Portes dérobées du logiciel privateur

Autres exemples de malveillance dans le logiciel privateur

Le logiciel non libre (privateur) est très souvent malveillant (conçu pour maltraiter les utilisateurs). Il est contrôlé par ses développeurs, ce qui les met en position de pouvoir vis-à-vis des utilisateurs ; c'est l'injustice de base. Les développeurs exercent souvent ce pouvoir au détriment des utilisateurs qu'ils devraient servir.

Voici des exemples de portes dérobées documentées dans des logiciels privateurs.

Les voitures Tesla ont une porte dérobée universelle.

Donner à distance aux « propriétaires » la permission d'utiliser l'entière capacité de la batterie ne leur fait aucun mal. Cependant, la même porte dérobée permettrait à Tesla (peut-être sur commande d'un gouvernement) de donner à la voiture l'ordre distant de ne plus utiliser du tout sa batterie, ou même de conduire son passager vers une prison de torture.
De nombreux modèles de caméras connectées contiennent une porte dérobée caractérisée. Elles ont des comptes utilisateurs avec des mots de passe codés en dur, non modifiables, et qui ne peuvent pas non plus être supprimés.

Puisque ces comptes avec mots de passe codés en dur sont impossibles à supprimer, il ne s'agit pas seulement d'insécurité ; il s'agit d'une porte dérobée qui peut être utilisée par le fabricant (et le gouvernement) pour espionner les utilisateurs.
Les téléviseurs « intelligents » Vizio ont une porte dérobée universelle.
L'Echo d'Amazon semble avoir une porte dérobée universelle puisque les « mises à jour » s'installent automatiquement.

Nous n'avons rien trouvé qui prouve l'absence totale de moyen pour désactiver la modification à distance du logiciel, mais cela paraît assez évident.
Chrome a une porte dérobée pour l'effacement à distance des modules complémentaires.
WhatsApp a une porte dérobée que cette société peut utiliser pour lire les messages en clair.

Cela ne doit pas nous étonner. Les logiciels de chiffrement non libres ne sont jamais fiables.
Une application qui contrôle les tests de grossesse peut non seulement espionner toute une variété de données personnelles stockées dans le téléphone ou sur le serveur, mais aussi les altérer.
Les téléphones Xiaomi sont livrés avec une porte dérobée universelle à l'usage de Xiaomi dans le processeur d'application.

Elle est différente de la porte dérobée universelle utilisable par l'opérateur téléphonique local, qui existe dans le processeur du modem.
Une mise à jour de Capcom Street Fighter V, le jeu de Capcom, a installé un pilote qui peut être utilisé comme porte dérobée par toute application installée sur un ordinateur sous Windows.
L'appli Dropbox pour MacIntosh prend le contrôle total de la machine en réclamant sans arrêt un mot de passe administrateur.
La porte dérobée universelle des téléphones portables est utilisée pour écouter à travers leur micro.

La plupart des téléphones possèdent cette porte dérobée universelle, qui a été utilisée pour les rendre malfaisants.

Plus d'info sur la nature de ce problème.
Microsoft a déjà mis une porte dérobée dans le chiffrement des disques.
Les sal…applis rassemblent une grande variété de données sur leurs utilisateurs, ainsi que sur les amis et associés de leurs utilisateurs.

Pire, cela se fait au moyen de réseaux publicitaires qui combinent les données rassemblées par diverses sal…applis et divers sites créés par différentes sociétés.

Ils utilisent ces données pour inciter les gens à faire des achats et font la chasse aux « baleines » qu'ils peuvent amener à faire de grosses dépenses. Ils utilisent aussi une porte dérobée afin de manipuler le déroulement du jeu pour des joueurs particuliers.

Bien que l'article décrive des jeux gratuits, les jeux payants peuvent utiliser la même tactique.
Les ordinateurs Dell vendus avec Windows avaient un certificat racine bidon qui permettait à n'importe qui (pas seulement à Dell) d'autoriser à distance l'exécution de n'importe quel programme.
La bibliothèque Android privatrice de Baidu (Moplus) a une porte dérobée qui peut « uploader des fichiers » et aussi installer des applis de force.

Elle est utilisée par 14 000 applications Android.
Le modem câble ARRIS a une porte dérobée dans sa porte dérobée.
Des véhicules de Caterpillar sont livrés avec une porte dérobée permettant d'arrêter le moteur à distance.
Pendant quatre ans, MacOS X a eu une porte dérobée intentionnelle qui pouvait être exploitée par des attaquants pour obtenir les privilèges du superutilisateur root.
Des utilisateurs ont rapporté que Microsoft les avait forcés à remplacer Windows 7 ou 8 par Windows 10, l'espion tous azimuths.

Microsoft attaquait effectivement les ordinateurs sous Windows 7 et 8 en modifiant un drapeau indiquant si la « mise à niveau » vers Windows 10 devait être faite, lorsque l'utilisateur avait coché « non ».

Plus tard, Microsoft a publié des instructions sur la manière de refuser définitivement la régression vers Windows 10.

