Apple vient de publier une déclaration faisant suite à une série d’articles publiés au cours du week-end, affirmant que le navigateur Web Safari envoyait secrètement du trafic utilisateur à la société chinoise Tencent.
Les articles mentionnaient qu’Apple avait mis en place un second système de “navigation sûre” (Safe Browsing) dans Safari. Ce mécanisme de navigation sécurisée fonctionne en prenant une URL à laquelle un utilisateur essaie d’accéder et en la comparant à une base de données de sites malveillants connus.
Depuis des années, Apple utilise l’API de navigation sécurisée de Google dans Safari pour vérifier ces mauvais liens. Depuis le début de l’année, Apple a également ajouté le système de navigation sécurisé de Tencent à son système.
Mécanismes modernes de navigation sécurisée
Mais cette mise à jour a été mal interprétée par plusieurs journalistes au cours du week-end. Conséquence : des titres effrayants tels que “Apple envoie l’historique de navigation des utilisateurs vers la Chine”. Et ce dans un contexte de guerre commerciale Etat-Unis – Chine et de manifestations anti chinoises à Hong Kong.
Cependant, ce n’est pas ainsi que fonctionnent les mécanismes modernes de navigation sécurisée. Oui, les premières versions des mécanismes de navigation sécurisée reposaient sur l’envoi d’une URL à un “fournisseur de navigation sécurisée” où le lien était vérifié par rapport à une base de données distante de sites malveillants.
Mais, de nos jours, la plupart des mécanismes de navigation de ce type, comme ceux gérés par Google et Tencent, fonctionnent en envoyant une copie de la base de données au navigateur de l’utilisateur et en laissant le navigateur vérifier l’URL par rapport à cette base de données locale.
Selon Apple, c’est également de cette façon que les développeurs Apple ont mis en œuvre le mécanisme de navigation sûre de Safari : ne jamais envoyer le trafic de navigation Internet de l’utilisateur à des fournisseurs de navigation sûre.
La navigation sécurisée de Tencent n’est utilisée que pour les appareils avec des paramètres locaux chinois
En outre, comme plusieurs développeurs l’ont également souligné au cours du week-end, Tencent n’est pas le fournisseur par défaut de navigation sûre. Tencent n’est utilisé que sur les périphériques où la configuration locale chinoise est activée.
Le raisonnement derrière le soutien de Tencent est assez simple – le gouvernement chinois interdit les domaines Google à l’intérieur de la Chine ; par conséquent, les utilisateurs de Safari en Chine ne serait pas en mesure de recevoir la base de données Google de liens malveillants.
Apple a ajouté la prise en charge de Tencent en tant que fournisseur alternatif de navigation sécurisée spécifiquement pour les utilisateurs chinois. L’entreprise l’a fait afin de garder sa base d’utilisateurs chinoise en sécurité et afficher des alertes chaque fois que les utilisateurs chinois pourraient atterrir sur un site malveillant.
“L’URL réelle d’un site Web que vous visitez n’est jamais partagée”
Voici la déclaration complète d’Apple : “Apple protège la vie privée des utilisateurs et protège vos données avec Safari Fraudulent Website Warning, une fonction de sécurité qui signale les sites Web connus pour être de nature malveillante. Lorsque cette fonction est activée, Safari vérifie l’URL du site Web par rapport à des listes de sites Web connus et affiche un avertissement si l’URL que l’utilisateur visite est soupçonné de conduite frauduleuse comme du phishing.
Pour accomplir cette tâche, Safari reçoit une liste de sites Web connus pour être malveillants de Google, et pour les appareils dont le code régional est réglé sur Chine continentale, il reçoit une liste de Tencent. L’URL réelle d’un site Web que vous visitez n’est jamais partagée avec un fournisseur de navigation sûr et la fonction peut être désactivée”.
Article “Apple responds to reports that it sends user traffic to China’s Tencent” traduit et adapté par ZDNet.fr
Comments