Pour éviter le phishing, Apple partage l'adresse IP de Safari avec le géant chinois Tencent 🆕
Safari intègre une fonction d'alerte qui prévient l'internaute lorsqu'il tente d'accéder à un site web frauduleux, c'est à dire présentant un risque de phishing. Pour déterminer les tentatives d'hameçonnage, le navigateur exploite la base de données de navigation sécurisée de Google, dont les informations remontent à Safari en renseignant des données calculées à partir de l'adresse IP de l'utilisateur.
A priori depuis le mois de février, Apple s'appuie aussi sur Tencent Safe Browsing, un service similaire à celui de Google basé en Chine, Tencent oblige. On n'est jamais trop prudent, ce d'autant que l'activité de Google en Chine est réduite, mais dans le contexte actuel, la découverte du site Reclaim the Net tombe assez mal.
Les autorités chinoises, très portées sur la surveillance, ne pourront qu'apprécier de pouvoir enregistrer les adresses IP des utilisateurs de Safari. Et malgré les beaux discours, Apple n'a guère d'autre choix que de se plier aux règles de Pékin. Même si le constructeur utilise le service de Tencent à des fins légitimes, le soupçon est de mise. Par ailleurs, on peut aussi ne pas apprécier que Google puisse enregistrer ses adresses IP.
Il est possible de désactiver cette fonction d'alerte, dans les réglages de Safari > Alerte si site web frauduleux. On y gagnera en tranquillité d'esprit, mais on perd un service bien pratique.
Mise à jour — Apple a répondu à la polémique, en précisant le mode de fonctionnement de la fonction de prévention des sites frauduleux. « Quand la fonction est activée [elle l'est par défaut, NDLR], Safari vérifie l'URL dans des listes de sites connus et affiche une alerte si l'URL visitée par l'utilisateur est soupçonnée de pratiques frauduleuses comme l'hameçonnage. Pour accomplir cette tâche, Safari reçoit de Google une liste de sites connus pour être malveillants, et pour les appareils dont la région a été indiquée en Chine, le navigateur reçoit une liste de Tencent. L'URL du site visité n'est jamais partagée avec un fournisseur et la fonction peut être désactivée ».
C'est d'autant plus intéressant pour Tencent, que l'adresse IP étant envoyée directement par l'iPhone, il s'agit de la véritable adresse IP, celle qu'on a potentiellement cherché à masquer en utilisant un VPN...
@SyMich
C’est sur ? Bon à savoir en tout cas.
@alexis83
Moi je comprend que ces services ont la possibilité de faire des logs des IP des requêtes qu’ils reçoivent. Comme n’importe quel serveur web.
Sauf que dans ce contexte en associant une IP et l’adresse web que l’iPhone veut vérifier il est possible de savoir qui chercher à consulter quoi.
la vraie IP ne peut pas fuiter dans ce contexte car toutes les requêtes du système passe d’abord par le VPN..
L'obtention de l'adresse IP n'étant pas une requête effectuée par Google ou Tencent (passant par le VPN), mais une info envoyée spontanément par l'iPhone (qui, lui, dispose de la veritable IP), pour moi ce n'est pas l'IP attribuée par le VPN qui est journalisée, mais la vrai IP
*L'obtention de l'adresse IP n'étant pas une requête effectuée par Google ou Tencent (passant par le VPN)*
L'adresse IP est obtenue car l'iPhone cherche à contacter un serveur. Ce serveur voit donc de quelle machine il s'agit et son adresse IP. C'est comme ça pour tous les serveurs web.
*mais une info envoyée spontanément par l'iPhone (qui, lui, dispose de la veritable IP)*
Dans ce cas l'iPhone fait une requête, qui passe par le VPN et le VPN transmet la requête à Tencent qui voit l'adresse IP du VPN.
*pour moi ce n'est pas l'IP attribuée par le VPN qui est journalisée, mais la vrai IP*
Je voudrais bien savoir pourquoi dans ce cas là l'iPhone déciderait de dire fuck au VPN, qui pourtant récupère toutes les requêtes sortantes de l'OS, en envoyant sa requête à Google et Tencent en le contournant..
Parce que l'iPhone est connecté au fournisseur d'accès AVANT d'accéder au VPN. Il a donc accès à l'adresse IP attribuée par ce fournisseur d'accès.
@SyMich
Et donc ? En quoi l’ip opérateur serait visible par un serveur distant dans le cadre de l’utilisation d’un VPN ?
Elle n'est pas visible si il y a un VPN, mais elle n'a pas besoin d'être visible si elle est directement inclue dans les infos envoyées par Safari...
