Blog d'Hugo

Quelques jours avant la sortie officielle de Windows7, je parlais déjà d’une faille de sécurité importante qui avait été malicieusement étouffée par Microsoft. À cette occasion, je m’étais attaché à montrer brièvement pourquoi le Logiciel Libre offre davantage de garanties pour la sécurité de l’utilisateur.

Il s’avère que les allégations de la FSFE étaient tout à fait fondées et que nous avions toutes les raisons de nous inquiéter pour la sécurité des systèmes informatiques des utilisateurs de Windows (qui représentent encore la majorité du grand public). En effet, comme l’a pointé un article de Computersworld (via dlfp), Microsoft s’est enfin contraint à communiquer une notice de sécurité à ses clients concernant cette vulnérabilité à haut-risque – mais le problème n’est toujours pas corrigé.

Ce qui est important ici, c’est que cet avertissement de sécurité avait déjà été lancé par l’agence BSI, il y a plus d’un mois ! En dépit des conséquences, Microsoft avait décidé pendant ce temps de ne rien dire à ses clients pour éviter toute mauvaise publicité autour du lancement de Windows7.

Un tel mépris envers la sécurité de ses propres clients m’amène à me demander : Microsoft tient moins à la sécurité de ses clients qu’à sa bonne image ? Cette expérience prouve que oui. Microsoft a fait le choix de laisser ses clients dans l’ignorance et ainsi a mis en danger leurs systèmes informatiques. Voici encore une parfaite illustration du fait que le logiciel propriétaire prend ses utilisateurs en otage : Microsoft est pris à sacrifier votre sécurité pour ses objectifs commerciaux.

Alors que Microsoft s’apprête à lancer à grands renforts de propagande publicité son nouveau système d’exploitation Windows 7, une faille de sécurité assez importante semble avoir été passée sous silence. Microsoft doit se refaire une image auprès de ses utilisateurs, après le succès plus que mitigé de Windows Vista, qui peine à remplacer le vieux Windows XP, on comprend que le monopoliste tienne davantage à soigner l’emballage de son produit plutôt que de s’occuper de la sécurité de son nouveau système.

Certes, les systèmes de Logiciel Libre ne sont pas exempts de défauts, toutefois je pense qu’on est en droit de dire que le Logiciel Libre est plus sécurisant, pour plusieurs raisons. D’abord, le code source est ouvert, ce qui permet à n’importe quelle entité qui en a les moyens (un développeur, une agence spécialisée en sécurité informatique, un concurrent…) d’identifier une faille – voire de la corriger. Ensuite, le Logiciel Libre n’est pas monopolisant, ce qui permet une division des tâches mieux répartie. Par exemple, il existe plusieurs versions de Linux, plusieurs systèmes d’exploitation basés sur GNU et Linux, plusieurs distributeurs (entreprise ou communauté) et plusieurs vendeurs. Enfin, son mode de développement collaboratif induit nécessairement plus de transparence. Tous ces différents niveaux assurent que chaque étape de l’élaboration du système est contrôlée.

Cela contraste énormément avec le modèle de développement d’un écosystème propriétaire ou la division des tâches est possible, mais pas de responsabilité ni de pouvoir diffus. Chacun garde le contrôle exclusif de son logiciel et par conséquent les failles de sécurité probables qui y sont liées. En résulte que lorsqu’une entreprise détient un monopole et abuse de sa position sur un secteur aussi important que celui de Microsoft, les effets sont considérables. Tous les utilisateurs des produits de Microsoft en sont fortement dépendants. La résolution de problèmes et de failles de sécurité repose entièrement sur son bon vouloir. Malheureusement, dans une structure qui essaye d’être omnipotente, si le marketing passe avant la sécurité du produit, c’est l’utilisateur qui en pâtit.

Voici donc quelques incidents dus à des problèmes de sécurité concernant les logiciels de Microsoft qui ont été mentionnés depuis le 1er octobre… (j’en ai certainement loupé, n’hésitez pas à m’en suggérer).

• Linux saves Aussie electrical grid — Open sauce to the rescue
  La salle de contrôle du réseau électrique d’une entreprise d’énergie australienne est atteinte d’un virus informatique. Évidemment, elle fonctionnait sous Windows. Les techniciens évitent la coupure générale en passant aux serveurs fonctionnant sur Linux.
• Avoid Windows Malware: Bank on a Live CD
  Si vous voulez éviter les problèmes lorsque vous consultez en ligne votre compte en banque, n’utilisez pas votre ordinateur avec Windows… Utilisez un système d’exploitation libre comme GNU/Linux (avec un Live CD, qui ne nécessite pas d’installation par exemple).
• Une faille importante dans Windows 7, ignorée par Microsoft
  Seulement quelques jours avant la sortie de Windows 7, une faille importante est passée sous silence par Microsoft qui n’a toujours pas publié de patch ni communiqué au sujet de ce problème de sécurité plutôt important.
• London Stock Exchange Rejects .NET For Open Source
  La société qui gère la place financière londonienne lâche son système Microsoft au profit d’une solution Libre, suite à une faille critique qui bloqua le marché pendant presque une journée. Au passage, elle réalise des économies…

Pour la même raison, évitez d’utiliser Internet Explorer et utilisez un logiciel libre comme Firefox. Là aussi, Microsoft met souvent du temps à réparer ses erreurs.

Sur le sujet

Je ne suis évidemment pas le premier à traiter de ce sujet, d’autres l’ont fait de manière plus précise et plus exhaustive et certainement dans un meilleur style. Alors voici quelques liens:

• Why Free Software? Look at the numbers!
• Pourquoi les virus sont causés par des logiciels propriétaires

Quoiqu’il en soit, avant d’être un problème de sécurité, un problème technique, il s’agit d’un problème de confiance et de contrôle.

C’est à nous de prendre en compte notre sécurité

Enfin, je finirai par dire que le Logiciel Libre n’est pas plus sécurisé en soi. Mais en donnant à chacun la liberté d’étudier le code source, d’améliorer et de partager ses améliorations, le Logiciel Libre donne à ses utilisateurs le pouvoir de prendre en main leur propre sécurité, et non de la déléguer aveuglément.

Et ce n’est d’ailleurs pas une coïncidence si les meilleurs outils pour garantir aux utilisateurs leur intimité ou de préserver leur vie privée, sont souvent des Logiciels Libres. Je pense en particulier à GnuPG ou OpenSSH.

---

Le problème se pose aussi avec les systèmes Apple, dont les déboires en matière de protection de l’utilisateur et de sécurité ont été assez médiatisés concernant le iPhone. Là où le Logiciel Libre permet de savoir exactement ce que le système du téléphone fait.