Qu'est-ce que le filtrage HTTPS
Qu'est-ce que HTTPS ??
HTTPS (HyperText Transfer Protocol Secure) est une extension du protocole HTTP qui prend en charge le cryptage pour accro?tre la s?curit?. Ce protocole est utilis? pour transmettre en toute s?curit? des informations pr?cieuses telles que des donn?es personnelles, des informations de carte bancaire, etc.
L’utilisation du protocole HTTPS est tr?s avantageuse car le trafic crypt? est prot?g? contre les ?coutes clandestines par des tiers, et nous ne pouvons que nous en r?jouir. L'acceptation du protocole HTTPS a augment? ces derni?res ann?es, principalement parce qu'il est encourag? par Google et ?galement en raison de l'?mergence de l'autorit? de certification gratuite Let's Encrypt.
Le diagramme ci-dessous d?crit la diff?rence entre le protocole HTTP simple et le protocole HTTPS s?curis?.
Qu'est-ce qu'un certificat de s?curit? ??
En termes simples, HTTPS signifie cryptage des donn?es. Mais un probl?me subsiste : comment ?tre s?r d'avoir ?tabli une connexion crypt?e avec le bon site web ? C’est l? que les certificats de s?curit? entrent en jeu. Un certificat sert de preuve que le site web est vraiment qui ou ce qu'il pr?tend ?tre. Si un site web ne dispose pas d'un tel certificat, ou si le certificat contient des informations incorrectes, le navigateur ne vous permettra pas d'?tablir une connexion s?curis?e. Il est important que le certificat utilis? par un site web soit ?mis par une autorit? de certification (AC) ? laquelle votre navigateur fait confiance. Une telle autorit? de certification garantit que le certificat SSL est bien d?livr? au propri?taire du site web.
Pourquoi AdGuard doit-il pouvoir filtrer HTTPS???
La plupart des sites web utilisent d?sormais HTTPS, et il en va de m?me pour la publicit?. Voici quelques sites web populaires sur lesquels vous ne pouvez pas supprimer les publicit?s sans filtrage HTTPS : youtube.com, facebook.com et x.com.
Comment fonctionne le filtrage HTTPS ??
Si c'?tait facile, HTTPS ne serait pas aussi s?curis?. Lorsqu'un navigateur tente de se connecter ? un serveur, AdGuard ?tablit deux connexions s?curis?es : une avec le navigateur (ou une autre application) et l'autre avec le serveur. Le navigateur doit faire confiance ? AdGuard et aux connexions qu'il cr?e. ? cette fin, AdGuard g?n?re un certificat racine sp?cial (et unique) et l'installe dans le syst?me et, le cas ?ch?ant, dans certains navigateurs (par exemple, dans Firefox). AdGuard peut d?sormais voir les paquets de donn?es ? l'int?rieur de la connexion s?curis?e et ainsi faire son travail : bloquer les publicit?s et les traqueurs.
Pour une meilleure compr?hension, nous avons repr?sent? ce processus?:
Mon trafic reste-t-il crypt? et s?curis? ??
Bien s?r ! Votre connexion avec un serveur distant reste crypt?e et s?curis?e. AdGuard, tout comme votre navigateur, v?rifie le certificat du serveur avant de d?cider de le filtrer ou pas.
Pourtant, le filtrage HTTPS pr?sente ses inconv?nients. Le plus important est qu'il cache au navigateur le certificat r?el du site web. ? la place, le navigateur voit le certificat ?mis par AdGuard.
C'est pourquoi nous avons pris des mesures suppl?mentaires pour am?liorer la s?curit? des connexions.
Les sites web financiers et sites web contenant des donn?es personnelles sensibles?
Par d?faut, AdGuard ne filtre aucune information sur les sites web des banques, des syst?mes de paiement ou des sites web contenant des donn?es personnelles pr?cieuses. Nous tenons ? jour une liste de milliers d'exclusions.
Si vous pensez qu'un site web devrait ?tre ajout? ? cette liste, n'h?sitez pas ? nous le faire savoir.
Certificats EV (Extended Validation)?
AdGuard vous permet de d?sactiver le filtrage pour tous les sites web qui utilisent des certificats de validation ?tendue.
