Faut-il imposer la vaccination obligatoire à nos PC?

Exclusif

Sous Windows 10, les mises à jour de sécurité seront à la fois automatiques et obligatoires. Solution simple à un problème complexe? Mal nécessaire? Ou fausse bonne idée qui pourrait se retourner contre nous?

Microsoft veut votre bien. Je présume que c’est pour cette raison que, selon ce que rapporte Ars Technica, la version domestique de Windows 10 ne vous permettra plus de bloquer les mises à jour de sécurité.

Windows Update ne vous laisserai plus que deux choix : mettre à jour votre PC immédiatement, ou le mettre à jour un peu plus tard.

En effet, le panneau de configuration de Windows Update ne vous laissera plus que deux choix : redémarrer votre ordinateur automatiquement après avoir téléchargé et installé toutes les rustines dès qu’elles auront fait leur apparition sur Internet, ou redémarrer un peu plus tard, sur commande – toujours après avoir téléchargé et installé toutes les rustines dès qu’elles auront fait leur apparition sur Internet. Le texte de la plus récente version des conditions d’utilisation du logiciel confirme que c’est pas mal ça qui est ça.

Au risque de m’attirer quelques bosses, je comparerai cette décision à celle de l’État de la Californie, qui vient de répondre à la surréaliste controverse au sujet de la vaccination en rendant celle-ci obligatoire, sauf pour les enfants dont le système immunitaire est jugé trop fragile. Autrement dit : il s’agit d’une décision qui vise le bien commun, même si elle risque de causer bien des maux de tête à certains utilisateurs, et qui a été rendue nécessaire par le comportement irresponsable d’une minorité d’écervelés. Mais contrairement à la loi californienne, la décision de Microsoft laisse un trou béant dans sa stratégie – qui pourrait bien la rendre caduque avant même qu’elle ne soit déployée.

Éradiquer une maladie informatique avec un minimum de bobos

En santé publique, on dit souvent que le principe de la vaccination consiste à «protéger le troupeau» : si la grande majorité de la population accepte les (petits) inconvénients liés au fait de se faire vacciner, même contre des maladies dont elles pourraient guérir sans trop de séquelles, les quelques personnes trop vulnérables pour supporter le vaccin elles-mêmes seront quand mêmes protégées parce qu’elles ne seront à peu près jamais exposées à des individus infectés.

L’installation obligatoire de rustines de sécurité vise le même objectif : si à peu près tous les utilisateurs de Windows 10 Home sont immédiatement protégés dès que Microsoft (ou un autre des développeurs dont les correctifs passent par Windows Update) détecte et répare une faille de sécurité, c’est l’ensemble de l’écosystème qui est protégé. La différence, c’est qu’en théorie il n’existe pas d’ordinateur trop «faible» pour survivre à l’installation d’une rustine de sécurité, alors l’effet de troupeau devrait être encore plus puissant. Une sacrée bonne raison d’agir.

Les bobos qui risquent de survenir quand même

Certaines personnes développent de violentes réactions allergiques aux vaccins. Les mises à jour automatiques aussi, peuvent provoquer des réactions catastrophiques.

On a bien rigolé avec l’histoire de l’équipe de basketball qui a été reléguée en 3^e division parce que le portable qui contrôlait le tableau indicateur de son stade était parti en mise à jour au mauvais moment et avait retardé un match crucial assez longtemps pour provoquer un forfait.

Mais il y a bien pire. Que se passera-t-il si une mise à jour s’avère incompatible avec une des composantes matérielles de votre PC et le transforme en brique? La force de l’écosystème Windows, c’est qu’il y a une quasi-infinité de configurations possibles; sa faiblesse, c’est qu’il est impossible de toutes les tester. Or, si une mise à jour obligatoire a déjà pu «briquer» un appareil aussi uniformément prévisible que la PlayStation 3, on ne peut même pas espérer que toutes les rustines installées automatiquement sur des millions de PC n’en détruiront aucun. Les probabilités sont trop faibles.

Pourquoi est-ce nécessaire

Parce que même si vous avez maintenu votre ordinateur à jour, le magasin qui a enregistré votre numéro de carte de crédit ne l’a peut-être pas fait, lui. Ni votre université. Ni votre gouvernement.

Pourquoi en sommes-nous rendus là? Parce que trop d’utilisateurs prennent des risques inutiles en négligeant de faire leurs mises à jour eux-mêmes, tout simplement.

Dans un monde idéal, les experts de la sécurité et les administrateurs de systèmes chevronnés installeraient les mises à jour sur des machines de test dès qu’elles seraient disponibles, histoire de débusquer les bogues susceptibles de détruire les machines des usagers moyens, et ceux-ci pourraient ensuite procéder à leurs propres mises à jour une fois que l’on serait raisonnablement certains qu’il n’y a pas de failles majeures dans les rustines. À chacun de choisir, de façon éclairée, la stratégie qu’il souhaiterait appliquer pour trouver le compromis qui lui convient entre ces deux formes de prudence.

Mais ce n’est pas ce que l’on constate dans la réalité. Pour un lecteur de Branchez-vous qui sait exactement ce qu’il doit faire, il y a des dizaines de non-lecteurs de Branchez-vous qui ne se préoccupent jamais de rien.

Et quand de nouveaux maliciels se répandent comme des traînées de poudre en exploitant des failles qui ont pourtant été corrigées depuis des mois ou des années, c’est tout le monde qui en souffre. Parce que même si vous avez maintenu votre ordinateur à jour, le magasin qui a enregistré votre numéro de carte de crédit ne l’a peut-être pas fait, lui. Ni votre université. Ni votre gouvernement.

La faille dans le système

C’est pourquoi j’ai un peu de mal à comprendre pourquoi l’édition de Windows 10 destinées aux entreprises, elle, permettra de retarder indéfiniment les mises à jour.

C’est vrai, les ordinateurs des entreprises remplissent des missions plus critiques que ceux des individus, et ils sont plus susceptibles d’être sous le contrôle d’un administrateur de système qui sait ce qu’il fait. On ne peut pas toujours interrompre la journée de travail de tout le département de la comptabilité pour installer des correctifs pendant une demi-heure, et il n’est peut-être pas bien dangereux, si le réseau de l’entreprise est bien protégé, de retarder la mise à jour jusqu’à la nuit tombée, quand les employés seront chez eux.

Mais une PME qui a Windows 10 Enterprise sur cinq ordinateurs, pas d’administrateur de système, pas de pare-feu, et qui désactive les mises à jour pour ne pas se faire déranger? N’est-elle pas aussi irresponsable que les parents qui ne font pas vacciner leurs enfants sans motifs valables? Et que dire de la grande organisation qui utilise encore sciemment des logiciels périmés pour sauver de l’argent?

Bref, espérons que l’effet de troupeau sera suffisant pour convaincre les pirates qu’il ne reste plus assez de PC Windows vulnérables pour qu’il soit rentable de les attaquer. Sinon, on n’aura peut-être pas gagné grand chose.