Grâce au Brief de NextINpact, j'ai pu découvrir que l'équipe de Google voudrait introduire en standard une API pour la plateforme Web baptisée « Idle Detection ».
En gros, il s'agit pour l'application Web d'être tenu au courant par le périphérique que l'utilisateur n'est plus actif. Cet état est déduit des mouvements de souris / pointeur, et autres capteurs disponibles. Visiblement, le seul garde-fou, c'est que ce signal ne peut pas être envoyé plus d'une fois par minute.
Google l'a implémenté dans Chrome malgré les protestations de Mozilla (suite à la demande de Google) et celles de l'équipe de Webkit (pour Safari).
Dans ces protestations, on trouvera des arguments qui ne seront étrangers à personne ici : vie privée menacée, sécurité affaiblie, etc.
Et de fait… L'argument principal avancé en faveur de cette API est la meilleure communication pour les applications de collaboration. C'est tellement faible par rapport aux risques évidents de surveillance. Et même le document officiel survole ces problèmes dans sa section Sécurité et Vie privée. Tout au plus, ça parle de surveiller « combien de temps un utilisateur est actif ». Évidemment, savoir quand est déjà tellement suffisant…
Bref, j'en profite pour dire à tout le monde, s'il vous plaît, de ne pas utiliser Chrome. Ou alors ces variantes comme Chromium de Debian ou bien ungoogled-chromium. Il y a également Bromite, qui applique tout un tas de patchs pour éviter la surveillance.
# implémentation cliente
Posté par Psychofox (Mastodon) . Évalué à 4.
Heureusement comme l'implémentation est du côté de client, ce sera facile de "tricher".
[^] # Re: implémentation cliente
Posté par Ysabeau 🧶 (site web personnel, Mastodon) . Évalué à 6.
Facile pour qui ?
« Tak ne veut pas quʼon pense à lui, il veut quʼon pense », Terry Pratchett, Déraillé.
[^] # Re: implémentation cliente
Posté par Psychofox (Mastodon) . Évalué à 4.
Pour ceux qui ont un navigateur qui le permet.
[^] # Re: implémentation cliente
Posté par Glandos . Évalué à 10.
Oui et non. Chrome utilise un service de mise-à-jour automatique intégré. La majorité des gens ne se rendront même pas compte de l'arrivée de cette fonctionnalité. Quand un site ou une application va leur demander une autorisation, ils vont faire comme tout le monde : dire oui, parce qu'ils ne veulent pas d'embrouilles.
[^] # Re: implémentation cliente
Posté par Graveen . Évalué à 10.
Oui mais ca devient politique: tricher est possible mais les libertés fondamentales reculent.
Et ce jusqu'au jour où les conditions sont durçies pour éviter la triche.
# Scénario d'exploitation malveillante
Posté par pamputt . Évalué à 4.
Question de béotien : quelqu'un pourrait-il me décrire un scénario (si possible basique) dans lequel cette "fonctionnalité" serait utilisée de manière malveillante ?
[^] # Re: Scénario d'exploitation malveillante
Posté par flagos . Évalué à 10.
Monitoring d'une boite envers ses employés, pour verifier que les pauses cafes ne sont pas trop longues. Plus fréquent que ce qu'on ne croit.
[^] # Re: Scénario d'exploitation malveillante
Posté par YBoy360 (site web personnel) . Évalué à -3. Dernière modification le 23 septembre 2021 à 06:38.
Merci pour l'idée! Il est aussi possible de mettre des caméras thermiques avec reconnaissance faciale près de la fameuse machine à café et surveiller la consommation électrique pour la bouilloire.
[^] # Re: Scénario d'exploitation malveillante
Posté par arnaudus . Évalué à -9.
Tu as une définition bien extrême de la "malveillance". Quand on est payé à l'heure de travail, la durée des pauses est normalisée; ça n'est pas malveillant de vérifier que les termes d'un contrat sont respectés. Tu peux considérer ça comme impoli, ou comme un signe d'un manque de confiance si tu veux, mais ça n'est pas malveillant (c'est motivé par des considérations financières, pas par le plaisir qu'on peut avoir à nuire à quelqu'un).
[^] # Re: Scénario d'exploitation malveillante
Posté par Glandos . Évalué à 10.
Non, ça n'est pas malveillant de faire respecter les termes d'un contrat.
Oui, c'est malveillant de les faire respecter par des processus automatisés de surveillance. C'est très encadré, et souvent illégal.
Il y a un moyen simple de faire respecter les termes d'un contrat sur les temps de pause : s'impliquer. Être là, à la pause café, et siffler la fin de la récré.
Les machines ne sont pas là pour tout faire !
[^] # Re: Scénario d'exploitation malveillante
Posté par arnaudus . Évalué à 4.
Il y a tout un tas de conditions à respecter (respect de la vie privée, information du salarié, etc), mais dans le cas présent, je ne pense pas que le principe soit illégal.
