Firefox 85 bloque aussi les supercookies

• Partitionne les connexions réseau et le cache des sites web afin d’empêcher aussi les supercookies d’abuser du cache pour le suivi intersite

• Supercookies : servent à stocker des informations sur l’utilisateur, comme les cookies classiques, mais sont plus difficiles à supprimer ou à bloquer

→ utilisent par exemple les cookies Flash, les ETags, le HSTS, etc.

• Principe du blocage du suivi intersite via le partitionnement

→ tous les navigateurs web partagent des ressources internes comme les connexions et le cache d’images afin de réduire la surcharge

→ si la même image est intégrée à plusieurs sites, elle n’est récupérée que sur le premier site, puis chargée depuis le disque à partir du deuxième

→ Firefox partage aussi une même connexion (Keep-Alive) lorsque des ressources provenant d’un même endroit (adresse) sont utilisées sur plusieurs sites

→ cela permettait jusqu’ici d’économiser du temps et du volume de données côté utilisateur

→ certains traqueurs ont trouvé comment abuser de ces ressources partagées

→ dans le cas du cache d’images, ils peuvent déterminer si un utilisateur a visité différents sites en encodant un identifiant utilisateur directement dans l’image

→ pour bloquer cela, FF 85 utilise un cache d’images distinct pour chaque site visité par l’utilisateur

• Éléments partitionnés pour bloquer les supercookies

→ HTTP cache, image cache, favicon cache, HSTS cache, OCSP cache, style sheet cache, font cache, DNS cache, HTTP Authentication cache, Alt-Svc cache et TLS certificate cache

→ pooled connections, prefetch connections, preconnect connections, speculative connections et TLS session identifiers

• La baisse de performances est d’environ 0,09 % à 0,75 %, avec un maximum d’environ 1,32 %, ce qui reste limité

[galadbran]

On a l’impression que les technologies qui ont évolué pour réduire l’usage du réseau afin de faire baisser les coûts et d’améliorer les performances deviennent peu à peu inutiles à cause des atteintes à la vie privée. J’ai été assez choqué, il y a peu, d’apprendre que récupérer les polices depuis un CDN n’était plus vraiment efficace, et cela me semble lié au sujet de cet article.