Les cookies (leur vie, leurs moeurs)

Oui, on m’avait déjà dit que si j’étais le seul zigoto
à faire ce genre de choses, je me ferais repérer. Paranoiaques,
unissez-vous ! Que ceux qui veulent le patch pour Junkbuster m’écrivent.
Plus nous serons é brouiller le fichage HTTPien, moins les webmestres
vendus au capitalisme feront confiance au champ Referer de leurs logs
qui sera finalement supprimé.

Non mais sérieusement, les Referer posent des problèmes assez graves :

1) Si l’addresse de la page sur laquelle se trouve le lien contient
des données sensibles (genre login / password pour interface CGI en
méthode GET) ces données seront transmises au site.

2) Un autre effet pervers est que lorsque vous utilisez un moteur de
recherche, et que vous cliquez sur un lien résultant, le site de
destination connaîtra les mots-clés que vous avez utilisé. Cela permet
notamment aux sites de l’autre côté de la barricade de faire du
"tuning" sur des mots-clés peu pertinents mais courants.

3) Soit X quelque chose regroupant des individus par intérêt.
Supposons que l’on fasse un site anti-X, sur le quel, pour
documentation, on donne des liens vers des sites pro-X. Alors à chaque
fois qu’un X-subversif cliquera sur un tel lien, le site pro-X saura
qu’un subversif vient visiter son site. Ainsi, le lobby des pro-X
pourra savoir quels sont les sites subversifs, et déduire des
informations annexes, du genre : l’évolution du taux d’activité des
X-subversifs. Tout cela grâce au Referer. Par exemple, supposons que
l’on fasse un site anti-scientologie. Si par malheur on met des liens
vers scientology.org, on pourra éventuellement recevoir des appels de
menaces de procès, comme c’est l’usage de la secte.

4) Mais à quoi sert au juste le Referer ? Le fait est que l’on peut
très bien s’en passer. Pour preuve, lorsque je supprime le Referer,
tous les sites continuent de fonctionner normalement, sauf de rares
exceptions où des mesures actives ont été prises pour empêcher le
référencement de données internes par des sites externes. Evidemment,
comme c’est l’utilisateur qui décide ce qu’il met dans Referer : la
contre-contre-mesure est triviale. Donc puisqu’il ne sert à rien
d’utile, pourquoi le garder ?

En bref, le Referer sert surtout aux Webmestres à la solde du
capitalisme à mieux mesurer l’origine du trafic incident, avec toutes
les applications commerciales que cela pourrait avoir.

D’après les lemmes 1,2,3 et 4 on en déduit que le Referer est MAL.
En conséquence de quoi il incombe à toute personne oeuvrant pour
le Progès et le Bien de l’Humanité de prendre les mesures adéquates,
à savoir, installer un filtrapub genre Junkbuster (c’est de l’opensource
hein !), et le configurer de façon à cacher les Referer.

On voit donc que la haine du Referer n’implique nullement une Echelonite
aiguë. D’ailleurs votre fournisseur d’accès en sait beaucoup, beaucoup
plus sur votre vie privée. Et de toute façon dans la plupart des pays
les flics branchent des tuyaux sur les fournisseurs d’accès, parfois
ouvertement, n’est-ce pas ? Donc croire que l’on échappera à un Echelon
quelconque en installant un filtre de ce genre c’est comme croire
que la NSA ne pourra pas décrypter vos mail parce que vous les avez
écrit avec du jus de citron.

PS.Referer s’écrit avec deux "r", le RFC comporte une faute, raison
de plus pour les supprimer !

Prenons les problèmes un par un...

1) Dans ce cas le _site_ est mal conçu. Imagine que tu bookmarkes l’adresse sur ton ordinateur au travail, ton mot de passe et login ne seront pas protégés non plus. La majorité des formulaires avec un password se passe en POST.

2) Tu visites alors un site commercial, dont la vocation est de faire de la thune, donc d’essayer d’attirer un max de personnes possibles... Je ne vois pas où est le mal. D’autant plus que tu es libre de ne pas le visiter. Et as tu imaginé que ça puisse rendre service aux clients du site, qui le trouvent dès lors plus facilement ?

