Le saviez-vous ?

"; echo '
• Je peux vous dire que votre adresse IP est, en ce moment, ' .$ip. '
  
  ' ; echo '
• Je peux aussi vous dire que votre Fournisseur d\'Accès Internet est : ' .$serv. '
  
  ' ; echo '
• J\'ajoute que vous êtes connecté sur l\'hôte : ' .$host. '
  
  ' ; ?>
• Je peux donc en déduire que vous habitez dans les parages de cet hôte. Oh, pas avec précision. Dans un rayon probable d'environ 40 à 60 kilomètres, soit la couverture géographique de cet hôte - voyez votre géolocalisation. Evidemment, les annonceurs publicitaires se servent de ce genre d'information pour mieux vous cibler - et ils s'en vantent ! exemple. (Lorsqu'on se connecte par un serveur d'entreprise, l'adresse IP n'est pas forcément significative de l'adresse physique. Ex. Je suis à Villepinte, mais je "parais être" à Amsterdam... - Merci à Jean-Marie - un ami).
  
  

---

Informations transmises par votre navigateur à tous les serveurs de tous les sites que vous visitez. Ces informations portent donc sur vous-même et sur votre configuration d'ordinateur.

Laurent Teyssandier a consacré son Mémoire de DEA "Droit des créations immatérielles" à l'accès aux données de connexion de l'Internaute (document pdf 124 pages - 705 Ko).

Il est possible de prendre connaissance de beaucoup trop de choses sur vous et de pénétrer trop facilement dans votre ordinateur. Cette page utilise exclusivement les informations fournies légitimement par votre système d'exploitation, votre navigateur et votre FAI (Fournisseur d'Accès Internet), sans faire appel à aucun outil d'espionnage particulier. Ce n'est qu'une démonstration minimaliste.

Un pare-feu (firewall) permet de ne pas renseigner quelques-uns de ces champs et certains outils d'anonymisation forgent ces champs à des valeurs aléatoires qui changent tout le temps, crétinisant ainsi le tracking qui pourrait être fait sur vous.

• Variable remote_addr
  Donne votre adresse IP. Les FAI (Fournisseurs d'Accès Internet comme Free.fr, Tiscali ou Wanadoo etc. ...) sont légalement obligés de conserver, dans des logs (des journaux d'activités), toutes vos connexions et il est possible, sur une requête judiciaire, de demander à votre FAI qui était réellement l'ordinateur connecté sous telle adresse IP, tel jour à telle heure. Or votre FAI, par votre abonnement ou par identification de votre numéro de téléphone, connaît bien des choses sur vous dont votre véritable adresse (là où vous habitez) et comme tout ce que vous faites passe par lui, il connaît tout de vous.
  
  
  
• Variable remote_port
  Normalement, le serveur distant sur lequel vous êtes connecté, écoute, par exemple, sur votre port 80. Mais pour ne pas encombrer celui-ci, il redirige la demande vers un autre port, choisi aléatoirement parmi les ports libres dans la plage supérieure à 1024. L'information est peu intéressante.
  
  
  
• Variable remote_host
  Donne l'adresse DNS (nom de domaine) de l'ordinateur que vous utilisez (de votre ordinateur, ès-qualité "machine cliente") pour communiquer avec le serveur web (pour effectuer la requête). Cette variable est très utilisée pour afficher des publicités en rapport avec le pays d'origine, par exemple.
  
  
  
• Variable remote_ident
  Donne le login de la personne (vous - le client) qui fait la requête. Si le serveur Http supporte l'identification selon RFC 931, cette variable prend la valeur du login de l'utilisateur récupérée sur le serveur. L'utilisation de cette variable devrait être limitée au login uniquement.
  
  
  
• Variable remote_user
  Donne l'identifiant de l'utilisateur (vous - le client), lorsque le mode d'authentification de la ressource est actif (si le serveur supporte l'authentification du client et que le script est protégé, ceci est le nom d'utilisateur sous lequel le client est authentifié).
  