Par exemple, tu as plein de postes de travail (machines dans une usine, etc) qui includent un dispositif demdandant à l'opérateur de confirmer sa présence toutes les x minutes. Ça peut être bien sûr pour des questions de sécurité, mais accessoirement ça impose au gusse de ne pas faire une pause café ou pipi quand il veut.
Bah déja, siffler la fin de la récré, un peu bof quand même pour l'ambiance; ça suppose aussi que tout le monde commence et termine en même temps, et puis ça ne s'applique pas au télétravail.
[^] # Re: Scénario d'exploitation malveillante
Posté par Ysabeau 🧶 (site web personnel, Mastodon) . Évalué à 9.
Je ne saurais que trop te conseiller de lire L'Établi de Robert Linhart, éditions de Minuit, qui existe aussi au format epub sans DRM et a fait l'objet d'une adaptation théâtrale. Ce livre qui raconte l'expérience de l'auteur à la chaine de Citroen, est, malheureusement, toujours d'actualité.
« Tak ne veut pas quʼon pense à lui, il veut quʼon pense », Terry Pratchett, Déraillé.
[^] # Re: Scénario d'exploitation malveillante
Posté par Psychofox (Mastodon) . Évalué à 9. Dernière modification le 23 septembre 2021 à 11:32.
Tu oublies un peu la relation de confiance entre employeur et employé qui devrait être naturelle, sauf si les autres métriques ne sont pas respectées. Par autre métrique j'entends mesurer le travail effectué (ventes réalisées, projets travaillés, tickets pris en comptes, etc, etc). Si l'employé délivre le travail demandé en temps demandé (pour peu que ce temps est réalisable est mesurable), je ne vois aucune raison de vouloir vérifier les temps de pause.
D'ailleurs mon employeur ne me limite pas dans les temps de pause et accepte que je joue au ping-pong, fasse une sieste ou autre si j'en ai besoin. Je ne vois pas pourquoi ça ne pourrait pas être ainsi partout.
[^] # Re: Scénario d'exploitation malveillante
Posté par arnaudus . Évalué à 4.
Oui, elle devrait, mais elle ne l'est pas forcément, ça dépend de la culture locale, et surtout ça dépend des deux côtés. Je vois mal une boîte mettre en place des mesures de micro-pointage (parce que c'est ça dont on parle) si elle n'a pas été confrontée à des situations de fraude sur le temps de travail effectif.
Sur le fond, bien sûr que je suis content de ne pas avoir un employeur qui minute mes pauses, je suis content d'être évalué sur ma production et pas mon temps de travail, et que la relation avec la productivité soit basée sur la confiance. Mais il n'y a pas d'obligation légale pour ça, il existe des entreprises où les salariés truandent leur employeur; je ne dis pas que la surveillance est nécessairement la bonne solution, mais ça n'a rien d'illégal quand le code du travail est respecté, et encore moins malveillant. Et si ça sert à accumuler des données sur les salariés qui glandent, bah est-ce que c'est mal en soi? Je veux dire, si ces salariés sont effectivement en train de glander alors qu'ils sont payés, ils doivent l'expliquer, blamer la méthode qui a servi à établir le glandage ne résoud pas le problème. Et personnellement, je crois que je préfèrerais me faire surveiller par un serveur que par un contremaitre qui passerait toutes les 5 minutes dans le couloir pour regarder mine de rien si je suis en train de faire la sieste. Question intrusion, quelqu'un qui vient en personne vérifier que je bosse, je trouverais ça bien plus flippant qu'un log des périodes de veille de l'ordinateur.
En parlant de ça, je ferais peut-être mieux de retourner au taf que de glander sur Linuxfr. Remarquez, ça n'aurait pas déclenché le détecteur de veille du navigateur :-)
[^] # Re: Scénario d'exploitation malveillante
Posté par alkino . Évalué à 10.
En fait, une des différences c'est les moments d'absence de surveillance.
Quand ton chef passe toutes les 5 minutes pendant 1 minute, il te reste des tranches de 4 minutes où tu sais que tu n'es pas observé. Et mine de rien ça compte.
Le terme adéquat pour la surveillance possiblement permanente c'est « panoptique ».
Ne sachant pas quand tu es observé, tu ne peux qu'imputer que c'est tout le temps, et du coup tu changes ton comportement sans « pression » visible.
Un article nommé « Surveiller et prévenir. La nouvelle société panoptique. » : https://www.cairn.info/revue-du-mauss-2012-2-page-47.htm
[^] # Re: Scénario d'exploitation malveillante
Posté par arnaudus . Évalué à 4.
Mouais. Pas convaincu : non seulement, tu ne sais jamais quand le chef va débarquer (qu'est-ce qui te fait dire qu'il passe exactement toutes les 5 minutes?), mais on ne parle que d'un vague tracker d'activité, qui a le même genre de granularité (s'il se déclenche après 5 minutes d'inactivité, alors c'est exactement la même chose).
