Comment supprimer automatiquement l'historique Flash / la piste de confidentialité? Ou arrêtez Flash de le stocker?

47

De nombreuses personnes ont entendu parler de cookies tiers et certains navigateurs les bloquent même par défaut. Certaines personnes peuvent même utiliser les modes de navigation privée. Toutefois, seuls quelques-uns semblent se rendre compte que le lecteur Flash d'Adobe laisse également une trace de navigation croisée sur votre disque dur local et permet de renvoyer des informations de type cookie au serveur, y compris à des sites tiers. Et comme il s'agit d'un plugin, Flash ne prend en compte aucun des paramètres de confidentialité du navigateur.

Désolé pour le long post, mais d'abord quelques détails sur les raisons pour lesquelles l'utilisation de Flash soulève un problème de confidentialité, suivis des résultats de mes tests:

  • Flash Player conserve un historique de tous les navigateurs sur les noms de domaine des sites Flash que votre ordinateur a visités. Contrairement à l'historique de votre navigateur, cet historique ne se limite pas à un certain nombre de jours. L'historique est également enregistré lors de l'utilisation de ce que l'on appelle les modes de navigation privée. Il est stocké sur votre disque dur (cependant, comme décrit ci-dessous, sans consulter le site d'Adobe, vous ne saurez pas ce qui est stocké).
  • Je ne sais pas si des informations de date et d'heure sont conservées pour chaque visite, mais pour voir les noms de domaine: cliquez avec le bouton droit sur du contenu Flash, ouvrez la boîte de dialogue des paramètres, puis cliquez sur l'icône Aide ou sur le bouton Avancé de l' onglet Confidentialité . . Cela ouvre un navigateur aux pages d’aide d’Adobe.com, où vous pouvez cliquer sur le panneau Paramètres de stockage du site Web .
  • On peut effacer la liste existante, mais on ne peut empêcher son enregistrement de nouveau.
  • Flash permet de stocker des données sur votre disque dur local, à l'aide de ce que l'on appelle des objets partagés locaux (ou "Cookies Flash"). Tout comme les cookies HTTP, ces données peuvent être renvoyées au serveur à des fins de suivi. Ils sont inter-navigateurs, n'ont pas de date d'expiration et aucune durée de vie maximale définie par l'utilisateur ne peut être définie dans les préférences Flash. Ce ne sont pas des cookies HTTP, ils ne sont (bien sûr) pas bloqués par les préférences de cookies du navigateur et ne sont pas supprimés lorsque les cookies HTTP normaux sont supprimés. Adobe a annoncé que la version 10.1 obéirait à la navigation privée dans la plupart des navigateurs classiques, mais malheureusement, il n’ya aucun mot sur la suppression des données lorsque les cookies normaux sont supprimés manuellement. Et sa mise en œuvre pourrait être déroutante:

    [..] if the browser is in normal browsing mode when the Flash Player instance is created, then that particular instance will forever be in normal browsing mode (private browsing is turned off). Accordingly, toggling private browsing on or off without refreshing the page or closing the private browsing window will not impact Flash Player.

  • Les objets partagés locaux ne se limitent pas au site que vous visitez, et le stockage tiers est activé par défaut. Dans le panneau Paramètres de stockage globaux , vous pouvez désélectionner le paramètre par défaut Autoriser le contenu Flash tiers à stocker des données sur votre ordinateur . En raison de la nature multi-navigateur et sans expiration (et du fait que peu de gens le savent), j’ai l’impression que les cookies Flash tiers de plusieurs navigateurs sont plus dangereux pour le suivi des visiteurs que les cookies HTTP normaux de tierces parties. Ils sont même utilisés pour restaurer les cookies HTTP simples que l'utilisateur a tenté de supprimer:

    "Tous les annonceurs, sites Web et réseaux utilisent des cookies pour la publicité ciblée, mais les cookies sont attaqués. Selon les recherches actuelles, 40% des utilisateurs les effacent, ce qui crée de sérieux problèmes", a déclaré Mookie Tenembaum, fondateur de United Virtualities. "Du simple plafonnement de fréquence au ciblage comportemental plus sophistiqué, les cookies sont un élément essentiel de toute campagne publicitaire en ligne. PIE [" Élément d'identification persistante "] donnera aux éditeurs et aux fournisseurs tiers une sauvegarde permanente des cookies, les rendant inattaquables " , ajoute Tenembaum.

    [..] Pour justifier ce mécanisme de suivi, Tenembaum d'UV a déclaré: "L'utilisateur ne maîtrise pas suffisamment la technologie pour savoir si le cookie est bon ou mauvais ou son fonctionnement."

