Un logiciel espion dans Ubuntu ! Que faire ?

par Richard Stallman

L'un des principaux avantages du logiciel libre est que la communauté protège les utilisateurs des logiciels malveillants. Aujourd'hui Ubuntu GNU/Linux est devenue un contre-exemple. Que devons-nous faire ?

Le logiciel privateur est associé à la malveillance envers l'utilisateur : code de surveillance, menottes numériques (gestion numérique des restrictions, ou DRM) destinées à imposer des limites aux utilisateurs, et portes dérobées qui peuvent faire des choses déplaisantes sous contrôle à distance. Les programmes qui effectuent l'une quelconque de ces opérations sont des logiciels malveillants et doivent être traités comme tels. Les exemples les plus communs sont Windows, les iTrucs, ou encore le « Kindle » d'Amazon (connu pour son autodafé de livres virtualisés¹), qui font ces trois choses ; les Macintosh et la Playstation III qui imposent des menottes numériques ; la plupart des téléphones portables, qui espionnent et possèdent des portes dérobées ; Adobe Flash Player, qui espionne et fait respecter les menottes numériques ; ainsi que de nombreuses applications iTrucs ou Android, qui intègrent une ou plusieurs de ces pratiques néfastes.

Le logiciel libre donne aux utilisateurs la possibilité de se protéger contre les comportements malveillants des logiciels. Encore mieux, la communauté protège en général tout le monde et la majorité des utilisateurs n'a pas à bouger le petit doigt. Voici comment.

De temps à autre, des utilisateurs sachant programmer trouvent du code malveillant dans un programme libre. Généralement, ce qu'ils font ensuite c'est de publier une version corrigée du programme : les quatre libertés qui définissent le logiciel libre le permettent. On appelle cela un fork du programme. Rapidement, la communauté bascule sur la version corrigée et la version infectée est rejetée. La perspective d'un rejet ignominieux n'est pas vraiment tentante : donc, la plupart du temps, même ceux qui ne sont pas arrêtés par leur conscience ou par la pression sociale s'abstiennent de glisser des malfaçons dans les logiciels libres.

Mais pas toujours. Ubuntu, distribution GNU/Linux influente et largement utilisée, a installé du code de surveillance. Lorsque l'utilisateur effectue une recherche dans ses propres fichiers en utilisant le système de recherche d'Ubuntu desktop, Ubuntu envoie cette recherche à l'un des serveurs de Canonical (Canonical étant la société qui développe Ubuntu).

C'est exactement comme le premier cas de surveillance dont j'aie appris l'existence, dans Windows. Mon vieil ami Fravia m'avait expliqué qu'un jour, alors qu'il recherchait une phrase dans ses fichiers avec Windows, un paquet – détecté par son pare-feu – avait été émis vers un serveur. À compter de cet exemple, je suis devenu attentif et n'ai pas oublié la propension à la malveillance qu'ont les logiciels privateurs « réputés ». Ce n'est peut-être pas par hasard qu'Ubuntu émet les mêmes informations.

Ubuntu se sert de ces informations sur leurs recherches pour afficher aux utilisateurs des publicités pour des produits vendus par Amazon. Or, Amazon commet beaucoup de méfaits ; en faisant la promotion de cette société, Canonical y contribue. Cependant, les publicités ne sont pas le cœur du problème. Le véritable problème est l'espionnage des utilisateurs. Canonical affirme qu'Amazon ne sait rien de l'origine des recherches. Toutefois, il est tout aussi déplorable de la part de Canonical de collecter vos informations personnelles que cela ne l'aurait été de la part d'Amazon. La surveillance exercée par Ubuntu n'est pas anonyme.

Certains feront sûrement des versions modifiées d'Ubuntu dépourvues de cette fonctionnalité espionne. De fait, plusieurs distributions GNU/Linux sont des versions modifiées d'Ubuntu. Lorsqu'elles se mettront à niveau avec la dernière version d'Ubuntu, je m'attends à ce qu'elles enlèvent cette fonctionnalité. Canonical s'y attend également, sans aucun doute.

