Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Richard Stallman déconseille Ubuntu à cause de son spyware

Haleth

Ben, je trouve que c'est "logique" d'enregistrer tes contacts. Ca m'évites d'apprendre plein d'adresses mail.

navtex

Dans tout ça, c est quoi la publicité? Il y a bien des lunes que je n en ai pas vu une ,peut-etre ghostery ,ou mes lunettes de superman?

seb24

Voila, Amazon sait que toi (Ton IP) à recherché tel terme, tel jour, à telle heure.

Sauf que ton Ip ne permet pas de traquer un utilisateur de manière fiable. Du coup tes données n'ont aucun intérêt.

(Puisqu'en plus, Canonical te fais croire que les infos transmises à Amazon sont anonymes, alors que 3 lignes de Perl permettraient à Amazon d'obtenir de toi toutes les infos qu'ils désirent)

A tiens vas y montre nous un code de 3 lignes permettant de récupérer toutes les informations de l'utilisateur à partir d'une IP aléatoire. Je suis curieux.

EDIT : au passage en suivant ton raisonnement et pour la énième fois Firefox et de nombreux projets libres sont donc des spyware en puissance.

tuxmarc a écritA bien y regarder, ce genre de spyware existe déjà bien.
Ma messagerie la plus utilisée est Yahoo.
Ce n'est pas rare qu'un site marchand envoie un message pour dire xx % de réduc pour vous.
Un coup d'oeil et je passe à autre chose et là, c'est une inondation de pubs du site que que suis allé voir.
L'autre messagerie, Gmail est plus vicelarde encore,
Je compose un message pour un copain et que vois je à droite ?
Môssieur Google se permet de me suggérer d'envoyer aussi le message à untel et untel, parce que Môssieur Google est allé fouiner dans mes messages et a vu que j'avais déjà envoyé un message à Milmile et Bébert et Gégé !
Mais de quoi je me mèle !!!

Tu vas sur leur site tu leur donne tes données du coup ils les utilisent pour le service en question.

noireaude

@ smon :

Np : Le truc n'est pas tant les widgets mais, tu parlais d'un site bourré de pub alors que je l'ai viré depuis des mois Oo (même dans le flux RSS).

Je n'ai pas vu de non plus de pub E-bay sur le site, donc je ne voyais trop de quoi tu parlais.

NooP

seb24 a écritA tiens vas y montre nous un code de 3 lignes permettant de récupérer toutes les informations de l'utilisateur à partir d'une IP aléatoire. Je suis curieux.

Ton IP n'es pas aléatoire, ne serais-ce que parce qu'elle ne change pas à chaque requête, mais t'es attribuée pour un certain temps (de quelques heures à plusieurs jours, quand tu ne disposes pas d'une IP fixe). De plus, je pense que tu sous estimes fortement la volonté des sites marchands. Sais tu que grâce à ton IP, on peut te situer à quelques dizaines de mètres près (Regarde le fonctionnement de CDNetwork, qui envoie des dizaines de pings sur ton IP depuis de nombreuses sources, à chaque fois que tu consultes un site utilisant leurs services. A l'aide des temps de réponses à ces pings, il arrivent à te situer assez précisément). Pour peu que tu n'habites pas à Paris ou une ville avec quelques milliers de personnes au mètre carré, tu auras beau changer d'IP, il pourront savoir que c'est la même personne à l'origine de la requête.

Quant aux 3 lignes de code : regarde donc le nom des 'images' que tu télécharges sur Amazon depuis le 'Home Lens' ... Etrangement, celles ci ressemblent bien plus à un ID qu'à un nom d'image !

TCP_MISS/200 6147 GET http://ecx.images-amazon.com/images/I/41fyaUqpVWL._SL160_.jpg - DIRECT/205.251.209.23 image/jpeg

Faut pas être sorti de St Cyr pour comprendre qu'il n'ont pas de gros efforts à faire pour tracer les requêtes. Mais encore faut il savoir comment fonctionne un serveur web, et connaître un minimum un langage de programmation.

au passage en suivant ton raisonnement et pour la énième fois Firefox et de nombreux projets libres sont donc des spyware en puissance

Parce que Firefox transmets à des sites marchands mes recherches dans mon PC ? Parce que firefox m'assure que les données qu'il transmets sont anonymisées ?

