Cela va sans dire que les logiciels antivirus fiables jouent un rôle crucial dans la sécurité informatique. Alors que les malwares sont de plus en plus sophistiqués et prolifiques (plus de 350 000 échantillons de malware sont produits chaque jour), les individus autant que les entreprises ont besoin d’une protection face à ces menaces numériques moderne.
Cependant, les logiciels antivirus ne sont pas immunisés contre les problèmes relatifs à la confidentialité des données. Alors que l’industrie des antivirus est ostensiblement dans le camp des gentils, beaucoup d’antivirus se comportent tout de même d’une façon qui malmène la confidentialité des données de leurs utilisateurs. Soit, ils interceptent le trafic internet, vendent les historiques de navigation ou permettent l’accès clandestin à des agences gouvernementales, beaucoup d’antivirus sont coupables de mettre en péril ce qu’ils sont censés protéger : vos données.
Voici quatre façons dont les logiciels antivirus peuvent interférer avec votre vie privée.
1. En vendant vos données à des annonceurs tiers
Pour vous offrir la protection dont vous avez besoin, les antivirus ont besoin d’en connaître un maximum sur vous. Ils gardent constamment l’œil sur les programmes que vous ouvrez pour vérifier qu’ils ne soient pas contaminés par un logiciel malveillant, surveillent également votre trafic internet et vous empêchent d’accéder à certains sites potentiellement dangereux qui pourraient essayer de voler vos informations. Ils peuvent même copier automatiquement certains fichiers suspects sur votre ordinateur et les envoyer dans une base de données pour un complément d’analyse. Ce qui veut dire que s’il le décide, votre antivirus peut collecter et analyser une énorme quantité de vos données personnelles.
Un grand pouvoir implique de grandes responsabilités.
Alors que certains fournisseurs d’antivirus sont assez consciencieux avec les données de leurs clients et ne les utilisent que lorsque c’est absolument nécessaire, certains autres sont beaucoup moins scrupuleux.
AVG – il y a quelques années, AVG a fait l’objet de critiques quand l’entreprise a annoncé un changement de sa politique de confidentialité qui lui permettrait désormais de vendre les recherches et les historiques de navigation de ses utilisateurs à des tiers (c’est à dire à des publicitaires) afin de gagner de l’argent avec son antivirus gratuit. Bien évidemment, AVG, est loin d’être le seul antivirus à vendre les données de ses utilisateurs.
Avast – L’application Android gratuite et populaire Avast envoie des informations identifiables sur vous, comme votre âge, votre genre et les autres applications qui sont installées sur votre smartphone à des annonceurs tiers. Comme l’a expliqué un porte-parole d’AVG à Wired, « Beaucoup d’entreprises recueillent également des données tous les jours et sans en informer leurs utilisateurs. ».
Que ce soit les services VPN gratuits ou les antivirus gratuits, le vieil adage se vérifie encore une fois : Si vous ne payez pas pour le service, c’est que vous êtes probablement le produit.
2. En décryptant du trafic Internet crypté
La plupart des logiciels antivirus modernes incluent une sorte de protection lors de la navigation Internet qui vous empêche d’accéder aux sites connus pour faire du phishing ou héberger des malwares. Cependant, c’est plus facile à dire qu’à faire, car désormais une partie grandissante des données est transférée via le protocole HTTPS (protocole de transfert hypertexte sécurisé).
Le protocole HTTPS est utilisé par votre navigateur pour communiquer avec les sites Web. Le « S » de HTTPS veut dire « sécurisé » ce qui indique que les données envoyées sont cryptées ce qui vous protégé contre les attaques de l’homme du milieu ou les tentatives d’usurpation d’identité. Aujourd’hui 93% des sites Web ouverts avec Google Chrome se chargent en HTTPS, ils n’étaient que 65% en 2015. Si vous voulez savoir si un site utilise bien le protocole HTTPS, regardez l’URL, ou chercher une icône de cadenas dans la barre d’adresse.
