Le pistage de votre empreinte numérique, de vos traces et de votre comportement en ligne

C’est le moment où vous devriez regarder le documentaire “The Social Dilemma” sur Netflix. Ils traitent ce sujet bien mieux que quiconque, à mon humble avis.

Cela inclut la façon dont vous écrivez (la stylométrie), la façon dont vous vous comportez. La façon dont vous cliquez. La façon dont vous naviguez. Les polices que vous utilisez dans votre navigateur. Le fingerprinting sert à deviner qui est quelqu’un d’après la façon dont cet utilisateur se comporte. Vous utilisez peut-être des mots pédants bien précis ou vous faites des fautes d’orthographe bien précises qui pourraient vous trahir via une simple recherche Google de traits similaires, parce que vous avez écrit de façon comparable dans un post Reddit il y a 5 ans avec un compte Reddit pas si anonyme. Les mots que vous tapez dans un moteur de recherche peuvent à eux seuls être utilisés contre vous, car les autorités disposent désormais de mandats pour trouver les utilisateurs qui ont employé certains mots-clés dans les moteurs de recherche.

Des plateformes de réseaux sociaux comme Facebook/Google peuvent aller un cran plus loin et enregistrer votre comportement dans le navigateur lui-même. Par exemple, elles peuvent enregistrer tout ce que vous tapez même si vous ne l’envoyez pas et ne l’enregistrez pas. Pensez au moment où vous rédigez un e-mail dans Gmail. Il est enregistré automatiquement à mesure que vous tapez. Elles peuvent aussi enregistrer vos clics et les mouvements de votre curseur.

Tout ce dont elles ont besoin pour y parvenir dans la plupart des cas, c’est que Javascript soit activé dans votre navigateur (ce qui est le cas par défaut dans la plupart des navigateurs, y compris le navigateur Tor). Même avec Javascript désactivé, il existe encore des moyens de vous identifier par fingerprinting.

Si ces méthodes servent en général à des fins de marketing et de publicité, elles peuvent aussi être un outil utile pour le fingerprinting des utilisateurs. C’est parce que votre comportement est unique, ou assez unique pour qu’avec le temps, vous puissiez être désanonymisé.

Voici quelques exemples :

Des entreprises spécialisées vendent, par exemple aux forces de l’ordre, des produits d’analyse des activités sur les réseaux sociaux comme https://mediasonar.com/ Archive.org
Par exemple, comme base d’authentification, la vitesse de frappe d’un utilisateur, l’enfoncement des touches, les schémas d’erreur (disons taper accidentellement un “l” au lieu d’un “k” dans trois opérations sur sept) et les mouvements de la souris établissent le schéma de comportement unique de cette personne153. Certains services commerciaux comme TypingDNA (https://www.typingdna.com/ Archive.org) proposent même une telle analyse en remplacement de la double authentification.
Cette technologie est aussi largement utilisée dans les services de CAPTCHA154 pour vérifier que vous êtes “humain” et peut servir à identifier un utilisateur par fingerprinting.
Voir : Contrer la linguistique judiciaire.

Des algorithmes d’analyse pourraient ensuite servir à rapprocher ces schémas de ceux d’autres utilisateurs et à vous relier à un autre utilisateur connu. On ne sait pas clairement si de telles données sont déjà utilisées ou non par les gouvernements et les forces de l’ordre, mais cela pourrait être le cas à l’avenir. Et si cela sert surtout à des fins de publicité, de marketing et de captchas aujourd’hui, cela pourrait servir, et servira probablement, à des enquêtes à court ou moyen terme pour désanonymiser des utilisateurs.

Voici un exemple amusant que vous pouvez essayer vous-même pour voir certaines de ces choses à l’œuvre : https://clickclickclick.click (pas de liens d’archive pour celui-ci, désolé). Vous verrez que cela devient intéressant avec le temps (cela demande d’avoir Javascript activé).

Voici aussi un exemple récent qui montre simplement ce que Google Chrome collecte sur vous : https://web.archive.org/web/https://pbs.twimg.com/media/EwiUNH0UYAgLY7V?format=jpg&name=4096x4096

Voici quelques autres ressources sur le sujet si vous ne pouvez pas voir ce documentaire :

2017, Behavior Analysis in Social Networks, https://link.springer.com/10.1007/978-1-4614-7163-9_110198-1 Archive.org
2017, Social Networks and Positive and Negative Affect https://www.sciencedirect.com/science/article/pii/S1877042811013747/pdf?md5=253d8f1bb615d5dee195d353dc077d46&pid=1-s2.0-S1877042811013747-main.pdf Archive.org
2015, Using Social Networks Data for Behavior and Sentiment Analysis https://www.researchgate.net/publication/300562034_Using_Social_Networks_Data_for_Behavior_and_Sentiment_Analysis Archive.org
2016, A Survey on User Behavior Analysis in Social Networks https://www.academia.edu/30936118/A_Survey_on_User_Behaviour_Analysis_in_Social_Networks Archive.org
2019, Influence and Behavior Analysis in Social Networks and Social Media https://sci-hub.se/10.1007/978-3-030-02592-2 Archive.org

Alors, comment atténuer tout cela ?

Ce guide fournira quelques atténuations techniques via des outils résistants au fingerprinting, mais celles-ci pourraient ne pas suffire.
Vous devriez faire preuve de bon sens et essayer de repérer vos propres schémas de comportement, puis vous comporter différemment quand vous utilisez des identités anonymes.
La façon dont vous tapez (vitesse, précision…).
Les mots que vous utilisez (attention à vos expressions habituelles).
Le type de réponse que vous employez (si vous êtes sarcastique par défaut, essayez d’avoir une approche différente avec vos identités).
La façon dont vous utilisez votre souris et cliquez (essayez de résoudre les captchas autrement que de votre manière habituelle)
Les habitudes que vous avez en utilisant certaines apps ou en visitant certains sites web (n’utilisez pas toujours les mêmes menus, boutons ou liens pour atteindre votre contenu).

Vous devez jouer et adopter pleinement un rôle comme le ferait un acteur pour une représentation. Vous devez devenir une personne différente, penser et agir comme cette personne. Ce n’est pas une atténuation technique mais humaine. Vous ne pouvez compter que sur vous-même pour cela.

En fin de compte, c’est surtout à vous de tromper ces algorithmes en adoptant de nouvelles habitudes et en ne révélant pas d’informations réelles quand vous utilisez vos identités anonymes. Voir : Contrer la linguistique judiciaire.