TechTok #9. Comment fonctionnent les extensions de navigateur et qu'est ce que le pare-feu

Ayant lancé la série TechTok en décembre dernier, nous l'avions imaginée comme un moyen de répondre directement aux questions que vous, nos lecteurs, pouviez poser sur les technologies liées au blocage des publicités et à la protection de la vie privée. La formule est simple : vous demandez, nous répondons. Et c'est ainsi depuis huit numéros, grâce aux questions que vous nous envoyez par l'intermédiaire de notre formulaire spécial en ligne. Mais aujourd'hui, nous faisons un petit pas de côté.

Les deux questions d'aujourd'hui proviennent du DT et cofondateur d'AdGuard Andrey Meshkov, qui a remarqué que certains termes techniques courants sont souvent utilisés, mais rarement expliqués clairement. Alors, restons simples et passons à la première question :

*Les extensions de navigateur : comment fonctionnent-elles ?

Tout d'abord, définissons ce que sont les extensions de navigateur. Pour faire simple, il s'agit de mini-programmes qui s'exécutent dans votre navigateur et modifient d'une manière ou d'une autre votre expérience du web. Ces petites icônes à côté de la barre d'adresse ? Ce sont des extensions de navigateur. Elles peuvent faire toutes sortes de choses - de petites modifications à des mises à jour majeures. Certaines modifient simplement la façon dont les liens s'ouvrent ou copient du texte automatiquement, tandis que d'autres vont beaucoup plus loin : elles bloquent les publicités et les traqueurs, fonctionnent comme des VPN ou utilisent même l'intelligence artificielle pour vous aider à rédiger ou à résumer du contenu. Normalement, vous n'avez pas besoin de savoir grand-chose de plus que comment les ajouter à votre navigateur. Mais comment toutes ces extensions fonctionnent-elles réellement ? Allons au fond des choses.

La principale caractéristique des extensions de navigateur réside dans leur nom même. Contrairement aux logiciels autonomes, elles ne peuvent pas fonctionner sans le navigateur. Au cœur de l'interaction navigateur-extension vous trouverez les API (interfaces de programmation d'applications) - des collections de méthodes et de propriétés fournies par les navigateurs qui permettent aux extensions d'avoir un accès limité, basé sur des autorisations, à certaines fonctions et données du navigateur. Par exemple, si une API permet de créer de nouveaux onglets ou de fermer les onglets existants, une extension peut le faire en accédant à cette API, à condition que l'extension dispose des autorisations nécessaires. Plus l'extension souhaite accéder à un grand nombre de fonctionnalités et de données, plus elle a besoin d'autorisations. Soyez donc attentif aux demandes d'autorisation lorsque vous installez un nouveau jouet dans votre navigateur. Mais nous y reviendrons plus tard.

Normalement, chaque développeur de navigateur crée ses propres API adaptées à son navigateur. C'est pourquoi il n'est pas rare de trouver une extension pour, disons, Chrome, qui ne fonctionne pas sur Safari, ou vice versa. Cette situation n'est évidemment pas idéale, c'est pourquoi des efforts ont été faits pour normaliser et unifier ces API dans un cadre commun, dont l'un des exemples est l'API WebExtensions. Grâce à elle, la plupart des grands navigateurs comme Chrome, Firefox et Safari proposent des API d'extension largement compatibles. Cela permet aux développeurs de créer des extensions qui fonctionnent sur plusieurs navigateurs avec potentiellement très peu de changements. Cela n'est toutefois pas une évidence. Dans de nombreux cas, faire en sorte que votre extension fonctionne parfaitement sur différents navigateurs demande beaucoup de travail, et tous les développeurs n'ont pas les ressources et l'envie de faire ce chemin supplémentaire.

