Google ne rate jamais une occasion de rappeler que son navigateur Chrome vérifie en temps réel la dangerosité des sites visités par ses utilisateurs. Mais ce dispositif n’est pas disponible en navigation privée, ni en mode invité. Les choses devraient prochainement changer.
Selon la documentation de Google, la navigation privée de Chrome ne bénéficie pas toujours des mêmes vérifications Safe Browsing que la navigation classique. Elle se contente d’une liste stockée sur l’appareil.
Pourquoi la liste locale ne suffit pas face à des sites éphémères
Safe Browsing repose sur deux mécanismes. Le premier est une liste d’adresses connues comme dangereuses (hameçonnage, logiciels malveillants), stockée sur l’appareil. Le second est une vérification en temps réel. Dans ce cas, Chrome interroge Google pour savoir si l’adresse visitée figure parmi les menaces recensées à cet instant. Avec la protection standard, réglage par défaut, le navigateur consulte d’abord une liste locale de sites réputés sûrs avant de lancer cette requête, laquelle passe par un serveur de confidentialité chargé de masquer l'adresse IP de l’utilisateur.
En mode Incognito, Chrome peut se replier sur la seule liste locale des sites dangereux. Pour éviter de se faire repérer, de nombreux sites malveillants restent en ligne moins de 10 minutes. Or Google précisait par le passé que cette liste est actualisée toutes les 30 à 60 minutes. Une page d’hameçonnage peut donc apparaître et disparaître entre deux mises à jour. Google avait déjà ajouté à Safe Browsing une vérification en temps réel des adresses visitées, sur ordinateur et sur iPhone, pour réduire cet écart.
Le changement couvrirait la protection standard comme la protection renforcée. Cette dernière ajoute des garde-fous contre les sites, téléchargements et extensions dangereux, mais… au prix d’un partage d’informations plus large avec Google. Alors forcément, en navigation privée, ces vérifications supplémentaires posent une question de confidentialité. De leur côté, les développeurs semblent avoir prévu une parade. Les données de sécurité temporaires générées pendant une session Incognito resteraient en mémoire vive, sans être écrites sur le disque. Aucune information de sécurité propre à la session privée ne doit donc rester stockée sur l’appareil.
Rappelons que le mode Incognito ne rend pas anonyme pour autant. Les sites visités et les administrateurs d’un réseau peuvent observer l’activité, même si Chrome ne la conserve pas dans l’historique. Nous évoquions d’ailleurs un autre chantier sur ce mode, le test d'un blocage du fingerprinting par canvas, une technique de pistage qui exploite les différences de rendu graphique d'un appareil à l’autre. La vérification en temps réel, elle, reste en développement et désactivée par défaut derrière un réglage expérimental de Chrome (un flag). Google n’a communiqué aucune date de disponibilité.
- Navigation rapide
- Écosystème d'extensions très riche
- Synchronisation multi-appareils fluide
Source : DigitalTrends