  
  
• Variable http_user_agent
  Votre navigateur me communique la signature suivante :
  
  
  
  Il ajoute même d'autres informations récupérables grâce à l'objet "Navigator". Ceci me permet d'identifier votre navigateur, sa version, sa langue, votre système d'exploitation et sa version... C'est le contenu de l'en-tête User_Agent de la requête courante, si elle existe. C'est une chaîne de caractères qui décrit le client HTML (votre navigateur) utilisé pour voir la page courante. Par exemple : Mozilla/4.5 [en] (X11; U; Linux 2.2.9 i586). Cette information permet aux Webmasters d'optimiser l'affichage des pages de leurs sites en fonction de votre navigateur mais elle permet aussi, tout simplement, de savoir de quel navigateur vous disposez, avec quel système d'exploitation vous travaillez et donc de connaître une partie de votre équipement.
  
  Je peux savoir ce qui suit à propos de votre navigateur mais attention : cette signature est une simple phrase dont la syntaxe est libre et son contenu est assujetti à la bonne volonté des éditeurs de navigateurs. Beaucoup de navigateurs exotiques (Safari ou iCab par exemple) cachent totalement leur véritable identité et se font passer pour Internet Explorer ou Netscape ou ne donnent, tout simplement, aucune information. D'autre part, des utilitaires d'anonymisation peuvent, à la volée, mettre n'importe quoi dans cette variable donc :
  • les informations ci-dessous peuvent ne pas refléter la réalité de votre installation (avec un risque d'erreur relativement faible toutefois)
  • si le besoin est impérieux de savoir quel navigateur dans quelle version et langue, quel système d'exploitation dans quelle version et langue... sont utilisés, d'autres méthodes plus complexes doivent être utilisées :
  • le système d'exploitation, lorsqu'il est identifié, l'est sous son véritable nom de code qui n'est pas forcément le nom commercial du produit. Par exemple, Windows XP est identifié par son véritable code : Windows NT 5.1
    
  
  
  
  

---

Informations transmises par le serveur de chaque site que vous visitez à propos de lui-même.

• Ces variables d'environement ne sont pas spécifiques à la requête que vous venez de faire et sont donc données par le serveur qui héberge mon site pour toutes vos requêtes.
  
  
  • Variable server_software
    Donne le nom et le numéro de version du logiciel serveur utilisé. C'est une chaîne d'identification du serveur, qui est donnée dans les en-têtes lors de la réponse aux requêtes.
    
    
    
  • Variable server_name
    Donne le nom du serveur hôte qui exécute cette identification. Si elle est exécutée sur un hôte virtuel, c'est la valeur définie pour cet hôte virtuel.
    
    
    
  • Variable server_signature
    Chaîne contenant le numéro de version du serveur et le nom d'hôte virtuel, qui sont ajoutés aux pages générées par le serveur, si cette option est activée.
    
    
    
  • Variable server_admin
    Donne l'adresse e-mail déclarée par l'administrateur du serveur. C'est la valeur donnée à la directive SERVER_ADMIN (pour les serveurs Apache), dans le fichier de configuration. Si le script est exécuté par un hôte virtuel, c'est la valeur définie par l'hôte virtuel.
    
    
    
  • Variable gateway_interface
    Donne le numéro de révision (le numéro de version) de l'interface CGI (Common Gateway Interface) installé sur le serveur: par exemple 'CGI/1.1'
    
    
    
• Ces variables d'environnement sont spécifiques à la requête que vous venez de faire (vous venez de demander à voir la page "Qui êtes-vous ? Votre connexion") et sont donc remplies (complétées par l'interface CGI) au moment où le serveur reçoit la requête - elles sont donc susceptibles de changer, requête après requête.
  
  
  • Variable server_protocol
    Donne le nom et le numéro de révision du protocole de communication utilisé par le serveur: Par exemple 'HTTP/1.0'
    
    
    
  • Variable server_port
    Donne le numéro de port de la machine serveur utilisé pour les communications. Par défaut, c'est 80. En utilisant SSL, par exemple, il sera remplacé par le numéro de port HTTP sécurisé.
    
    
    
  • Variable script_name
    Donne l'URL du chemin d'accès au script CGI. Contient le nom du script courant. Cette information peut servir, par exemple, lors d'appels récurrents (lorsque les pages doivent s'appeler elles-mêmes).
    
    
    
  • Variable script_filename
    Donne le nom et le chemin d'accès complet au script CGI actuel sur le disque du serveur consulté. C'est le chemin absolu de cette page. Peut permettre à un attaquant de deviner l'organisation d'un disque dur.
    
