Richard Stallman : Un logiciel espion dans Ubuntu ! Que faire ?

Un logiciel espion dans Ubuntu ! Que faire ?

par Richard Stallman

L’un des principaux avantages du logiciel libre est que la communauté
protège les utilisateurs des logiciels malveillants. Aujourd’hui Ubuntu
GNU/Linux est devenu un contre-exemple. Que devons-nous faire ?

Le logiciel privateur est associé à la malveillance envers l’utilisateur :
code de surveillance, menottes numériques (gestion numérique des
restrictions, ou DRM)
destinées à imposer des limites aux utilisateurs, et portes dérobées qui
peuvent faire des choses déplaisantes sous contrôle à distance. Les
programmes qui effectuent l’une quelconque de ces opérations sont des
logiciels malveillants et devraient être considérés comme tels. Les exemples
les plus communs sont Windows, les iTrucs, ou encore le « Kindle » d’Amazon
(connu pour son autodafé de livres virtualisés¹), qui font ces trois choses ; Macintosh
et la Playstation III qui imposent des menottes numériques ; la plupart des
téléphones portables, qui espionnent et possèdent des portes dérobées ;
Adobe Flash Player, qui espionne et fait respecter les menottes numériques ;
ainsi que de nombreuses applications iTrucs ou Android, qui intègrent une ou
plusieurs de ces pratiques néfastes.

Le logiciel libre donne aux utilisateurs la possibilité de se protéger
contre les comportements malveillants des logiciels. Encore mieux, la
communauté protège en général tout le monde et la majorité des utilisateurs
n’a pas à bouger le petit doigt. Voici comment.

De temps à autre, des utilisateurs sachant programmer trouvent du code
malveillant dans un programme libre. Généralement, ce qu’ils font ensuite
c’est de publier une version corrigée du programme : les quatre libertés
(voir http://www.gnu.org/philosophy/free-sw.html)
qui définissent le logiciel libre le permettent. On appelle cela un
fork du programme. Rapidement, la communauté bascule sur la
version corrigée, et la version infectée est rejetée. La perspective d’un
rejet ignominieux n’est pas vraiment tentante : donc, la plupart du temps,
même ceux qui ne sont pas arrêtés par leur conscience ou par la pression
sociale s’abstiennent de glisser des malfaçons dans les logiciels libres.

Mais pas toujours. Ubuntu, distribution influente et largement utilisée, a
installé du code de surveillance. Lorsque l’utilisateur effectue une
recherche dans ses propres fichiers en utilisant le système de recherche
d’Ubuntu desktop, Ubuntu envoie cette recherche à l’un des
serveurs de Canonical (Canonical étant la société qui développe Ubuntu).

C’est exactement comme le premier cas de surveillance dont j’aie appris
l’existence, dans Windows. Mon vieil ami Fravia m’avait expliqué qu’un jour,
alors qu’il recherchait une phrase dans ses fichiers avec Windows, un paquet
– détecté par son pare-feu – avait été émis vers un serveur. À compter de
cet exemple, je suis devenu attentif et n’ai pas oublié la propension à la
malveillance qu’ont les logiciels privateurs « réputés ». Ce n’est peut-être
pas par hasard qu’Ubuntu émet la même information.

Ubuntu se sert de ces informations sur leurs recherches pour afficher aux
utilisateurs des publicités pour des produits vendus par Amazon. Cette
société cause beaucoup de tort (voir http://stallman.org/amazon.html) ;
en promouvant Amazon, Canonical y contribue. Cependant, les publicités ne
sont pas le cœur du problème. Le véritable problème est l’espionnage des
utilisateurs. Canonical affirme qu’Amazon ne sait rien de l’origine des
recherches. Toutefois, il est tout aussi déplorable de la part de Canonical
de collecter vos informations personnelles que cela ne l’aurait été de la
part d’Amazon.

Certains feront sûrement des versions modifiées d’Ubuntu dépourvues de cette
fonctionnalité espionne. De fait, plusieurs distributions GNU/Linux sont des
versions modifiées d’Ubuntu. Lorsqu’elles se mettront à niveau avec la
dernière version d’Ubuntu, je m’attends à ce que cette fonctionnalité soit
enlevée. Canonical s’y attend également, sans aucun doute.

