BlogZiNet

The Den nous donne l’occasion de réviser quelques bons conseils de sécurité avec le directeur de l’assurance sécurité chez Mozilla, Michael Coates, dont vous avez déjà pu lire quelques traductions de ses billets sur ce blog.

Un expert de Firefox donne des conseils sur la sécurité en ligne

Récemment, nous avons posé à Michael Coates, le directeur de l’assurance sécurité chez Mozilla (les créateurs de Firefox), quelques questions sur comment garder les utilisateurs de Firefox en toute sécurité. Son but est de protéger les utilisateurs et leur vie privée, ainsi que les applications, les services, les systèmes et la réputation de Mozilla (lire en plus de l’équipe d’assurance sécurité sur leur blog).

Q : Que voyez-vous comme plus grand défi auquel les internautes sont confrontés pour rester en sécurité en ligne ?

La réponse de Michael : Le plus grand défi pour les utilisateurs d’Internet est de s’assurer que leur navigateur et leurs plugins sont à jour. Une des façons les plus communes pour les logiciels malveillants (malwares) d’infecter les utilisateurs sur Internet est de passer par l’intermédiaire de plugins obsolètes.

Q : Quelle solution possible pour affronter ce défi ?

La réponse de Michael : Mozilla a créé un site Web pour aider les utilisateurs à vérifier si leurs plugins sont obsolètes et ont besoin d’être mis à jour. Les utilisateurs devraient visiter régulièrement cette page pour s’assurer d’utiliser les versions les plus récentes de tous les plugins : www.mozilla.org/plugincheck.

Q : Quelle est votre fonction de sécurité de Firefox préférée ?

La réponse de Michael : Ma fonction de sécurité de Firefox préférée est celle que nous avons livrée au public récemment et que nous sommes toujours en train d’améliorer. La fonctionnalité, appelée Cliquer pour activer (Click to Play), aide à protéger les utilisateurs contre les attaques ciblant les plugins obsolètes. Malheureusement, un site Web compromis peut contenir des logiciels malveillants qui tentent de compromettre la machine d’un utilisateur via un plugin obsolète. Dans de nombreux cas, le site n’a pas normalement besoin d’utiliser ce plugin du tout. La fonction de sécurité Cliquer pour activer aide à protéger les utilisateurs en n’activant pas ces plugins obsolètes par défaut. Au contraire, ces plugins ne sont activés que lorsque l’utilisateur agit volontairement comme en cliquant sur une boîte de dialogue dans le navigateur. En fin de compte, cette nouvelle commande de sécurité aide à protéger les utilisateurs contre un type d’attaques courantes sur le Web.

Merci à Michael pour ses idées !

Voici quelques autres conseils de sécurité de la part de Firefox :

1. Utilisez un mot de passe super fort. Si votre mot de passe est 1234, vous êtes probablement plus vulnérable au piratage. Utilisez une phrase avec des chiffres et des caractères spéciaux. Par exemple, « _pe4reSP » est un mot de passe fort.
2. Savoir si un site est sécurisé avant d’y entrer des informations personnelles. Il y a deux choses à propos de la sécurité rapides et faciles à rechercher sur un site. Tout d’abord, l’URL commence-t-elle par HTTPS (au lieu de HTTP) ? Et deuxièmement, y a-t-il une icône en forme de « cadenas » sur la barre d’adresse qui montre que vous êtes sur un site sécurisé ?
3. Utilisez la dernière version de Firefox. C’est peut-être le conseil le plus important. Chaque mise à jour apporte plus de sécurité. Si vous utilisez un navigateur plus ancien, vous vous mettez plus en danger. Une mise à jour est si simple – voici comment faire.

Le document original et cette traduction sont soumis aux conditions de la licence
Creative Commons : « Paternité – Partage des conditions initiales à l’identique 3.0 »
ou toute version postérieure.

