Suite à mon essai de GNU IceCat, j'ai encore découvert des paramètres pas cool dans Firefox.

• extensions.blocklist.enabled => false

  Enable the blocklist. Retrieve the list from the server specified in extensions.blocklist.url at the interval specified in extensions.blocklist.interval. If blocklisted extensions or plugins are already installed, disable them, and prevent blocklisted extensions from being installed in the future.
  ( http://kb.mozillazine.org/Extensions.blocklist.enabled )

• layout.spellcheckDefault => 2

  Enable spellchecker for multi-line controls and single-line controls. (Default in Camino)
  ( http://kb.mozillazine.org/Layout.spellcheckDefault )

• dom.battery.enabled => false
• device.sensors.enabled => false
• camera.control.face_detection.enabled => false
  => bon, ça parle tout seul.

• media.gmp-manager.url => http://127.0.0.1/
• media.gmp-manager.url.override => "data:text/plain,"
• media.gmp-provider.enabled => false

  GMP is a special purpose extension point for authorised 3rd party codecs and EME (Encrypted Media Extensions) CDMs (Content Decryption Modules).
  ( https://wiki.mozilla.org/GeckoMediaPlugins )

• browser.selfsupport.url => ""
  => Permet d'évaluer Firefox. La notification apparaît que pour une poignée d'utilisateurs mais Firefox (pour avoir simplement un échantillon) se connecte bien régulièrement chez Mozilla (pour savoir s'il fait partie du lot qui doit afficher la notification, j'imagine). Voir https://support.mozilla.org/fr/kb/rate-your-firefox-experience-heartbeat

• browser.newtabpage.directory.source => "");
• browser.newtabpage.directory.ping => ""
• browser.newtabpage.introShown => true
  => Ça, c'est pour le très controversé ajout de pub lors de l'ouverture d'un nouvel onglet. Bon, a priorio, ça ne me concerne pas vu que j'ai configuré browser.newtab.url -> about:blank , mais bon.

• social.directories" => ""
• social.remote-install.enabled => false
• social.share.activationPanelEnabled => false
• social.shareDirectory => ""
• social.toast-notifications.enabled => false
• social.whitelist => ""
  => Ça, c'est pour virer ce qu'il reste de l'API Social de Firefox…

On peut aussi empêcher la mise à jour automatique des moteurs de recherche mais je ne l'ai pas fait :

• browser.search.update => false

J'ai mis à jour mon shaarli sur ma configuration Firefox.

rms en a parlé lors de sa conférence à laquelle j'ai assisté, y'a plus d'un an (voir http://shaarli.guiguishow.info/?GX6MZw ). J'avais trouvé ça OMG-WTF-MDR-useless. J'avais noté de tester. Je viens de tester.

IceCat, c'est la version GNU de Firefox. Objectifs ? Virer la marque déposée et les comportements que la Free Software Foundation refuse comme le fait d'avoir un dépôt d'extensions qui contient des extensions privatrices (c'est aussi un point de désaccord majeur avec Debian et la distribution non-free dans les dépôts officiels) ou le fait que Firefox va toquer chez Mozilla régulièrement (recherche de mise à jour, rapports, etc.).

Note: avant d'être renommé IceCat, il se nommait IceWeasel. Mais Debian avait pris le nom le premier. Il faut donc bien faire la différence entre IceCat (GNU IceWeasel) et Debian IceWeasel, on ne parle pas de la même chose. :P

Suivi de la sécurité

Bon déjà, on notera qu'IceCat n'est pas packagé dans Debian donc niveau suivi de la sécurité, on se place là : faut le faire manuellement donc oubli & compagnie. Gênant pour un des softs les plus exposés aux menaces extérieures. D'autant plus qu'actuellement, la version d'IceCat distribuée par le projet GNU n'est pas la dernière ESR de Firefox (38.X versus 45.X) et qu'elle est abandonnée. :(

Même source que Firefox

Ensuite, on regarde le code source pour voir comment IceCat est construit à partir des sources de Firefox : http://git.savannah.gnu.org/cgit/gnuzilla.git/tree/ . Et on constate qu'on ajoute des favoris (vers la FSF) et des moteurs de recherche dans la barre de recherche, on change l'apparence (nom, logo, icônes, etc.), on prend quelques patchs chez Ubuntu et pis bah, c'est à peu près tout. Ça signifie que les fonctionnalités dont ne veut pas la FSF (Firefox Hello, EME, etc.) seront désactivées depuis about:config mais qu'elles seront toujours présentes dans le code.

