 Désactiver certaines fonctions du navigateur comme JavaScript ou HTML5 Canvas, pour limiter les données collectées, cependant cela pourrait altérer le fonctionnement des sites que vous visiterez.

👉 "Containeriser" votre navigation en fonction de votre utilisation. Par exemple, Firefox pour le shopping, Brave pour l'administration, LibreWolf pour la navigation simple, ...

Si vous êtes team "Se fondre dans la masse"

👉 Utiliser des navigateurs comme Tor ou Brave qui uniformisent l'empreinte des utilisateurs

👉 Utiliser l'extension "Chameleon" pour Firefox : elle vous permet de personnaliser votre empreinte (OS, Navigateur, Résolution, ...)

En résumé : comprendre, choisir, agir

Le fingerprinting est un sujet vaste et technique, mais il mérite qu'on s'y intéresse. Comprendre ce qu’il est, c’est déjà reprendre un peu le pouvoir.

Faut-il disparaître ? Pas forcément. Mieux vaut se fondre dans la masse grâce à des outils adaptés et à quelques bonnes pratiques. À chacun de trouver le bon équilibre entre confort d’usage et niveau de protection souhaité.

Ressources

➡️ Testez votre fingerprinting : Am I Unique ? / Cover you tracks

➡️ Revue de presse : Google autorise le fingerprinting : quels dangers pour vos données personnelles ? (Blog du modérateur)