Firefox : retrait d'une extension un peu trop curieuse

Une extension pour le navigateur Firefox, téléchargée plus de 7 millions de fois, collectait l'historique de l'ensemble des sites visités en combinant cette dernière avec un identifiant spécifique pour chaque utilisateur.

Désormais retirée du répertoire de Mozilla, l'extension Ant Video Downloader and Player, se présentait comme un outil permettant aux internautes de récupérer les clips mis en ligne sur différents sites populaires tels que Youtube, Myspace, Google Video ou encore Daily Motion. Si les développeurs assurent que « cet addon est sécurisé (et) ne contient aucun malware », tout le monde n'est pas du même avis.

En effet, le chercheur indépendant Simon Newton a découvert que l'extension collectait plusieurs données à l'insu de l'utilisateur. Alors qu'il tentait de corriger le fonctionnement d'une application web, il s'est aperçu que chaque requête HTTP envoyée depuis son PC était transmise vers le serveur rpc.ant.com. Ces données incluaient la date de connexion, les détails du navigateur utilisé ainsi que plusieurs cookies contenant un identifiant unique universel. Notons que cet identifiant n'est pas modifié même après la désinstallation et la ré-installation de l'addon. Il est alors nécessaire de ré-appliquer les paramètres de Firefox par défaut.



Le développeur ajoute que l'extension procède à la collecte aussi bien en mode de navigation classique qu'au travers d'un VPN ou en mode de navigation privée. « Puisqu'il y a un identifiant unique, il est possible de dresser des modes de comportement en fonction de ma position », déclare M. Newton en précisant : « par exemple si j'utilise mon portable au travail, sur un hotspot public, à la maison ou chez un ami, cet identifiant et ces cookies sont rattachés à l'adresse IP et amassent non seulement des informations relatives à mes activités en ligne mais également sur l'endroit où je me trouve ».

Interrogé par le magazine The Register, un porte-parole de Mozilla confirme les propos de M. Newton. Si la collecte de données ne serait pas en violation des conditions de publication des extensions, la fondation souhaite cependant que ce comportement soit clairement mentionné à l'internaute. Mozilla a donc contacté l'équipe de ant.com afin qu'elle rectifie sa politique de confidentialité ainsi que la description de son extension. La collecte servirait à améliorer un algorithme retournant, pour chaque site visité, une note de popularité.