“Non-non, les Mac ne sont pas plus sûrs que Windows”…

“Non-non, les Mac ne sont pas plus sûrs que Windows”…

31 mai 2016

Long préambule, important

Plusieurs milliers d’utilisateurs Mac ont déjà lu cet article et nous avons reçu un e-mail, d’une personne apparemment très contrariée, nous disant qu’il n’avait jamais eu de problème avec son Mac, alors qu’il avait actuellement une machine sous Windows 7 à réinstaller complètement, suite à une infection.

Ca n’est qu’1 e-mail de mécontentement, mais ce lecteur n’est peut être pas le seul à avoir cette réaction un peu “fâchée”, donc soyons clairs dès le début de cet article, même si nous espérons l’avoir été dans ce qui suit… Au passage, notre intention n’est évidemment pas de “fâcher” ni d’alarmer inutilement, mais elle n’est pas non plus de dire ce que nous avons tous envie d’entendre, à savoir que tout va bien, quand ça n’est pas le cas. Ca n’est pas notre “éthique” et on voit, dans de nombreux domaines que le “tout va bien” peut être aussi néfaste, à terme, que le “tout va mal”…

  1. Nous ne disons évidemment pas que Mac OS X est un “mauvais système”. C’est de très loin notre OS préféré depuis qu’il existe !
  2. J’ai personnellement administré plusieurs parcs informatiques de centaines de machines, avec une répartition Windows/Mac de 95%/5% environ. Si le rapport avait été l’inverse, mon activité aurait été des “vacances”…
  3. La version de Windows qui est citée dans l’article est Windows 10, pour laquelle Microsoft a fait de très gros efforts en matière de sécurité. On peut légitiment regretter que les mêmes efforts n’aient pas été faits par Apple.
  4. Le Mac est toujours infiniment moins visé par les attaques de toute sorte que Windows, mais intéresse de plus en plus les cybercriminels, ce qui est un problème sérieux pour au moins deux raisons : la première est que les utilisateurs Mac n’ont pas l’habitude de se protéger, parce qu’ils ont été longtemps très peu visés. La seconde est qu’Apple est, de l’avis de très nombreux experts en sécurité dont nous-mêmes, beaucoup trop laxiste en matière de sécurité et qu’il est impératif que cela change, et vite.
  5. Des utilisateurs qui, pour beaucoup ne savent pas se protéger (ou pensent que c’est inutile) + un OS qui ne protège pas suffisamment ses utilisateurs = recette pour de graves désillusions. 600 à 700 000 machines infectées par un trojan comme Flahsback, des dizaines de milliers de Macs maintenant infectés chaque mois, ne serait-ce que par des adware très collants, avec une tendance lourde à la hausse… cela mérite qu’on se penche un peu sérieusement sur le problème !

C’est tout ce que dit et explique l’article de l’IBT et nous ne pouvons qu’approuver. De plus, cela ne vient que renforcer ce que nous disons depuis la création de SecuriteMac.com.

L’International Business Times, sous la plume de Jeff Stone (spécialiste en sécurité nationale, espionnage, technologie et vie privée) a récemment publié un article, qu’il nous semble intéressant et utile de résumer ici, en y apportant quelques commentaires.

En effet, il répond bien, en termes compréhensibles par un “non-technicien” et en citant des sources très sérieuses, à l’une des questions qui nous sont fréquemment adressées, à savoir : “N’êtes vous pas un peu alarmistes, quand même ?”, “Pensez-vous que le Mac soit menacé à ce point-là et qu’un antivirus (ou un VPN) soit vraiment utile”, “Selon vous, Mac OS X n’est plus un système fiable ?”. Bien sûr, la forme varie mais, sur le fond, cela revient à cela : sommes-nous “paranos” ?

Réponse courte : “Nous sommes raisonnablement paranos”. :)

Ou encore : “Il ne suffit pas de ne pas être paranoïaque pour qu’on ne vous suive pas.”…

Réponse un peu plus étayée : en plus des raisons que nous donnons dans d’autres articles, notamment “Avez-vous besoin d’un antivirus sur Mac ?“, reprenons donc l’article de l’IBT du 11 mars 2016 (03/11/16, au format US).

Jeff Stone titre “Nope, Apple Computers Aren’t More Secure Than Windows. They’re Just Attacked Less”. Ce qui peut se traduire par… “Non-non, les ordinateurs Apple ne sont pas plus sûrs que Windows. Ils sont seulement moins attaqués.”

Traduction partielle & commentée…

“Il y a plusieurs choses que les utilisateurs Apple aiment encore plus que d’être des utilisateurs Apple. Les solides fonctionnalités de sécurité et un écosystème pratiquement épargné par les virus ont donné à l’amateur de Mac un sentiment de supériorité sur ses camarades utilisateurs de PC, criblés de virus.