Pourrais tu me citer des projets libres qui se comportent comme le 'Home Lens', j'aimerais bien en connaître le nom ...

Pour le reste, j'attends qu'on me prouve que Canonical anonymise bien les requêtes.

Zakhar

Smon a écritJe me suis mis comme affecté.

Pareil

Malizor a écritMais cette fonctionnalité est destinée aux particuliers, donc c'est un peu hors sujet (on installe jamais une distrib de base dans une entreprise, d'ailleurs il existe une version « business desktop remix » d'Ubuntu).

Merci pour le lien... je vais peut-être commencer à utiliser la version entreprise... ou à plutôt à faire le tri dans les packages !..

Parce que je n'ai que faire des add-ons 'sociaux' et du lens shopping, par contre là où la version "entreprise" ne me plaît pas c'est quelle a Flash dont je ne veux pas, et qu'ils ont retiré les outils d'admin dont je me sers...

Bref, c'est pas idéal non plus.

NooP a écritJe suis impressionné du pouvoir de Canonical ! Ils ont réussi à créer une meute de fanboys pire encore que ceux qu'on peut lire autour des produits Apple. Une meute prête à sauter à la gorge du premier qui aurait le malheur de pointer du doigt les dérives d'Ubuntu. Rien que pour ça, je leur tire mon chapeau !

Bien dit !.. Et ce n'est pas la première fois que Canonical nous pond un truc "limite". Cependant, la plupart du temps, ils ont écouté "la communauté". Attendons de voir ce que ça donne là avec RMS qui a mis son (gros) poids -je parle au sens figuré bien sûr :lol:- dans la balance des râleurs (ce qui semble un état assez permanent le concernant, mais il est dans "son rôle" de whistleblower et c'est très bien).

seb24

Ton IP n'es pas aléatoire, ne serais-ce que parce qu'elle ne change pas à chaque requête, mais t'es attribuée pour un certain temps (de quelques heures à plusieurs jours). De plus, je pense que tu sous estimes fortement la volonté des sites marchands. Sais tu que grâce à ton IP, on peut te situer à quelques dizaines de mètres près (Regarde le fonctionnement de CDNetwork, qui envoie des dizaines de pings sur ton IP depuis de nombreuses sources, à chaque fois que tu consultes un site utilisant leurs services. A l'aide des temps de réponses à ces pings, il arrivent à te situer assez précisément). Pour peu que tu n'habites pas à Paris ou une ville avec quelques milliers de personnes au mètre carré, tu auras beau changer d'IP, il pourront savoir que c'est la même personne à l'origine de la requête.

Oui mais vu que ton IP peux changer tu n'as aucun moyen de savoir qui fait quoi. Et qu'elle reste dispo 24h sur la même personne ne te donne pas plus d'info. Car tu n'as aucun moyen de savoir si elle va changer dans 5 minute ou dans 24h... Bref ce n'est pas une constante qui peut définir un utilisateur. Après oui de de genre de requête Amazon peut connaître les zones géographiques ( pas à 10 mètres mais plutôt avec 1 à 5km de précision ).

Quant aux 3 lignes de code : regarde donc le nom des 'images' que tu télécharges sur Amazon depuis le 'Home Lens' ... Etrangement, celles ci ressemblent bien plus à un ID qu'à un nom d'image !

Yep c'est sur qu'il vont s'amuser a nommer les images une par une avec des noms personnalisés 😃 .

Faut pas être sorti de St Cyr pour comprendre qu'il n'ont pas de gros efforts à faire pour tracer les requêtes. Mais encore faut il savoir comment fonctionne un serveur web, et connaître un minimum un langage de programmation.

