Charlie Miller, expert en sécurité connu entre autres choses pour avoir piraté un macbook en quelques secondes ou pris le contrôle d'un iPhone via un SMS, vient de se faire exclure du programme de développeurs d'Apple pour au moins un an, dit la firme.

Pourquoi ? Il a utilisé une application, qui a été autorisée par Apple, pour démontrer l'existence d'une faille de sécurité d'iOS, qui lui a permet de prendre contrôle à distance d'un iPhone. Apple n'a pas apprécié.

Son application, Instastock, ne contient pourtant aucun code malveillant, et n'utilise pas de commande interdite aux applications tierces, c'est là tout le problème, et cela explique que l'app ait bien été validée.

L'auteur l'explique plus en détail et revient sur la questino des signatures de code (codesigning), ici remises en causes :

La validation des applications ne suffit pas à assurer la sécurité des téléphones, et Charlie Miller l'évoquera prochainement dans une conférence sur la sécurité. En attendant, il a adressé quelques noms d'oiseaux à Apple via Twitter, pour son exclusion du programme de développement, qui n'est certainement pas une solution au problème. Apple a pourtant été prévenu trois semaines auparavant, sans précision sur le vecteur (ici une application). En attendant, les versions 4.3 à 5 sont touchées, et Apple planche sur une mise à jour.

Toujours sur Twitter, le chef des relations avec les développeurs pour Windows Phone, lui a proposé un compte déverloppeur pour Windows Phone gratuit, avec force ricanements ici et là chez les lecteurs.

Les antivirus aussi ont leurs service packs. Antivir free vient de passer au SP2 hier et propose une nouveauté de taille : l'accès gratuit à son module Webguard, d'ordinaire réservé à la version payante. Webguard, c'est le bouclier web, pour reprendre une terminologie classique chez d'autres éditeurs. Webguard fonctionne comme un proxy pour nous éviter de télécharger du code malicieux, tout simplement.

La contrepartie, c'est d'utiliser obligatoirement une toolbar de chez Ask. Vous n'aurez pas l'un sans l'autre. La bonne nouvelle, c'est que ce n'est pas imposé. Le logiciel la propose sans la forcer, puis rappelle son existence le lendemain :

Les toolbars n'ont rien d'obligatoire, et Ask a mauvaise réputation. D'abord parce que les toolbars sont des nids à statistiques sur votre navigation, ensuite parce qu'Ask - on s'en rappelle - aimait installer ses produits un peu partout sur nos machines.

L'association des deux fait grincer un certain nombre de dents, et la nouvelle "Avira SearchFree Toolbar" risque de ne pas plaire.

Le SP2 apporte d'autres modifications profondes sous le capot au niveau de la détection et des réparations, de la recherche de rootkits (améliorée pour aller plus loin), mais ces nouveautés sont moins visuelles, on les oublie plus facilement.

A vous de voir... on trouvera tout et son contraire comme avis. Vous aurez le dernier mot, le doigt sur le bouton de la souris.

La page officielle d'Avira sur la question

Depuis peu, Avira, éditeur de l'antivirus gratuit Antivir, a modifié sa politique. Dans la version gratuite de l'antivirus, le panneau de publicité pour la version complète apparaissant lors des mises à jour fait de la publicité pour Uniblue Registry booster, qui n'est pas un logiciel recommandable.

Par ailleurs, des utilisateurs des versions payantes ont reçu des publicités par e-mail pour le même produit et pour couronner le tout, le toolbar d'Ask (et l'association vers le moteur de recherche d'Ask) est proposée.

Registry Booster, d'Uniblue, est un logiciel controversé qui a fait couler beaucoup d'encre, souvent classé rogue (malveillant qui émet de fausses alertes). Il s'agit en effet de ces dopeurs de performances et optimiseurs de registre qui vont trop loin dans le système, l'idée étant d'avancer un énorme chiffre (300 problèmes détectés, cliquez ici pour corriger et... acheter notre version complète). Cette famille (plutôt à classer "scareware") est celle des programmes qui utilisent votre peur, parfois en la créant de toutes pièces et en inventant des problèmes ou en gonflant les chiffres dans les rapports de détection) pour vous faire acheter leurs produits.

Les plus crédules auront au mieux perdu de l'argent, au pire abimé leur système par des réglages trop optimistes ou des interventions superflues et risquées sur la base de registre. L'optimisation fait encore rêver parce qu'elle promet des performances ou des améliorations ; en général tout se passe dans la tête, c'est le même mécanisme qui conduit certains utilisateurs à se sentir mieux s'ils purgent les fichiers temporaires de leur disque dur tous les jours, afin de gagner... peu ou rien.

La toolbar d'Ask pour sa part est classée malware depuis longtemps, et la simple manière dont elle est distribuée dissuade.

Les forums grondent, et Antivir n'est plus recommandé en tant qu'antivirus gratuit. Les liens en fin de billet vous donneront plus de détails.

Tout ceci est déjà commenté abondamment sur la toile. Plusieurs problèmes subsistent.

Premier problème. Quel antivirus gratuit conseiller ? Avast (Alwil), MSE (Microsoft) ? Les comparatifs abondent et ne comparent rien de comparable (lire ceci par exemple). MSE quand à lui est distribué via l'authentification WGA (Windows Genuine), ce qui le rend impossible à installer sur les Windows copiés ou illégaux, qui sont souvent infectés en raison de leur hygiène sécuritaire douteuse (pas de mises à jour, cracks, consultation de sites piégés, etc).

Second problème : le modèle de la gratuité faiblit. On l'a vu avec Spotify puis Deezer. Trop de contournements des restrictions de la version gratuite ? Peut-être, peut-être pas, toujours est-il que la gratuité souffre ces derniers temps.

Troisième problème, en marge des préocupation concernant Avira, l'attrait malsain pour la fausse optimisation. Supprimer des centaines ou milliers de clés de registre n'allège pas votre machine et s'avère souvent dangereux (lire la dernière partie ici).

Pour vous faire votre propre idée voici quelques liens complémentaires sur cette triste affaire, et deux papiers sur les idées reçues. D'ailleurs... si vous vous manifestez, je pourrais bien en écrire un sur les comparatifs, si cela intéresse.

Le billet de Security Garden (MS-MVP) et les liens
Les idées reçues dans le monde logiciel
Les idées reçues en sécurité