Ce que peut voir votre fournisseur d'accès à Internet :

    * Le chiffrement est clairement minoritaire (« Many sites still don’t encrypt: for example, in each of three key categories that we examined (health, news, and shopping), more than 85% of the top 50 sites still fail to encrypt browsing by default. ») donc le FAI peut voir les recherches médicales de ses clients, les recherches de conseils à propos de l'endettement et les recherches de biens et services de consommation.

        Notons qu'un contenu est sensible du point de vue de l'utilisateur. En effet, une page web qui explique le cancer du pancréas est bien innocente et son créateur se dit que ce n'est pas la peine que son site offre un accès chiffré... Et pourtant... Même chose pour des contenus mal perçus dans certaines zones géographiques (religion, traditions, ...).

        Le passage à HTTPS est lent car les sites web mixent des contenus d'autres sources (pubs, trackers publicitaires, vidéos embarquées,...). Il faut que ces fournisseurs de contenus soient également disponibles en HTTP sinon le navigateur émettra une alerte de sécurité incompréhensible pour l'utilisateur. Or, c'est loin d'être le cas : « For example, in a 2015 survey of 2,156 online advertising services, more than 85% did not support HTTPS.14 Moreover, as of early 2015, only 38% of the 123 services in the Digital Advertising Alliance’s own database supported HTTPS. ».

        On peut reparler des objets connectés / Internet des objets. Très peu de capacité de traitement et/ou d'autonomie (batterie) donc aucun chiffrement alors que les données transmises pour analyse sont très privées (pulsations, poids, activité physique du jour,...).


    * Même avec HTTPS, le FAI peut encore voir les noms des sites web consultés par ses clients. Les noms sont en clair dans les requêtes DNS et dans les requêtes HTTPS (mutualisation d'un même serveur web pour plusieurs sites web, il faut forcément demander le nom du site web avant de mettre en place le chiffrement afin que le serveur sache quel site web il doit répondre et donc quel certificat).

        Les FAI surveillent déjà les requêtes DNS et le trafic aux prétextes de la lutte anti-malware et l'optimisation du réseau (telle proportion du trafic global de nos abonné-e-s va vers ce fournisseur de service, il serait temps de monter une liaison dédiée avec lui).


    * Le chiffrement n'empêche pas le FAI d'arriver à des déductions : un examen du trafic réseau de ses clients met en exergue le volume de données échangées, la destination (adresse IP), les temps de traitement/transit de l'information,... Tout ça permet d'identifier de manière unique certaines pages web ou d'autres informations sur ce que le trafic contient. « Researchers have published numerous studies on the topic of web site fingerprinting. In one early study using a relatively basic technique, researchers found that approximately 60% of the web pages they studied were uniquely identifiable based on such unconcealed features. ».

        Magie de l'autocomplétion : « Popular search engines — like Google, Yahoo and Bing — provide a user-friendly feature called auto-suggest: after the user enters each character, the search engine suggests a list of popular search queries that match the current prefix, in an attempt to guess what the user is searching for. By analyzing the distinctive size of these encrypted suggestion lists that are transmitted after each key press, researchers were able to deduce the individual characters that the user typed into the search box, which together reveal the user’s entire search query »

        Ces techniques (empreintes permettant d'identifier les sites web consultés sans casser le chiffrement, auto-completion des recherches,...) sont encore au stade "labo", pas vraiment utilisable en vrai. Mais ça donne une idée. En revanche, d'autres techniques simples sont connues depuis des années et des années : un simple graphe du débit échangé à travers le temps permet de mettre en évidence un usage bittorrent versus un usage téléchargement direct versus un usage streaming.


    * Les VPNs sont peu utilisés et ils déportent le problème : le FAI ne voit plus le trafic mais le fournisseur du VPN voit tout. Sans compter que tous les fournisseurs de VPN ne fournissent pas des VPN chiffrés. Sans compter toutes les fuites d'informations (exemples : les requêtés DNS effectuées en dehors du VPN donc le FAI les voient ou bien encore les requêtes webrtc)

Via je ne sais plus qui... J'ai cherché dans mes flux RSS, je ne vois pas par où l'info m'est parvenue...