Du coup, à quoi bon avoir une version non mise à jour de Firefox ? Autant prendre n'importe quel Firefox et changer nous-mêmes les valeurs dans about:config. Voir http://shaarli.guiguishow.info/?9-JFuQ pour une liste de paramètres à changer.

D'ailleurs, à ce propos, la majorité des paramètres est bien positionnée genre désactiver le safebrowsing (qui va toquer chez Google pour vérifier que chaque site visité n'est pas malveillant), désactiver le pré-chargement des contenus pointés par une page, désactiver Hello, etc.), mais, d'autres paramètres ne sont clairement pas OK : géoloc' activée, OCSP activé (il convient de conserver uniquement l'OCSP stapling qui, lui, ne balance pas votre IP et l'adresse du site web https que vous visitez à l'Autorité de Certification du site web en question), EME activé. :O WTF ?! Quel est l'intérêt d'IceCat dans ces conditions ?!

LibreJS

LibreJS est une extension ( https://addons.mozilla.org/fr/firefox/addon/librejs/ ) présente par défaut dans IceCat qui bloque les scripts JavaScript qui ne sont pas triviaux (AJAX, appel à des scripts externes, complexité, etc. Liste des critères : https://www.gnu.org/software/librejs/manual/html_node/JavaScript-Detection.html#JavaScript-Detection ) et qui ne sont pas sous licence libre (pour le déterminer, l'extension cherche la présence d'une licence en début de fichier ou de tag).

En cas de JS non libre, l'extension affiche un onglet vertical à droite pour envoyer un rapport au site web. Inutile de dire qu'il apparaît sur 99,9 % des sites web. Son intelligence pour trouver un moyen de contact (email, twitter, etc.) est… extrêmement limitée donc échoue à chaque fois d'où un onglet bien inutile. :D

À l'usage, LibreJS est juste inutilisable : la lenteur de chargement des pages web est exécrable : on est au-delà des 5 secondes par page. Même sur le site web de la FSF. C'est normal puisque l'extension pré-scanne tooooute la page web, en mode bloquant, avant que le navigateur effectue le moindre rendu.

Au-delà de ça, ce n'est pas utilisable : le nombre de scripts bloqués est bien trop élevé. Impossible de consulter mon compte en banque. Impossible de naviguer sur le site oueb de mon libraire (je ne parle pas d'Amazon, hein), les cartes de météofrance ne s'affichent plus, Twitter devient inutilisable, etc.

SpyBlock

SpyBlock est un fork d'Adblock Plus sans l'option pour la publicité acceptable et qui est censé bloquer toutes les requêtes tierces quand on utilise la navigation privée.

Sur ce point, je trouve que le projet GNU va trop loin :

• Des extensions qui font ce job de manière correcte, y'en a ( voir http://shaarli.guiguishow.info/?5PqoyA ). Pourquoi un fork inutile de plus ?
  
  
• La plupart des bonnes listes de filtres pour ces extensions (genre Fanboy's Social Blocking List ou EasyList / EasyPrivacy) sont sous licence libre genre CC-BY ou même GPL. Pourquoi le projet GNU maintient-il deux nouvelles listes qui sont bien pauvres en contenu ?

Gestion des extensions

IceCat n'empêche pas d'installer n'importe quelle extension Firefox, peu importe sa licence.

En revanche, dans le panneau de gestion des extensions, la recherche est supprimée. Elle est remplacée par la liste des extensions FSF-compliant. Cette liste est extrêmement incomplète : plein d'extensions avec une licence reconnue comme étant libre par la FSF ne sont pas présentes genre Pure URL ou Decentraleyes.

Là où je trouve ça totalement génial, c'est que le recensement de la FSF contient Adblock Plus ! Le truc qui autorise la publicité acceptable. Le truc qui modifie les sites web pour injecter la pub qu'il veut ! Voir http://shaarli.guiguishow.info/?bRMBww . Pour un projet qui se veut éthique (« GNUzilla is the GNU version of the Mozilla suite, and GNU IceCat is the GNU version of the Firefox browser. Its main advantage is an ethical one: it is entirely free software. »), je trouve ça croustillant. Hé oui, l'éthique ne se résume pas uniquement à la licence du code.

