Une installation, ce n'est jamais anodin
Jeux, bureautique, réseaux sociaux, messageries, rencontres, santé, retouche photo, gestion des comptes, diffusion d’actualités, pilotage de la domotique… presque tous les domaines de la vie courante ont aujourd’hui leur application. On en installe une en trois secondes, souvent sans y réfléchir, parfois juste parce qu’un ami en a parlé.
Sauf qu’installer un logiciel sur un ordinateur ou un téléphone, c’est une action qui peut avoir un impact fort sur la sécurité de l’appareil. Cet impact dépend de nombreux facteurs et il peut être positif comme négatif : tout dépend d’où vient l’application, de ce qu’elle fait vraiment, et de l’état de votre système.
Un exemple parlant : quelqu’un qui refuse systématiquement les mises à jour de son ordinateur (après tout, il fonctionne très bien comme ça) installe un jour un nouveau jeu pris un peu au hasard dans un magasin officiel. Résultat, la machine devient extrêmement lente et quasiment inutilisable. Le jeu cachait des fonctionnalités malveillantes capables d’exploiter une ancienne vulnérabilité du système pour installer, en tâche de fond, un mineur de cryptomonnaies.
Ici, à La Réunion, l’addition d’une bêtise de ce genre est vite salée : un appareil hors service, ce sont des données à récupérer, du temps sans téléphone, et parfois un aller-retour vers un service après-vente qui n’est pas sur l’île. Autant dire que les cinq minutes de vérification avant l’installation sont, de loin, l’investissement le plus rentable.
Passer par les magasins officiels : le réflexe de base
Aujourd’hui, l’essentiel des logiciels, payants comme gratuits, s’installe via les magasins officiels opérés par les grandes plateformes : Google, Apple, Microsoft. Ce n’est pas un hasard, et ce n’est pas non plus qu’une question de confort.
Les opérateurs de ces magasins investissent des moyens considérables pour vérifier deux choses : l’absence de fonctionnalités malveillantes ou non désirées dans les applications diffusées, et l’authenticité des entreprises qui les développent. Des applications aux buts discutables, ou des copies plus ou moins bien faites de logiciels connus, passent parfois à travers les filtres, personne ne prétend le contraire. Mais statistiquement, cela reste une source d’approvisionnement relativement sûre.
L’autre canal fiable, c’est le site web de l’éditeur du logiciel lui-même, qui d’ailleurs renvoie très souvent vers un magasin officiel. En pratique : soit vous installez depuis le magasin intégré à votre système, soit vous partez du site de l’éditeur. Tout le reste (liens de forums, sites de téléchargement tiers, fichiers reçus par messagerie) demande une vigilance nettement supérieure.
Magasins alternatifs : pourquoi ils existent, et ce que ça change
Diffuser une application, surtout sur mobile, oblige son développeur à se plier aux règles de l’opérateur du magasin. Si une fonctionnalité déplaît à ce dernier, il bloque purement et simplement la diffusion, même quand le logiciel n’a rien de malveillant et n’est la copie de personne. C’est une forme de censure, et elle pousse certains éditeurs vers des magasins alternatifs.
Ces magasins parallèles donnent donc accès à du logiciel non agréé, ce qui peut être légitime. Le problème est ailleurs : ils ne bénéficient pas de filtres aussi puissants que ceux des magasins officiels, ou bien ils décident de ne pas les mettre en oeuvre. La porte est alors ouverte aux logiciels copiés, piratés, voire franchement malveillants. Leur installation suppose d’ailleurs souvent de déplomber au préalable le système d’exploitation de l’appareil.
A noter : si l’application dont vous avez besoin n’existe que sur un magasin alternatif, examinez soigneusement s’il ne s’agit pas d’une copie illégale ou d’une contrefaçon (nom de l’éditeur, cohérence de la description, ressemblance suspecte avec un logiciel connu), et installez-la en acceptant le risque, en toute connaissance de cause. Ce n’est pas la même chose que de le faire sans le savoir.
Applications piratées : le faux bon plan
Tout logiciel utile a en principe un prix, et la tentation du téléchargement illégal est vieille comme l’informatique. Sauf que ces versions gratuites sont très souvent soit des versions falsifiées, soit des versions modifiées, et les deux cas sont mauvais.
Une version falsifiée a la même apparence externe que l’original (nom du fichier d’installation, icône, taille du fichier) mais n’embarque aucune des fonctionnalités attendues : son seul but est d’installer un ou plusieurs programmes malveillants sur la machine de la victime. Une version modifiée est plus vicieuse : elle a l’apparence ET les fonctionnalités attendues, tout en cachant en plus des fonctionnalités malveillantes. On y trouve des rançongiciels, des mineurs de cryptomonnaies, des portes dérobées ou des outils d’exfiltration de données personnelles.