Apple a gagné sa réputation en matière de sécurité il y a longtemps. Un groupe de hackers a prouvé en début de semaine à quel point celle-ci était archaïque, en prenant le contrôle de l’application BitTorrent Transmission, et en l’utilisant pour transmettre un malware [mallicious software, NDLR] aux utilisateurs Mac, qui chiffre [crypte] des fichiers sur la machine de la victime et réclame une rançon de $400 pour les lui restituer.”

Il n’a pas fallu attendre cette attaque pour savoir que Mac OS X n’était pas une forteresse. L’auteur mentionne seulement l’évènement le plus récent et le premier “ransomware” détecté sur Mac. D’autres malware ont fait infiniment plus de victimes ces dernières années.

“On ne sait pas précisément quelles versions d’OS X, le système d’exploitation du Mac, sont affectées. Mais ce que l’on sait, c’est que, pour une bonne part, la réputation de sécurité du Mac repose sur l’absence d’attaque. Pour la plupart des hackers professionnels, le plus petit écosystème que représente le Mac ne méritait pas qu’on s’y attarde. Mais c’est en train de changer. En effet, le fait que 6 500 personnes aient téléchargé ce software à leur insu a montré que le temps investi par les cybercriminels pour “cracker” [pénétrer, NDLR] un logiciel Apple, commence à payer.”

Ici encore, l’auteur ne mentionne pas le cheval de Troie “Flashback” et ses variantes, qui a infecté au minimum 600 000 Mac fin 2011-début 2012. Des variantes sont encore présentes, selon plusieurs sources. Même Apple le reconnaissait dans un article archivé, mis à jour le 21 février 2015.

Notez au passage qu’un “hacker” n’est pas forcément malveillant : il y a de nombreux hackers (“trafiqueurs/experts en manipulation de code informatique”, si l’on veut), qui n’ont aucune vocation à pirater ou nuire, au contraire. Mais dans ce contexte, il désigne les hackers malveillants.)

“Windows a été longtemps réellement vulnérable, et Mac n’avait qu’une petite part de marché, si bien qu’ils n’étaient pas autant visés”, dit Patrick Wardle, ancien employé de l’Agence de Sécurité Nationale des U.S.A., aujourd’hui directeur de recherche pour la société de sécurité Synack. “Si je devais hacker les appareils d’une organisation aujourd’hui, ce serait Apple. Il sont une proie facile en termes de sécurité.”

Wardle parle-t-il de la firme Apple spécifiquement ? Ou veut-il dire une organisation utilisant du matériel/software Apple ? La formulation laisse planer un doute, donc, citons-le en anglais dans le texte : “If I’m going to hack an organization’s devices now, it’s going to be Apple. They’re a security soft target.”. Ce serait Apple ? Ce serait du Apple ? S’il se sent capable de hacker Apple, il est assez probable qu’une autre firme utilisant des produits Apple soit davantage une “soft target” (cible/proie facile), ce qui est tout de même un peu préoccupant. D’autant que Wardle n’est pas le premier à tenir ce genre de propos. Espérons que cela aura un effet cumulatif et que l’on atteindra le point de bascule qui fera que notre bien-aimée Apple prenne réellement plus au sérieux les problèmes de sécurité (càd, qu’au delà des effets d’annonce et des “rustines”, investisse lourdement dans la sécurité, comme elle se doit de le faire).

“Les lacunes de sécurité d’Apple commencent par le logiciel censé le protéger. “Apple’s Gatekeeper”, introduit en 2012 avec Mac OS X Mountain Lion, est devenu la principale fonctionnalité de sécurité sur les machines sous OS X. Il vise à s’assurer que les utilisateurs ne téléchargent que des applications et autre software, que via l’App Store ou de développeurs qui incluent un certificat de sécurité pré-approuvé par Apple (qui vérifie l’identité du développeur en question). Cette mesure est destinée à empêcher les utilisateurs de télécharger des programmes tiers qui permettraient à des hackers de voler leur mots de passe et informations financières, faire des captures audio ou vidéo inaperçues, ou pire.”

“Mais Gatekeeper comporte lui aussi plusieurs vulnérabilités, dont des chercheurs ont prouvé qu’elles pouvaient être exploitées à des fins nuisibles. L’an dernier, Wardle a mis en évidence un mécanisme de Gatekeeper qui permettrait à des hackers de contourner la protection, en infectant des logiciels déjà approuvés par Apple. En clair, dès lors qu’une application avait été approuvée par Gatekeeper, elle était toujours considérée comme sûre, même si elle venait par la suite à propager un malware.