C'est une discussion qu'on a souvent ici, et je n'ai plus l'intention de convaincre personne, mais je trouve qu'il y a une différence fondamentale entre être surveillé (par quelqu'un) et être enregistré (par un système automatique ou une caméra). L'ordinateur ou le système automatique n'en a rien à faire de ta vie privée, c'est comme si ton chat te regardait changer de slip. Je ne vois sincèrement pas ce que ça pourrait être comparable avec un mec planqué dans un van avec des jumelles qui te regarde changer de slip. Honnêtement, je ne comprends pas pourquoi tant de gens préfèrent être surveillés par un être humain que par un système automatique, alors que j'ai exactement l'intuition inverse.
Ce qui est éventuellement intrusif, c'est la manière dont les données du système automatique peuvent être accessibles à un être humain. Si l'ordinateur mouline et rapporte au patron à la fin du mois la durée moyenne de tes pauses, il n'y a aucune intrusion dans ta vie privée. Si par contre il croise le fait que tu as pris 1h de pause vendredi dernier et que ça correspond à l'anniversaire de ta femme, alors il rentre dans ta vie privée. Bien sûr, tu ne peux jamais être sûr de rien, mais il reste bien plus probable que ton patron se fout complètement de ta vie privée, et que s'il y accède, c'est seulement par accident , négligence, ou malveillance, et ça tombe bien, parce que c'est ça qui est puni par la loi.
Le truc un peu paradoxal peut-être, c'est que c'est probablement pour des raisons légales que les informations les plus détaillées sont enregistrées. Si un patron veut licencier un salarié pour retards répétés par exemple, et si l'affaire va aux prud'hommes, l'employeur va devoir justifier sa position par des faits : X a été en retard de 37 minutes à telle date, de 43 minutes à telle autre date, etc. S'il ne fournit que des informations résumées (du style, 12 jours de retard par mois en moyenne sur les 3 derniers mois), le dossier semble mal parti : "Comment? Vous n'êtes même pas capable de dire quand Mr X a été en retard?". Les statistiques, ça peut servir en interne, quand on fixe des objectifs au salarié par exemple, mais quand ça passe sur le plan légal, il y a intérêt à ce que tous les détails soient documentés.
[^] # Re: Scénario d'exploitation malveillante
Posté par alkino . Évalué à 8. Dernière modification le 23 septembre 2021 à 15:13.
Pour reprendre un peu ce que tu dis :
C'est le problème. Je sais quand mon chef passe et ce qu'il a vu. Je ne sais pas vraiment au final ce que l'ordinateur observe, et ce qu'il en fait.
Ça dépend des boites. Les instances dirigeantes ont bien souvent envie de tout savoir et mettent des outils en place. Seulement c'est souvent invisible à l'employé. Voir à la limite de l'égalité mais ça ne sera pas forcément utilisé pour poursuivre l'employé. Juste lui mettre la pression. Qui a envie d'aller faire 5 ans de prud'homme pour savoir si ce log en particulier était dans la légalité, sachant que la réponse sera peut-être aléatoire si tu tombes sur un juge qui n'y pige rien. Sachant qu'en face la boite a son avocat payé à foutre que ça que de monter un dossier.
Il y a des endroits où malgré les pires conditions du monde et le non respect flagrant du code du travail, rien ne se passera. À part dans nos milieux protégés, ailleurs on ne peut pas toujours se permettre de perdre son job de larbin sous payé.
Au final, c'est pas tellement humain contre machine. C'est que quand la machine te surveille ça revient à mettre un employé derrière toi qui te regarde en continue. Mais au final qui sait, peut-être qu'il s'en fiche ? Peut-être pas ? Qui sait et, surtout, pourquoi s'en soucier ?
[^] # Re: Scénario d'exploitation malveillante
Posté par arnaudus . Évalué à 3.
Bah non. Si tu fermes en 4e vitesse ta fenêtre de PrOn quand le chef passe, tu ne sais pas s'il l'a vu ou non. Tu ne sais pas s'il va le dire à son chef, s'il va essayer de te faire chanter, s'il va te conseiller un autre site.
Au contraire, un système automatique conforme au droit du travail est documenté, et tu es officiellement prévenu de son fonctionnement. Il y a beaucoup moins d'inconnues avec un système automatique.
Et du coup? Quand on sort de l'état de droit, tout est possible. Qu'est-ce qui se passe si on te force à te mettre à poil au travail, si on n'embauche que des femmes capables de montrer un certificat de stérilité, si l'informaticien lit les mails personnels, si le patron ne paye pas les cotisations sociales afichées sur la fiche de paye? Je ne vois pas ce que l'informatique change là-dessus. Des gains de productivité sur le harcèlement? Je ne pense pas que le coût du harcèlement par l'employeur soit réellement un facteur pris en compte; quand on en arrive là, il n'y a plus grand chose de rationnel.
[^] # Re: Scénario d'exploitation malveillante
Posté par alkino . Évalué à 9.
Je sais qu'il l'a possiblement vu. Alors que dans le cas de l'automatique, je suis sûr qu'il l'a vu et qu'il peut le ressortir dans 2 ans.