L’adoption rapide de l’HTTPS a permis de faire du Web un endroit plus sûr, mais il a également créé un nouveau problème aux entreprises d’antivirus. Normalement, quand vous visitez un site utilisant le protocole HTTPS, votre navigateur vérifie le certificat SSL du site pour s’assurer de son authenticité. Si tout se passe bien, une connexion sécurisée est établie, le site charge et vous pouvez naviguer dessus à votre guise, assurés que le site n’est pas une contrefaçon.
Mais il y a juste un petit problème. Puisque la connexion est cryptée, il n’y a donc aucun moyen pour votre antivirus de savoir si le site auquel vous essayez de vous connecter est légitime ou malveillant.
La plupart des antivirus utilisent donc un intercepteur HTTPS pour remédier à ce problème. Ceci implique l’installation d’un serveur proxy local qui crée de faux certificats SSL. Lorsque vous visitez un site Web HTTPS, votre connexion transite par le serveur proxy de votre antivirus, qui crée un nouveau certificat SSL et vérifie la sécurité du site auquel vous essayez d’accéder. Si votre antivirus estime que le site est sûr, il se charge normalement. Si le site lui apparaît malveillant, le proxy va afficher une alerte dans votre navigateur.
En redirigeant vos données à travers un proxy, votre antivirus décrypte les données que vous envoyez à travers une connexion cryptée – des données qui ne sont normalement visibles que par vous et le site Web HTTPS auquel vous tentez de vous connecter.
Il y a plusieurs conséquences à ça :
- Parce que votre antivirus produit de faux certificats SSL, il n’y a aucun moyen d’être sûr à 100% que le site web affiché dans votre navigateur est le vrai. En fin 2017, Tavis Ormandy, chercheur du projet Zéro de Google, a découvert un bug majeur dans le logiciel de Kaspersky. Pour décrypter le trafic à des fins d’inspection, Kaspersky présentait ses propres certificats en tant qu’autorité de confiance, en dépit du fait que ces certificats n’étaient protégés que par des clés de 32 bits et pouvaient être forcés en quelques secondes. Ce qui voulait dire que les 400 millions d’utilisateurs de Kaspersky étaient tous extrêmement vulnérables aux attaques jusqu’à ce que l’entreprise corrige ce problème.
- La plupart des logiciels antivirus interrogent la sécurité d’un site au niveau du serveur, ce qui sous-entends qu’ils pourraient en profiter pour facilement pouvoir traquer vos habitudes de navigation.
- Ça augmente également le risque de phishing et d’attaque de l’homme du milieu.
Un équipe de chercheurs a même publié un papier sur les implications troublantes en matière de sécurité de l’interception HTTPS par des sociétés antivirus populaires, ils ont écrit :
En tant que classe, les produits d’interception (les solutions antivirus qui interceptent l’HTTPS) réduisent drastiquement la sécurité des connexions. Plus inquiétant encore, 62% du trafic passant par une middlebox réseau ont une sécurité réduite et 58% des connexions middlebox montrent des vulnérabilités sévères. Nous avons enquêté sur les antivirus et les proxys d’entreprise les plus répandus, constatant que presque tous réduisent la sécurité des connexions et que beaucoup introduisent des vulnérabilités (par exemple, ne parviennent pas à valider les certificats). Bien que la communauté de la sécurité sache depuis longtemps que les produits de sécurité interceptent les connexions, nous avons largement ignoré le problème, estimant que seule une petite fraction des connexions étaient affectées. Cependant, nous constatons que l’interception est devenue étonnamment répandue et avec des conséquences inquiétantes.
VPN.ac a également examiné ce problème et a découvert que les suites antivirus pratiquant l’interception HTTPS, brisaient également le mécanisme HPKP (Public Key Pinning) :
Le mécanisme HPKP est une technologie permettant aux opérateurs des sites Web de se « rappeler » des clés publiques des certificats SSL dans les navigateurs, en imposant l’utilisation de clés publiques spécifiques pour des sites Web spécifiques. Cela réduit le risque d’attaques HDM qui utiliseraient des certificats SSL malhonnêtes/non autorisés. Mais l’analyse HTTPS et HPKP ne peuvent pas fonctionner ensemble, donc si un site Web a activé HPKP, lorsque vous y accédez, le support HPKP pour ce site sera désactivé dans le navigateur.
