[Traduit de l'anglais]

Le logiciel privateur est souvent malveillant

On appelle logiciel privateur, ou logiciel non libre, un logiciel qui ne respecte pas la liberté des utilisateurs et leur communauté. Un programme privateur met son développeur ou son propriétaire en position d'exercer un pouvoir sur les utilisateurs. Ce pouvoir est en soi une injustice.

Cette page vous montrera par des exemples que cette injustice première conduit souvent à d'autres injustices : les fonctionnalités malveillantes.

Le pouvoir corrompt ; le développeur du programme privateur est tenté de concevoir ce dernier de telle sorte qu'il fasse du tort aux utilisateurs (un programme de ce type est appelé malware, ou logiciel malveillant). Bien sûr, le développeur ne fait généralement pas cela par méchanceté, mais plutôt pour faire du profit sur le dos des utilisateurs. Cela ne rend pas cet état de fait moins mauvais ni plus légitime.

Succomber à cette tentation devient de plus en plus fréquent ; c'est pratique courante de nos jours. Un logiciel privateur moderne est typiquement une occasion de se faire piéger, malmener, harceler ou arnaquer.

Les services en ligne ne sont pas des logiciels publiés, mais par ses mauvais côtés l'utilisation d'un service est équivalente à celle d'un logiciel publié. En particulier, un service peut être conçu pour maltraiter l'utilisateur ; beaucoup le font. Cependant, nous ne présentons pas ici d'exemples de desservices, pour deux raisons. D'une part, un service (malveillant ou non) n'est pas un programme installable et les utilisateurs n'ont aucun moyen de le modifier. D'autre part, il est si évident qu'un service peut maltraiter les utilisateurs si son propriétaire le souhaite que nous n'avons pas vraiment besoin de le prouver.

Toutefois, la plupart des services en ligne obligent l'utilisateur à faire tourner une appli non libre. L'appli est un logiciel publié, par conséquent nous répertorions les fonctionnalités malveillantes de ces applis. Comme le service impose son mauvais traitement à l'utilisateur par le biais de l'appli, nous mentionnons également ces mauvais traitements, mais nous essayons de différencier explicitement ce que fait l'appli de ce que fait le desservice.

Lorsqu'un site web donne accès à un service, il est très probable qu'il envoie au navigateur de l'utilisateur un logiciel JavaScript qui s'y exécute. Ce code JavaScript est un logiciel publié et il est moralement équivalent aux autres applis non libres. S'il fait des choses malveillantes, nous voulons les mentionner ici.

Lorsque nous parlons des téléphones mobiles, nous signalons une autre particularité malveillante, la géolocalisation, qui est inhérente aux communications hertziennes plutôt qu'aux logiciels contenus dans les téléphones.

En septembre 2022, les pages de ce répertoire dénombraient à peu près 550 cas de fonctionnalités malveillante (appuyés par plus de 670 références), mais il y en a sûrement des milliers d'autres dont nous ne savons rien.

En principe, nous devrions signaler chaque cas. Si vous rencontrez un cas non répertorié, veuillez écrire à <webmasters@gnu.org> pour nous le signaler, en vous référant à un article fiable décrivant clairement le comportement malveillant dont il s'agit. Nous n'ajouterons cet exemple qu'avec un lien vers de la documentation.

Si vous voulez être informé des nouvelles rubriques ou autres changements, abonnez-vous à la liste de diffusion <www-malware-commits@gnu.org>.

Injustices ou techniques Produits ou sociétés
  1. Porte dérobée :  toute fonctionnalité d'un programme qui permet à un tiers n'ayant pas, en principe, le contrôle de l'ordinateur sur lequel il est installé de lui envoyer des commandes.
  2. Gestion numérique des restrictions ou « DRM » :  fonctionnalités conçues pour limiter ce que les utilisateurs peuvent faire avec leurs ordinateurs.
  3. Prison :  système qui impose une censure aux programmes d'application.
  4. Ancrage :  nécessité d'une connexion fréquente ou permanente à un serveur.
  5. Tyrannie :  rejet de tout système d'exploitation non « autorisé » par le fabricant.

Les utilisateurs de logiciel privateur sont sans défense contre ces formes d'abus. La seule manière de les éviter est d'exiger du logiciel libre (respectueux de la liberté). Ses utilisateurs ont d'assez bons moyens de se défendre contre les fonctionnalités malveillantes puisque ce sont eux qui le contrôlent.

Ajouts récents

2022-07

L'UEFI rend les ordinateurs vulnérables à des menaces persistantes sophistiquées qui sont à peu près impossibles à détecter une fois installées...

  • 2022-10

    Le chiffrement de Microsoft est faible et vulnérable.

    Le chiffrement est un domaine délicat où il est facile de se planter. Il est judicieux d'exiger un logiciel de chiffrement qui soit (1) libre et (2) audité par des spécialistes.

  • 2022-11

    Obéissant à une injonction du gouvernement chinois, Apple a restreint l'usage d'AirDrop en Chine en limitant à 10 minutes la période durant laquelle les utilisateurs peuvent recevoir des fichier de la part de personnes ne faisant pas partie de leurs contacts. Il est ainsi devenu presque impossible d'utiliser AirDrop dans le but prévu, qui est d'échanger des fichiers entre iMonstres physiquement proches. Cela s'est produit lorsqu'il devenu notoire que des dissidents utilisaient cette appli pour distribuer anonymement des tracts antigouvernementaux.