Sachant que dans le cas du chef, j'ai placé mon écran judicieusement et que depuis 2 ans je suis sûr qu'il ne l'a jamais vu…
L'inconnu, pour moi, reste énorme entre ce qu'on te dit qu'il fait et ce qu'il fait.
Sachant que le droit du travail depuis la dernière réforme est parti du postulat que les employés et les employeurs sont au même niveau et discutent sereinement des conditions et des limites du travail. Que de plus, cette réforme considère que l'employé peut le faire de plus en plus seul et a commencé à réduire les pouvoirs des délégués et syndicats. Il n'est sans doute pas nécessaire de donner de nouveaux outils de surveillances généralisées aux employeurs.
Car dans le fond, les employés sont le plus souvent corvéables et sans défense face à leur direction.
[^] # Re: Scénario d'exploitation malveillante
Posté par Colin Pitrat (site web personnel) . Évalué à 7.
Bof pas besoin de passer par le navigateur pour ça, la boîte a déjà la main mise sur les ordinateurs des employés et peut installer des outils bien plus puissants pour les surveiller, permettant de savoir si ils utilisent leur ordi mais aussi quelle application/fenêtre est active, quels sites ils visitent …
[^] # Re: Scénario d'exploitation malveillante
Posté par Nibel . Évalué à 7. Dernière modification le 22 septembre 2021 à 16:25.
Scénario basique : pour faciliter le licenciement d'un employé ?
EDIT : flagos a été plus rapide.
La majeure partie des morts l'était déjà de son vivant et le jour venu, ils n'ont pas senti la différence.
[^] # Re: Scénario d'exploitation malveillante
Posté par dj_ (site web personnel) . Évalué à 10.
Vendre plus cher une pub affiché en cas d'activité ?
Avoir de stats de visite "a la minute active"
[^] # Re: Scénario d'exploitation malveillante
Posté par xenom . Évalué à 10.
Attendre que l'utilisateur soit absent pour lancer des taches consommant des ressources (comme miner des crypto-monnaies), ou tester des attaques qui pourraient provoquer un comportement qui alerterait l'utilisateur.
[^] # Re: Scénario d'exploitation malveillante
Posté par gUI (Mastodon) . Évalué à 10. Dernière modification le 22 septembre 2021 à 17:26.
Ta question est légitime, mais attention à cette question : même si personne ne trouve de réponse, ça ne signifie pas qu'une personne malveillante n'en trouve pas une, c'est son mode de pensée, pas le notre.
Alors évidemment, on tombe dans une paranoïa sans limite puisque je te réponds "on sait pas, et ce sera sûrement pire que ce qu'on pense" sans argumenter mais il ne faut pas oublier que ça reste la raison principale de s'opposer à ça pour ceux qui veulent protéger à tout prix la vie privée : si on ne l'implémente pas, alors on est certain que ce ne sera pas utilisé à des fins malveillantes. Dans tous les autres cas, on aura des doutes.
Qui aurait pu imaginer que la trace GPS d'une application de jogging allait divulguer des emplacements stratégiques militaires ? Personne, et pourtant… (oui, cet exemple est génial pour illustrer l'idée qu'il faut systématiquement se méfier de tout ce qui peut plus ou moins identifier des personnes, de quelque manière que ce soit).
Dans le cas de Chrome, je suppose que chacun a une signature bien distincte sur la façon dont il bouge la souris ou tape au clavier, et que on pourrait au final savoir si c'est ma femme ou moi devant le PC (alors que vu de Google la machine et l'IP sont la même).
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Scénario d'exploitation malveillante
Posté par Anonyme . Évalué à 6.
Ce qui est génial dans ce cas là c’est que c’est des traces GPS agrégées et anonymisées, c’est juste de la « métadonnée », rien d’extraordinaire, et pourtant…
[^] # Re: Scénario d'exploitation malveillante
Posté par groumly . Évalué à 10.
Ouais, mais non, ce genre d’anonymisation se base surtout sur le fait qu’il y’a du bruit autour.
Tu peux effectivement pas dériver grand chose sous réserve qu’il y’a du monde autour qui fait la même chose. Et même la, tu peux toujours inférer des choses avec suffisamment de données.
Certains au boulot voulaient capturer les traces gps, de façons “anonyme”. “Y’a qu’à flouter les données, arrondit les au kilometre, et on est bon”. Sauf que non. En zone rurale, ça aide pas trop, surtout si l’algo d’arrondi est predictible.
Une ferme isolée, et paf, tu sais qui c’est.
Même en zones denses, les pattern de déplacement peuvent réduire les candidats à peau de chagrin.
J’habite à issy, bosse dans le 15ieme, et ma copine habite à Boulogne. Combine ca avec des timestamps, et tu pourrais presque deviner qui je suis. Ya pas tant de gens qui matchent ces 3 critères.
Croise ca avec les timestamps des badges de carte orange (ou pass navigo ou que sais je), et tu sais définitivement qui je suis.
