Fingerprinting : L'identification des navigateurs (WebGL, Canvas, User-Agent) et les défis pour le RGPD.
Le Fingerprinting : Identification unique et défis du RGPD
Fonctionnement du fingerprinting
Selon la définition de la CNIL, le fingerprinting, ou « prise d’empreinte » est une technique probabiliste visant à identifier un utilisateur de façon unique sur un site web ou une application mobile en utilisant les caractéristiques techniques de son navigateur. Il s’agit donc d’utiliser les informations liées au matériel et au navigateur que l’on utilise afin de créer une empreinte numérique unique qui pourra permettre par exemple de suivre notre activité sur le web de la même manière que cela se fait avec les cookies, et cela, même si ces derniers sont refusés. Par exemple, il est possible de récupérer les informations du navigateur, le système d’exploitation, la taille de l’écran ou des données plus précises comme les données de l’api WebGL, de les combiner et de créer un identifiant unique qui permettra ensuite de suivre la navigation de l’utilisateur même s’il utilise la navigation privée ou qu’il refuse les cookies.
L'unicité du navigateur démontrée
Pour facilement vérifier la capacité qu’ont les sites à créer un fingerprinting à partir d’un navigateur, il existe le site https://amiunique.org/. Il s’agit d’un site internet créé par des chercheurs qui étudient les monocultures et la diversité logicielles sur le Web. Ce site permet d’analyser l’empreinte numérique du navigateur afin de montrer à quel point il est unique par rapport aux autres. Pour faire ces comparaisons, le site s’appuie sur différentes caractéristiques telles que le User-Agent, la résolution de l’écran, les langues préférées, les extensions installées, mais aussi les polices de caractères disponibles, le moteur de rendu WebGL ou les données Canvas.
Focus sur le DrawnApart et WebGL
Prenons un exemple de résultat avec le navigateur Chrome sur une machine Ubuntu (voir figure 1)
Au départ, les résultats semblent encourageants comme Linux représente 20,64 % des utilisateurs, Chrome 44,6 %, que la langue française est à 9,53 % et que le fuseau horaire UTC+2 est à 12,30 %.
Cependant, les résultats sont sans appel : sur un ensemble de près de 360 000 empreintes enregistrées dans la base de données, le navigateur testé est unique.
Dès que nous analysons les entêtes HTTP, le User Agent n’est commun qu’avec 0,06 % des autres utilisateurs.
Puis vient l’étude des résultats des attributs JavaScript et l’unicité devient encore plus évidente. Le Canvas, qui représente le rendu d’une image selon une suite d’instructions précises, n’est commun qu’avec 0,09 % des résultats (voir figure 2). Enfin, la liste des polices de caractères n’est commune avec aucun autre résultat.
Et ce ne sont pas les seuls résultats qui sont quasi uniques. Concernant cette machine, on retrouve des informations telles que la hauteur et la largeur de l’écran (avec respectivement 0,48 % et 0,07 % de résultats communs) ou la position verticale et horizontale du premier pixel non utilisé. (voir figure 3)
Enfin, les caractéristiques de l’api WebGL finissent de définir le navigateur comme étant unique, avec des scores de 0.06 % de résultats communs pour le Renderer WebGL ou de 0,22 % pour ce qui concerne les paramètres (Voir figure 4).
L’utilisation de WebGL est à la base de la technique de fingerprinting dite de DrawnApart. Celle-ci exploite l’utilisation du GPU de l’appareil afin de créer un identifiant. Cela rend cette technique de traçage très puissante, car même si l’utilisateur change de navigateur, son empreinte pourra rester reconnaissable.
Position du RGPD face au fingerprinting
Puisque le fingerprinting et ses techniques permettent d’identifier un utilisateur de manière unique, cette méthode est soumise aux mêmes règles que les autres traitements informatiques. Ils nécessitent donc d’être exécutés dans le cadre de l’une des six bases légales concernant le traitement des données personnelles. Il peut s’agir d’un intérêt légitime comme la lutte contre la fraude ou d’une demande de consentement au sujet d'un traitement d’audience.
Il est cependant difficile de contrôler l’utilisation de cette technique car contrairement à l’utilisation des cookies, celle-ci ne laisse pas de trace sur la machine.
Enfin, l’utilisation du fingerprinting est appelée à se développer. Un signe qui va dans ce sens est la récente décision de Google de permettre aux annonceurs de l’utiliser depuis le 16 février 2025.
Mesures pour limiter le fingerprinting
Que faire si l’on ne veut pas que son navigateur soit utilisé par le fingerprinting ?
Cela passe par limiter l’exposition de son navigateur à cette technique et notamment de se fondre le plus possible dans la masse par rapport aux autres navigateurs.
Pour ce faire, visiter des sites comme amiunique.org ou coveryourtracks.eff.org permet de mieux connaître son navigateur et de voir quelles sont ses faiblesses face au fingerprinting.
On peut utiliser un navigateur axé sur la confidentialité comme Brave, Tor Browser ou Firefox avec l’option “Résistance au fingerprinting” activée.
On peut également passer par un VPN.
On peut aussi désactiver ou limiter l’utilisation de JavaScript, mais cela aura pour conséquence de limiter l’expérience utilisateur lors de la navigation sur les différents sites. Enfin, il existe des extensions, notamment pour Firefox qui permettent de limiter le traçage tel que uBlock Origin, No Script ou CanvasBlocker.