VPN.ac a trouvé ce problème chez ESET, Kaspersky, et Bitdefender.
Astuce : évitez les antivirus utilisant l’interception/scan HTTPS ou désactivez cette fonctionnalité dans les paramètres.
3. En installant des programmes potentiellement indésirables sur votre ordinateur
Même si votre antivirus ne constitue pas une menace directe pour votre vie privée, il peut être installé avec des programmes qui le sont. Comme leur nom l’indique, les programmes potentiellement indésirables PPI ou PUP en anglais, sont des applications que vous pouvez ne pas vouloir installer sur votre ordinateur pour différentes raisons.
Bien qu’ils ne soient techniquement pas malveillants, ils changent l’expérience utilisateur de manière indésirable, soit en affichant des publicités, en modifiant votre navigateur par défaut ou en monopolisant les ressources de votre système.
Les PPI sont mauvais pour votre vie privée et pour les performances de votre ordinateur.
Un grand nombre d’antivirus gratuits sont livrés avec des PPI comme des barres d’outils, des logiciels publicitaires et des plug-ins que vous pourriez installer par inadvertance en cliquant trop rapidement pendant le processus d’installation.
Par exemple, les versions gratuites d’Avast et de Comodo, tentent d’installer leurs propres navigateurs Web Chromium, que vous le vouliez ou non sur votre ordinateur. De son côté, AVG AntiVirus Gratuit installe automatiquement SafePrice, une extension de navigateur qui prétend pouvoir vous aider à trouver les meilleurs prix lors de vos achats en ligne. Malheureusement, il peut également lire et modifier toutes vos données sur les sites Web que vous visitez.
Il y a quelques années, Emsisoft a trouvé que la plupart des antivirus gratuits étaient installés avec des PPI. Voici une liste des coupables :
- Antivirus Comodo Gratuit
- Avast Gratuit
- Antivirus Panda Gratuit
- AdAware Gratuit
- Avira Gratuit
- Antivirus + Firewall ZoneAlarm Gratuit
- AVG Gratuit
Les PPI ne sont pas naturellement malveillants, mais peuvent tout de même sérieusement compromettre votre vie privée. Alors que certains de ces programmes vont enregistrer votre historique de navigation pour vendre les données, d’autres risquent de compromettre la sécurité de votre système, affecter les performances de votre ordinateur et faire baisser votre productivité. N’installez pas ces programmes, prenez le temps de lire les options durant le processus d’installation et n’installez que le logiciel et les fonctionnalités dont vous avez vraiment besoin.
4. En coopérant avec les gouvernements
Le dernier point, mais pas des moindres : il est théoriquement possible qu’un antivirus puisse être utilisé pour aider les agences gouvernementales à collecter des informations sur ses utilisateurs. La plupart des logiciels de sécurité ont des accès très étendus et peuvent donc avoir accès à tout ce qui est enregistré sur votre machine, ce qui est nécessaire au logiciel pour fonctionner normalement. Il est facile de voir comment cet état de fait pourrait être utilisé par des personnes mal intentionnées pour espionner des individus, des entreprises ou des gouvernements.
Il y a quelques années, Kaspersky Lab, une entreprise de cyber sécurité basée en Russie dont les produits représentent environ 5,5% des antivirus présents dans le monde, a été impliquée dans un important scandale concernant la confidentialité. Selon le Washington Post, le logiciel Kaspersky utilisait un outil dont la fonction première servait à protéger l’ordinateur des utilisateurs, mais pouvait également être manipulé pour collecter des informations n’ayant aucuns rapports avec les malwares. Kaspersky est la seule entreprise d’antivirus à faire transiter ses données par l’intermédiaire de fournisseurs d’accès Internet russes, qui sont soumis au système de surveillance de la Russie.