Ou rajoute un truc con en plus, week ends passés chez les parents en Bretagne, et paf, tu m’identifies clairement. Et en cadeau bonus, t’es à deux doigts de savoir qui est ma copine, suffit de regarder les autres données gps qui recouvrent les tiennes, et c’est plié. Maintenant combine ses données à elle pour trouver ses copines, recroise les avec les miennes en excluant les siennes, et tu sauras si je la fait cocu ou pas.
Ça a toujours été les metadonnees le problème. Échelon se foutait d’écouter les conversions en soit, tout ce qu’ils voulaient c’était déterminer les réseaux/cercles pour identifier qui s’acoquinait avec les terroristes.
Linuxfr, le portail francais du logiciel libre et du neo nazisme.
[^] # Re: Scénario d'exploitation malveillante
Posté par Glandos . Évalué à 10.
Chez Mozilla, on se prête à penser à des cas d'inférence de rythmes quotidiens, pour mieux cibler les gens.
Mais la vraie question est à poser dans l'autre sens, comme le dit le responsable chez Webkit :
Il répondait à un cas d'utilisation. Et sa réponse dit clairement : on est très bien avec ce qu'on a, et cette API ne va même pas apporter du mieux.
[^] # Re: Scénario d'exploitation malveillante
Posté par GG (site web personnel) . Évalué à 10. Dernière modification le 22 septembre 2021 à 19:16.
Moi, je voudrais bien savoir dans quels cas il y aurait une utilisation "bienveillante".
Pourquoi bloquer la publicité et les traqueurs : https://greboca.com/Pourquoi-bloquer-la-publicite-et-les-traqueurs.html
[^] # Re: Scénario d'exploitation malveillante
Posté par flavien75 . Évalué à 9. Dernière modification le 22 septembre 2021 à 19:44.
Ça permettrai à un site d'informations de ne pas rafraîchir automatiquement la page ou les flux d'info en continu quand l'utilisateur est parti manger à l'extérieur. D'où économie de bande-passante, d'occupation serveur voire conso électrique du poste client.
Comme pour tout il faut regarder la balance bénéfice/risque.
Perso je pense que le bénéfice est nul pour l'utilisateur alors que le risque est significatif, donc ça a sa place dans la poubelle (verte pas la jaune).
Les vrais naviguent en -42
[^] # Re: Scénario d'exploitation malveillante
Posté par _kaos_ . Évalué à 2. Dernière modification le 25 septembre 2021 à 05:45.
Juste pour le troll, parce que globalement, je suis d'accord que traquer un utilisateur, c'est nul.
La balance bénéfice/risque, ça s'applique surtout dans le cas d'un choix personnel, d'une décision individuelle, à mon avis, et mesure la conséquence qu'on estime prévues d'une action. C'est la version moderne du "peser le pour et le contre". Il a été hyper-médiatisé dans l'actualité récente et le voila utilisé à tout-va, ce que je n'aime pas trop. Ça simplifie beaucoup trop les choses dans une globalité peu discernable.
C'est un peu comme dire qu'il faut réfléchir avant d'agir. C'est globalement assez vrai, mais ça fait une belle jambe :p
On peut aussi bien évidemment l'étendre à un choix collectif, comme ici, mais il ne peut être étendu simplement à une universalité : le simple fait d'avoir à l'évaluer en fait un choix inscrit dans une temporalité, et lié au groupe. De cette recherche permanente (je fais référence ici au "comme pour tout") d'une telle évaluation peut découler de mauvaises choses, comme de nombreuses croyances.
Que se passe-t'il après la mort ? Perso, j'en sais rien, et j'ai pas envie de savoir par l'expérience, pour être honnête :p Je considère, avec l'ensemble des connaissances à ma disposition, qu'il ne se passe strictement plus rien. Or, à n'en pas douter de mon côté, elles sont la résultante directe de cette évaluation : Que se passe-t'il après la mort ?
Bien évidemment, dans le cas des croyances, le raisonnement est basé sur une pure hypothèse. Cependant, on peut en mesurer les conséquences (comme les guerres de religions, même si ce ne sont probablement que des prétextes, beaucoup de religions étant relativement tolérantes à l'égard des autres en soi).
Maintenant que j'en ai fini avec la méthodologie de l'évaluation permanente, que je lie à la peur de l'erreur et une angoisse permanente, je peux en revenir à la technologie.
Ici, on parle de l'usage d'une technologie, pas d'une technologie en soit, qui, in fine, n'a rien contre nous. Une technologie ne connaît pas vraiment le bien ou le mal (oui, je sais, c'est un argument facile… ;) ).
Si je prend mon exemple personnel, je vois très clairement un bon usage que je pourrais en faire : détecter quand mon attention dérive (argument déjà noté par d'autres dans le contexte d'utilisation de machines-outil, pour le risque physique, ce qui n'est pas mon cas). Mon problème actuel est que je passe mes journées en réunions pour faire avancer des projets (que je trouve intéressants, mais parfois, certaines personnes ont un timbre de voix qui berce. Et là, on peut faire ce qu'on veut, l'attention finit toujours par faiblir à un moment dans la journée. C'est "normal"). Un petit coup de pouce pour me l'indiquer et m'inciter à me lever de ma chaise, faire trois pas histoire de reprendre le focus, serait énormément bénéfique pour moi, dans mon cas d'usage.