  • Lorsque vous sélectionnez Aucun (zéro Ko) pour Spécifiez la quantité d'espace disque que les sites Web que vous n'avez pas encore visités peuvent utiliser pour stocker des informations sur votre ordinateur . Si vous cochez cette option, certains sites ne fonctionnent pas. Toutefois, le même site peut fonctionner lorsqu'il est défini sur Aucun sans sélectionner Ne plus jamais demander , puis sur Refuser à chaque invite . Dans les deux cas, zéro Ko de données est autorisé, mais le comportement diffère.
  • Le plugin fournit également un cache Flash Player pour les fichiers signés par Adobe. Je suppose que ces fichiers ne sont pas un problème.

Alors, comment supprimer automatiquement cette information?

Sur un Mac, on peut trouver un settings.solfichier et un dossier pour chaque site Web Flash visité dans:

$ HOME / Bibliothèque / Préférences / Macromedia / Flash Player / macromedia.com / support / flashplayer / sys /

La suppression du settings.solfichier et de tous les dossiers de celle sys-ci supprime la trace des panneaux de paramètres. Cependant, les objets partagés locaux réels se trouvent ailleurs (voir Wikipedia pour les emplacements sur d'autres systèmes d'exploitation), dans un sous-dossier nommé de manière aléatoire de:

$ HOME / Bibliothèque / Préférences / Macromedia / Flash Player / # SharedObjects

Mais alors: comment supprimer cela automatiquement? En supprimant simplement les dossiers et le settings.solfichier de temps en temps (par exemple, en utilisant launchdou le Planificateur de tâches de Windows), vous risquez d'interférer avec les navigateurs actifs. Ou est-il prudent de supposer que, compte tenu de la nature des navigateurs, le plug-in ne se souciera pas si les choses sont supprimées tant qu'il est actif? Seul le nettoyage pendant la déconnexion peut ne pas fonctionner pour ceux qui hibernent tout le temps.

Les utilisateurs de Firefox peuvent installer BetterPrivacy ou Objection pour supprimer les objets partagés locaux (également pour tous les autres navigateurs). Je ne sais pas si cela supprime également la trace des noms de domaine de sites Web.

Ou: comment empêcher Flash de stocker une trace historique?

Changement de plan: J'essaie actuellement d'empêcher Flash d'écrire dans ses propres dossiers syset #SharedObjectsdossiers. Jusqu'à présent, Flash n'a pas essayé de restaurer les autorisations (bien sûr, lors de la suppression des dossiers, Flash les recréera). Je n'ai rencontré aucun problème, mais la validation peut prendre un certain temps, en utilisant plusieurs navigateurs et sites. Je n'ai pas encore trouvé de journal qui rapporte des erreurs. Sur un Mac:

cd "$ HOME / Bibliothèque / Préférences / Macromedia / Lecteur Flash / macromedia.com / support / flashplayer"
rm -r sys / *
chmod uw sys

cd "$ HOME / Bibliothèque / Préférences / Macromedia / Flash Player"
# préserve les sous-dossiers nommés de manière aléatoire (il suffirait de conserver les derniers.
Sujet vu ci-dessous) rm -r \ #SharedObjects / * / *
chmod -R uw \ #SharedObjects

Je suppose que ce qui précède chmodne peut pas être réalisé sur un ancien système Windows (je ne suis pas sûr de XP ni de Vista?). Bien que peut-être sur Windows on pourrait remplacer les dossiers sys et #SharedObjectspar des fichiers factices avec les mêmes noms? N'importe qui?

Évidemment, empêcher Flash de stocker ces objets partagés locaux pour tous les sites peut poser des problèmes. Quelques résultats de test (Flash 10 sur Mac OS X):