@SyMich
Beaucoup de si..
Tout simplement l’iP est loggué par le serveur distant. Voila pourquoi Apple y rappelle cette possibilité.
S'il s'agissait d'un simple log d'adresse IP par le serveur distant, pourquoi faire les gros titres en écrivant qu'Apple PARTAGE l'adresse IP de Safari???
Un log d'adresse IP, il n'y a rien de plus banal... donc si ce n'est que ça, il n'y a aucune info nouvelle!
Merci aux rédacteurs de l'article de nous expliquer ce qu'ils entendent par "Apple partage l'adresse IP". Moi je le comprends comme le fait qu'iOS envoie cette info à Google et Tencent. Mais si ce n'est pas le cas, alors le mieux est de supprimer l'article...
@SyMich
Ça fait depuis février que cette fonction est dispo.. voir mon post avec le tweet un peu plus bas.
https://twitter.com/StijnDV/status/1092515697694003200?s=20
C’est juste qu’avec le contexte actuel c’est bon de ressortir cette info passé inaperçue
Après le truc c’est que comme je l’ai dis ce simple log est associé par Tencent ou Google avec l’adresse du site qu’il faut verifier.
Qu'Apple utilise Tencent Safe Browsing en plus de la base de Google c'est une info effectivement... mais le titre choisit par le rédacteur de l'article sous-entend qu'Apple fournirait à Tencent l'adresse IP des iPhones.
C'est ce point que j'aimerais bien qu'ils clarifient! Si ce n'est pas le cas et que Tencent comme Google ou n'importe quel site Web se contentent d'enregistrer les adresses IP des appareils se connectant à leur serveur, il n'y a pas de quoi faire un tel titre! Apple ne "partage" rien...
@SyMich
Il y a certains points qui ne sont pas clair
Par bonne foi l’on dirait que Tencent est réservé aux chinois.
En étant suspicieux que tout est envoyé là-bas..
@SyMich
Et si Apple ne fait rien pour protéger ses utilisateurs..
https://appleinsider.com/articles/18/10/16/apple-apologizes-to-chinese-users-after-icloud-phishing-spree/
@SyMich
Je ne pense pas (mais faudrait vérifier, évidement), que l'adresse IP du demandeur est explicitement incluse dans les données transmises avec la requête "ce site web est-il sûr ?".
L'adresse IP étant de facto dispo dans l'adresse IP source de ladite requête, cela serait redondant.
Normalement c'est adresse IP affectée à l'interface utilisée pour envoyer la requête, et si c'est via un VPN, c'est donc l'adresse IP affectée par le service VPN utilisé.
Après, si la liste des adresses IP de l'appareil est transmise dans la requête, alors là oui. Mais je vois pas trop pourquoi cela serait fait, sauf véritable volonté de ces services de collecter bien au delà du strict nécessaire pour rendre le service.
Je ne sais pas non plus, mais les raedacteurs de l'article titrant qu'Apple PARTAGE l'adresse IP, j'en déduis que cette info est envoyée par Safari ...
Sinon, il n'y a rien de neuf, et je ne comprends même pas l'intérêt d'en faire un article (surtout avec un tel titre)
@SyMich
A mon avis cela vaut si on coche la case et que l'on a pas de VPN. Donc l'article est très clair (car par défaut la case est cochée et l'utilisateur n'a pas de VPN). Et l'article à tout son sens dans le fait d'alerter l'utilisateur que maintenant, en plus d'utiliser Google, comme c'est écrit au niveau de la case à cocher, il y a Tencent en plus, qui lui n'est pas indiqué au niveau de la case à cocher (en tout cas pour les anciennes versions).
Voilà. Moi je ne vois pas où ce n'est pas clair avec un sens informatif de l'article.
Maintenant si on utilise un VPN, ce n'est plus la même chose, puisque tout est crypté. Mais là on sort de l'article.
@ForzaDesmo
> Maintenant si on utilise un VPN, ce n'est plus la même chose, puisque tout est crypté.
> Mais là on sort de l'article.
Euh, c'est crypté entre votre appareil et l'accès Internet du fournisseur VPN.
Mais pas au dela. L'adresse IP affectée par le fournisseur VPN est parfaitement visible par Tencent (ou n'importe quel serveur recevant une requète de votre appareil.
Et cette adresse donne en soit déjà l'information que vous utilisez tel service VPN (les plages d'adresses sont facilement "remontables" au bloc alloué à qui...).