3) Je pense que les sites genre scientologie sont soit au courant, soit s’en foutent. Et si tu veux vraiment contrer ça, tu peux mettre un lien vers une page hébergée sur (par ex) geocities qui redirige vers le site de scientologie. Mieux encore, tu ne mets pas de lien mais l’adresse du site, que l’internaute devra copier dans sa barre d’adresse.

4) Tout simplement pour savoir par qui on est visité (scoop) ! Les créateurs de sites (surtout les sites perso) sont bien contents de savoir qui linke vers eux, ou, justement, quels mots clés dans les moteurs ont amené des visiteurs... Ca sert également pour "l’anti-leech", ie tu ne peux downloader un fichier que si tu viens du serveur qui l’héberge. Bon ça, ça sert surtout pour les warezeux. De plus ça peut être contré avec un utilitaire de download un brin sophistiqué...

D’après tes lemmes 1, 2, 3, 4 on en déduit que tu es parano. Comme tu le dis toi-même, ton fournisseur d’accès possède TOUTES les informations concernant ton utilisation d’internet. Après on peut évidemment imaginer les machins genre échelon ou carnivore qui t’observent... et qui connaissent du même coup beaucoup plus de ton utilisation du net qu’un simple champ referer.

Bref. On en fait tout un fromage alors que c’est insignifiant. Pour les paranos, au lieu de cliquer sur le lien, vous faites ’copy shortcut’, le collez dans la barre d’adresse, et hop, plus de referer. Dur.

LE truc qui m’énerve sur le net en ce moment sont les applications ’espionnes’ qui s’installent en même temps qu’un autre logiciel (reget par ex), sans prévenir, puis envoient des infos vers leur site. Ca me semble plus dangereux que le referer.

Non, vraiment, t’as des trucs à cacher ? Vas y raconte !

Re-salut "patator",

1) Dans ce cas le _site_ est mal conçu. Imagine que tu bookmarkes
l’adresse sur ton ordinateur au travail, ton mot de passe et login ne
seront pas protégés non plus. La majorité des formulaires avec un
password se passe en POST.

La sécurité informatique consiste aussi à éviter de propager,
par ses propres inconséquences, les erreurs des autres.

2) Tu visites alors un site commercial, dont la vocation est de faire de
la thune, donc d’essayer d’attirer un max de personnes possibles... Je ne
vois pas où est le mal. D’autant plus que tu es libre de ne pas le visiter.
Et as tu imaginé que ça puisse rendre service aux clients du site, qui le
trouvent dès lors plus facilement ?

Le spam aussi rend service. Pour l’éviter, il "suffit" de ne donner son e-mail
nulle part en public. C’est tout simple !

Et si tu veux vraiment contrer ça, tu peux mettre un lien vers
une page hébergée sur (par ex) geocities qui redirige vers le site de
scientologie. Mieux encore, tu ne mets pas de lien mais l’adresse du site,
que l’internaute devra copier dans sa barre d’adresse.

Vive la simplicité. C’est marrant cette façon d’accepter qu’on doive prendre
des précautions idiotes plutôt que de dénoncer les pratiques qui nous compliquent la vie.

Bref. On en fait tout un fromage alors que c’est insignifiant. Pour les
paranos, au lieu de cliquer sur le lien, vous faites ’copy shortcut’, le
collez dans la barre d’adresse, et hop, plus de referer. Dur.

Faux, ça ne marche pas avec tous les navigateurs. Cf. autre message.

L’hypothèse
proposée par LeFayot dans son deuxième opus est le ciblage de la
pub, qui a ma connaissance n’a encore zigouillé aucun ordinateur,
ni tué personne

Haha, le génial argument. Je ne vois même pas l’intérêt de venir faire un article
ni troller dans les forums si c’est pour parler de choses "insignifiantes" puisqu’elles
ne tuent pas de gens ni de zigouillent d’ordinateurs.

a+

Je donne mon opinion, donc je ’trolle’... brillante déduction. Oui, je pense que le Referer rend plus service plutôt qu’il ne cause de tort.