  • 2022-10

    Xiomi fournit un outil pour déverrouiller le chargeur de démarrage de ses smartphones et tablettes, mais ceci oblige les utilisateurs à créer un compte sur les serveurs de la société, c'est-à-dire à donner leur numéro de téléphone. C'est le prix à payer pour faire tourner « légalement » un système d'exploitation libre sur les appareils de Xiaomi. Mais le fabricant conserve le contrôle de l'appareil déverrouillé au travers d'une porte dérobée – la même qui a servi à le déverrouiller à distance.

  • 2022-09

    B-CAS [1] est le système de gestion numérique des restrictions (DRM) utilisé par les chaînes de télévision japonaise, y compris d'État. Il est vendu par la société B-CAS, qui en a le monopole de fait. Conçu à l'origine pour les chaînes payantes, il a été étendu aux chaînes gratuites pour restreindre l'usage des œuvres sous copyright. Le système chiffre les œuvres en libre distribution aussi bien que les autres, ce qui prive les utilisateurs de leurs droits.

    Du côté client, B-CAS est typiquement implémenté par une carte qui s'insère dans un récepteur compatible, ou bien par une carte tuner pour ordinateur. Outre les restrictions qu'elle impose à la reproduction et au visionnage des programmes, ce système donne aux diffuseurs les pleins pouvoirs sur les utilisateurs, entre autres au moyen de portes dérobées. Par exemple :

    • Il peut afficher de force sur l'écran des messages que l'utilisateur ne peut pas supprimer.
    • Il peut collecter des données d'audimat et les partager avec d'autres sociétés pour faire des statistiques. Jusqu'à 2011, les utilisateurs devaient s'inscrire ; les données d'audimat étaient donc nominatives. Nous ne savons pas si ces informations personnelles ont été supprimées des serveurs de B-CAS après 2011.
    • Chaque carte a un numéro d'identification qui permet aux diffuseurs d'envoyer des mises à jour personnalisées, sans l'accord du client, par la porte dérobée qui sert habituellement à mettre à jour la clé de déchiffrement. Ainsi les diffuseurs de chaînes payantes peuvent désactiver le déchiffrement du flux vidéo si l'abonnement n'a pas été payé à temps. Cette fonctionnalité pourrait aussi être utilisée par n'importe quel diffuseur (peut-être sur ordre du gouvernement) pour empêcher certaines personnes de regarder la télévision.
    • Puisque les récepteurs fonctionnent avec du logiciel non libre et que les cartes tuner sont conçues pour Windows ou MacOS, il est impossible de regarder légalement la télévision japonaise dans le monde du libre.
    • L'exportation des cartes B-CAS étant illégale, les gens qui vivent dans les pays limitrophes du Japon ne peuvent pas (officiellement) déchiffrer les chaînes satellites qui pourraient leur parvenir. Ils sont ainsi privés d'une source d'information précieuse sur ce qui se passe au Japon.

    Ces restrictions inacceptables ont conduit à une sorte de jeu du chat et de la souris, où certains utilisateurs s'efforcent de contourner le système tandis que les diffuseurs essayent de les en empêcher avec un succès mitigé : les clés de déchiffrement ont été récupérées par la porte dérobée de la carte B-CAS, des cartes illégales ont été fabriquées et vendues au marché noir, ainsi qu'un tuner pour PC qui désactive le contrôle de la reproduction.

    Alors que les cartes B-CAS sont toujours en service sur les appareils anciens, les téléviseurs modernes haute définition ont une version encore plus agressive de ce DRM, appelée ACAS, dans une puce spéciale intégrée au récepteur. Cette puce peut mettre à jour son propre logiciel à partir des serveurs de la société, même si le récepteur est éteint (mais toujours branché sur le secteur). Cette fonctionnalité pourrait être détournée pour désactiver les programmes enregistrés avec lesquelles le pouvoir en place n'est pas d'accord, ce qui serait une atteinte à la libre expression.

    Comme elle fait partie du récepteur, la puce ACAS est censée être inaltérable. On verra à l'usage…

    [1] Nous remercions le libriste qui a traduit cet article du japonais et nous a fait partager son expérience de B-CAS. (Malheureusement, l'article présente la gestion numérique des restrictions comme une bonne chose.)

  • 2022-08

    Un chercheur en sécurité a découvert que le navigateur intégré à TikTok pour iOS injecte dans les pages web externes du code JavaScript pouvant enregistrer les frappes. Ce code est capable de suivre toutes les activités de l'utilisateur et de récupérer n'importe quelle information personnelle saisie sur ces pages. Nous n'avons aucun moyen de vérifier la déclaration de la société TikTok selon laquelle il n'est là que pour des raisons techniques. Certaines des données auxquelles il accède pourraient bien être enregistrées sur les serveurs de l'entreprise et même communiquées à des tiers. Cela ouvre la porte à une surveillance étendue, y compris par le gouvernement chinois (avec lequel TikTok est lié indirectement). Il y a aussi un risque que ces données soient volées par des crackers et utilisées pour lancer des attaques de maliciels.

    Les navigateurs intégrés à Instagram et Facebook se comportent de manière similaire. La différence principale est qu'Instagram et Facebook permettent aux utilisateurs d'accéder aux sites tiers avec leur navigateur par défaut, tandis que TikTok rend ceci presque impossible.

    Le chercheur n'a pas étudié les versions pour Android des navigateurs intégrés, mais nous n'avons aucune raison de supposer qu'elles sont plus sûres que les versions pour iOS.

    (Notez que cet article utilise le terme « hackers » à mauvais escient.)

Voir plus…