Certes, cela n'expose pas directement l'adresse IP qui permettrait de retrouver votre fournisseur de réseau mobile (ou fixe), mais ne croyez pas que cela ne permet pas d'avoir la moindre information quand même.
Un gouvernement qui voudrait identifier les adresses IP d'appareils qui accèdent à telle liste de sites web derrière un VPN n'aura pas besoin d'autre chose. Ensuite, soit on interdit le service VPN majoritairement utilisé, soit on exige qu'ils communiquent la liste des données personnelles derrières ces adresses IP sinon c'est interdiction sur le territoire.
@byte_order
A ce petit jeu là comme je disais il suffit d'augmenter le "maillage" et plus si on s'y connait (pour ma part je ne suis pas un spécialiste).
Alors dire que les gouvernements peuvent remonter... remonter quoi ?... Prendre un bazooka pour tirer sur la souris ?
Justement je me mettais juste au niveau de l'article, juste cacher son ip pour pas être pourri 2 secondes après avoir visité une page internet sur le bricolage de se trouver spamé par des pourriciels d'articles de bricolage. Car c'est pas la petite case à cocher "ne pas me suivre" qui va changer quelque chose. Sans compter ensuite les dizaines d'appels téléphoniques par jour pour l'isolation de la maison, par contre la grâce aux FAI usuels comme Orange de M.... par exemple.
Et comme je disais le cran au-dessus si on veut jouer c'est la cascade de VPN et ainsi de suite suivant le niveau de protection que l'on veut.
@reborn
D’accord merci donc le vpn nous « sécurise » bien sur notre véritable ip 👌
Édit : Je vois que symich n’est pas d’accord. Du coup qui a raison ? 😆
@reborn
La seule chose que voit tencent et google c’est une requête pour télécharger leur liste de blacklist, en aucun cas il voit ton traffic, c’est le navigateur ensuite qui vérifie si le site visité fait partie de cette liste.
Mais en effet, si vous utilisez un VPN, ils verront l’ip du VPN
@alexis83
Non c’est faux.
@SyMich
A priori, l’adresse IP est affecté au device par l’opérateur. Et elle est changée au fil du temps.
Peu de risque d’être traqué.
Oui bien sûr, mais du coup on peut se demander quel intérêt il y a pour Google et Tencent d'enregistrer ces adresses IP (sauf à effectuer une requête à l'opérateur a posteriori, pour savoir quel téléphone avait telle adresse IP, tel jour à telle heure)
@Nanardtetard
> A priori, l’adresse IP est affecté au device par l’opérateur. Et elle est changée
> au fil du temps. Peu de risque d’être traqué.
Euh, vous savez qu'une autorité peut très bien sur injonction demander les infos personnelles liées à l'utilisation de telle adresse IP à tel moment ?
Et c'est pas qu'en Chine que c'est possible, et croire que le gouvernement chinois (ou d'autres) ne le fait pas est assez naïf.
@byte_order
“Euh, vous savez qu'une autorité peut très bien sur injonction demander les infos personnelles liées à l'utilisation de telle adresse IP à tel moment ?”
Oui mais là on va aller dans les hautes sphères. Y a toujours moyen de crypter plus et ainsi de suite. Le stade au-dessus est de faire une cascade de VPN dont un est directement dans la configuration du routeur. Etc...
@ForzaDesmo
> Y a toujours moyen de crypter plus et ainsi de suite
Pas jusqu'à n'importe quel serveur/service web, non. Lui, il ne connait pas VPN, il lui faut du TLS voir, pire, parfois, du HTTP en clair.
Par ailleurs, cela ne change pas que les requêtes "d'anti-fishings" ainsi collectées exposent le fait que tel site web est accédée via tel fournisseur VPN (final), ce qui expose aussi la volumétrie dudit VPN, et donc l'intérêt de le faire fermer ou de le même sous contrôle.
A un moment, le VPN de sortie sur Internet est exposé. Que vous utilisiez une cascade de VPN vous protège, vous, mais pas le VPN de sortie sur Internet ni les sites web visités.
Il suffirait qu'il ne reste que des VPN sous contrôle d'un pouvoir pour bloquer tout échange non désirable...
@byte_order
“Pas jusqu'à n'importe quel serveur/service web, non. Lui, il ne connait pas VPN, il lui faut du TLS voir, pire, parfois, du HTTP en clair.”
C'est la source que l'on protège dans ce cas. C'est soi que l'on protège et votre raisonnement ensuite sur le fait que les serveurs de VPN vont tous mettre la clef sous la porte car ils vont tout se prendre à notre place est là assez osé. Cela ferait longtemps qu'il n'y aurait plus de serveurs dédiés aux VPN.