Nota Bene : un rançongiciel chiffre vos fichiers puis réclame une rançon en échange de la clef de déchiffrement, une porte dérobée est un accès caché qui permet à un tiers de piloter votre appareil à distance, et un mineur de cryptomonnaies utilise votre processeur à votre insu (d’où la machine qui rame). Ironie du sort, les logiciels les plus piratés sont les navigateurs web, les outils de visioconférence, les messageries instantanées… et les antivirus.
Dernier point souvent ignoré : certains sites de diffusion de logiciels piratés tentent d’exploiter les vulnérabilités de votre navigateur pour installer un programme malveillant, ou vous rediriger ailleurs, avant même que le téléchargement ne commence. Renoncer à fréquenter ces écosystèmes reste le moyen le plus simple d’éviter les ennuis, et sur l’île, la remise en état (réinstallation complète, données perdues, immobilisation de l’appareil) coûte presque toujours plus cher que la licence qu’on voulait économiser.
Ce que l'application fait vraiment, au-delà de ce qu'elle affiche
Quand on installe un jeu sur son téléphone, on suppose évidemment que son but est de distraire. Vu du côté des développeurs, ce n’est pourtant souvent pas l’objectif principal : diffuser de la publicité, bâtir une grande communauté de joueurs, vendre des options du jeu, voire collecter des données personnelles revendables, voilà les vraies finalités.
Un cas très banal : on installe un petit jeu gratuit proposé sur un grand réseau social, on accepte machinalement les conditions d’utilisation… lesquelles stipulent que toutes les données personnelles accessibles via le compte du réseau social peuvent être récupérées, stockées et vendues par l’éditeur du jeu. Des années plus tard, on joue toujours, et le robinet coule toujours.
Même logique avec les applications de retouche d’images, celles qui embellissent un selfie ou appliquent un filtre. Beaucoup reposent sur l’apprentissage automatique, une technique d’intelligence artificielle qui a besoin d’énormes quantités d’images pour s’affiner. En acceptant les conditions d’utilisation, il est fort probable que vous autorisiez l’éditeur à réutiliser votre photo pour améliorer sa technologie, de façon automatique ou pas.
Le geste concret, avant d’installer : lire (au moins en diagonale) ce que le service dit faire de vos données, et regarder si les informations demandées ont un rapport avec la fonction de l’application. Une lampe de poche qui veut vos contacts, ça ne se discute pas, ça se désinstalle.
Gratuit ne veut pas dire sans contrepartie
Concevoir et développer un logiciel coûte de l’argent. Si l’éditeur est une entreprise commerciale, il va forcément chercher à rentabiliser son investissement : même gratuite à l’installation, l’application a donc un coût réel pour vous, simplement il n’est pas affiché en euros.
Les façons de rentabiliser sont connues, et les repérer aide beaucoup à comprendre à quoi on s’engage :
- une version gratuite aux fonctionnalités réduites, les fonctions vraiment intéressantes étant payantes,
- l’achat d’options à l’intérieur de l’application,
- une version gratuite au départ, le temps de bâtir et de fidéliser une communauté, puis bascule en mode payant,
- de la publicité embarquée dans la version gratuite, avec une version payante sans publicité,
- des fonctionnalités gratuites troquées contre vos données personnelles.
Ce dernier modèle est le plus discret. Une joueuse passionnée de jeux de lettres sur son réseau social préféré doit, de temps en temps, répondre à un sondage d’opinion d’une vingtaine de questions sur l’actualité. Le modèle d’affaires de l’entreprise qui édite ces jeux, c’est en réalité la commercialisation de profils d’utilisateurs très précis, revendus à des fins de marketing : le jeu n’est que le moyen technique d’accéder aux données.
Il est souvent très difficile d’estimer a priori le coût réel d’une application gratuite. La règle mentale à garder, elle, est simple : quand un logiciel développé par une entreprise commerciale est gratuit, il y a forcément une contrepartie, plus ou moins cachée.
Options payantes : le piège des achats intégrés
L’histoire est classique et elle finit toujours de la même façon. Un père de famille découvre un jour que des montants importants ont été débités de sa carte de crédit via le magasin d’applications des tablettes de ses deux garçons, âgés de 9 et 7 ans. Vérification faite, les enfants jouaient connectés à son propre compte, et avaient multiplié les achats d’options payantes dans un de leurs jeux préférés, sans se rendre compte des sommes en jeu.
Le problème n’est pas l’enfant, il est dans le paramétrage. Dès qu’une carte de crédit est liée à un compte utilisateur, il faut activer les garde-fous que proposent les systèmes, en premier lieu la confirmation obligatoire par le mot de passe du compte à chaque achat, même lorsque la session est déjà ouverte.
A noter : cette vérification prend deux minutes dans les réglages du magasin d’applications, et elle vaut aussi pour les adultes. Un achat intégré déclenché par un bouton mal placé pendant une partie, ça arrive à tout le monde. Autant que l’appareil demande un mot de passe avant de débiter quoi que ce soit.