La plupart des développeurs de logiciel libre laisseraient tomber un tel projet, étant donné la perspective d'une migration en masse vers la version corrigée de quelqu'un d'autre. Mais Canonical n'a pas abandonné le logiciel espion d'Ubuntu. Peut-être Canonical pense-t-il que le nom « Ubuntu » a assez de poids et d'influence pour éviter les conséquences habituelles et faire de la surveillance impunément.

Canonical dit que cette fonctionnalité permet de faire des recherches sur Internet « autrement ». Selon les détails de la méthode, cela pourrait, ou non, aggraver le problème, mais cela ne l'atténuerait pas.

Ubuntu permet aux utilisateurs de désactiver la surveillance. Évidemment, Canonical pense que beaucoup d'entre eux vont laisser cette fonctionnalité à son état par défaut, c'est-à-dire active. Et c'est ce que beaucoup font probablement, car il ne leur vient pas à l'esprit d'essayer d'y changer quoi que ce soit. Ainsi, l'existence de cette option ne rend pas pour autant la fonctionnalité de surveillance acceptable.

Même si elle était désactivée par défaut, cette fonctionnalité resterait dangereuse : « activer une fois pour toutes » une pratique risquée, dont le risque varie selon les spécificités du système, invite au laisser-faire. Pour protéger la vie privée de l'utilisateur, les systèmes doivent simplifier l'usage de la prudence : quand un programme de recherche locale a une option de recherche sur le réseau, c'est à l'utilisateur de choisir la recherche sur le réseau explicitement à chaque fois. Rien de plus simple : il suffit de boutons séparés pour la recherche sur le réseau et la recherche locale, comme c'était le cas dans les anciennes versions d'Ubuntu. Une fonctionnalité de recherche sur le réseau doit aussi informer l'utilisateur clairement et concrètement sur la nature et la destination des données personnelles collectées, au moment où il se sert de cette fonctionnalité.

Si une proportion suffisante des faiseurs d'opinion de la communauté voient cette question d'un point de vue uniquement personnel, s'ils désactivent la surveillance pour eux-mêmes et continuent à promouvoir Ubuntu, Canonical pourrait s'en tirer à bon compte. Ce serait une grande perte pour la communauté du logiciel libre.

Nous, qui présentons le logiciel libre comme une défense contre les logiciels malveillants, n'affirmons pas qu'il s'agit d'une défense parfaite. Il n'existe pas de défense parfaite. Nous ne disons pas que la communauté va à coup sûr dissuader les gens d'implanter des logiciels espions. Donc, à proprement parler, ce n'est pas parce qu'il y a un logiciel malveillant dans Ubuntu que nous devons manger notre chapeau.

Mais ce qui est en jeu ici dépasse le fait de savoir si quelques-uns d'entre nous vont devoir avaler leur chapeau. La question est ici de savoir si notre communauté peut efficacement utiliser l'argument des logiciels espions privateurs. Si nous pouvons seulement dire « les logiciels libres ne vous espionnent pas, sauf si c'est Ubuntu », c'est bien moins percutant que de dire « les logiciels libres ne vous espionnent pas ».

Il nous appartient d'exprimer notre réprobation à Canonical avec suffisamment de force pour qu'il arrête cela. Canonical peut donner toutes les excuses qu'il veut, elles seront insuffisantes ; même s'il affectait tout l'argent que lui donne Amazon au développement de logiciel libre, cela pourrait difficilement contrebalancer ce que le logiciel libre a à perdre s'il cesse d'être un moyen efficace d'éviter aux utilisateurs de se faire flouer.

Si jamais vous recommandez ou redistribuez GNU/Linux, merci de retirer Ubuntu des distributions que vous recommandez ou redistribuez. Si la pratique d'installer et recommander des logiciels non libres ne vous convainc pas d'arrêter, ceci le fera. Dans vos install parties, dans vos « Journées du Libre », au FLISOL, n'installez pas et ne recommandez pas Ubuntu. À la place, dites qu'Ubuntu est mise à l'index pour espionnage.

Pendant que vous y êtes, vous pouvez aussi leur dire qu'Ubuntu contient des programmes non libres et suggère l'installation d'autres programmes non libres. (Voir les détails dans « Pourquoi nous n'homologuons pas d'autres systèmes ».) Cela contrecarrera l'autre forme d'influence négative qu'exerce Ubuntu dans la communauté du logiciel libre : la légitimation du logiciel non libre.