Tu surfes tranquillement, tu penses avoir fait le tour des traqueurs. Cookies bloqués, extensions installées, navigateur « privé » ouvert. Et pourtant, une simple information technique — le modèle exact de ta carte graphique — suffit à te suivre d’un site à l’autre. Brave vient de s’attaquer à ce canal de traçage méconnu avec la version 1.93 de son navigateur, et c’est une bonne nouvelle pour la vie privée de millions d’utilisateurs.
Source : CyberInsider, https://cyberinsider.com/brave-browser-adds-new-defenses-against-gpu-fingerprinting/
Le fingerprinting GPU, c’est quoi exactement
Le fingerprinting, c’est l’art de te reconnaître sans jamais poser de question. Plutôt que de stocker un cookie dans ton navigateur, un traqueur collecte des dizaines de petits détails techniques — résolution d’écran, fuseau horaire, polices installées, capacitsés graphiques — et les combine en une signature unique. Cette signature te suit partout où tu vas, sans consentement et sans rien laisser dans ton stockage local.
Les API graphiques WebGL et WebGPU, celles qui permettent d’afficher des cartes, des jeux 3D ou des visualisations directement dans le navigateur, sont particulièrement riches en informations. Un script peut y lire le fabricant exact de ta carte graphique, le modèle du pilote, les extensions supportées et même un identifiant matériel précis. Sur un MacBook Pro, le fichier de débogage WebGL peut afficher quelque chose comme « "ANGLE (Apple, ANGLE Metal Renderer: Apple M5 Max)" ». Sur un PC Windows avec une NVIDIA, la chaîne contient le modèle exact, le numéro de périphérique, l’API de rendu et même les versions de shader.
Ce qui rend tout ça particulièrement efficace pour le traçage, c’est la stabilité. Tu changes de navigateur de temps en temps, tu changes d’adresse IP régulièrement. Mais ta carte graphique reste la même pendant des années. Un identifiant qui ne bouge pas est bien plus précieux qu’un cookie qu’on peut supprimer.
Ce que Brave a changé dans la version 1.93
Brave n’a pas choisi la solution de facilité. Au lieu de désactiver WebGL et WebGPU — ce qui aurait cassé des sites, des jeux et des outils — le navigateur utilise une technique appelée « farbling ». Le principe : brouiller les signaux identifiables tout en laissant les sites fonctionner normalement.
Concrètement, trois changements ont été déployés. Premièrement, les chaînes d’identification du fabricant et du modèle dans WebGL sont remplacées par une valeur générique identique pour tous les utilisateurs de Brave. Deuxièmement, les descripteurs d’adaptateur WebGPU sont vidés — plus de vendor, plus d’architecture, plus de device. Troisièmement, et c’est le plus malin, la liste des extensions WebGL est randomisée de façon à ce que le même utilisateur présente une signature différente selon la session, le site visité et le contexte de stockage.
Le résultat : au lieu de révéler ton modèle exact de GPU, ton navigateur affiche désormais "Brave~Brave". Un traqueur qui cherchait à identifier ta carte graphique se retrouve avec une information identique pour des millions d’utilisateurs. La valeur informative de cette donnée s’effondre.
Ce que ça change vraiment, et les limites à connaître
Il ne faut pas croire que cette protection rend invisible. L’outil Cover Your Tracks de l’EFF montre que le score de traçabilité passe de 9,05 bits (un appareil sur 529) à 7,02 bits (un sur 130) quand la protection est activée. Le chiffre reste élevé parce que la valeur de remplacement — « Brave~Brave » — indique que tu utilises Brave, un navigateur qu’environ un internaute sur 130 emploie. Tu échanges une empreinte matérielle contre une empreinte logicielle. C’est un progrès réel, pas une fuite totale.
Autre point important : le déploiement est progressif. Même avec la version 1.93 installée, la protection peut ne pas être active immédiatement. Brave l’active par lots côté serveur, sur plusieurs jours. Si tu veux ne pas attendre, tu peux forcer l’activation dans brave://flags en cherchant « fingerprinting » et en activant l’option « Add more protections for graphics in balanced fingerprinting ».
Et pour les utilisateurs iPhone et iPad, cette protection n’est pas encore disponible. Apple impose l’utilisation de WebKit pour tous les navigateurs sur iOS, ce qui limite ce que Brave peut modifier dans les API graphiques.
Comment vérifier que tu es protégé
La vérification est rapide. Va sur coveryourtracks.eff.org, lance le test et regarde les lignes « WebGL vendor » et « WebGL renderer ». Si la protection est active, tu verras une valeur générique au lieu du modèle exact de ta carte graphique. C’est le meilleur moyen de confirmer que tout fonctionne, sans avoir à croire un article sur parole.
Pour les autres navigateurs — Chrome, Edge, Firefox — ce test est tout aussi révélateur. Brave souligne que la plupart des sites consultés lors de leur crawl utilisaient les API graphiques uniquement pour le fingerprinting, pas pour du rendu. Ce n’est pas un problème propre à Brave, c’est un défaut du web moderne que la plupart des navigateurs n’ont pas encore corrigé.
Un pas de plus dans la guerre contre le traçage silencieux
Brave continue d’empiler les protections par défaut, ce qui est exactement ce qu’il faut. La majorité des utilisateurs ne fouille jamais les paramètres avancés. Une protection qui n’est pas activée par défaut protège quasi personne. Avec plus de 51 millions d’utilisateurs quotidiens, cette nouvelle couche touche un public large sans demander le moindre effort technique.
Le fingerprinting ne disparaîtra pas de sitôt. Les traqueurs trouveront de nouvelles surfaces d’attaque, et Brave prévoit déjà d’étendre la randomisation aux extensions WebGPU. Mais chaque canal qu’on ferme rend la surveillance un peu plus coûteuse, un peu moins fiable, et un peu plus visible. C’est un combat d’usure, et pour l’instant, la vie privée prend l’avantage.
Sources
Brave, Brave améliore les protections contre le fingerprinting GPU — annonce officielle de Brave détaillant les trois mesures de protection déployées dans la version 1.93.
CyberInsider, Brave ajoute de nouvelles défenses contre le fingerprinting GPU — analyse technique des protections et de leur fonctionnement.
The CyberSec Guru, Brave 1.93 rend ta GPU une cible mobile pour les fingerprinters — plongée technique dans le fonctionnement du farbling et des signaux GPU.
How2Shout, La fonction GPU de Brave n’était pas active — voici comment l’activer — guide pratique de vérification avec EFF Cover Your Tracks et activation manuelle via les flags.
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet