Apprendre à suivre le navigateur Vivaldi

Une fois qu'un utilisateur de Vivaldi réfléchit aux services que son navigateur contacte.

Il lance un scanner d'activité réseau et regarde avec horreur les nombreuses connexions de navigateur automatiques aux serveurs Vivaldi ou même Google.

Ayant repris connaissance, un tel utilisateur commence à nous envoyer des messages d'erreur décrivant comment les données personnelles des utilisateurs circulent comme une rivière vers des serveurs tiers.

Cependant, la plupart de ces utilisateurs curieux ne nous écriront rien, mais concluront simplement par eux-mêmes que Vivaldi espionne banalement leur activité et même "fusionne" des détails avec Google de temps en temps. Eh bien, pourquoi être surpris - après tout, les autres navigateurs n'hésitent pas à surveiller l'activité de leurs utilisateurs et à envoyer des détails aux développeurs du navigateur.

Très probablement, ces utilisateurs curieux reçoivent des résultats incorrects de surveillance de l'activité du navigateur (à la fin de l'article, vous trouverez des instructions sur la façon d'obtenir les résultats les plus fiables).

En fait, malgré le fait que le navigateur Vivaldi utilise le même moteur que Chrome , et utilise également certaines fonctions et composants de sécurité de Google, tous les détails de votre travail dans le navigateur restent privés - cachés à la fois pour les développeurs Vivaldi et des propriétaires de services tiers. Vivaldi ne collecte pas de statistiques détaillées sur votre activité sur le réseau et, contrairement à certains autres navigateurs, il ne dispose même pas d'informations sur les fonctionnalités du navigateur que vous préférez utiliser dans votre travail quotidien.

Dans cet article, nous examinerons chaque cas d'accès de Vivaldi à des services externes et expliquerons pourquoi cela est nécessaire. Nous vous indiquerons les informations et les services requis pour un travail complet afin que vous puissiez travailler sur le réseau confortablement et en toute sécurité.

Table des matières

1. Demandes de serveur Google
   a. Composants téléchargeables
   b. Données pour SafeBrowsing
   c. Télécharger la protection
   d. Vérification orthographique
   Autre activité
2. Demandes de serveur Vivaldi
   a. Statistiques utilisateur
   b. Accès à la base de données d'annonces indésirables
   c. Vérifier les mises à jour automatiques
3. Requêtes générées par l'utilisateur
   a. Sync
   b. Notifications sur le site Web
   c. Extensions installées
4. Pourquoi les scanners d'activité réseau ne montrent pas une image complète

Demandes de serveur Google

Composants téléchargeables

Certaines fonctionnalités de Vivaldi dépendent de composants développés et mis à jour indépendamment fournis par les développeurs Chromium / Google. Ces composants peuvent être consultés sur la page interne spéciale du navigateur Vivaldi:

vivaldi: // composants

Ces composants sont les éléments constitutifs du navigateur . Ils permettent aux navigateurs basés sur Chromium d'étendre leurs fonctionnalités en ajoutant de nouvelles fonctions à partir de la base de code.

Les plus importants d'entre eux sont Certificate Assistant et CRLset, qui augmentent la sécurité du réseau, ainsi que le module Widevine, qui est responsable de la lecture de vidéos en ligne protégées par DRM (par exemple, avec Netflix).

Ces composants sont téléchargés et installés dans le navigateur immédiatement après le premier lancement de Vivaldi sur votre ordinateur. Le navigateur vérifiera la pertinence des versions et installera les plus récentes pour le moment.

La demande de téléchargement initiale est envoyée aux serveurs update.googleapis.com et clients2.google.com, mais à l'avenir, les données peuvent provenir de serveurs comme redirector.gvt1.com ou même r3---sn-8xouxav-vnas.gvt1.com. .

Cookies: non
Contrôle: stratégie ComponentUpdatesEnabled dans vivaldi: // stratégie
Description en ligne: cs.chromium.org/chromium/src/components/update_client/net/network_impl.cc?l=24&rcl=17b2adf184fb218b6096a359b8a06a92be6d22d7

Données pour SafeBrowsing

Le composant SafeBrowsing est utilisé pour protéger les utilisateurs contre les sites malveillants qui proposent, par exemple, le téléchargement de certains logiciels avec des virus et autres infections. Le composant fonctionne avec une liste noire créée et maintenue par Google, et Vivaldi accède à cette liste plusieurs fois par jour sur le serveur safebrowsing.google.com.

Auparavant, SafeBrowsing fonctionnait avec le soi-disant filtre Bloom, mais maintenant un système plus simple est utilisé.