    
    
  • Variable http_host
    Donne l'adresse IP ou le nom de domaine (DNS) de la machine hébergeant le serveur Http sur lequel vous êtes connecté en ce moment. C'est le contenu de l'en-tête Host de la requête courante, si elle existe:
    
    
    
  • Variable document_root
    Donne le nom du répertoire physique, sur le serveur, constituant la racine sous laquelle le script courant est exécuté.
    
    
    

---

Informations relatives à la connexion entre le client (vous) et le serveur du site que vous êtes en train de visiter.

• Variable http_accept_charset
  Donne le code du jeu de caractères accepté par votre navigateur. C'est le contenu de l'en-tête Accept-Charset: de la requête courante, si elle existe. Par exemple, le jeu de caractères accentués de notre alphabet français : 'iso-8859-1,*,utf-8'.
  
  
  
• Variable http_accept_encoding
  Donne le type d'encodage accepté par votre navigateur. C'est le contenu de l'en-tête Accept-Encoding de la requête courante, si elle existe: Par exemple : 'gzip'.
  
  
  
• Variable http_accept_language
  Donne la langue reconnue par votre navigateur (qui n'est pas forcément la même que celle dans laquelle il s'affiche. C'est le contenu de l'en-tête Accept-Language de la requête courante, si elle existe: Par exemple : 'fr'. Sert, par exemple, aux Webmasters qui développent des sites multilingues. Sert également aux statistiques car on en déduit l'origine géographique et la langue favorite du visiteur. Ce n'est pas fiable à 100% (par exemple, j'utilise un navigateur en langue anglaise US alors que je suis français né à l'étranger) mais cela donne une tendance certaine. L'analyse de cette chaîne de caractères permet donc de déduire, avec de fortes probabilités d'exactitude, quels sont votre langue maternelle et votre pays d'origine (pas le pays où vous êtes installé actuellement - celui-ci est calculé à partir de l'adresse IP)
  
  
  
• Variable http_connection
  Contenu de l'en-tête "Connection" de la requête courante, si elle existe. Par exemple : 'Keep-Alive'.
  
  
  
• Variable request_method
  Méthode de requête utilisée pour accéder à la page:¨Par exemple 'GET' ou 'HEAD' ou 'POST' ou 'PUT'.
  
  
  
• Variable query_string
  Chaîne de requête, si elle existe, qui est utilisée pour accéder à la page. Ce sont les informations passées (les paramètres de la requête) à partir d'une URL (celles qui suivent le "?"). Il n'y a aucune raison de tenter de les décoder.
  
  
  
• Variable http_referer
  Adresse de la page (si elle existe) d'où vous venez. Nota : cette valeur peut être masquée ou altérée volontairement par vous-même (grâce à des utilitaires de confidentialité et même grâce à certains navigateurs qui permettent de modifier la valeur de HTTP_REFERER). Notez également que si vous composez directement une adresse dans la zone d'adresse de votre navigateur, la valeur HTTP_REFERER est nulle (à retenir).
  
  
  
• Variable path_info
  Informations complémentaires dans une URL, données par le client, devant être décodées par le serveur avant d'être passées au script CGI.
  
  
  
• Variable path_translated
  Chemin dans le système de fichier (pas le document root-) jusqu'au script courant, une fois que le serveur a fait une traduction "virtuel->réel".
  
  
  
• Variable request_uri
  L'URI qui a été fourni pour accéder à cette page. Par exemple : '/index.html'.
  
  
  

---

L'ensemble des informations (variables d'environnement et autres informations techniques) disponibles peut être obtenu au moyen de la fonction du langage PHP suivante qui génère à la volée un très long tableau de plusieurs pages avec toutes ces informations et de très nombreuses autres.

<?
phpinfo();
?>

---

Il est possible de prendre connaissance de beaucoup trop de choses sur vous et de pénétrer trop facilement dans votre ordinateur. Cette page utilise exclusivement les informations fournies légitimement par votre système d'exploitation, votre navigateur et votre FAI (Fournisseur d'Accès Internet), sans faire appel à aucun outil d'espionnage particulier. Ce n'est qu'une démonstration minimaliste. Le chapitre Attaques terminera de vous convaincre en faisant l'inventaire des formes d'attaques dont nous sommes victimes à cause de milliers de pièges spécialisés insoupçonnables et nous vous donnerons, chaque fois, les contre-mesures à appliquer, préventivement ou d'une manière curative.

Nouvelle adresse du site Assiste.com depuis le 22 octobre 2012 : http://assiste.com