Si ce n’était une préoccupation de long haleine de Mozilla, on pourrait facilement croire que son initiative du jour est une réponse à la récente diatribe du président de l’IAB, Randall Rothenberg, contre Mozilla et son programme de blocage centralisé des cookies tiers. Pour lui faire la nique, Mozilla aurait obtenu le soutien de son ancien président qui loue ce nouveau projet de Mozilla de personnalisation du contenu que reçoit l’internaute dans le billet – traduit en premier – du directeur des affaires juridiques de Mozilla, Harvey Anderson. Contrairement à ce que prétend le publicitaire, Mozilla, ce « cocon rempli de techno-libertaires et d’une élite académique », a discuté avec les nombreuses parties prenantes au débat dont des publicitaires.

La situation actuelle, que l’IAB ne veut pas voir changer et qui fait que les sites, les publicitaires et de nombreux intermédiaires vivent de la publicité qui est ciblée grâce au pistage à grande échelle des internautes, n’est pas du goût de Mozilla qui avance des moyens de respecter la volonté de l’utilisateur comme le DNT (Ne pas me pister) dont les discussions sur la standardisation au sein du W3C sont enlisées. Mozilla a décidé de renverser le paradigme en substituant à l’exploitation du pistage transversale de l’internaute une fonctionnalité expérimentale qui permet à ce dernier de communiquer ses sujets d’intérêts sur une base volontariste aux sites Web qu’il choisit, comme l’explique Justin Scott, Manager produit aux Mozilla Labs dans le second billet traduit ici :

Vous avez peut-être appris sur le compte Twitter de MozillaZine-fr.org l’ajout de nouveautés à Firefox 24, alors dans le canal Nightly, dont certaines se retrouvent dans le canal Aurora depuis hier. Firefox 24 sera la prochaine version ESR. Il est prévu pour le 17 septembre.

Côté nouveautés, Firefox 24 Aurora implémente maintenant l’item de menu contextuel d’onglet « Fermer les onglets situés à droite » et seulement lui. Il n’y aura pas d’item pour fermer les onglets à gauche. D’ailleurs, dans les locales qui utilisent des alphabets qui s’écrivent de droite à gauche (RTL en anglais) tels que l’arabe et hébreu, l’item sera « Fermer les onglets situés à gauche » et lui seul. Ce billet explique pourquoi :

Pourquoi « fermer les onglets situés à droite » et pas « fermer les onglets situés à gauche » ? Quand nous ouvrons de nouveaux onglets, ils apparaissent à la fin, et donc naturellement les onglets qui ont une durée de vie plus longue finissent par être promus au début de la barre. Cela nous amène à la situation où fermer des onglets « à droite » est un moyen simple de fermer les onglets éphémères.

Firefox 23 vient de glisser dans le canal bêta. Parmi ses fonctionnalités phares, le blocage du contenu mixte demande des tests approfondis à travers le Web pour éviter de voir les utilisateurs confrontés à des sites ne fonctionnant plus après la mise à jour vers Firefox 23, à compter du 6 août prochain. Votre propre site est d’ailleurs peut-être concerné. Tanvi Vyas sur le blog sécurité de Mozilla présente le dispositif de tests où votre aide sera appréciée :

Le bloqueur de contenu mixte que nous avons décrit le mois dernier est désormais disponible dans Firefox bêta et est sur ​​la bonne voie pour une sortie générale en août avec Firefox 23. Lorsque des pages HTTPS sécurisées chargent du contenu supplémentaire de façon peu sûre en HTTP (également connu sous le nom de contenu mixte), les utilisateurs sont vulnérables à des attaques de l’homme du milieu (man-in-the-middle) et des tentatives d’écoute. Le bloqueur de contenu mixte va bloquer le contenu actif non sécurisé par défaut, protégeant nos utilisateurs de ces attaques.