Maintenant, le système fonctionne en créant un hachage (somme de contrôle cryptographique) de l'URL du site Web (ainsi que des parties de l'URL) que vous allez visiter. Ce hachage est très difficile à déchiffrer afin de déterminer le code réel utilisé pour le chiffrement, il est également possible que plusieurs codes différents aient été utilisés pour créer ce hachage (mais il est également très difficile de les trouver, c'est le sens de la somme de contrôle). Le système utilise un petit hachage pour rechercher dans la liste principale pour savoir s'il peut y avoir une entrée de liste noire pour au moins une partie de l'URL. En cas de réponse positive, une demande est envoyée pour chacune des correspondances et le serveur répond avec une liste de tous les hachages de taille normale qui correspondent à l'un des préfixes.

Si l'un de ces hachages complets correspond à l'un des hachages générés, cette URL est bloquée car elle appartient très probablement à un site Web malveillant.

Étant donné que seul l'honneur du hachage de l'URL (ou une partie de celui-ci) est envoyé au serveur SafeBrowsing, le service ne verra pas l'adresse complète du site Web que vous visitez ou le hachage complet qui lui correspond.

Cookies: certains modes nécessitent des cookies, mais à partir d'un magasin de cookies isolé qui n'est pas partagé avec d'autres sites Web.
Contrôle: chrome: // settings / syncSetup
Description en ligne: cs.chromium.org/chromium/src/chrome/browser/safe_browsing/client_side_model_loader.cc?l=125&rcl=2b5ee7a019262c57d80b2740925a5226abe97bb4
cs.chromium.org/chromium/src/components/safe_browsing/db/v4_get_hash_protocol_manager.cc?l=305&rcl=17b2adf184fb218b6096a359b8a06a92be6d22d7
cs.chromium.org/chromium/src/components/safe_browsing/db/v4_update_protocol_manager.cc?l=312&rcl=17b2adf184fb218b6096a359b8a06a92be6d22d7

Désactivé par défaut: seules les URL suspectes sont chargées
Contrôle: option "Aide à améliorer la navigation et la recherche dans les pages" dans chrome: // settings / syncSetup
Description en ligne: cs.chromium.org/chromium/src/components/safe_browsing/realtime/url_lookup_service.cc?l=54

Télécharger la protection

Lorsque vous téléchargez, par exemple, le programme d'installation pour Windows, il peut s'avérer être un programme dangereux pour votre ordinateur, un cheval de Troie ou un autre logiciel malveillant . Afin de protéger les utilisateurs de tels «cadeaux», le code SafeBrowsing dans Chromium et le navigateur Vivaldi lui-même vérifient les URL pour leur absence dans la liste noire ou la présence de listes blanches de téléchargements. S'il n'est pas possible de vérifier localement la sécurité du fichier téléchargé, des informations plus détaillées sont envoyées au serveur SafeBrowsing - l'URL du fichier téléchargé, un lien de référence, le hachage du fichier téléchargé, toutes les informations de certification disponibles et une réponse du serveur détermine si le fichier est sûr ou non.

Malheureusement, il est très difficile de déterminer la réputation du fichier sans ces informations supplémentaires, car les fournisseurs de logiciels malveillants peuvent modifier à la fois les signatures valides des URL de téléchargement et les données de téléchargement réelles, mais en règle générale, certaines autres parties doivent rester les mêmes. Il y a eu de véritables attaques qui ont contourné la protection avant que l'URL et les liens de référence soient ajoutés à la liste des données vérifiées.

Le même système est utilisé dans Mozilla Firefox .

Cookies: autorisés à partir du stockage isolé SafeBrowsing (pour compter les utilisateurs uniques)
Contrôle: paramètres SafeBrowsing dans chrome: // settings / syncSetup
Description en ligne: cs.chromium.org/chromium/src/chrome/browser/safe_browsing/download_protection/check_client_download_request_base.cc?l=568&rcl=17b2adf184fb218b6096a359b8a06a92be6d22d7

Vérificateur d'orthographe

Vivaldi utilise un système d'orthographe hérité de Chrome. Lorsque vous saisissez du texte, cette fonction vous aide à éviter les fautes de frappe. Ce système télécharge les dictionnaires du réseau à partir des serveurs de Google pour une vérification locale du texte saisi à l'aide des serveurs redirector.gvt1.com.

Cookies: non
Contrôle: chrome: // paramètres / langues
Description en ligne: cs.chromium.org/chromium/src/chrome/browser/spellchecker/spellcheck_hunspell_dictionary.cc?rcl=95bfa1651b4e2e843fa06ead8506e22f178c00f8&l=282

Autre activité

Le code de chrome peut, sous certaines conditions, tester le réseau pour voir s'il se trouve dans un «portail piraté», tel qu'un portail de réseau WiFi public, qui nécessite une connexion ou cliquez pour accepter le CLUF.

Cookies: non
Contrôle: chrome: // paramètres / langues
Description en ligne: cs.chromium.org/chromium/src/chrome/browser/captive_portal/captive_portal_service.cc?rcl=ee1c95127800309d94e5457d41983d326fda1fcf&l=252

Demandes de serveur Vivaldi

Statistiques utilisateur

Récemment, nous avons décidé de changer la façon dont nous comptons nos utilisateurs, car certaines personnes perçoivent l'utilisation d'identifiants uniques comme une forme de suivi. Nous introduisons actuellement une nouvelle méthode de comptage des utilisateurs qui ne nécessite pas d'identifiants uniques.

