Cas d'usage

Le serveur agit sur les pages des sites que liste votre profil, dans les sessions où vous vous êtes connecté. Vous vous connectez une fois, dans le profil dédié du navigateur ; le modèle travaille ensuite dans cette session. Il ne saisit un mot de passe que depuis un fichier d’identifiants que vous avez écrit.

Pas à pas

• Atteindre la page, avec open_tab ou navigate : le serveur n’ouvre que des adresses http et https, et compte la page contre le plafond de votre profil.
• Lire le formulaire, avec observe : il ne lit qu’un site de votre profil, masque les champs sensibles dans l’image et retient leurs valeurs.
• Remplir un champ, avec fill : il saisit un texte dans un champ ordinaire, et ne remplit un mot de passe que depuis un fichier d’identifiants lié à cette origine exacte.
• Choisir dans une liste, avec select_option : par le texte ou la valeur de l’option, dans une liste native seulement.
• Valider, payer, supprimer, avec click ou press_key : un paiement, une suppression irréversible ou un changement de secret attend votre réponse dans une fenêtre sur votre écran ; la touche Entrée dans un formulaire de paiement aussi.
• Garder une capture, avec save_evidence : une image masquée, manual-<label>.png, dans le répertoire chiffré.
• Récupérer un document, avec click : un téléchargement lancé par le clic atterrit dans downloads/<operation_id>/ du répertoire chiffré, sous un nom sûr ; aucun outil ne l’ouvre.
• Attendre le résultat, avec wait : jusqu’à ce que la page ait fini de charger, affiche un texte, ou affiche un élément doté d’un rôle et d’un nom, 60 secondes au plus.

Ce qui quitte votre machine à chaque étape, et ce que le journal et les captures automatiques vous permettent de vérifier après coup, est sur Ce qui quitte votre machine, et ce que le serveur ne fait jamais.

Ce qui a été exécuté, et ce qui ne l’a pas été

Exécuté, comme le README l’enregistre : un navigateur Chromium, avec son profil dans un volume gocryptfs jetable et son port de débogage sur l’interface de boucle locale, a été rattaché ; le serveur a ouvert une page d’un site marchand public, rempli son champ de recherche, pressé Entrée et observé les résultats. Le texte saisi n’apparaît pas dans le journal.

Exécuté sur le poste de l’opérateur, son propre volume gocryptfs monté : la fenêtre de confirmation du serveur, sur une page de paiement locale. Trois issues ont été observées : un refus (confirmation_denied, la page n’a rien reçu), un accord (le clic a été fait, la page a reçu une requête) et 91 secondes sans réponse (confirmation_expired, la page n’a rien reçu).

Pas exécuté par le projet à ce jour : un renouvellement, une déclaration ou un paiement sur un vrai site. La suite de tests joue la porte des paiements sur des pages locales, avec de faux programmes de fenêtre à la place de kdialog et zenity.

Deux limites pèsent sur ces tâches. Tant que le serveur est rattaché, le navigateur refuse tous les téléchargements, dans vos propres onglets aussi, sauf dans la courte fenêtre qui entoure un clic ou une touche Entrée du serveur ; un téléchargement qu’une page lance plus d’une demi-seconde après la fin d’un chargement est refusé, et ce fichier, vous le récupérez vous-même. Accepter une boîte de dialogue qui demande un paiement, une suppression ou un changement de secret est toujours refusé, puisqu’aucune capture ne peut être prise tant qu’elle est ouverte : vous y répondez dans le navigateur. Les autres sont sur Limites.