Depuis le 25 février qu’Alex Fowler, le directeur de la vie privée et de la politique publique chez Mozilla, a annoncé officiellement le blocage des cookies tiers dans Firefox par défaut, la nouvelle avait beaucoup fait parler d’elle dans la presse spécialisée et provoqué l’ire des publicitaires en ligne. Alors dans le canal « Nightly », le Firefox qui a reçu le patch ajoutant cette fonctionnalité aurait dû vivre sa vie tranquillement jusqu’à la version finale 22 qui est sortie aujourd’hui… sans ladite fonctionnalité !

Le 16 mai, Brendan Eich, CTO de Mozilla, avait justifié le retardement de l’activation par défaut de la fonctionnalité alors que Firefox 22 passait dans le canal bêta. Le 19 juin, Brendan Eich a annoncé que la fonctionnalité était mise en sommeil jusqu’à l’établissement d’un blocage des cookies tiers sur la base de listes fournies par une branche de l’université de droit de Stanford en Californie.

Nous vous avions traduit le communiqué de presse présentant la nouvelle voie prise par la gestion des cookies qui retardera toute mise en œuvre dans Firefox de plusieurs mois. Voyez ci-dessous la traduction d’un billet avec des écrits des deux dirigeants de Mozilla qui ont pris en charge la conception de cette fonctionnalité touchant à la protection de la vie privée en ligne des utilisateurs :

Australis, le nouveau thème de Firefox, est en préparation et en discussion depuis très longtemps chez Mozilla. Les bouleversements de l’interface toucheront obligatoirement les extensions qui pour la très grande majorité d’entre elles ajoutent leur propre interface à celle de Firefox (au moins un bouton dans une barre d’outils). Ses premiers éléments vont enfin atterrir dans le cycle de développement de Firefox et ainsi glisser toutes les six semaines dans un nouveau canal de développement (ou pas si la fonctionnalité n’est pas mûre). Dans le billet traduit ici, Jorge Villalobos, le directeur des relations avec les développeurs de modules complémentaires pour Mozilla, avertit ces développeurs, avant l’arrivée des changements dans les canaux de développement de Firefox les développeurs d’extensions (et, par la nature ouverte du développement, les utilisateurs s’y intéressant), des incompatibilités qui devraient naître de l’application d’Australis et également de la réécriture de la restauration de session de navigation de Firefox qui espérons le sera alors plus robuste que l’actuelle :

Brendan Eich, CTO de Mozilla, sur son blog personnel, revient en détails sur les raisons qui ont poussé Mozilla à retarder l’activation par défaut dans Firefox de la fonctionnalité qui a beaucoup fait parler d’elle dans la presse spécialisée, à savoir l’acceptation par défaut des seuls cookies tiers des sites déjà visités. Voici une traduction de son billet :

Mozilla est impliqué dans une importante discussion sur la vie privée sur Internet. Nous croyons à la prise de contrôle par les utilisateurs de leur expérience en ligne et nous voulons un écosystème Web sain et prospère. Nous n’y voyons pas de contradiction. Cependant, une expérimentation décisive est parfois nécessaire pour le prouver.

À l’occasion du passage de Firefox 22 du canal Aurora au canal bêta, nous pouvons d’abord noter que la fonctionnalité qui a beaucoup fait parler d’elle dans la presse spécialisée, à savoir l’acceptation par défaut des seuls cookies tiers des sites déjà visités, est présente mais désactivée par défaut. Nous en reparlerons. Le blog des versions futures de Firefox n’a pas un mais deux billets sur cette version bêta qui devrait être distribuée à tous en version finale le 25 juin prochain. Le premier qui titre comme l’autre sur WebRTC présente les principales nouvelles fonctions de Firefox 22 bêta avec des liens permettant d’en apprendre davantage :