Avant de pouvoir supprimer complètement l'identifiant unique, nous allons suivre plusieurs étapes pour nous assurer que le nouveau code fonctionne comme prévu et que nous pouvons faire confiance aux chiffres rapportés par ce compteur. Pour plus d'informations, consultez cet article expliquant comment nous considérons nos utilisateurs .

Accès à la base de données d'annonces indésirables

Plus tôt cette année, nous avons introduit notre propre support de blocage des publicités pour les sites ayant des pratiques publicitaires déloyales, telles que des publicités trompeuses ou des publicités qui vous empêchent de quitter le site. Cette fonctionnalité est mise en œuvre à l'aide d'une liste fournie par Google. Cette liste n'est pas téléchargée directement depuis Google. Au lieu de cela, il est hébergé sur nos propres serveurs après un simple prétraitement de la liste téléchargée par notre serveur interne de Google. La liste est mise à jour quotidiennement à partir du serveur automatiquement par le navigateur et appliquée aux sites Web intrusifs sans avoir à contacter le serveur à chaque fois.

Vérifier les mises à jour automatiques

Les versions Vivaldi pour Windows et Mac vérifient constamment nos serveurs pour les mises à jour du navigateur. L'option est désactivée dans les paramètres si vous le souhaitez.

Requêtes générées par l'utilisateur

Sync

Lorsque vous activez la synchronisation intégrée dans Vivaldi, vous vous connectez à votre compte sur le site Web de la communauté Vivaldi à l'aide du serveur login.vivaldi.net, et la synchronisation elle-même est effectuée via le serveur bifrost.vivaldi.com.

Notifications sur le site Web

Lorsque vous autorisez un site (tel qu'un site d'actualités) à vous envoyer des notifications, le site installe un petit script dans votre navigateur qui indique où recevoir les notifications. Il existe plusieurs fournisseurs de services pour cela, et le site Web décide lequel utiliser. L'un d'eux est Google Cloud Messaging (GCM), situé sur mtalk.google.com. Les URL internes correspondantes pour ce système sont:

chrome: // paramètres / contenu / notifications
chrome: // settings / siteData
vivaldi: // gcm-internals

Extensions installées

Les extensions installées par l'utilisateur peuvent se connecter au propre site de leur développeur pour demander des mises à jour ou pour signaler diverses données d'utilisation. Ce n'est certainement pas là que Vivaldi peut contrôler la situation. Nous encourageons toujours nos utilisateurs à choisir soigneusement leurs extensions et à nous assurer que les fournisseurs des extensions sont fiables.

Pourquoi les scanners d'activité réseau ne montrent pas une image complète

Les utilisateurs qui exécutent des analyseurs d'activité réseau utilisent généralement uniquement le moniteur d'activité réseau. Dans ce cas, une recherche DNS inversée est effectuée, à la suite de laquelle un nom d'hôte «arbitraire» est affiché.

Pendant ce temps, par exemple, les serveurs Google auxquels Vivaldi se connecte sont situés dans de grands parcs de serveurs sur plusieurs serveurs, même à plusieurs emplacements géographiques, et chacun de ces serveurs a un nom d'hôte unique. C'est ce nom unique qui est enregistré dans l'index DNS inverse pour son adresse IP.

Il est très peu probable que vous receviez une liste complète des serveurs hébergés sur cette adresse IP des principales batteries de serveurs utilisées par Google, Amazon ou Microsoft, ou qu'elle contienne le nom du serveur auquel le client est réellement connecté.

La meilleure façon de savoir à quels serveurs le client se connecte est d'écouter les requêtes et réponses DNS. Cela vous indiquera exactement à quels serveurs votre navigateur se connecte.

Une meilleure façon de voir ce qui se passe est d'utiliser les informations fournies par Vivaldi. Lancez Vivaldi avec l'argument --enable-logging = stderr --v = 1. Par conséquent, un paquet de données sera créé, enregistré dans le fichier chrome_debug.log dans le répertoire d'installation des données utilisateur, et parmi les données présentées, il y aura des lignes avec le texte suivant: NetworkDelegate :: NotifyBeforeURLRequest:. Cela indiquera quelles URL ont été demandées par le navigateur.

En conclusion, aucun des services automatisés n'envoie de données ou de statistiques sur votre activité en ligne à Vivaldi ou Google.

Photo de Luca Bravo sur Unsplash.

En savoir plus:

Vivaldi: construit en utilisant Chrome, mais différent de Chrome

Les puissants paramètres de confidentialité de Vivaldi

Comment un navigateur protège votre vie privée

Quel est le modèle économique de Vivaldi?

Auteur de l' article original : Yngve Pettersen, Expert en sécurité, Vivaldi Software