Ben alors tes 3 lignes de codes ? Je suis sur que même Google qui est le rois du tracking sera content de savoir qu'on peut tout savoir sur un utilisateur avec une IP. Il pourront arrêter de faire des codes de tracking 😃.
Moi aussi,car j'ai eu l'occasion de faire du tracking sur des sites et j'aurais bien aimé me satisfaire d'une IP ou même de ce que me donne le navigateur (et qui est encore plus complet).

NooP

seb24 a écritYep c'est sur qu'il vont s'amuser a nommer les images une par une avec des noms personnalisés 😃 .

Oui, je plains le mec qui renomme les images à chaque requête et qui crée à la main le fichier JSON, qu'il imprime ensuite, mets dans une enveloppe et envoie à Canonical.

Allez, je t'aide un peu, je te donne deux pistes :

1) Utiliser un Langage de programmation (Au hazard PHP)
2) Utiliser une base de données

Tu vois, comme je disais au dessus, il faut connaitre un minimum un langage de programmation pour comprendre que ce n'est pas bien sorcier à mettre en oeuvre...

Ben alors tes 3 lignes de codes ? Je suis sur que même Google qui est le rois du tracking sera content de savoir qu'on peut tout savoir sur un utilisateur avec une IP. Il pourront arrêter de faire des codes de tracking 😃.
Moi aussi,car j'ai eu l'occasion de faire du tracking sur des sites et j'aurais bien aimé me satisfaire d'une IP ou même de ce que me donne le navigateur (et qui est encore plus complet).

Tu le fais exprès ou tu es ... ? Canonical affirme HAUT et FORT qu'aucune donnée permettant d'identifier un utilisateur particulier est transmise à AMAZON (Il disent même qu'Amazon ne peut qu'avoir une vue globale des utilisateurs d'Ubuntu puisqu'ils anonymisent les données). Je viens de te démontrer que c'est faux, et qu'Amazon à bien accès au minimum à ton adresse IP, la DATE et l'HEURE à laquelle tu as recherché ce TRUC.

PS : regarde ça Let Me Google That For You où ça TinyURL

J'espère que tu crois pas qu'il y a un mec derrière qui crée un lien pour toutes les requêtes correspondantes !!!

Mon dieu !

Malizor

@NooP : Tu oublies que les requêtes sont très certainement cachées (mises en cache) du côté de Canonical. Ça complexifie cette potentielle identification dont tu parles (ça la rend beaucoup moins fiable).

Mais tu as raison, sur le principe, le fait que les images soient récupérées directement depuis Amazon n'est pas génial.
Il faudrait enquêter, voir si l'info a été remontée à Canonical.

Mais, désolé de te décevoir, tu n'as pas démontré qu'il s'agissait d'un logiciel espion. Un tel programme a un but malveillant, ce qui n'est absolument pas le cas ici.
Au pire, tu as démontré qu'il y a « juste » une fuite. Vu que nous somme face à un logiciel libre, rien n'empêche qui que ce soit de proposer un patch (par exemple pour télécharger les images via un proxy).

NooP

Malizor a écritTu oublies que les requêtes sont très certainement cachées (mises en cache)

Et comment fais tu pour mettre en cache le fait qu'a chaque fois que tu tapes une lettre dans le 'Home Lens', tu transmets une requête indirecte à Amazon MAIS tu télécharges directement chez eux les images correspondant à cette requête ?

Quant au proxy pour télécharger les images, oui, ce serait la seule solution viable. Par contre, quand on voit la différence de vitesse de fonctionnement du 'Home Lens' lorsqu'on désinstalle le paquet 'lens-shopping', j'ose même pas imaginer s'il fallait en plus se farcir le téléchargement des images depuis un proxy chez canonical ! C'est un coups à aller boire un café entre chaque ajout de lettre à une recherche !

Un tel programme a un but malveillant, ce qui n'est absolument pas le cas ici.

Non ! Tu ne trouves pas ce comportement malveillant ! Ce n'est apparement pas le cas de tout le monde, quand on voit que le 'bug' correspondant dans Launchpad est déjà dans les 400 premiers sur plus 90000 bugs remontés.