Pour en revenir aux questions de sécurité, parlons des restrictions que les navigateurs imposent aux extensions. Les extensions de navigateur fonctionnent dans ce que l'on appelle des sandboxes - des environnements fermés qui permettent à chaque extension d'accéder uniquement aux API du navigateur et limitent son interaction avec le système d'exploitation et d'autres applications. Chaque extension possède un manifeste dans lequel elle déclare les autorisations dont elle a besoin pour remplir ses fonctions (par exemple, les autorisations de modifier le contenu de la page ou de lancer et d'annuler des téléchargements). Le navigateur applique ensuite ces autorisations et ne permet pas à l'extension de faire quoi que ce soit qui dépasse leur portée. Ainsi, même si l'extension est compromise, elle n'aura pas les moyens d'endommager les processus et les fichiers hors de sa portée, du moins en théorie.

On entend souvent des mises en garde contre l'installation d'extensions de navigateur en dehors des boutiques officielles. En effet, ces boutiques ajoutent une couche de défense supplémentaire. Chaque fois qu'un développeur soumet son extension à la boutique, il est soumis à un processus d'examen. Au cours de ce processus, il doit expliquer pourquoi son extension a besoin de toutes les autorisations qu'elle demande. Si, après avoir inspecté le code, l'examinateur décide que les autorisations demandées sont excessives par rapport à la fonctionnalité offerte par l'extension, celle-ci peut être rejetée de la boutique. Le processus de révision n'est cependant pas à l'abri des erreurs. Il existe de nombreux exemples d'extensions admises dans des boutiques populaires, comme Chrome Store, qui sont devenues des malicies et qui ont volé les données des utilisateurs, ou pire encore. C'est pourquoi il faut toujours vérifier les autorisations de l'extension avant de l'installer.

Enfin, en parlant d'extensions et de sécurité, il est impossible de ne pas mentionner la transition de Chrome vers la nouvelle version de sa plateforme d'extensions, Manifest V3. Nous avons beaucoup écrit à ce sujet, et avons même donné plusieurs conférences à ce sujet lors du Ad-Filtering Dev Summit, car son effet sur les extensions de navigateur est sévère, et sur les extensions de blocage de publicité l'est doublement. Elle a donné beaucoup de maux de tête à nos développeurs, mais il faut rendre à César ce qui appartient à César : elle devrait améliorer la sécurité en ce qui concerne les extensions de navigateur Chrome. Elle supprime la possibilité pour les extensions d'exécuter du code arbitraire hébergé à distance, de sorte que tout le code devra être revu. Cela devrait permettre, peut-être pas d'éliminer entièrement, mais du moins de réduire considérablement les risques de sécurité.

Passons à la question suivante...

Qu'est-ce qu'un pare-feu?

C'est l'une de ces questions, la réponse à laquelle pourrait facilement prendre dix pages si nous voulions en couvrir tous les aspects. Mais au lieu de nous enfoncer dans ce trou de lapin, nous allons nous concentrer sur les points essentiels. Commençons par la question la plus évidente : pourquoi le terme "pare-feu" est-il utilisé ?

À l'origine, le mot "pare-feu" (ou firewall en anglais) n'était pas du tout un terme technique - il est apparu bien avant l'apparition d'Internet. À l'origine, un pare-feu était tout directement un mur qui protégeait du feu. On le trouvait à l'intérieur des bâtiments, où il était conçu pour empêcher les flammes de se propager d'une partie de la structure à l'autre. Contrairement aux murs ordinaires, il était plus épais, composé uniquement de matériaux de fondation et ne comportait généralement pas de fenêtres ou d'autres éléments susceptibles de laisser passer le feu.

Dans le monde des réseaux informatiques, les pare-feu sont apparus pour la première fois à la fin des années 1980. Tout comme leur homonyme physique, ils ont été conçus pour arrêter la propagation de quelque chose, en l'occurrence un trafic réseau indésirable ou potentiellement nuisible.

La première génération de pare-feu était connue sous le nom de filtres de paquets. Ils fonctionnaient au niveau de la couche réseau, inspectant le trafic en analysant les paquets individuels, c'est-à-dire les petits morceaux de données qui sont découpés lorsqu'ils se déplacent sur l'internet. Les filtres de paquets prenaient des décisions basées sur des éléments tels que les adresses IP source et destination, les numéros de port et les protocoles de transport. À la base, ces pare-feu reposaient sur un ensemble de règles prédéfinies qui autorisaient ou bloquaient le trafic en fonction de ces propriétés.