Il semble que cela se fasse au moyen d'une porte dérobée dans Windows 7 et 8.
Une version chinoise d'Android a une porte dérobée universelle. Presque tous les modèles de téléphones mobiles ont une porte dérobée universelle sur la puce modem. Alors, pourquoi Coolpad se donnerait-il la peine d'en introduire une autre ? Parce que celle-ci est sous son contrôle.
Microsoft Windows a une porte dérobée universelle qui permet d'imposer n'importe quel changement aux utilisateurs.

Plus d'information sur le moment où elle a été utilisée.

Dans Windows 10, la porte dérobée universelle n'est plus cachée ; les « mises à jour » seront imposées immédiatement, de force.
Le gouvernement allemand se détourne des ordinateurs sous Windows 8 munis de la puce TPM 2.0 parce que cette puce permet de créer des portes dérobées.
L'iPhone a une porte dérobée qui permet à Apple d'effacer à distance les applications qu'elle estime « inappropriées ». D'après ce que disait Jobs, il est acceptable qu'Apple possède ce pouvoir, car naturellement nous pouvons lui faire confiance.
L'iPhone a une porte dérobée pour l'effacement complet à distance. Elle n'est pas activée en permanence, mais les utilisateurs sont amenés à l'activer sans comprendre ce que cela implique.
Apple peut – et elle le fait régulièrement – extraire à distance certaines données des iPhones pour l'État.

Il y a peut-être du progrès avec iOS 8, qui a une sécurité améliorée, mais pas autant que le prétend Apple.
De même, Windows 8 a une porte dérobée pour supprimer des applications à distance.

Vous pouvez parfaitement décider de laisser un service de sécurité en qui vous avez confiance désactiver les programmes qu'il considère comme malveillants. Mais il n'y a aucune excuse pour les supprimer, et vous devez avoir le droit de décider si vous voulez faire confiance à quelqu'un pour cela, et à qui.

Comme le montrent ces pages, si vous voulez débarrasser votre ordinateur des logiciels malveillants, le premier à éliminer est Windows ou iOS.
Dans Android, Google a une porte dérobée qui lui permet de supprimer des applications à distance (elle est dans un programme appelé GTalkService).

Via GTalkService, Google peut aussi installer des applis, de force et à distance (ce service semble avoir fusionné avec Google Play depuis la parution de cet article). Ce n'est pas l'équivalent d'une porte dérobée universelle, mais cela rend possibles divers mauvais coups.

Bien que l'exercice de ce pouvoir par Google n'ait pas été malfaisant jusqu'à présent, le fait est que personne ne doit posséder un tel pouvoir, car il pourrait aussi être utilisé de manière malfaisante. Vous pourriez parfaitement décider de laisser un service de sécurité désactiver à distance les programmes qu'il considère comme malveillants. Mais il n'y a aucune excuse pour les supprimer, et vous devez avoir le droit de décider à qui accorder une telle confiance (à supposer que vous l'accordiez à quelqu'un).
Les Galaxy de Samsung qui tournent sous des versions privatrices d'Android sont livrés avec une porte dérobée qui permet l'accès à distance aux fichiers stockés dans l'appareil.
Le Kindle-Swindle d'Amazon a une porte dérobée qui a servi à effacer des livres à distance. Un de ces livres était 1984, de George Orwell.

Amazon a répondu aux critiques en disant qu'elle n'effacerait des livres que sur ordre de l'État. Cependant, cette politique n'a pas duré. En 2012 elle a complètement effacé le Kindle-Swindle d'une utilisatrice et supprimé son compte, puis lui a donné des « explications » kafkaïennes.

Le Kindle-Swindle a aussi une porte dérobée universelle.
Les équipements de stockage [storage appliances] de HP qui utilisent le système d'exploitation privateur « Left Hand » ont des portes dérobées qui autorisent HP à s'y connecter à distance. HP prétend que cela ne lui donne pas accès aux données de l'utilisateur, mais si la porte dérobée permettait l'installation de logiciels modifiés, il serait possible d'installer une modification qui lui donnerait cet accès.
Certains routeurs D-Link ont une porte dérobée pour changer les réglages.

De nombreux modèles de routeurs ont des portes dérobées.
Le routeur TP-Link a une porte dérobée.
Certaines applications sont associées à MyFreeProxy, qui est une porte dérobée universelle capable de télécharger des programmes et de les exécuter.

Voici un gros problème dont les détails sont encore secrets.

Le FBI demande à de nombreuses entreprises de mettre des portes dérobées dans des programmes privateurs. Nous ne connaissons pas de cas précis, mais chacun des programmes privateurs de chiffrement est un candidat possible.

Voici une hypothèse que nous ne pouvons pas prouver, mais qui mérite réflexion.

Le microcode reprogrammable des microprocesseurs Intel et AMD pourrait fournir à la NSA un moyen d'envahir les ordinateurs, disent des experts en sécurité respectés.

L'EFF donne d'autres exemples de l'utilisation de portes dérobées.