Concernant la technique du DrawnApart, il est possible de désactiver WebGL dans le navigateur si celui-ci le permet,ce qui revient à limiter les fonctionnalités graphiques du navigateur,ou d’utiliser des extensions comme CanvasBlocker.
L’utilisation de ces extensions risque également de limiter l’expérience utilisateur dans la navigation sur les différents sites. Ainsi, l’installation de CanvasBlocker pose des problèmes lors de l’utilisation de différents services comme PayPal, ReCaptcha ou Google Drive.
L’ensemble de ces techniques ne permettent pas de supprimer l’empreinte numérique, mais de la limiter.
Enfin, multiplier les extensions ou utiliser des extensions rares dans son navigateur peut s’avérer contre-productif et rendre celui-ci plus unique et donc plus facilement traçable.
Mesure | Avantages | Inconvénients |
Navigateur axé sur la confidentialité (Brave, Tor Browser, Firefox) |
|
|
Utilisation VPN |
|
|
Désactiver WebGL |
|
|
Utilisation de uBlock |
|
|
NoScript |
|
|
CanvasBlocker |
|
|
Stratégie : se fondre dans la masse
Un point important à considérer lors de l’usage ou la mise en place de contre mesures est la confrontation entre l’obfuscation de l’identité et le renforcement de l’unicité. L’identité lie les données émises par votre environnement de navigation (FAI, routeur et navigateur) à votre identité sociale comme votre nom, prénom, numéro de téléphone et parfois adresse; toute l’idée du fingerprinting est de tracker si il s’agit bien de vous, tout en considérant une marge d’erreur.
L’idée d’unicité est à la fois complémentaire au principe de tracking de l’identité, tout en s’en éloignant. Dans ce cas, le fingerprinting identifie que votre environnement de navigation est unique et peut potentiellement lier cette information à votre identité pour garantir qu’il s’agit bien de vous.
Le paradoxe amené par les contre mesures est de renforcer l’unicité, à chaque action d’évitement du fingerprinting répond une caractéristique précise de votre environnement (comme l’absence de certains paramètres, des traitements spéciaux dans le contenu des pages ou des requêtes, etc.) qui va permettre d’identifier avec de plus en plus de précision votre environnement dans la masse des utilisateurs d’internet. Il y a donc en absolu un risque à mesurer lors de la customisation de votre environnement de navigation.
Dans ce cas, la seule bonne méthode sont les approches anti-trackers, qui vont directement retirer des scripts d’exécution les scripts de fingerprinting, limitant ainsi en absolu la quantité d’informations partagées aux éditeurs de ces solutions.
Solutions techniques pour l'utilisateur
Nous avons passé en revue les informations récupérables depuis nos navigateurs internet et ce qui peut être fait avec. Nous avons fait un rappel de ce que sont les données personnelles et de comment elles sont protégées au sein de l’Union européenne. Nous avons aussi vu que de nouvelles techniques de traçage se servaient des données du navigateur. Ces techniques modernes se perfectionnent et peuvent poser de nouveaux défis aux organismes chargés de réguler et de protéger l’utilisation des données personnelles. La protection personnelle face à ces techniques passe par des compétences techniques que ne possèdent pas la majorité des utilisateurs. L’encadrement de cette technique passera par une concertation entre les différents acteurs afin de dégager le meilleur compromis possible pour permettre son utilisation dans un cadre légitime comme la cybersécurité tout en garantissant le respect de la vie privée.
À retenir : les points clés du fingerprinting et de la protection de la vie privée
- Qu'est-ce que le fingerprinting ? Il s'agit d'une technique de traçage avancée qui crée un identifiant unique pour votre navigateur ou appareil, en compilant des caractéristiques techniques (User-Agent, WebGL, polices, résolution d'écran...). Contrairement aux cookies, il ne laisse aucune trace locale, rendant son contrôle plus difficile.
- L'unicité démontrée : des outils comme amiunique.org confirment que la combinaison des attributs de votre navigateur est souvent unique au sein d'une large base de données, même avec des paramètres courants. Le Fingerprinting est donc une méthode de suivi d'une grande précision.
- RGPD et bases légales malgré sa complexité, le fingerprinting est considéré comme un traitement de données personnelles et est soumis au Règlement Général sur la Protection des Données (RGPD). Son utilisation doit reposer sur l'une des six bases légales, comme le consentement ou l'intérêt légitime (ex: lutte contre la fraude).
- Mesures de contre-attaque pour limiter le traçage, la stratégie principale est de se fondre dans la masse.
- Utiliser des navigateurs axés sur la confidentialité (Brave, Tor Browser).
- Activer des options anti-fingerprinting (comme dans Firefox).
- Bloquer les scripts de traçage avec des extensions comme uBlock Origin ou NoScript.
- Attention au paradoxe : surcustomisation de votre environnement peut le rendre plus unique et donc plus facilement traçable.
- L'avenir de la protection la lutte contre le fingerprinting repose sur un équilibre délicat entre l'innovation technologique des traqueurs et l'évolution des réglementations. Pour l'utilisateur, cela nécessite l'adoption d'outils et de pratiques visant à réduire l'exposition de l'empreinte numérique.