Pour moi, c'est un comportement malveillant, puisqu'on t'assure qu'aucune donnée permettant à Amazon de t'identifier n'est envoyée alors que c'est un mensonge. C'est ce mensonge qui fait que je trouve le comportement de ce truc malveillant. Malveillant ne veut pas seulement dire 'Installer un malware sur ton ordi' !!!

cep

Juste une question.
Ces échanges depuis les lens, bien que non "http" ne génèrent pas de cookies ?

Malizor

NooP a écrit
Malizor a écritTu oublies que les requêtes sont très certainement cachées (mises en cache)
Et comment fais tu pour mettre en cache le fait qu'a chaque fois que tu tapes une lettre dans le 'Home Lens', tu transmets une requête indirecte à Amazon MAIS tu télécharges directement chez eux les images correspondant à cette requête ?

S'il y a du cache chez Canonical, alors il n'y a pas de requête indirecte vers Amazon.
Je suis d'accord sur le fait que qu'on peut potentiellement inférer à quelle requête correspondait telle série de téléchargement d'image par une IP (sachant que c'est tout de même faussé vu que l'utilisateur change sa requête au fur et à mesure qu'il tape, donc 2 téléchargements d'images qui se suivent ne correspondent pas forcément à la même requête).

Je ne suis pas sûr que ça te rassurera, mais ce problème se posera de toute manière beaucoup moins dès la 13.04 vu que d'autres fournisseurs qu'Amazon seront ajoutés (l'utilisateur ne téléchargera plus toutes les images correspondantes à une requête, donc ça brouillera encore plus les pistes).

Mais ça n'empêche certes pas de voir s'il n'y a pas moyen d'améliorer l'implémentation de la chose de ce point de vue.

@cep : pas de cookies.

seb24

NooP a écrit
seb24 a écritYep c'est sur qu'il vont s'amuser a nommer les images une par une avec des noms personnalisés 😃 .
Oui, je plains le mec qui renomme les images à chaque requête et qui crée à la main le fichier JSON, qu'il imprime ensuite, mets dans une enveloppe et envoie à Canonical.

Allez, je t'aide un peu, je te donne deux pistes :

1) Utiliser un Langage de programmation (Au hazard PHP)
2) Utiliser une base de données

Tu vois, comme je disais au dessus, il faut connaitre un minimum un langage de programmation pour comprendre que ce n'est pas bien sorcier à mettre en oeuvre...

Ben alors tes 3 lignes de codes ? Je suis sur que même Google qui est le rois du tracking sera content de savoir qu'on peut tout savoir sur un utilisateur avec une IP. Il pourront arrêter de faire des codes de tracking 😃.
Moi aussi,car j'ai eu l'occasion de faire du tracking sur des sites et j'aurais bien aimé me satisfaire d'une IP ou même de ce que me donne le navigateur (et qui est encore plus complet).
Tu le fais exprès ou tu es ... ? Canonical affirme HAUT et FORT qu'aucune donnée permettant d'identifier un utilisateur particulier est transmise à AMAZON (Il disent même qu'Amazon ne peut qu'avoir une vue globale des utilisateurs d'Ubuntu puisqu'ils anonymisent les données). Je viens de te démontrer que c'est faux, et qu'Amazon à bien accès au minimum à ton adresse IP, la DATE et l'HEURE à laquelle tu as recherché ce TRUC.

PS : regarde ça Let Me Google That For You où ça TinyURL

J'espère que tu crois pas qu'il y a un mec derrière qui crée un lien pour toutes les requêtes correspondantes !!!

Mon dieu !

C'est de l'ironie ^^ . Enfin bref.
le fichier c'est simplement un hash du fichier y'a rien de particulier et ça ne le transforme pas magiquement en un fichier espion.
Encore une fois et tu ignore volontairement mon argument : tu ne peux pas identifier un utilisateur avec ces données.
Et Canonical indique clairement quels sont les données qui sont transmises. Mais bon visiblement ton seul but est de troller.