La plupart des développeurs de logiciel libre laisseraient tomber un tel
projet, étant donné la perspective d’une migration en masse vers la version
corrigée de quelqu’un d’autre. Mais Canonical n’a pas abandonné le logiciel
espion d’Ubuntu. Peut-être Canonical pense-t-il que le nom « Ubuntu » a
assez de poids et d’influence pour éviter les conséquences habituelles et
s’en tirer avec cette surveillance.

Canonical dit que cette fonctionnalité permet de faire des recherches sur
Internet « autrement ». Selon les détails de la méthode, cela pourrait, ou
non, aggraver problème, mais cela ne l’atténuerait pas.

Ubuntu permet aux utilisateurs de désactiver la surveillance. Évidemment,
Canonical pense que beaucoup d’utilisateurs d’Ubuntu vont laisser cette
fonctionnalité à son état par défaut, c’est-à-dire active. Et c’est ce que
beaucoup font probablement, car il ne leur vient pas à l’esprit d’essayer
d’y changer quoi que ce soit. Ainsi, l’existence de cette option ne rend pas
pour autant la fonctionnalité de surveillance acceptable.

Même si elle était désactivée par défaut, cette fonctionnalité resterait
dangereuse : « activer une fois pour toutes » une pratique risquée, dont le
risque varie selon les spécificités du système, invite au
laisser-faire. Pour protéger la vie privée de l’utilisateur, les systèmes
doivent simplifier l’usage de la prudence : quand un programme de recherche
locale a une option de recherche sur le réseau, ce devrait être à
l’utilisateur de choisir la recherche sur le réseau explicitement à
chaque fois. C’est simple : il suffit de boutons séparés pour la
recherche sur le réseau ou la recherche locale, comme c’était le cas dans
les anciennes versions d’Ubuntu. Une fonctionnalité de recherche sur le
réseau devrait aussi informer l’utilisateur clairement et concrètement sur
la nature et la destination précise des données personnelles collectées,
lorsqu’il utilise cette fonctionnalité.

Si une proportion suffisante des faiseurs d’opinion de la communauté voient
cette question d’un point de vue uniquement personnel, s’ils désactivent la
surveillance pour eux-mêmes et continuent à promouvoir Ubuntu, Canonical
pourrait s’en tirer. Ce serait une grande perte pour la communauté du
logiciel libre.

Nous, qui présentons le logiciel libre comme une défense contre les
logiciels malveillants, n’affirmons pas qu’il s’agit d’une défense
parfaite. Il n’existe pas de défense parfaite. Nous ne disons pas que la
communauté va à coup sûr dissuader les gens d’implanter des
logiciels espions. Donc, à proprement parler, ce n’est pas parce qu’il y a
un logiciel malveillant dans Ubuntu que nous devons manger notre chapeau.

Mais ce qui est en jeu ici dépasse le fait de savoir si quelques-uns d’entre
nous vont devoir avaler leur chapeau. La question est ici de savoir si notre
communauté peut efficacement utiliser l’argument des logiciels espions
privateurs. Si nous pouvons seulement dire « les logiciels libres ne vous
espionnent pas, sauf si c’est Ubuntu », c’est bien moins percutant que de
dire « les logiciels libres ne vous espionnent pas ».

Il nous appartient d’exprimer notre réprobation à Canonical avec
suffisamment de force pour qu’il arrête cela. Canonical peut donner toutes
les excuses qu’il veut, elles seront insuffisantes ; même s’il affectait
tout l’argent que lui donne Amazon au développement de logiciel libre, cela
pourrait difficilement contrebalancer ce que le logiciel libre a à perdre
s’il cesse d’être un moyen efficace d’éviter aux utilisateurs de se faire
flouer.

Si jamais vous recommandez ou redistribuez GNU/Linux, merci de retirer
Ubuntu des distributions que vous recommandez ou redistribuez. Si la
pratique d’installer et recommander des logiciels non libres ne vous
convainc pas d’arrêter, ceci le fera. Dans vos install parties, dans vos
« Journées du Libre », au FLISOL, n’installez pas et ne
recommandez pas Ubuntu. À la place, dites qu’Ubuntu est mis à l’index pour
espionnage.

Pendant que vous y êtes, vous pouvez aussi leur dire qu’Ubuntu contient des
programmes non libres et suggère l’installation d’autres programmes non
libres (voir
http://www.gnu.org/distros/common-distros.html). Cela contrecarrera
l’autre forme d’influence négative qu’exerce Ubuntu dans la communauté du
logiciel libre : la légitimation des logiciels non libres.

Article proposé par framablog sous licence Creative Commons By-Sa