Apple a répondu aux révélations de Wardle en janvier, en délivrant une mise à jour n’incluant que les fichiers que Wardle leur avait signalés. La mise à jour n’a pas résolu le problème : des fichiers approuvés peuvent toujours être utilisés pour diffuser des logiciels véreux. C’est en essence ce qui s’est produit avec l’attaque au ransomware, dans laquelle les pirates ont tiré profit du certificat du développeur de Transmission pour diffuser leur code de rançonnage. “Je n’ai pas été vraiment surpris, on s’y attendait”, dit Wardle, ajoutant que les ordinateurs Apple utilisant El Capitan, la version la plus récente de Mac OS, sans antivirus, se situent à un niveau 5 sur une échelle de sécurité allant de 1 à 10. Windows 10 est plus proche d’un 7.”

Cela vous fait un petit choc ? C’est normal. Mais vous savez probablement qu’il y parfois des “chocs salutaires”. Quant à nous, cela ne nous surprend pas le moins du monde… sinon ce site n’aurait probablement jamais existé.

[…]

“Il y a deux ans, le nombre moyen de Mac infectés chaque mois variait entre 10 000 et 70 000 machines, selon la société de sécurité Symantec. Une étude publiée l’an dernier par la société de cyber-sécurité Bit9, affirme qu’en 2015 seulement “Le nombre d’échantillons de malware visant OS X a été cinq fois plus élevé qu’en 2010, 2011, 2012, 2013 et 2014 confondus.” On s’attend à ce que ce chiffre augmente très fortement en 2016, selon Symantec et d’autres prestataires de sécurité.”

Même si l’on se dit qu’ils ont, comme toute entreprise à vocation commerciale, intérêt à mettre en avant ce qui est favorable à leurs produits, plutôt qu’à minimiser les faits, les faits sont là et bien là, confirmés par des experts n’ayant aucun intérêt financier, contrairement à des sites de “comparatifs” aux procédures infiniment douteuses et aux “benchmarks” d’organismes prétendument officiels et prétendument indépendants.

“Apple n’a pas encore mis en œuvre différentes stratégies de sécurité auxquelles Microsoft a dû se résoudre à recourir, avec une part de marché mondiale de 91,39% des systèmes d’exploitation. Au lancement de Windows 10 l’été dernier, la société a offert une “prime de bug” de $100 000 à quiconque découvrirait une faille de sécurité et la signalerait via les canaux appropriés. Microsoft a également pris l’habitude de faire appel aux hackers qui leur ont rendu la vie difficile. ” […] Des tactiques de ce type auraient pu permettre de détecter des problèmes dans Gatekeeper et le processus de vérification des certificats, avant que les mesures de sécurité ne soient diffusées publiquement.”

[…]

“En plus de Gatekeeper, les ordinateurs Apple utilisent également la technique de Sandboxing, qui limite la quantité d’information à laquelle les applications peuvent accéder sur l’ordinateur d’un utilisateur”

“Sandbox” signifie “bac à sable”, impliquant les notions de restriction d’action et de contrôle : “Tu joues dans ton bac et tu ne touches pas au reste”.

On a cependant vu que de nombreuses applications peuvent malgré tout installer des fichiers dans /Library/LaunchAgents/ et /Library/LaunchDaemons/, permettant ainsi leur lancement au démarrage et pour tous les utilisateurs, y-compris les comptes administrateurs…, sans qu’aucune autorisation ne vous soit demandée, ce qui constitue selon nous une notion assez étendue du “bac à sable”. C’est pourquoi nous vous conseillons de protéger ces répertoires sensibles (ainsi que leur équivalent dans votre dossier personnel, comme nous l’expliquons ici .

[…]

“Une grande partie des mesures de limitation des risques de sécurité utilisées par Apple reposent sur Gatekeeper”, dit Patrick Wardle. “Ils ne sont tout simplement pas aussi proactifs que Microsoft avec sa “prime de bug” et la consultation de hackers tiers… mais ils font des tonnes d’argent, alors pourquoi dépenseraient-ils des tonnes d’argent sur la sécurité alors qu’ils n’en ont pas vraiment besoin?”. Apple a décliné tout commentaire sur cette histoire.”

L’article de l’IBT s’efforce de terminer sur une note “positive”, en écrivant qu’en revanche, les utilisateurs d’iOS sont généralement moins menacés que ceux d’Android (ce qui, à notre humble avis reste à prouver, mais nous connaissons beaucoup mieux Mac OS X et Windows qu’iOS et Android. D’autres sites sont plus qualifiés que nous pour en débattre.

Que retirer de tout cela en pratique ?

Qu’il faut passer à Windows 10 ? Evidemment non.

(Cela dit, quand on n’a pas le budget pour un MacBook Air et qu’on est prêt à se contenter de “moins bien” en seconde machine, une petit netbook à 200 € sous Windows 10 –bien nettoyé de ses fonctionnalités inutiles et bien configuré pour un maximum de confidentialité, peut être une option à ne pas exclure trop vite. Ne serait-ce qu’en attendant que les finances remontent, pour certains).