De là, on détecte deux catégories d'utilisation : celle active (souhaitée), qui est à priori positive, et celle passive (imposée), qui peut potentiellement nuire à l'utilisateur.
Tout cela pour dire que l'affirmation tranchée direction poubelle n'est peut-être pas si justifiée ;)
Pour moi, le risque d'une dérive existe dès lors qu'il y a un doute sur l'usage, comme c'est le cas présent. Mais le développement de cette technologie, quand bien même ce serait par le "méchant" google, n'a que peu d'intention en son sein, bien au contraire : j'ai bon espoir que leur usage voulu (en bien ou en mal, chacun est libre de juger par soi-même) fasse qu'ils se donnent les moyens (particulièrement financiers et humains) de bien développer cette technologie.
Il est nécessaire dans ce cas de s'accorder sur des contraintes législatives d'utilisation, un choix commun d'une aspiration voulue pour notre présent, au sens large. Et libre aux générations futures (si on leur en laisse la possibilité, ce qui est une autre paire de manche…) de remettre en cause un choix que l'on aurait volontairement écarté, par raisonnement (et pas forcément à raison).
Matricule 23415
[^] # Re: Scénario d'exploitation malveillante
Posté par gUI (Mastodon) . Évalué à 3.
J'imagine, côté serveur toujours, des statistiques un peu plus fines sur le temps passé à la lecture du site par exemple.
En théorie, la théorie et la pratique c'est pareil. En pratique c'est pas vrai.
[^] # Re: Scénario d'exploitation malveillante
Posté par claudex . Évalué à 5.
Que ton application de messagerie instantanée mette un status comme quoi tu es absent (comme elle le font déjà dans les versions non-web).
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Scénario d'exploitation malveillante
Posté par Psychofox (Mastodon) . Évalué à 10. Dernière modification le 23 septembre 2021 à 07:46.
Je pense qu'il y a plein de trucs que t'arrives même pas à prédire à priori.
Qui avait prédis que des appplis comme Strava, Komoot, ridewithgps, deviendraient des applis de prospection pour les voleurs de vélo haut de gamme? Et en plus quand les gens lient leur compte instagram et participent eux-même à créer un catalogue détaillé des modèles disponibles et des heures et dates où ils sont chez eux ou en vacance, c'est juste parfait. Même en utilisant l'option qui ignore un rayon d'action à 500m ou 1km le logement exact est vite retrouvé. Pour limiter les risques, les stocks à gérer et aussi limiter les preuves, les voleurs mettent même des vélos qu'ils n'ont pas encore volés dans les petites annonces pour n'avoir qu'à opérer seulement une fois qu'un acheteur se présente.
# Idle sur le PC ou le navigateur ?
Posté par Wawet76 . Évalué à 10.
Ce genre de détection se fait déjà sur des pages web en regardant par exemple les mouvements de souris et les événements claviers.
Je suppose que l'API permet d'avoir l'info même quand l'utilisateur n'est pas sur l'onglet qui affiche ta page… Mais du coup je me demande si il regarde les interactions avec le PC ou juste avec le navigateur.
Dans la doc ils disent qu'il y a deux choses :
- user state : active ou idle. Parfois ils disent que c'est basé sur les interactions avec le "user agent" (donc le navigateur), parfois ils parlent d'interaction avec le "device".
- screen state : Là c'est au niveau de l'OS, est-ce que l'écran est locké ou non.
Bon en fait, ce qui est considéré comme une activité de l'utilisateur n'est pas spécifié par la norme :
« The model intentionally does not formally distinguish between interaction with particular content (that is, the webpage in a tab using the API), the user agent as a whole, or the operating system; this definition is left to the user agent. »
Donc au final les navigateurs font ce qu'ils veulent, ce qui veut dire que Chrome fait ce qu'il veut et les autres seront obligés de faire pareil pour ne pas être considérés comme cassés.
[^] # Re: Idle sur le PC ou le navigateur ?
Posté par alkino . Évalué à 3.
Dans le cas de wayland les événements appartiennent à la fenêtre et donc il ne peut savoir que pour le navigateur.
Sous X, tout est « transparent ».
[^] # Re: Idle sur le PC ou le navigateur ?
Posté par jyes . Évalué à 4.
Je te laisse apprécier ce passage extrait d’un site que je trouve assez chouette :
[^] # Re: Idle sur le PC ou le navigateur ?
Posté par claudex . Évalué à 2.
Chez moi, les /dev/input/event* ne sont accessible qu'à root et aux membre du groupe input dont les utilisateurs de base ne sont pas membre.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Idle sur le PC ou le navigateur ?
