Retour sur l'alerte au cheval de Troie
Comme vous devez vous en douter, et comme à chaque fois que l'on parle de sécurité sous OS X et surtout de problèmes venant l'affecter, cette nuit a été agitée dans la communauté Mac suite à l'alerte lancée par Intego hier. Nous avons passé une partie de la soirée (et le début de la nuit) à en faire le tour et vous livrons les résultats de nos recherches.
Pour commencer, ce "cheval de Troie" est le fait de la société VoiceFive qui sévit déjà sur PC depuis quelques années. Sa vocation annoncée est de fournir à des clients des informations très précises sur les comportements des internautes. Pour arriver à avoir une importante base de données à traiter et à vendre, la société emploie une méthode largement discutable. Elle fournit de petits et médiocres logiciels gratuits dans lesquels sont cachés ce que l'on ne peut appeler autrement que des "spywares". Ils le disent d'ailleurs clairement dans le second avertissement proposé lors de l'installation et que trop de personnes valident sans même le lire:
In order to provide this free download, PremierOpinion software, provided by VoiceFive, Inc., is included in this download. This software allows millions of participants in an online market research community to voice their opinions by allowing their online browsing and purchasing behavior to be monitored, collected, and once anonymized, used to create market reports, materials and other forms of analysis that may be shared with our clients to help our clients understand Internet trends and patterns and other market research purposes. The information which is monitored and collected includes internet usage information, basic demographic information, certain hardware, software, computer configuration and application usage information about the computer on which you install Premier Opinion.
We may use the information that we monitor, such as name and address, to better understand your household demographics; for example, we may combine the information that you provide us with additional information from consumer data brokers and other data sources in accordance with our privacy policy. We make commercially viable efforts to automatically filter confidential personally identifiable information and to purge our databases of such information about our panelists when inadvertently collected.
En voici une traduction rapide:
Afin de fournir ce téléchargement gratuit, le logiciel PremierOpinion, fourni par VoiceFive, Inc, est inclus dans ce téléchargement. Ce logiciel permet à des millions de participants à une communauté de recherche de marché en ligne d'exprimer leurs opinions en permettant à leur navigation en ligne de surveiller leurs comportements. Les données recueillies, une fois rendues anonymes, sont utilisées pour créer des rapports de marché, et d'autres formes d'analyse qui peuvent être partagées avec nos clients pour les aider à comprendre les tendances et les modes Internet et à d'autres fins d'études de marché. Les informations surveillées comprennent des informations d'utilisation d'Internet, des données démographiques de base, l'usage de certains matériels, logiciels, configuration de l'ordinateur et des informations d'utilisation des applications sur l'ordinateur sur lequel vous installez le logiciel.
Nous pouvons utiliser les informations que nous surveillons, comme le nom et l'adresse, pour mieux comprendre vos données démographiques, par exemple, nous pouvons combiner les informations que vous nous fournissez avec des renseignements supplémentaires auprès des fournisseurs de données de consommateurs et d'autres sources de données, conformément à notre politique de la vie privée. Nous faisons des efforts commercialement viables pour filtrer automatiquement les informations confidentielles et personnelles pour purger nos bases de données de ces informations sur nos échantillons lorsqu'elles sont par inadvertance collectées.
En substance, l'installation plus ou moins volontaire de ce logiciel, plutôt moins que plus d'ailleurs leur permet de vous espionner, de savoir ce que contient votre machine au niveau matériel et logiciel, de tracer la manière dont vous les utilisez... Bien entendu ça va plus loin puisqu'ils se permettent de récupérer des données nominatives même s'ils sont censés ensuite les rendre anonymes ce qu'ils réfutent plus loin en parlant de croisement de bases de donnée et ne promettent que des efforts "viables" pour que vous restiez anonymes.
Si l'éditeur de ce logiciel était en France, il se retrouverait au tribunal en moins de deux...
Il s'agit donc d'une réelle menace pour votre vie privée et pour toutes les données confidentielles que vous pourriez avoir sur votre machine, très au delà de ce qui est annoncé par l'éditeur. En interférant avec le navigateur ils peuvent récupérer beaucoup de choses dont certains identifiants et mots de passe. Difficile de savoir ce qu'ils en font ou de le voir puisque les données sont chiffrées avant d'être transmises à leurs serveurs, mais même si l'on a rien à cacher, il est intolérable de se retrouver avec une telle menace dans sa machine.
Pour se donner un semblant de légalité, la société annonce donc l'installation de son spyware, tout du moins pour le moment. Vous pouvez donc vous prémunir de son installation en lisant les avertissements avant de cocher une case pour accepter. Autre chose, pour masquer au mieux leurs agissements, ils proposent des installateurs sous formes d'applets java. Méfiez vous donc de ce genre d'installeur rarissime sous OS X.
Pour finir et d'une manière plus générale, lorsqu'un logiciel vous demande votre mot de passe administrateur pour s'installer, interrogez vous sur sa légitimité à le faire et n'acceptez pas à la légère avant d'y avoir réfléchi plutôt que de le rentrer de manière machinale.