Facebook lance « Discover », un proxy sécurisé pour naviguer gratuitement sur Internet

Plus de six ans après le lancement par Facebook de son ambitieux Bases gratuites pour mettre l’Internet à la portée des masses, le réseau social revient à la charge avec une nouvelle initiative de détaxation appelée Découvrez.

Le service, disponible sous forme de web mobile et d’application Android, permet aux utilisateurs de naviguer sur l’internet en utilisant des plafonds de données quotidiens gratuits.

Facebook Discover est actuellement testé au Pérou en partenariat avec des entreprises de télécommunications locales telles que Bitel, Claro, Entel et Movistar.

Contrairement à la navigation classique à contenu riche, le dernier projet de connectivité de Facebook ne permet qu’une navigation textuelle à faible bande passante, ce qui signifie que les autres formes de contenu à forte teneur en données, comme l’audio et la vidéo, ne sont pas prises en charge.

Un autre facteur de différenciation essentiel est qu’il traite tous les sites web de la même manière, alors que les utilisateurs de Free Basics sont limités à une poignée de sites qui sont soumis par les développeurs et de se réunir les critères techniques établi par Facebook.

Le mouvement a finalement attiré critique pour avoir violé les principes de la neutralité du réseauqui a conduit à son interdiction en Inde en 2016.

Un serveur mandataire sécurisé sur le Web

Mais comment fonctionne réellement Discover ? Il ressemble beaucoup à Free Basics en ce sens que tout le trafic est acheminé par un mandataire. En conséquence, le dispositif ne interagit avec le mandataire qui agit comme un « client » pour le site web que les utilisateurs ont demandé.

Ce service proxy basé sur le web fonctionne dans un domaine de la liste blanche sous « freebasics.com » que l’opérateur met gratuitement à disposition (par exemple, « https://example.com » est réécrit en « https://https-example-com.0.freebasics.com »), qui va ensuite chercher les pages web au nom de l’utilisateur et les transmet à son appareil.

« Il existe une logique étendue côté serveur pour s’assurer que les liens et les hrefs sont correctement transformés », le La société a déclaré. « Cette même logique permet de s’assurer que même les sites exclusivement HTTP sont livrés en toute sécurité via HTTPS sur Free Basics entre le client et le proxy ».

En outre, les cookies utilisés par les sites web sont stockés de manière cryptée sur le serveur afin d’empêcher les navigateurs mobiles d’atteindre les limites de stockage des cookies. La clé de cryptage (appelée clé de cookie Internet ou « ick ») est stockée sur le client de sorte que le contenu de la clé ne peut être lu sans connaître la clé de l’utilisateur.

« Lorsque le client fournit l’ick, il est oublié par le serveur dans chaque requête sans jamais être connecté », a noté Facebook.

Mais le fait d’autoriser le contenu JavaScript de sites web tiers ouvre également aux attaquants la possibilité d’injecter du code malveillant, et pire encore, de mener à fixation des sessions.

Pour atténuer cette attaque, Facebook Discover utilise un étiquette d’authentification (appelé « ickt ») qui est dérivé de la clé de cryptage et d’un second cookie d’identification du navigateur (appelé « datr »), qui est stocké sur le client.

La balise, qui est intégrée dans chaque réponse par procuration, est ensuite comparée avec le « ickt » du côté client pour vérifier s’il y a des signes de falsification. En cas de non-concordance, les cookies sont supprimés. Le site utilise également une « solution à deux trames » qui intègre le site tiers dans une iframe sécurisée par une trame externe, qui utilise la balise susmentionnée pour garantir l’intégrité du contenu.

Mais pour les sites web qui désactiver le chargement de la page dans un cadre pour contrer les attaques de clickjacking, Discover fonctionne en supprimant cet en-tête de la réponse HTTP, mais pas avant d’avoir validé le cadre intérieur.

En outre, pour empêcher l’usurpation de l’identité du domaine Discover par des sites de phishing, le service bloque les tentatives de navigation vers ces liens en mettant l’iframe en « sandbox », l’empêchant ainsi d’exécuter du code non fiable.

« Cette architecture a été soumise à des tests de sécurité internes et externes substantiels », a conclu l’équipe d’ingénieurs de Facebook. « Nous pensons avoir développé une conception suffisamment robuste pour résister aux types d’attaques d’applications web que nous voyons dans la nature et fournir en toute sécurité la connectivité qui est durable pour les opérateurs de téléphonie mobile ».