En septembre 2017, le gouvernement des Etats-Unis a interdit aux agences fédérales d’utiliser le logiciel de Kaspersky Labs à la suite d’allégations selon lesquelles Kaspersky collaborerait avec les services de renseignement russes. Peu de temps après, le FBI commença à faire pression sur les revendeurs du secteur privé pour qu’ils cessent de distribuer les produits Kaspersky et le gouvernement britannique a lancé un avertissement aux ministères à propos des risques à utiliser les logiciels Kasperky.
Il serait bien sûr naïf de penser que les problèmes se limitent aux logiciels russes. Le gouvernement des Etats-Unis ainsi que d’autres gouvernements étrangers ont été pris en train de coopérer avec des entreprises technologiques dans le cadre de leurs programmes de surveillance de masse. Renseignez-vous sur le Programme PRISM pour comprendre comment les grandes entreprises de technologie et big Brother travaillent main dans la main pour vous espionner.
« Les antivirus sont l’ultime porte dérobée » explique dans le The New York Times, Blake Darché, un ancien opérateur de la N.S.A. et cofondateur d’Area 1 Security. « Ils fournissent des accès à distance, constants, fiables et peuvent être utilisés à n’importe quelle fin, que ce soit lancer une attaque destructrice ou espionner des milliers, voire des millions de personnes. »
Choisissez votre logiciel antivirus avec précaution
Dans le meilleur des cas, les fournisseurs d’antivirus utilisent vos données de manière responsable pour améliorer leur produit et vous offrir la meilleure protection possible contre les malwares.
Dans le pire des cas, ils revendent vos données à des annonceurs tiers, installent des logiciels pénibles sur votre PC et coopèrent avec des agences gouvernementales pour espionner vos informations personnelles.
Comment donc s’y retrouver dans tout ça ?
- Payez pour votre logiciel antivirus. La plupart des antivirus gratuits sont assez laxistes en ce qui concerne la confidentialité de vos données, contrairement aux logiciels premium, car ils doivent bien trouver un moyen de se faire de l’argent d’une manière ou d’une autre.
- Lisez le contrat de licence utilisateur. Sachez dans quoi vous vous embarquez avant d’installer le produit. Prenez le temps de lire le contrat de licence et/ou la politique de confidentialité de l’entreprise pour savoir ce qu’elle a l’intention de faire de vos données.
- Lisez les options d’installation : Il est facile de cliquer sur « Suivant » sans vraiment regarder quand on installe un nouveau logiciel. Ce qui peut entraîner l’installation de barres d’outils de navigateur, de logiciels publicitaires et de toutes sortes d’autres PPI, qui peuvent empiéter de diverses façons sur votre vie privée.
- Personnalisez les paramètres de confidentialité. Certains logiciels antivirus vous permettront de personnaliser les options de confidentialité tels que les statistiques d’utilisation, le comportement de navigation et la possibilité de télécharger des fichiers malveillants pour analyse. Ajustez ces paramètres pour maximiser le respect de votre vie privée.
- Lisez les rapports sur les antivirus. Certains analystes indépendants publient des rapports sur la manière dont les fournisseurs d’antivirus traitent vos données. Prenez le temps de lire ces rapports ainsi que des avis pour avoir une meilleure vision de la réputation de l’entreprise et de la manière dont elle traite les questions de confidentialité.
Il est également important de noter que cet article ne vous encourage en aucun cas à ne pas utiliser d’antivirus au nom de la protection de votre vie privée, car il y en tout de même de très bons.
Les logiciels antivirus sont une part essentielle de la sécurité informatique moderne et jouent un rôle crucial dans la protection de vos données contre les malwares, le phishing et pléthore d’autres attaques numériques qui constituent des menaces sérieuses pour les utilisateurs.
Bien que certains fournisseurs d’antivirus soient trop curieux et doivent être évités, il existe tout de même des entreprises qui sont très conscientes de la protection de la vie privée de leurs utilisateurs. Emsisoft, par exemple, s’est taillé une réputation de fournir une protection fiable sans pour autant compromettre la vie privée de ses utilisateurs.
Faites donc vos recherches, pesez vos options avec prudence et rappelez-vous que les antivirus ne sont pas tous égaux pour ce qui est du respect de votre vie privée.