C'est exactement le point que je souhaitais soulever: des intérêts contradictoires (en plus d'autres qui en découlent et que je n'aborde pas). L'utilisateur a rarement conscience que, pour éviter de révéler ses données privées, la plupart des sites est à éviter... si aucune mesure n'est prise — un peu comme sortir sans capote.
Je m'en suis rendu compte en activant une extension noscript dans mes navigateurs il y a un peu plus d'un an. La quantité de sites qui embarquent Google Analytics est impressionnante. Mais je n'ai encore vu nulle part de sensibilisation quant à ce détail en particulier — ou alors je ne les ai pas compris, ce qui est toujours possible.
Je fais confiance à Google pour assurer la sécurité de ses sites et éviter les fuites directes. Mais la mauvaise graine est que Google revendra ses données (que quelqu'un me corrige si je me trompe). Et les acheteurs s[er]ont bien moins scrupuleux.
On fait tout un foin pour sécuriser les données lors du transport alors que le navigateur et/ou le serveur sont les premiers vecteurs d'exploitation. Et exploités, ils le sont. Tous les deux:
le serveur en servant du contenu avec des liens vers des sites tiers dont l'utilisateur n'a absolument aucune indication;
le navigateur en acceptant encore n'importe quoi par défaut (sinon des extensions comme NoScript seraient inutiles).
Je ne parle ici que de Google. Combien de fois suis-je tombé sur des pages qui référencent des quantités impressionnantes de sources externes: scripts, polices, styles...
Bien sûr il existe des stratégies (genre Content Security Policy) mais celles-ci ne sont pas encore généralisées ou du moins pas encore suffisamment strictes (que quelqu'un me corrige si je me trompe, encore une fois). Mais de nouveau: si c'est du serveur que vient cette stratégie, [ceux que j'appelle, par raccourci] les webmestres (ou leurs employeurs!) n'ont absolument aucun intérêt à les [faire] mettre en place.
C'est donc à l'utilisateur de gérer sa sécurité et sa vie privée — vu que personne d'autre ne va le faire pour lui, on n'arrête pas de le répéter. Et pour cela il doit [continuellement] y être sensibilisé, instruit et guidé.
[^] # Re: On se trompe de cible
Posté par FantastIX . En réponse au journal Sécurité, vie privée... et Google Analytics!. Évalué à 8.
C'est exactement le point que je souhaitais soulever: des intérêts contradictoires (en plus d'autres qui en découlent et que je n'aborde pas). L'utilisateur a rarement conscience que, pour éviter de révéler ses données privées, la plupart des sites est à éviter... si aucune mesure n'est prise — un peu comme sortir sans capote.
Je m'en suis rendu compte en activant une extension noscript dans mes navigateurs il y a un peu plus d'un an. La quantité de sites qui embarquent Google Analytics est impressionnante. Mais je n'ai encore vu nulle part de sensibilisation quant à ce détail en particulier — ou alors je ne les ai pas compris, ce qui est toujours possible.
Je fais confiance à Google pour assurer la sécurité de ses sites et éviter les fuites directes. Mais la mauvaise graine est que Google revendra ses données (que quelqu'un me corrige si je me trompe). Et les acheteurs s[er]ont bien moins scrupuleux.
On fait tout un foin pour sécuriser les données lors du transport alors que le navigateur et/ou le serveur sont les premiers vecteurs d'exploitation. Et exploités, ils le sont. Tous les deux:
le serveur en servant du contenu avec des liens vers des sites tiers dont l'utilisateur n'a absolument aucune indication;
le navigateur en acceptant encore n'importe quoi par défaut (sinon des extensions comme NoScript seraient inutiles).
Je ne parle ici que de Google. Combien de fois suis-je tombé sur des pages qui référencent des quantités impressionnantes de sources externes: scripts, polices, styles...
Bien sûr il existe des stratégies (genre Content Security Policy) mais celles-ci ne sont pas encore généralisées ou du moins pas encore suffisamment strictes (que quelqu'un me corrige si je me trompe, encore une fois). Mais de nouveau: si c'est du serveur que vient cette stratégie, [ceux que j'appelle, par raccourci] les webmestres (ou leurs employeurs!) n'ont absolument aucun intérêt à les [faire] mettre en place.
C'est donc à l'utilisateur de gérer sa sécurité et sa vie privée — vu que personne d'autre ne va le faire pour lui, on n'arrête pas de le répéter. Et pour cela il doit [continuellement] y être sensibilisé, instruit et guidé.
En bref, on n'est pas encore sorti du sable...