Edge : le mode In-Private pas si privé que ça

Microsoft enquête actuellement sur un rapport montrant que le mode In-Private de son navigateur Edge, censé prodiguer une navigation privée, ne remplit pas complètement sa mission. Pour autant, la firme vient tout juste de réagir, alors que le rapport date d’octobre.

Internet Explorer propose depuis des années un mode de navigation privée. Baptisé In-Private, il a été logiquement repris dans Edge pour fournir aux utilisateurs des sessions de navigation ne laissant pas de traces locales. Ce type de fonctionnalité existe depuis longtemps également dans Firefox, Chrome, Opera et les autres. Lorsqu’il est actif, une fenêtre spéciale apparait, dans laquelle les traces de l’utilisateur sont effacées lorsqu'il ferme la fenêtre, qu’il s’agisse des sites visités, des téléchargements effectués, des cookies ou encore des logins utilisés.

La navigation privée laisse des traces

In-Private fonctionne normalement de la même manière. Mais dans un rapport publié en octobre dernier, le chercheur Ashish Singh indiquait que la fonction ne remplissait pas complètement son travail. Il y expliquait que la liste des sites visités pouvait aisément se retrouver dans le fichier WebCache. On y trouve ainsi la table « Container_n », contenant l’historique des onglets, exactement comme pour une session classique de navigation.

Conséquence, il suffit de récupérer le fichier pour reconstruire intégralement l’historique de navigation d’un utilisateur qui se serait servi du mode In-Private, ce qui n’est clairement pas en phase avec l’objectif même de la fonction, comme le note le chercheur : « La fonctionnalité de navigation pas-si-privée contenue dans Edge fait que sa raison d’être échoue ». Les données sont d’autant plus faciles à récupérer qu’elles sont stockées dans une base de données ESE (Extensible Storage Engine) et qu’il existe de nombreux outils pour y chercher les informations.

Un historique synchronisé entre les machines

Ashish Singh note par ailleurs un point troublant. Le compte Microsoft, utilisé sur la plupart des machines sous Windows 10, synchronise par défaut l’historique web. Si vous utilisez votre compte sur une autre machine, vous retrouvez donc le fameux fichier et l’intégralité de ses entrées. Le chercheur précise qu’au travers des informations dont on peut disposer, il n’est même plus possible de savoir sur quelle machine initialement la navigation a été faite. Dans le cadre d’une enquête, un tel mécanisme pourrait donc poser problème.

Quoi qu’il en soit, nos confrères de The Verge ont pu récupérer le fichier et l'examiner : « Nous n’avons pas été en mesure de trouver la table Container_n ou de retrouver un historique web complet de la session In-Private, mais un professionnel entrainé aurait probablement eu plus de succès ». Ils indiquent cependant avoir retrouvé la trace d'au moins un site visité en session privée.

Microsoft promet de résoudre le problème rapidement

Contacté par The Verge, Microsoft a indiqué qu’une enquête était en cours : « Nous avons récemment été mis au courant d’un rapport indiquant que les onglets In-Private ne fonctionnaient pas comme ils le devraient, et nous nous engageons à résoudre [ce problème] aussi rapidement que possible ».

Notez que le mode de navigation privée d’Edge n’est pas le premier à être touché par ce type de problème. En 2010, des chercheurs de l’université de Stanford ont ainsi montré que tous les navigateurs, d’une manière ou d’une autre, laissaient des traces. Évidemment, la situation s’est très probablement améliorée depuis, mais un cas concret s’était présenté en 2013 avec la version iOS de Chrome, qui laissait visibles l’historique et les recherches.