Un certificat EV offre un niveau de s?curit? plus ?lev? et fournit davantage de garanties qu'un certificat ordinaire, prouvant que le site web n'est pas frauduleux ou faux.
Probl?mes li?s au filtrage HTTPS?
Une ?tude dat?e de 2017 montre que 5 ? 10 % des connexions HTTPS sont ?tablies par des applications de filtrage HTTPS. Cela est g?n?ralement effectu? par des types diff?rents de logiciels antivirus. La mauvaise nouvelle est que 24 des 26 antivirus test?s ont r?duit, de diverses mani?res, le niveau de s?curit? des connexions, tandis que les deux tiers ont cr?? des connexions sujettes au piratage.
Les chercheurs sont arriv?s ? une conclusion simple : la communaut? de s?curit? Internet devrait pr?ter une attention particuli?re aux applications qui filtrent les connexions s?curis?es. Les d?veloppeurs de ces logiciels doivent accorder une attention particuli?re ? la qualit? de la mise en ?uvre du filtrage.
Nous tenons ? souligner qu’AdGuard n’a pas ?t? test? dans l’?tude ci-dessus. Nous avons effectu? des estimations conform?ment ? leur s?rie de tests, et au moment des tests, nous aurions pu recevoir la note maximale - A*. Cependant, ce score n’est pas parfait. Au cours de l’?tude, les chercheurs ont identifi? certains probl?mes qui ont ?t? omis dans l’?valuation finale.
Chez AdGuard, nous sommes enti?rement d’accord avec ces conclusions. De plus, nous souhaitons ?tre aussi ouverts que possible avec les utilisateurs et parler des probl?mes que nous rencontrons actuellement et des mesures que nous prenons pour am?liorer la qualit? et la s?curit? du m?canisme de filtrage. La liste de ces probl?mes est tri?e par priorit?.
La plupart des probl?mes d?couverts dans l’?tude ci-dessus sont li?s aux m?canismes de validation des certificats. C’est sur cela que nous voulons nous concentrer en premier. Nous travaillons sur une biblioth?que de validation de certificats s?par?e. De plus, nous souhaitons la rendre open source. Un article s?par? ?num?re tous les inconv?nients connus du filtrage HTTPS dans AdGuard et nos plans pour les corriger.
Probl?mes de filtrage HTTPS sur Android 7+?
? partir d'Android 7, les d?veloppeurs doivent indiquer explicitement que leurs applications font confiance aux certificats install?s par l'utilisateur. Tout le monde ne souhaite pas le faire ou ne s'en pr?occupe pas. Qu'est-ce que cela signifie pour AdGuard ? AdGuard installe un certificat utilisateur pour pouvoir filtrer le trafic HTTPS. Si une application ne fait pas confiance ? ce certificat, son trafic HTTPS ne sera pas filtr?. Alors que faire ?
La premi?re chose ? mentionner est que de nombreuses applications (m?me modernes) font encore confiance aux certificats d'utilisateur. Rien n’a chang? ? cet ?gard. Presque tous les navigateurs font ?galement confiance ? ces certificats. Il existe peut-?tre des navigateurs exotiques qui ne le font pas, mais ils constituent une rare exception ? la pratique courante.
Enfin, si votre appareil est root?, vous pouvez d?placer le certificat AdGuard vers le stockage syst?me. De cette fa?on, vous n’avez pas ? vous soucier des autorisations qu’une application particuli?re peut ou non avoir : le trafic HTTPS sera filtr? pour les applications modernes ainsi que pour les plus anciennes. Veuillez garder ? l'esprit que dans ce cas, certaines restrictions de s?curit? suppl?mentaires (par exemple, HPKP ou Expect-CT) s'appliquent ? AdGuard.
Comment v?rifier manuellement la qualit? HTTPS ??
Il existe plusieurs sites web d?di?s o? vous pouvez v?rifier la qualit? de votre connexion HTTPS. Ces sites web v?rifient si votre navigateur (ou, dans notre cas, votre navigateur plus AdGuard) est susceptible d'?tre affect? par des vuln?rabilit?s courantes. Si vous envisagez d'utiliser un programme qui filtre le HTTPS, pas n?cessairement AdGuard (par exemple, un antivirus), nous vous conseillons de v?rifier la qualit? de la connexion sur ces sites web.