Éviter le pistage / flicage

IceCat prévoit quelques contre-mesures contre le pistage :

• Ne pas sauvegarder les cookies tiers. Oui, c'est aussi configurable sur tout navigateur web qui se respecte.
  
  
• Changer l'user-agent pour un truc plus standard. Ça se grille pas du tout avec l'obtention des noms des polices en JS. Ha mais comme LibreJS bloque tout, ça fonctionne, en fait, suis-je stupide ! :)))) Vu le nombre de sites web sur lesquels modifier l'user-agent faisait chier y'a quelques années…
  
  
• Changer le referrer pour celui du site de destination. Un classique mais ne fonctionne pas partout du coup une extension me semble plus pratique pour activer/désactiver le brouillage du referrer à la demande plutôt qu'un paramètre dans about:config.
  
  
• « Request pages in English » qui doit très probablement positionner l'entête HTTP « Accept-language » à « en-US ».

Bref, rien de spécifique à IceCat.

Fake

J'ai aussi lu des choses fausses sur le web :

• Le certificat racine de CACert n'est pas intégré au magasin des certificats x509 d'IceCat.
  
  
• Protection contre les pixels espions (voir https://support.google.com/dfp_premium/answer/1347585?hl=en ). Non, IceCat ne bloque pas leur chargement. IceCat ne les laisse pas déposer de cookie comme tous les sites tiers (voir la section « Éviter le pistage »), comme un Firefox configuré de la sorte le ferait.

En résumé : je vais rester sous Firefox. :D

Il est déjà assez pénible de voir le terme systématiquement renvoyé à la cybercriminalité pour ne pas devoir, en prime, faire la chasse aux fantasmes agités à tout propos.

«Fausse alerte terroriste à Paris : un hacker de 16 ans interpellé», «Une Tesla piratée à distance par des hackers chinois», «Internet en Corée du Nord : des hackers dressent l’inventaire». On n’en a choisi que trois, mais des titres d’articles du même tonneau, ces derniers jours, il y en a eu des dizaines sur le Web. [...]

Or, de quoi parle-t-on ici ? Dans le premier cas, d’un irresponsable canular téléphonique qui, pour spectaculaires qu’aient été ses résultats, ne nécessite pas de compétences poussées – que l’adolescent arrêté se présente comme un hacker ne fait pas du délit dont il est accusé une prouesse technique. Dans le second cas, d’une faille découverte par les chercheurs d’un laboratoire chinois en cybersécurité. Enfin, dans le troisième, d’un changement de configuration (possiblement par erreur) sur le serveur de noms de domaine de la Corée du Nord, changement qui a rendu accessible la liste de ces derniers et a été repéré, notamment, par un chercheur en sécurité informatique. Avec pour résultat d’offrir un accès inédit à la partie du Web la plus fermée au monde (et manifestement pas la plus florissante).

On pourrait rappeler que pour les communautés hackers elles-mêmes, le terme renvoie d’abord à une façon d’appréhender la technologie : la comprendre, la bidouiller, la détourner, résumait Wikipédia il y a quelques années. Que le hacking – une culture, des pratiques – ne saurait donc se réduire au piratage informatique, même si ce dernier en est la dimension la plus médiatisée. [...] On pourrait même convoquer le Comité invisible qui, dans A nos amis, écrit : «Là où l’ingénieur vient capturer tout ce qui fonctionne pour que tout fonctionne mieux, pour le mettre au service du système, le hacker se demande "comment ça marche ?" pour en trouver les failles, mais aussi pour inventer d’autres usages, pour expérimenter.»

A défaut de réussir à appréhender dans sa complexité le terme «hacker», du moins devrait-il être possible de ne pas le mettre à toutes les sauces. Il est certes plus vendeur de titrer sur le piratage d'une Tesla par de mystérieux «hackers chinois», avec toute l'imagerie que l'expression peut véhiculer, plutôt que sur la découverte d'une faille par des chercheurs en cybersécurité. [...]

Via https://twitter.com/bearstech/status/778876525554860032 via https://twitter.com/bluetouff