  • Que ce n’est pas parce qu’on a été jusqu’ici moins souvent attaqué qu’on est moins vulnérable. C’est malheureusement devenu le contraire, notamment depuis Windows 10, et en l’absence d’action significative d’Apple en matière de sécurité. C’est l’essence de l’article de l’IBT et, malheureusement nous l’approuvons, sans pour autant délaisser notre système d’exploitation favori, mais en prenant les mesures qui s’imposent désormais.
  • Que, comme nous le disons depuis la création de ce site, un antivirus est devenu indispensable sur Mac si l’on ne veut pas s’exposer, tôt ou tard, à des “soucis”, petits ou grands. Nous continuons de conseiller Intego Internet Security en premier choix (pas Mac Premium Bundle, à notre avis inutile (1).
    Ou, pour l’instant, l’ancienne version de Sophos antivirus, toujours disponible au téléchargement, si vous devez ou préférez vous contenter d’un bon logiciel gratuit, mais n’offrant pas la même protection.

    Notez bien que nous ne disons en aucun cas “payant = bon” et “gratuit = mauvais ou moins bon”, d’autant que l’inverse est parfois vrai… Mais dans le cas présent, Intego Internet Security offre une meilleure protection pour nos Mac (Intego est le seul éditeur d’antivirus à être spécialisé Mac), grâce, notamment, à sa double-fonctionnalité antivirus et firewall “entrant et sortant” (2).

  • Nous conseillons également un scan régulier (très rapide) à l’aide de MalwareBytes Anti-malware pour Mac (gratuit). C’est un produit extrêmement fiable et sa vocation n’est pas la même que celle d’un antivirus-firewall. Pensez-y particulièrement si vous avez des fenêtres surgissantes (pop-ups) trop fréquentes. Elles ne signent pas forcément la présence d’un “adware” mais ça n’est pas à exclure.
  • Si vous utilisez votre MacBook sur des points d’accès publics, nous ne saurions trop vous conseiller l’utilisation d’un VPN.
  • N’utilisez pas un compte administrateur comme compte principal ! Créez un compte “administrateur” et passez le vôtre en “standard”, si ça n’est déjà fait.
  • Enfin, ne paniquez pas, mais soyez proactifs : vous pouvez prendre des mesures simples et peu coûteuses pour rendre votre Mac plus sûr. Si vous devez faire un choix, commencez par l’antivirus (sauf utilisation fréquente des hotspots en mode non sécurisé — non “https:”

Notes

(1) La Premium Bundle inclut des fonctionnalités de “contrôle parental” déjà intégrées à Mac OS X, avec un peu moins d’options, mais généralement suffisant, une fonctionnalité de nettoyage de fichiers “inutiles” (il existe des alternatives gratuites et nous reviendrons sur le sujet du “ménage”…), et une fonction de sauvegarde (il y a de meilleures alternatives et la sauvegarde sélective, automatisée ou manuelle, sur support externe, en complément, n’est pas exclue…). La mention “Meilleur prix” sous ce produit est une mauvaise traduction de “Best Buy!” : comprenez que si vous achetez tous ces produits individuellement, vous économiserez en achetant la Bundle, mais Internet Security est à notre avis notre “best buy”.

(2) Mac OS X dispose d’un firewall “entrant”, que vous devez, à notre avis activer. Un firewall “entrant” et “sortant” comme NetBarrier, intégré à Internet Security permet de s’assurer qu’aucune application non autorisée n’envoie d’informations à l’extérieur, à un “serveur distant”, comme on dit un peu plus techniquement.

Nous avons lu récemment sur un forum Mac, sous la plume d’un des “gurus” dudit forum, qu’un firewall sortant, quel qu’il soit, ne servait absolument à rien : “…si un cheval de Troie envoie des informations à l’extérieur, le mal est fait, vous êtes déjà vérolé !”.

Ah bon ? Et si vous avez un cambrioleur chez vous, qui épluche vos informations confidentielles, vos identifiants et codes, et les envoie par SMS ou autre, ça ne vous intéresse pas de le savoir, Monsieur ? “Le mal est fait ?”. Sérieusement… si l’on s’aperçoit qu’un programme inconnu et suspect envoie des informations à l’extérieur, on peut être bien avisé de couper sa connexion internet, de vérifier depuis un autre poste ce qu’est ce programme et, s’il s’avère que c’est un malware dangereux, prendre les mesures qui s’imposent (changement d’identifiants/mots de passe, surveillance toute particulière de ses transactions bancaires, voire plus, si nécessaire, après investigation).

Nous remercions sincèrement l’International Business Times ainsi que Jeff Stone, et, si vous lisez l’anglais, nous vous recommandons de faire connaissance avec ce site sur lequel on trouve un grand nombre d’articles fort intéressants sur des thèmes très variés.