1) Il faut donc retirer un champ de tous les serveurs & clients HTTP du monde entier car un login et un pass sont passés d’une manière non sécurisée. Hmmm va voir tous les programmeurs internet, on en reparle.

2) Décidément tu as trop tendance à généraliser. Je donne mon opinion sur les Cookies et le Referer, soudain je suis accusé d’être un partisan de techniques commerciales à deux francs.

>lien geocities : c’est un exemple. D’ailleurs, je pense que les scientologues connaissent les moteurs de recherche. Là non plus je ne suis pas partisan de gicler le Referer car il n’emmerde que qq internautes.

>copy shortcut : je n’ai testé que sous IE.

>dernière remarque : Oui, je pense que les cookies sont insignifiants. J’ai l’impression d’assister à leur mystification, juste pour satisfaires des personnes en mal de légendes internetiennes.

D’ailleurs, tu dis que tu mates les logs du minirezo, et donc le champ ’Referer’. Pourquoi ne recompiles tu pas ta version d’Apache afin de ne pas logger ce champ qui viole tant la vie privée des internautes ?

Maintenant, si tu as des arguments anti-cookies ou anti-referer autres que des questions évasives sur la sécurité informatique en général, je t’en prie, balance !

1) Il faut donc retirer un champ de tous les serveurs & clients HTTP
du monde entier car un login et un pass sont passés d’une manière
non sécurisée. Hmmm va voir tous les programmeurs internet, on
en reparle.

On parle de l’utilité du referer, et tu divagues sur la difficulté de
l’enlever : hors-sujet.

D’ailleurs, tu dis que tu mates les logs du minirezo, et donc le
champ ’Referer’. Pourquoi ne recompiles tu pas ta version d’Apache
afin de ne pas logger ce champ qui viole tant la vie privée des
internautes ?

1) parce que je ne suis pas foutu de le faire, 2) parce que je n’ai pas accès au serveur,
3) parce que j’ai pas que ça à foutre (notamment, il faut que je réponde à des guignols
comme toi).

Maintenant, si tu as des arguments anti-cookies ou anti-referer
autres que des questions évasives sur la sécurité informatique en
général, je t’en prie, balance !

Qu’est-ce qui est évasif, de parler de sécurité informatique ou de balancer
des arguments à la mords-moi-le-noeud du genre "de toute façon y a pas
mort d’homme" ? Ce n’est pas ma faute si ta contribution est du niveau
d’un trolleur de forum sur jeboycottedanone.com, hein....

ciao, pas la peine de continuer, cher "patator" (t’aurais pu garder ton
pseudo habituel, tu sais)...

Histoire d’apporter de l’eau au moulin sur les ’tests’... Sisi, ça existe. Je
suppose qu’il faut avoir programmé pour comprendre ça : ie pourquoi il
marche pas mon cookie ?

Bien sûr que ça existe, mais se targuer d’expliquer ce sur quoi on n’a aucun info
en disant simplement qu’il s’agit de tests, c’est idiot et prétentieux. A ce compte-là,
les spywares, les trous de sécurité, le fait de pouvoir propager des virus par mail
avec outlook express, c’est des tests et on n’en parle plus....

a+

Antoine.

Keep cool : on ne parle que des cookies, là. Je voulais simplement dire que ces tests existaient, et qu’ils étaient peut-être plus répandus qu’on ne le pense. Car franchement je ne vois pas bien ce qu’on pourrait stocker dans un cookie qui serait ’mal’.
L’hypothèse proposée par LeFayot dans son deuxième opus est le ciblage de la pub, qui a ma connaissance n’a encore zigouillé aucun ordinateur, ni tué personne.

C’est aussi mon avis (que les cookies ne risquent pas de contenir grand chose). Comme expliquer dans l’opus II, il ne peut finalement contenir que :

 Des données implicitement données par l’internaute : sa navigation en gros.
 Des données explicitement données par l’internaute.
 Et au final des données qui se trouvent déjà dans la BDD du serveur.