  • Lorsque vous bloquez le sysdossier (même lorsque vous le laissez en #SharedObjectsécriture), YouTube ne se souviendra pas de vos paramètres de volume lors de la visualisation de plusieurs vidéos. Autoriser temporairement un accès en écriture aux dossiers bloqués lors de la visite de sites de confiance (pour ne créer que des dossiers pour les domaines de votre choix, y compris éventuellement des références settings.sol) résout ce problème. De cette façon, pour YouTube, Flash pourrait être autorisé à écrire sur sys/#s.ytimg.comet #SharedObjects/s.ytimg.com, alors que Flash ne pourrait pas créer de nouveaux dossiers pour d'autres domaines. On peut aussi avoir besoin de faire en settings.sollecture seule après, ou de le supprimer à nouveau.
  • Lors du blocage des deux dossiers syset #SharedObjects, YouTube et Vimeo fonctionnent correctement (bien qu'ils ne se souviennent peut-être pas des paramètres). Cependant, Bits on the Run refuse même de montrer le lecteur vidéo. Pour résoudre ce problème, débloquez temporairement le #SharedObjectsdossier afin de permettre à Flash de créer un sous-dossier avec un nom quelconque. Dans ce dossier, il créerait un autre dossier pour le site Web Flash actuel ( content.bitsontherun.com). La suppression de ce dossier spécifique au site Web, ainsi que le blocage des deux #SharedObjectset du sous-dossier nommé de manière aléatoire, semblent toujours permettre aux bits sur le fonctionnement de fonctionner, même s'il ne peut toujours rien écrire sur le disque. Donc: l’existence du sous-dossier nommé aléatoirement (même en écriture protégée) est importante pour certains sites.
  • Lorsque j'ai trouvé le #SharedObjectsdossier, il contenait de nombreux sous-dossiers portant des noms aléatoires, certains créés le même jour. Je me demande quand Flash décide qu'il veut un nouveau dossier et comment il détermine (et se souvient) ce nom aléatoire.
  • Pendant un moment, j'ai envisagé de ne pas bloquer l'accès en écriture pour syset #SharedObjects, mais de créer explicitement des dossiers en lecture seule pour les domaines de suivi tiers connus (comme basé sur une liste, par exemple, AdBlock Plus). De cette façon, tout autre domaine pourrait toujours créer des objets partagés locaux. Mais la liste serait longue, et les domaines de AdBlock Plus sont probablement tous des domaines tiers, alors désactivez Autoriser le contenu Flash tiers à stocker des données sur votre ordinateur peut avoir le même résultat.

Toute expérience quelqu'un?

(Remarques finales: si les liens ci-dessus vers les panneaux de paramètres ne fonctionnent plus, utilisez l’URL connue de Flash Player comme point de départ: www.adobe.com/go/settingsmanager . Voir aussi « Vous avez supprimé votre Cookies? Think Again "sur Wired.com - qui utilise également les cookies Flash ... Pour les utilisateurs très suspects de Time Machine: vous pouvez exclure les deux dossiers, pour chaque utilisateur, et supprimer la trace déjà présente sur votre ordinateur. sauvegarde.)

Arjan
la source
14
J'ai considéré ce problème comme un grave défaut de conception du navigateur depuis que je l'ai rencontré pour la première fois. La solution idéale consisterait à étendre les interfaces des plug-ins de navigateur Web afin que celui-ci puisse effacer tous les plug-ins de vider leurs caches respectifs ou demander aux plug-ins de placer leurs caches dans un dossier que le navigateur peut purger quand il le souhaite. à. Jusqu'à ce que les développeurs de navigateurs résolvent ce problème pour nous, cependant, votre question est très pertinente.
Chris W. Rea
Et je suppose qu'une solution provisoire pourrait consister en un simple avertissement lors de la modification des paramètres de cookie ou de l'historique, ou lors du démarrage d'un mode de navigation privée. Mais avant tout, je reproche à Adobe d’avoir autorisé le stockage tiers.
Arjan
Hmmm, il faut que je vérifie un jour: les cookies retardés de YouTube - ne sont pas liés à Flash, à moins que ceux-ci ne soient également des cookies Flash. google.com/support/youtube/bin/answer.py?answer=141046
Arjan
Voir aussi "Cookies Flash et confidentialité" à papers.ssrn.com/sol3/papers.cfm?abstract_id=1446862 , avec son résumé: Nous constatons que plus de 50% des sites de notre exemple utilisent des cookies flash pour stocker des informations sur l'utilisateur. Certains l'utilisent pour "respawn" ou ré-instancier des cookies HTTP supprimés par l'utilisateur. Les cookies Flash partagent souvent les mêmes valeurs que les cookies HTTP et sont même utilisés sur les sites Web gouvernementaux pour attribuer des valeurs uniques aux utilisateurs. Les politiques de confidentialité divulguent rarement la présence de cookies Flash et les contrôles utilisateur permettant de définir les préférences de confidentialité font défaut.
Arjan le
2
Adobe apprend: à partir de janvier 2011: Améliorer la confidentialité: gérer le stockage local dans Flash Player : des représentants de plusieurs entreprises clés, notamment Adobe, Mozilla et Google, ont collaboré pour définir une nouvelle API de navigateur (NPAPI ClearSiteData) permettant d'effacer les données locales. a été approuvé pour la mise en œuvre le 5 janvier 2011. Tout navigateur qui implémente l'API pourra effacer le stockage local de tout plug-in implémentant également l'API.
Arjan

Réponses:

5

J'ai mis en œuvre la solution que vous avez décrite sur Mac il y a quelques mois. Cela empêchait le suivi, mais cela empêchait un certain nombre d'applications Flash plus compliquées (tout ce qui persisterait entre les sessions, de toute évidence les jeux Flash avec suivi des progrès) de fonctionner correctement, voire pas du tout. Finalement, j'en ai eu marre de dépanner et j'ai enlevé les verrous de dossiers.