Dans sa campagne pour faire respecter la volonté des internautes à ne pas être pistés (Do Not Track ou DNT), Mozilla, qui a réussi à le faire inclure dans les principaux navigateurs et qui pousse en faveur de sa standardisation par le W3C, doit, au milieu des coups bas, convaincre les publicitaires (et les sites qui en vivent) d’honorer la manifestation explicite de cette volonté. Aujourd’hui, Alex Fowler, le directeur de la vie privée et de la politique publique chez Mozilla, annonce la mise à disposition du public d’un tableau de bord montrant le niveau d’adoption du DNT par les utilisateurs de Firefox. Ainsi, acteurs de ce dossier et pouvoirs publics (dont certains se sont positionnés en faveur du respect de la volonté exprimée par les internautes) auront à leur disposition de vrais chiffres pour convaincre ou, peut-on rêver, imposer :

Nouveau tableau de bord pour Do Not Track : les utilisateurs de Firefox continuent à dénicher et à activer le DNT

Mozilla est heureux de publier un nouvelle page interactive de mesure rendant compte des données mensuelles sur l’adoption par les utilisateurs du Do Not Track (DNT) dans Firefox. Nous rendons ces données publiques à la fois parce que ça fait partie de notre mission et que nous savons il y a un fort intérêt pour le sujet.

À l’heure actuelle, l’adoption du DNT aux États-Unis est d’environ 17 pour cent. Au niveau mondial, la moyenne est autour de 11 pour cent. Se fondant sur ces pourcentages, nous estimons que nos utilisateurs envoient plus de 135 millions de signaux DNT tous les jours — plus de 4 milliards de signaux DNT chaque mois.

La nouvelle page a des graphiques interactifs qui montrent la courbe d’adoption globale pour Firefox (de bureau) et Firefox pour Android (mobile), ainsi que deux cartes qui procurent une vue des différences régionales de l’adoption dans le monde entier.

Veuillez noter qu’aucun utilisateur de Firefox n’est pisté pour générer les données pour ces mesures. Toutes les 24 heures, Firefox et Firefox pour Android téléchargent automatiquement la dernière liste des modules complémentaires dangereux et/ou des extensions à désactiver dans le cadre de notre service de liste de blocage. Comme un signal DNT est inclus dans toutes les requêtes faites par le navigateur d’un utilisateur qui a enclenché le DNT, nous pouvons compter le nombre de fois que nous voyons le signal. Aucune autre information n’est enregistrée sur nos serveurs. Toute personne ayant un site Web et l’accès à un serveur Web peut commencer à compter combien d’utilisateurs envoient « DNT:1 », qui est la façon dont le signal est exprimé via les requêtes HTTP.

Le document original et cette traduction sont soumis aux conditions de la licence
Creative Commons : « Paternité – Partage des conditions initiales à l’identique 3.0 »
ou toute version postérieure.

Voir sur ce sujet sur BlogZiNet la traduction du billet de Sid Stamm, toujours sur le blog Vie privée de Mozilla, qui présente le nouveau dispositif ternaire de Firefox pour mieux connaître la volonté de l’utilisateur, à venir dans Firefox 21 actuellement à tester dans le canal de développement bêta.

Alors que Firefox 20 est sorti mardi 2 en version finale et que Firefox 21 a glissé jeudi 4 dans le canal bêta, vendredi 5 a vu le glissement de Firefox 22 dans le canal de développement Aurora. Si vous avez suivi les dernières péripéties du navigateur de Mozilla, vous aurez peut-être remarqué que le support de WebRTC avait été activé par défaut alors que Firefox 21 était dans le canal Aurora. Cette activation par défaut de ce standard en cours de développement qui permettra des appels audio et vidéo en temps réel, interactifs et en peer-to-peer, ainsi que le partage de données, et ce sans plugin ne figure pas dans les notes de diffusion de Firefox 21 dans le canal bêta ni maintenant dans celles de Firefox 22 dans le canal Aurora. Vous verrez ci-dessous que la fonctionnalité qui a beaucoup fait parler d’elle dans la presse spécialisée, à savoir l’acceptation par défaut des seuls cookies tiers des sites déjà visités, est présente dans ces notes et dans leur traduction qui suit cette caricature :

Crédit : Simon Gee Giraudot (Creative Commons By-Sa)