Posté par Anonyme . Évalué à 2.
Il y a des protocoles pour détecter l’inactivité dans Wayland : KDE idle.
# Grafana
Posté par tla47 . Évalué à 1.
Ça peut être utile pour des pages web qui consomme beaucoup de données. Comme un dashboard grafana par exemple.
Si l'utilisateur n'utilise pas les données, elles peuvent être stopper.
Ça économise de la bande passante et des ressources. Dont de l'électricité.
Donc je trouve cette API utile.
A noter qu'il existe déjà une API pour détecter si l'onglet est caché.
[^] # Re: Grafana
Posté par fearan . Évalué à 8. Dernière modification le 23 septembre 2021 à 16:50.
Oui et ça fait chier! Notamment sur mobile où j'en ai rien a battre de la vidéo sur un site de streaming; heureusement firefox permet de voir la 'version web', qui elle ne s'arrête pas lorsque l'écran est éteint ou sur un autre onglet; par contre si y'avait moyen de dire à firefox de toujours prendre la version web pour un site, je suis preneur.
Je ne nie pas qu'elle a son utilité, mais ce serait bien que le site demande la permission avant de savoir ce que j'affiche sur mon écran.
Il ne faut pas décorner les boeufs avant d'avoir semé le vent
[^] # Re: Grafana
Posté par tla47 . Évalué à 1.
c'est le cas selon la doc https://web.dev/idle-detection/#using-the-idle-detection-api
je n'ai pas teste car ca ne fonctionne pas sur mon google chrome 94
[^] # Onglet/écrans éteint sur smartphone
Posté par GG (site web personnel) . Évalué à 5.
Bonjour
Si c'est pour regarder des vidéo sur Youtube, sur Smartphone, il existe d'excellentes applications (Skytube et NewPipe, sur F-droid) qui vont te permettre de naviguer, visualiser et enregistrer le son, ou la vidéo, ou les deux. Et il y a une option pour ne rien interrompre si l'écran est fermé.
Pourquoi bloquer la publicité et les traqueurs : https://greboca.com/Pourquoi-bloquer-la-publicite-et-les-traqueurs.html
[^] # Re: Grafana
Posté par Anonyme . Évalué à 2. Dernière modification le 24 septembre 2021 à 17:37.
Grafana fait déjà ça, pas besoin d’une API en plus.
# test avec chrome 94
Posté par tla47 . Évalué à 2.
Je viens de tester sous Chrome 94 et ca ne semble pas fonctionner.
IdleDetectorest null.[^] # Re: test avec chrome 94
Posté par Christophe "CHiPs" PETIT (site web personnel) . Évalué à 3.
C'est du HTML valide, ça ?
[^] # Re: test avec chrome 94
Posté par Gil Cot ✔ (site web personnel, Mastodon) . Évalué à 2.
Il faut indiquer les règles qu'on emploie (i.e. françois du XVIIIè ou français réformé avec points médians.) Pour HTML5 c'est :
À vérifier, mais je ne pense pas que la balise SCRIPT puisse être en dehors de HEAD ou BODY qui je crois sont les seuls enfants possibles de HTML.
Enfin, il convient de fournir plus d'informations pour la partie SCRIPT
Le
charsetc'est pour le cas où on n'aurait pas deheadavec lemetaqui va bien, ou si celui du script est différent de celui de l'ensemble du document.Le type parce-que la norme prévoit de pouvoir utiliser n'importe quel langage… (à tout hasard, du VBS ou du TCL par exemple.) Et dans le cas de JS, on peut avoir
text/javascriptoutext/ecmascriptet mêmeapplication(au lieu detext)“It is seldom that liberty of any kind is lost all at once.” ― David Hume
[^] # Re: test avec chrome 94
Posté par Anonyme . Évalué à 5.
https://developer.mozilla.org/en-US/docs/Web/HTML/Element/script#attr-type
[^] # Re: test avec chrome 94
Posté par Gil Cot ✔ (site web personnel, Mastodon) . Évalué à 2. Dernière modification le 28 septembre 2021 à 09:10.
Le passage que tu cites indique que si on ne met pas l'attribut, c'est comme si on met une des quatre valeurs autorisées pour indiquer JavaScript. Le passage indique que, pour HTML5 (mais pas les autres versions et doctypes), il est conseillé de l'omettre.
C'est, dans la page, sur cet attribut, le point par rapport à JavaScript. Il y a un troisième point
Certes, il n'est pas explicitement dit qu'on peut utiliser n'importe quel autre langage ; il est juste dit que le fureteur n'a pas à l'interpréter (i.e. seul JS est officiellement supporté.)
Plus loin, il est dit que pour HTML5, charset est carrément déprécié.
“It is seldom that liberty of any kind is lost all at once.” ― David Hume
[^] # Re: test avec chrome 94
Posté par gnumdk (site web personnel) . Évalué à 2.
Wayland? Parce que sous Wayland, les applications ne peuvent pas avoir ce genre d'information à mon avis donc ça ne fonctionnera jamais.