Ma solution provisoire utilise un bloqueur Flash. Comme je ne charge que des objets Flash pour des sites de confiance (tels que YouTube ), les problèmes de confidentialité sont atténués, voire supprimés.

expurgé
la source
Lorsque vous avez répondu, ma question ne mentionnait que le sysdossier. En attendant, Wikipedia m'a également aidé à trouver un #SharedObjectsdossier. Quel dossier avez-vous bloqué?
Arjan
Je pense que c’est ~ / Bibliothèque / Préférences / Macromedia / Flash \ Player que j’ai verrouillé. Cela empêchait d'écrire à la fois sur 'sys' et '#SharedObjects' mais ce n'était pas très subtil!
expurgé le
Quel Flash Blocker utilisez-vous?
alex
@alex - rentzsch.github.com/clicktoflash fonctionne parfaitement pour Safari / Webkit. Aucun piratage requis!
expurgé le
Je souscris à la suggestion de @ rédigée (ClickToFlash) - fonctionne à merveille.
Alex
12

Si vous utilisez Firefox, vous avez l' extension BetterPrivacy . Il supprime les LSO lors de la sortie. Et bien sûr, vous pouvez utiliser Flashblock ou NoScript pour plus de sécurité.

Mise à jour : Depuis la version 10.1, Flash ne stocke pas les LSO si vous êtes en mode de navigation privée.

KovBal
la source
Aimez mieux la vie privée. Installez et oubliez.
Travis
Mise à jour incorrecte. Il ne stocke pas 3 partie LSO. C'est vraiment un logiciel assez ignoble.
Chiggsy
@ Chiggsy, je ne peux pas confirmer qu'il refuse uniquement les LSO tiers dans les modes de confidentialité. J'ai testé avec Flash 11.0.1.152 dans le dernier Safari et Chrome sur OS X Lion. Oui, tout ce qui est stocké est disponible pendant la même session (mais pas dans d'autres navigateurs). Mais les données ne semblent pas être stockées sur le disque. Je n'ai pas encore vérifié si la déclaration précédente d'Adobe était toujours vraie: [..] l'activation ou la désactivation de la navigation privée sans actualisation de la page ou la fermeture de la fenêtre de navigation privée n'a aucune incidence sur Flash Player.
Arjan
Quant à BetterPrivacy, il ne prend pas seulement en charge le nettoyage à la sortie (ce que je fais rarement avec mes navigateurs), mais aussi: ou [...] par une fonction de minuterie configurable, tandis que certains cookies Flash souhaités peuvent être exclus de la suppression automatique .
Arjan
3

Je pense que sur Windows CCleaner va effacer tout cela.

Moshen
la source
1
En effet, c’est vrai, même si je ne pouvais pas trouver facilement cette information sur www.ccleaner.com - mais vous avez raison, c’est dans les journaux des modifications à ccleaner.com/download/version-history (qui sont un peu bizarres, support pour nettoyer Flash Player semble avoir été ajouté dans plusieurs versions ...?)
Arjan
2

J'ai créé un script launchd Mac OS X qui supprime en permanence vos cookies flash.

Modifiez simplement REPLACEME avec votre nom d'utilisateur et enregistrez ce fichier sous ~ / Library / LaunchAgents / RemoveFlashCookies.plist. Redémarrez pour charger le script.

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple Computer//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>  
    <key>Label</key>
    <string>Remove Flash Cookies</string>
    <key>ProgramArguments</key>
    <array> 
        <string>rm</string>
        <string>-rf</string>
        <string>/Users/REPLACEME/Library/Preferences/Macromedia</string>
    </array>
    <key>OnDemand</key>
    <false/>
    <key>RunAtLoad</key>
    <true/>
</dict>
</plist>
Frederik
la source
Je pense que la clé WatchPaths de launchd aiderait beaucoup ici. Au lieu de boucle occupée, déclenchez simplement le travail lorsque le chemin est mis à jour.
Chiggsy
1

Juste une idée:

Essayez d'utiliser:

hdiutil -shadow   # lots more besides this, I just thought of  it.

et monter les chemins en lecture seule. Laissez Flash écrire dans le fichier shadow et conservez un état connu de ce répertoire. Je vais essayer la même chose avec TopSites et cette base de données d'images de pages Web prise par Safari.

Pourquoi?

Parce que je ne veux pas effacer les données. Je souhaite leur renvoyer des données modifiées. De cette façon, je peux aussi jouer à ce jeu d’exploration de données.

chiggsy
la source
Seulement aujourd'hui j'ai vu votre post! Avez-vous bien implémenté ceci? Des détails amusants à partager?
Arjan