Vérifier qu'on télécharge bien le vrai logiciel
Le principal réflexe pour ne pas installer une contrefaçon consiste à télécharger le logiciel depuis le site officiel de son éditeur, ou depuis le magasin d’applications officiel du système d’exploitation de l’appareil. Et surtout à éviter les liens alternatifs qui circulent sur les forums, aussi serviables soient-ils en apparence.
Encore faut-il trouver le vrai site officiel. Une méthode très efficace : passer par la page Wikipédia du logiciel, qui répertorie bien souvent l’adresse officielle de l’éditeur. C’est plus fiable que de cliquer sur le premier résultat d’un moteur de recherche.
Pourquoi ? Parce que les cybercriminels travaillent précisément le référencement de leurs sites pièges. Pour une attaque de masse, l’objectif est d’apparaître haut dans les résultats de recherche, en visant des thématiques à la mode ou en habillant leur propre site avec des contenus très recherchés. Un éditeur d’antivirus a longtemps publié un classement des célébrités les plus dangereuses à rechercher en ligne : en 2019, la personnalité francophone en tête était Djamel Debbouze, devant Rémi Gaillard et Omar Sy, une part significative des sites renvoyés à leur sujet proposant des contenus dangereux, dont des programmes malveillants.
Deux minutes de vérification, donc : le nom exact de l’éditeur, l’adresse du site, et la cohérence entre les deux. Si le site officiel renvoie lui-même vers un magasin officiel, tant mieux, c’est le chemin le plus sûr.
Le logiciel libre, une alternative souvent négligée
Certains logiciels sont écrits et maintenus par des fondations sans but lucratif ou par des communautés de développeurs bénévoles. C’est le mouvement du logiciel libre, censé garantir quatre libertés à ses utilisateurs : exécuter le logiciel pour tous les usages, étudier son fonctionnement et l’adapter à ses besoins, redistribuer des copies (gratuitement ou non), et améliorer le programme puis diffuser ces améliorations à la communauté.
On en utilise tous les jours sans le savoir : le système Linux, le navigateur Firefox, la suite bureautique LibreOffice, le logiciel de traitement d’images GIMP. Une grande partie des infrastructures d’Internet repose sur du logiciel libre, tout comme les systèmes multimédias de nombreux avions et voitures, ou une bonne part des objets connectés. En France, l’État en fait la promotion via le Socle Interministériel des Logiciels Libres.
Son intérêt, du point de vue qui nous occupe, est net : développé sans visée commerciale, il est très souvent bien plus respectueux de la vie privée, parce qu’il n’a pas besoin d’embarquer des fonctionnalités plus ou moins cachées pour se rentabiliser. Les revers existent, soyons honnêtes : des fonctionnalités parfois en retard sur les équivalents commerciaux, des domaines où il n’existe tout simplement pas d’alternative libre, un temps d’adaptation et d’apprentissage, et une prise en main parfois moins intuitive.
Pour la majorité des usages, ces fonctionnalités suffisent largement. Et pour un particulier ou une petite structure de l’île, qui doit déjà composer avec le coût du matériel et des licences, tester une solution libre avant de sortir la carte bancaire est un réflexe qui mérite d’être pris : on essaie, et si ça convient, on garde.
ROM alternative : à n'envisager qu'en connaissance de cause
Certains téléphones, typiquement sous Android, permettent d’installer un système d’exploitation différent de celui du constructeur : c’est ce qu’on appelle une ROM alternative, ou custom ROM. Chez Apple, l’équivalent passe par le jailbreak, une opération qui consiste à faire sauter les verrous de sécurité du système en exploitant une ou plusieurs de ses vulnérabilités.
L’intérêt est réel : fonctionnalités supplémentaires, possibilité de contourner ou au contraire de durcir certains mécanismes de sécurité imposés par l’éditeur, accès à des applications absentes des magasins officiels. Le revers l’est tout autant : ces systèmes vont de pair avec des magasins d’applications alternatifs qui distribuent des applications piratées, ou qui n’investissent pas les efforts nécessaires pour éradiquer les logiciels malveillants. On gagne en liberté, on perd le filtre.
Depuis La Réunion, la question mérite d’être pesée deux fois plutôt qu’une : un téléphone rendu instable ou inutilisable par une manipulation ratée, c’est un appareil immobilisé et, selon les cas, un recours au constructeur qui se joue à des milliers de kilomètres. Ce type d’opération se réserve donc aux utilisateurs qui savent exactement ce qu’ils font et pourquoi.
En résumé, avant chaque installation :
- partir du magasin officiel ou du site de l’éditeur, retrouvé si besoin via sa page Wikipédia,
- refuser les versions piratées, quelle qu’en soit la provenance,
- regarder ce que l’application demande comme données et si cela correspond à sa fonction,
- chercher la contrepartie derrière la gratuité,
- verrouiller les achats intégrés par mot de passe dès qu’une carte est liée au compte,
- tester l’équivalent libre quand il existe.
Six réflexes, quelques minutes, et beaucoup d’ennuis évités.
