Christophe HENRY

Ce site ne comporte aucune information d’intérêt, sauf pour celui qui la cherche — Ĉi-retejo ne enhavas informon interesan, krom por iu kiu ĝin serĉas — This website doesn’t have any information of interest, except for who looks for it

Google valide le traçage par courriel

icon 14/12/2013

Gmail n'affichait pas les images par défaut. Il fallait faire quelque chose pour les afficher, ce qui avait un gros impact sur la divulgation de données personnelles. En effet, lorsqu'un spammeur envoie une image particulière, elle peut être dotée d'un identifiant unique. Si elle est affichée, le spammeur récupère l'adresse de la machine l'ayant ouverte, donc sa position approximative entre autres. Tout cela a pour but de valider l'existence de l'adresse de courriel, et envoyer plus de spam. Jusqu'à récemment, les ressources externes telles que les images n'étaient pas rapatriées par défaut. Ce qui était très bien.

Récemment, Google a annoncé télécharger l'image par défaut. Ce n'est pas l'ordinateur de l'utilisateur qui télécharge, mais l'un des ordinateurs de Google. Cependant, le spammeur conserve la donnée la plus précieuse, l'identifiant attaché au récipiendaire. Pas l'heure car Google télécharge une fois l'image et sert la même image si nécessaire aux destinataires suivants. Il est même possible qu'il télécharge l'image dès réception du courriel, sans que l'utilisateur n'en aie pris connaissance.

https://support.google.com/mail/answer/145919
Dans ce texte, indique comment « ne pas afficher automatiquement les images ». Implicitement, ça veut dire qu'on ouvre les vannes et c'est à vous maintenant de les fermer. À la Facebook. Il précise aussi que « Dans certains cas, les expéditeurs peuvent être en mesure de savoir si un individu a ouvert un message avec des liens d'image uniques. Comme toujours, chaque message est analysé afin de détecter tout contenu suspect et, si un expéditeur ou un message est considéré comme potentiellement dangereux, les images sont masquées et un message vous demandant si vous voulez voir les images s'affiche. »

Comment ça marche ?


Selon la méthode traditionnelle, les images sont ainsi dans les pourriels :

lesite.fr/le/chemin/image.jpg?id=tiF4aig7du
Si la ressource est chargée telle quelle, le spammeur a gagné. Mais ce n'est probablement par comme ça que Google va agir. Il va probablement retirer l'identifiant :

lesite.fr/le/chemin/image.jpg
Ce n'est pas suffisant. D'une part on modifie le document reçu par le destinataire, d'autre part il est possible que l'information après le point d'interrogation avait une vraie utilité désirée. Il est aussi possible que le serveur du spammeur (ou de l'expéditeur loyal) refuse d'envoyer l'image s'il n'y a pas d'identifiant fourni. Google pourrait falsifier l'identifiant mais il reste possible que le serveur adverse vérifie l'authenticité de l'identifiant et ne serve pas l'image.

Cette mesure n'est pas efficace, parce qu'on peut très bien introduire l'identifiant unique dans le nom de l'image :

lesite.fr/le/chemin/image_tiF4aig7du.jpg
Si Google repère l'identifiant unique dans l'image et le retire ?

lesite.fr/le/chemin/image.jpg
Cela aboutira à une erreur et l'image ne sera pas chargée. En récupérant quelques unes de ce type d'image, il pourra bien voir que ce sont les mêmes et économiser de l'espace mémoire. Mais il devra quand même télécharger ces images. Et donc trahir le destinataire.

À ce stade, le fournisseur peut dire « il y a du contenu étrange, nous ne l'affichons pas. Voulez-vous l'afficher ? ». Effectivement. Alors il suffit d'utiliser des liens comme suit :
  • lesite.fr/le/chemin/wood.jpg
  • lesite.fr/le/chemin/tree.jpg
  • lesite.fr/le/chemin/serpent.jpg
Et de conserver une correspondance, côté spammeur, entre le nom de fichier et son destinataire. Et là, partie terminée.

Peut⁻être ? Mais alors ça obligerait le spammeur a avoir autant d'images que de spammé ?

En fait non, il suffit toujours d'une seule. Un lien tel que ceux ci-dessus aboutit normalement à une image. Mais il est trivial de le faire aboutir à un programme côté serveur. Ce programme prend connaissance de l'identifiant (avec la table mentionnée précédemment) et sert l'image attendue. Il peut aussi fournir plusieurs images, par exemple des images identiques pour wood.jpg et tree.jpg mais une autre pour serpent.

Le verdict est clair : si Google n'empêche pas le chargement de ressources distantes, telles que les images, alors il trahit les récipiendaires des courriels. Cela dit, ils n'en sont pas à leur première fois. Et cela pourrait aussi leur apporter des affaires. C'est un point de vue largement spéculatif, mais il est maintenant possible à Google de favoriser certains clients (j'ai dit client, pas utilisateur/marchandise) à travers des réglages favorables.

icon Tags de l'article :

Aucun commentaire

icon Flux RSS des commentaires de cet article