Pour la suite je pense que vous devriez vendre le scénario à Spielberg, ou non ce serait plutôt pour Cary Joji Fukunaga 😉
@ForzaDesmo
> Cela ferait longtemps qu'il n'y aurait plus de serveurs dédiés aux VPN.
Ben en Chine, au hasard, mais c'est vrai aussi dans d'autres pays, les VPN qui restent autorisés sont tous sous condition que le gouvernement contrôle leur activité.
> Pour la suite je pense que vous devriez vendre le scénario à Spielberg, ou non ce
> serait plutôt pour Cary Joji Fukunaga 😉
Ouais, et Snowden c'est juste un personnage de fiction...
@byte_order
“Ben en Chine, au hasard, mais c'est vrai aussi dans d'autres pays, les VPN qui restent autorisés sont tous sous condition que le gouvernement contrôle leur activité.”
“Ouais, et Snowden c'est juste un personnage de fiction...”
Super et tu vas aller loin avec ça.
Evidemment qu'il y a une carte des VPN avec des endroits où il ne faut pas aller, c'est comme dans la vraie vie avec des vraies lois, mais ce que tu oublies de dire c'est que chacun à ses lois, même si il y en a qui s'unissent comme les 5, 9 ou 14 yeux et c'est pour ça que Snowden a été découvert. Mais connaissant ça, j'ai l'impression que tu es encore moins spécialiste que moi. Car tu oublies de dire les cas où des gouvernements ont demandé des logs à des fournisseurs de VPN et qu'ils se sont fait renvoyer dans leurs pénates. Car sans logs pas d'identifications possibles.
Donc je te conseille de prendre un fournisseur de VPN où cela est légal (ce ne sont pas les pays qui manquent) et où les serveurs sont dans des pays en dehors des 14 yeux (ce ne sont pas les pays qui manquent) et où les fournisseurs de VPN te garantissent le without Logs.
Quand je te disais que c'est le jeu du chat et de la souris.
Je ne suis pas un spécialiste et pourtant je connais quand même les bases pour être un minimum Secure Guy 😝😉
@SyMich
Tout à fait 👍
Beaucoup pensent qu’un VPN est la panacée alors que cela ne protège que le transport, et ne change rien aux données envoyées.
@Sgt. Pepper
Sauf erreur de ma part l'intérêt du VPN est le cryptage justement. C'est d'ailleurs ce qui fait la différence entre un VPN et un Proxy Socks et la différence de rapidité de l'un par rapport à l'autre. De plus il faut bien configurer son VPN pour ne pas avoir de Logs.
Après je ne suis pas un expert non plus.
D'ailleurs avec Catalina il faut monter à 128 bits de cryptage pour na pas perdre de données.
@ForzaDesmo
Cela crypte les données pendant le transport, le service reçoit en clair les données envoyées (VPN ou pas).
Il ne connaît pas l’IP de l’expéditeur directement
mais si l’App envoie des infos privée (cookie , IP,..) dans le tuyau chiffré alors cela sert à rien (sauf protéger pendant le transport).
Par exemple utiliser une boîte gmail en VPN , ne change pas grand chose , Google a toujours tes identifiants de connexion et le contenus de tes messages et d’autres Meta data ...
Pour contourner le brida ce géographique (Netflix) , ou connection depuis la Chine vers France , c’est super utile.
@Sgt. Pepper
Tu n’auras pas ton adresse ip mais une autre
@Depret Lucas
Tout dépend à quel moment l’App récupère l’IP
@Sgt. Peppe
“Il ne connaît pas l’IP de l’expéditeur directement
mais si l’App envoie des infos privée (cookie , IP,..) dans le tuyau chiffré alors cela sert à rien (sauf protéger pendant le transport).”
Après je ne sais pas comment tu utilises un ou des VPN et avec quel protocole mais déjà tu vides les caches (cookies etc...) justement avant de lancer un VPN. C'est comme tout, il y a un minimum de choses à faire et une manière d'utiliser les outils dont l'on dispose.
C'est comme dire que TOR te préserve de l'anonymat. Cela dépend de comment tu l'utilises.
@ForzaDesmo
Oui OK, le VPN ne fait pas tout.
Il faut prendre d’autres précautions
@Sgt. Pepper
“Oui OK, le VPN ne fait pas tout.”
C'est le cas de le dire. Un VPN c'est quoi pour toi ? Je ne comprend s pas bien ?