Puis, au début des années 1990, est apparue la deuxième génération de pare-feu. Contrairement à la première génération, il s'agissait de pare-feu plus complexes, connus sous le nom de « stateful firewalls » (pare-feu avec état). Ils ne se contentaient pas d'examiner un paquet isolément, mais pouvaient suivre le trafic dans le temps. Cela signifie qu'ils pouvaient se souvenir de l'« état » d'une connexion, par exemple si un paquet faisait partie d'une session existante et approuvée ou s'il s'agissait simplement d'une requête entrante aléatoire.

Les pare-feu ont continué à évoluer en même temps que l'internet. L'essor des applications web a conduit au développement des pare-feu de couche applicative, qui opèrent au niveau de la couche applicative, d'où leur nom. Ces pare-feu sont capables de comprendre et de filtrer le trafic sur la base de protocoles spécifiques qui prennent en charge des applications ou des services, comme HTTP (utilisé par les navigateurs web pour charger les sites web) ou DNS (utilisé pour résoudre les noms de domaine en adresses IP), plutôt que sur la base des adresses IP et des ports. Puis, vers 2008, les pare-feu ont commencé à inclure l'inspection approfondie des paquets (DPI), une technique qui leur permet d'analyser le contenu réel des paquets de données, et pas seulement leurs en-têtes.

Il existe différentes formes de mise en œuvre d'un pare-feu. Il peut s'agir d'un pare-feu matériel, où un dispositif physique est placé à la frontière du réseau pour filtrer le trafic (comme un routeur domestique). Il peut s'agir d'un pare-feu logiciel, c'est-à-dire d'une application fonctionnant sur votre appareil et filtrant le trafic à destination et en provenance de cet appareil (Windows Defender Firewall et autres). Il peut même être virtuel ou basé sur la technologie cloud, fonctionnant à distance et protégeant les réseaux ou les appareils sans être lié à une pièce de matériel spécifique.

Répondons maintenant à une question que vous vous posez sans doute. Le bloqueur de publicité AdGuard est-il un pare-feu ? La réponse courte est non, du moins pas au sens traditionnel du terme. Mais nos applications sont dotées de fonctions de pare-feu. Plus précisément, AdGuard pour Android dispose d'un module de pare-feu qui permet aux utilisateurs de gérer l'accès à Internet pour les applications sur leur appareil. Ce module permet aux utilisateurs de contrôler quelles applications peuvent accéder à Internet, en bloquant ou en autorisant l'accès selon les besoins.

Cette fonction s'avère particulièrement utile lorsque des applications ont un comportement suspect, comme l'envoi de données même lorsque vous ne les utilisez pas. Avec le module pare-feu d'AdGuard pour Android, vous pouvez bloquer l'accès à Internet pour des applications spécifiques, désactiver le trafic en arrière-plan lorsque votre écran est éteint, ou même couper les données mobiles en cas d'itinérance. Il vous permet de contrôler totalement comment et quand vos applications se connectent en ligne, sans avoir à déverrouiller votre téléphone ou à fouiller dans les paramètres complexes du système.

Même si les pare-feu peuvent être utiles pour protéger votre réseau domestique ou votre vie privée et votre sécurité sur l'appareil, le mot "pare-feu" est souvent associé à la censure. Cela est dû en grande partie à la notoriété que le Grand Pare-Feu de Chine (Great Firewall of China) a acquise au fil des ans. Et nous ne pouvons pas conclure sans dire au moins quelques mots à son sujet.
Le GFC est un système de censure massif, géré par l'État, qui vise à restreindre l'accès aux contenus internet étrangers depuis la Chine, y compris des services tels que Google, Facebook, Twitter et YouTube. Il utilise un mélange de techniques telles que l'usurpation de DNS, le filtrage d'URL par mot-clé, l'inspection approfondie des paquets (DPI) et même la falsification de paquets pour bloquer ou perturber le trafic. Il existe dans le monde d'autres systèmes de type GFC contrôlés par l'État qui fonctionnent principalement comme des outils de censure sous prétexte de sécurité, mais il s'agit là d'un sujet qui mérite un article à lui seul.