NooP

l'utilisateur ne téléchargera plus toutes les images correspondantes à une requête, donc ça brouillera encore plus les pistes

Mais ça ne changera rien, puisque tu chargeras toujours chez Amazon toutes les images retournées dans le JSON qu'ils auront généré. Le problème sera le même excepté que, au lieu de transmettre tes données seulement a Amazon, tu les transmettras en plus à d'autres sites, qui eux aussi te retourneront un fichier JSON à partir duquel tu téléchargeras les images qu'ILS t'indiquent (Et dont, il serait bête d'en douter, ils auront forgé à l'aide de scripts l'adresse de téléchargement et/ou le nom de l'image en fonction de chaque requête).

Il faudrait être extrêmement crédule pour oser croire que ces données ne les intéressent pas.

NooP

seb24 a écritEncore une fois et tu ignore volontairement mon argument : tu ne peux pas identifier un utilisateur avec ces données.

Mais bien sur que si !

Tout le monde n'est pas en ip flottante ! Si je suis en ip fixe, et horreur, imaginons que je fasses des achats chez Amazon :

1) Amazon sait que mon IP (fixe hein, dans le cas que je te détaille) correspond à mon compte 'NooP' ... Pas dur pour eux, pour peu que j'aie fait quelques achats à quelques mois d'intervalle, il on parfaitement pu logger mon IP et voir que celle ci n'a pas changé.
2) le 'Home Lens' télécharge une image depuis mon IP -> Puisque Amazon à déduit que mon IP était fixe, et qu'il connaissent le compte associé, il savent alors que c'est NooP qui recherche TRUC.

Et tu dis toujours qu'on ne peut identifier quelqu'un avec un IP ?

Et Canonical indique clairement quels sont les données qui sont transmises. Mais bon visiblement ton seul but est de troller.

Oui, Canonical dit bien qu'ils transmettent seulement le 'texte' de la requête. Ils assurent même qu'Amazon ne peut en aucun cas identifier un utilisateur particulier, tout en omettant bien de décrire le fonctionnement complet du système qui fait qu'au final, Amazon obtient bien d'autres informations émanant de toi, que ton seul texte de requête.

Par contre, vois tu, je comprends parfaitement que ce soit plus simple pour toi de me traiter de TROLL qu'oser avouer que tu as tort sur toute la ligne.

PS : J'attends toujours qu'on me démontre par A+B que Canonical anonymise bien les requêtes ...

Malizor

NooP a écrit
l'utilisateur ne téléchargera plus toutes les images correspondantes à une requête, donc ça brouillera encore plus les pistes
Mais ça ne changera rien, puisque tu chargeras toujours chez Amazon toutes les images retournées dans le JSON qu'ils auront généré.

Non.
Lit cet article.

Dash will call a new smart scope service which will return ranked online search results, which the Dash will then balance against local results to return the most relevant information to the user.

L'utilisateur ne recevra plus qu'un seul JSON dont le contenu sera mitigé entre les différentes sources. Par dessus, le dash re-mitigera avec les résultats locaux.
Au final, un acteur externe ne peut pas prévoir quels seront les résultats exposés dans le dash, et donc les images qui seront téléchargées.
Il devient donc extrêmement difficile (voir impossible) d'identifier la recherche qu'a effectué l'utilisateur.

De toute façon, on pourra vérifier ça de visu dès que ça sera dispo dans la 13.04.

Zakhar

Je pense pourtant que NooP a bien prouvé son point !..

Prenons un parallèle, lorsque vous utilisez TOR, le fait qu'en tapant une adresse du genre www.google.com génère une requête DNS ne passant pas par le réseau anonymisateur, est considéré comme une "fuite"... et du reste la "parade" existe, je ne la décris pas ici, allez voir la documentation de TOR si ça vous intéresse.

Et donc le fait que je tape des lettres dans le dash, puis qu'ensuite, par un procédé qu'on nous assure anonymisé (admettons, laissons le bénéfice du doute) mon PC vienne à faire un HTTP GET sur une image chez Amazon (ou tout autre vendeur)... eh bien on ne peut qu'appeler ça une fuite, même si à strictement parler Amazon n'a pas le texte exact de ce qui est cherché -qu'on nous dit-.
En effet, dans ce cas, les corrélations sont facile à faire. C'est même assez élémentaire d'ailleurs, il suffit de mettre dans le nom de l'image "chiffré" la chaîne que le proxy d'Ubuntu vous a envoyé, et on peut alors basiquement retrouver quelle IP a cherché quoi.