Un VPN c'est un terme générique, à l'intérieur il y a plein de protocoles différents, et il y a également l'environnement qui va avec, c'est à dire que cela fonctionne avec des applications qui peuvent être différentes en rapport justement avec les différents protocoles. Et vient la dessus la façon globale de t'y prendre. Et là je fais court. Mais avec un VPN justement la base que l'on recherche c'est justement le cryptage des données que je m'étais en opposition avec un Proxy Socks pour bien faire comprendre la nuance de ce que je voulais exprimer. Donc dire qu'un VPN ne rend pas anonyme est contraire à la définition d'un VPN.
Maintenant si tu me réponds que personne n'est vraiment anonyme et que l'on pourra toujours remonter à la source, c'est le jeu du chat et de la souris. Mais dans le cas présent de l'article le VPN permet d'être anonyme. Maintenant je vais te dire ce que j'ai dis en premier lieu... je n'ai jamais coché cette case... rien que par ça d'une certaine façon je protège mon anonymat à une toute petit mesure, mesure du sujet de l'article.
Bon... j'espère que je ne t'ai pas perdu en route 😉
@ForzaDesmo
Pas l’exemple le plus judicieux.
On ne recherche pas nécessairement d’abord l’encryption d’un flux de données avec un VPN, et il est tout a fait possible d’avoir un traffic encrypté avec un socks proxy...
@Sometime
“On ne recherche pas nécessairement d’abord l’encryption d’un flux de données avec un VPN, et il est tout a fait possible d’avoir un traffic encrypté avec un socks proxy...”
Je ne connais pas l'intention d'une personne. Je ne suis pas madame Soleil. C'est comme me dire celui qui a une Ferrari ne recherche pas forcément la vitesse. L'intention d'une personne est propre à elle et il est donc assez facile de comprendre ma phrase. Maintenant la polémique peut avoir ça place.
Et un Proxy Socks est souvent couplé à un VPN pour justement avoir la cryptage et à la fois la rapidité.
@ForzaDesmo
Il ne s’agit pas vraiment d’une histoire d’intention. A la lecture rapide de votre poste j’ai cru y comprendre que vous utilisiez l’encryption comme element de distinction entre vpn et socks. Ce que j’ai tendance a trouver peu judicieux du fait meme de leur origine, c’est tout.
Après vous êtes libres d’utiliser votre ferrari pour surfer ou vous voulez sur internet si le coeur vous en dit.
@Sometime
“Après vous êtes libres d’utiliser votre ferrari pour surfer ou vous voulez sur internet si le coeur vous en dit.”
Après si vous ne parvenez pas à me comprendre, ce n'est pas bien grave.
C'est comme moi je n'arrive pas à comprendre tout ce que vous dite. C'est que vous devez utiliser un VPN sous un proxy Socks et donc le cryptage de votre phrase ne me parvient pas en claire. Et là aussi, ce n'est pas bien grave.
@ForzaDesmo
"C'est comme dire que TOR te préserve de l'anonymat"
Non ça c’est forcément dire une ânerie, et c’est absolument indépendant de la manière dont tu l’utilises 😂
@ForzaDesmo
"C'est comme dire que TOR te préserve de l'anonymat. "
Si on t'a expliqué que TOR te rendra célèbre, je te confirme qu’on t’a menti ;)
@Bigdidou @Phiphi
“Si on t'a expliqué que TOR te rendra célèbre, je te confirme qu’on t’a menti 😉”
“Non ça c’est forcément dire une ânerie, et c’est absolument indépendant de la manière dont tu l’utilises 😂”
Vous n'avoir pas fait études ? Vous pas comprendre la France ? 😬🙄
@ForzaDesmo
"Vous n'avoir pas fait études ? Vous pas comprendre la France ? 😬🙄"
La question, c'est si tu sais l'écrire.
Relis toi à reste reposée quand tu auras une heure ou deux...
@Bigdidou
“La question, c'est si tu sais l'écrire.
Relis toi à reste reposée quand tu auras une heure ou deux...”
Moi bien reposé. Moi bien dormi la nuit, mais toujours pas comprendre dialecte à toi.🙏🏼
@SyMich
Non c’est faux ce que tu inventes...
Tencent ou Google verront ton IP de sortie, donc si tu utilises um VPN, ils verront ton IP VPN.
Honteux que d’avoir à passer par une entreprise chinoise
Je refuse que mon IP et autres données personnelles partent dans cette saloperie de dictature
@iVador
Et je suppose que tu n’achete rien qui a été fabriqué la bas ?
Pages