# Article pas très utile
Posté par cluxter . Évalué à 1.
Franchement, je ne comprends ni l'intérêt de cet article, ni les commentaires.
Suis-je le seul à avoir entendu parler de services comme Inspectlet qui permettent d'enregistrer 100 % de ce que vous faites sur un site web (mouvements de souris, déplacements sur la page, frappes au clavier, heatmaps,…) et utilisés par tous les plus grands sites webs ?
Suis-je le seul à connaître la propriété
document.body.onmousemoveen JavaScript ?On a déjà tout ce qu'il faut pour faire 100 fois pire que cette API "Idle Detection" avec les outils actuels. En fait, on peut déjà la faire depuis des lustres. L'avantage de cette API, c'est de bien délimiter le cas d'usage et d'imposer des limites lorsqu'on l'utilise. Ça a le mérite de clarifier les choses. Techniquement, on n'en a absolument pas besoin, car je le redis : on peut déjà le faire avec les standards actuels (et c'est franchement pas compliqué). Cette API est au mieux une amélioration de ce qui existe déjà, au pire inutile.
Franchement, flipper sur cette proposition d'API, c'est montrer à quel point on est ignorant de ce qui existe déjà depuis des années sur les sites webs qu'on utilise tous les jours et à quel point on est en retard sur les possibilités techniques de la surveillance actuellement.
Si vous n'êtes pas convaincus, amusez-vous 20 secondes avec la démo d'Inspectlet, vous verrez par vous-mêmes :
https://www.inspectlet.com/hello/capturedemo
Et ça n'est même pas le meilleur dans son domaine.
[^] # Re: Article pas très utile
Posté par barmic 🦦 . Évalué à 3.
Tu es entrain de dire que Mozilla, qui développe un moteur js complet avec le navigateur qui va autour ne connaît pas ce qu'ils ont implémenté ? Ou alors tu es entrain de dire que Google qui développe l'autre moteur js avec le navigateur qui va autour font des trucs pour rien ? Bon et même les développeurs de webkit ne connaissent pas l'événement onmove ?
Tu n'es pas très bien placé sur la courbe de l'effet Dunning-Kruger amha.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Article pas très utile
Posté par cluxter . Évalué à 2.
Je ne dis ni l'un ni l'autre.
Je dis que cet article (cf. le titre de mon commentaire initial) ne présente pas les choses de façon suffisamment claire et complète pour qu'on comprenne bien en quoi cette API pose (ou pas) problème.
Avec les moyens actuels, on peut savoir si l'utilisateur n'a pas interagit avec la page récemment (via les propriétés comme
onmousemove) et on peut savoir si l'onglet n'est plus actif (économiseur d'écran actif ou navigateur réduit, sans distinction), mais on ne sait pas si cet état d'inactivité signifie que l'utilisateur est actif sur une autre application (donc toujours devant son écran en train de travailler mais plus sur l'onglet web) ou s'il est parti prendre une pause et que sa machine est bien inactive (économiseur d'écran actif par exemple).Ce qu'apporte cette API, c'est de pouvoir faire cette distinction. Savoir si c'est la session de l'OS qui est active/inactive, plutôt que juste l'onglet du site web. Ça permet de surveiller l'état d'activité/d'inactivité d'un poste de travail depuis l'onglet d'un navigateur plutôt que juste l'inactivité de l'onglet web.
C'est un vrai problème de confidentialité, et c'est dommage que l'article se contente de pousser des cris d'orfraie sans expliquer réellement la différence de fonctionnement avec les outils qui existent déjà. C'est en cela que je trouve que cet article n'est pas très utile.
[^] # Re: Article pas très utile
Posté par barmic 🦦 . Évalué à 0.
Tu as les liens des réactions des développeurs de webkit et de chez Mozilla, si tu veux aller plus loin que faire des remarques désobligeantes.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Article pas très utile
Posté par cluxter . Évalué à 0.
Le but d'un article, c'est quand même de résumer les choses un minimum pour savoir de quoi on parle exactement. Quitte ensuite effectivement à aller approfondir le sujet avec les liens fournis. Mais en l'occurrence il n'explique pas en quoi cette proposition d'API pose problème par rapport à la situation actuelle, on est obligé d'aller voir les liens pour comprendre ça. Du coup ça revient à mon propos initial : l'article en tant que tel n'apporte pas grand-chose. Et je trouve ça dommage.
[^] # Re: Article pas très utile
Posté par Glandos . Évalué à 4.
Je réponds un peu tard, mais merci d'apporter la précision sur la différence avec l'existant.
Je me permets de dire que le ton n'était pas constructif, même le fond l'était.
Je viens de tester Inspectlet. Et j'ai dû décocher un peu toutes mes protections pour y accéder. Donc j'ai l'impression que c'est plutôt facile de s'en protéger (uBlock Origin, uMatrix pour les plus téméraires), alors qu'en général, les API des navigateurs ne sont pas débrayables.
Je peux me tromper sur ce dernier point.
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.