J'explique, NooP a bien montré que l'image que son PC demandé à Amazon s'appelle :
41fyaUqpVWL._SL160_.jpg

Cette image a été sélectionnée parce que NooP a tapé Bit dans le dash (il cherchait le "Client BitTorrent" et ne se rappelait plus de son nom "Transmission"... il n'a pas de mémoire NooP 😉 ). C'est à dire que le proxy de Canonical a reçu la chaîne "Bit", l'a transmise à Amazon en disant à celui-ci : quelqu'un -anonyme jusque là- recherche la chaîne "Bit", et Amazon a généré une image en chiffrant le mot "Bit" + numéro séquentiel (car il y a plusieurs images) avec un chiffrage réversible dont ils ont la clé.
Ensuite le proxy de Canonical donne le JSON au PC de NooP et celui-ci va chercher l'image 41fyaUqpVWL._SL160_.jpg chez Amazon.
Il ne reste alors plus à Amazon qu'à déchiffrer : 41fyaUqpVWL selon leur algo de chiffrement, pour obtenir que la chaîne recherchée était bien "Bit", et associer à l'IP du PC qui fait la recherche.

Donc même si Canonical nous assure qu'ils ne sont pas "evil", qui vous a dit qu'Amazon ne fait pas ce que je viens de décrire ? Personne je pense... à moins que quelqu'un ait un texte officiel le précisant, que je serais bien heureux de lire.

Et le plus drôle dans tout ça, c'est que NooP qui avait oublié "Transmission", se prend en pleine figure une publicité bien ciblée (hahaha) pour BitDefender, Antivirus bien connu pour un O.S. que vous savez !.. :lol: 😃

Malizor

@Zakhar : la théorie du « méchant Amazon » peut facilement être démont(r)ée.
Il suffit de regarder le nom de l'image suite à une recherche sur 2 machines différentes (IP différentes).
Si les images ont le même nom, alors il n'y a pas de tracking. Dans le cas contraire, il y en a probablement.

jerome33

Je crois qu'il faut rectif certaines idées sur les IP:
Elles changent moins souvent qu'on le croit. Si la session du routeur (machin box), n'est pas relancée, elle ne change pas. Et bien souvent on ne relance pas sa box pendant des mois. On est loin des 24h. Donc suivre des habitudes sur une adresse IP ça vaut le coup et ça se pratique.
La géolocalisation d'une IP, c'est beaucoup plus aléatoire. Ça fait référence à des bases de données spécialisées qui sont loin d'être toutes à jour. J'ai une IP fixe chez OVH (pour le coup chez moi elle ne change jamais sauf évolution du réseau ovh) et toute la plage d'IP est très fréquemment localisée en Russie par de nombreux sites, car OVH a obtenu une plage d'IP qui a servi auparavant en Russie. Ça fait environ 10 mois et les bases non mises à jours semblent nombreuses.

Donc on peut sûrement faire des statistiques en loggant les actions d'une IP sur un site internet, mais pas obtenir des infos super précises sur quelqu'un. D'ailleurs ça me rend vraiment pas parano et le reverse de mon IP c'est juste mon nom et mon prénom. De là à trouver cool d'envoyer toutes mes recherches même locales...

NooP

Et le plus drôle dans tout ça, c'est que NooP qui avait oublié "Transmission", se prend en pleine figure une publicité bien ciblée (hahaha) pour BitDefender

Je sais pas si tu est sérieux là, en me disant que j'ai cherché 'Bittorrent' et que tu tombes sur une image 'Bitdefender', parce que pour info, pour le lien que j'ai donne, j'ai cherché 'Navigateur' et l'image qu'amazon m'a retourné est un 'Tom Tom Navigator' !!!

http://hpics.li/bca49fa

« Page précédente Page suivante »