Quelle frontière peut-on dresser aujourd'hui entre logiciels
espions (spyware) et logiciels publicitaires (adware) ? Souvent
décriés pour leurs caractères intrusifs, les logiciels publicitaires
se contentent pour certains d'afficher des fenêtres de publicité
sur le navigateur de l'internaute. Mais le principe de l'adware
va parfois plus loin, collectant à l'insu de l'utilisateur des
informations commerciales pour les retransmettre à un serveur
distant de la marque.
Or, la collecte d'informations personnelles reste difficilement
compatible avec une politique très stricte de la sécurité
informatique en entreprise. Les éditeurs de logiciels de sécurité
l'ont bien compris et avec l'arrivée récente de Symantec sur
ce marché (lire l'article
du 26/04/2005), possèdent désormais tous un moteur anti-spyware
à leur catalogue. Bloqués par les outils de sécurité, les
éditeurs de logiciels publicitaires se battent depuis pour
passer entre les mailles du filet.
Ainsi
Gator, éditeur du logiciel éponyme, a obtenu temporairement
de Computer Associates le retrait de son produit de la liste
noire de l'antivirus du groupe Pest Patrol. Pour ne s'exposer
à des procédures juridiques lourdes, les spécialistes de la
sécurité remettent aujourd'hui la responsabilité du filtrage
à l'utilisateur lui-même.
"Le filtrage et l'éradication de logiciels espions dépendent
de la volonté de chacun. Notre gamme par défaut ne comporte
pas de solutions anti-spyware ou anti-adware. Par contre,
l'utilisateur peut choisir de travailler avec des bases avancées
et dispose alors de ce type de fonctions", déclare Marc Blanchard,
directeur du centre européen de recherche anti-virus de Kaspersky.
Même son de cloche chez Panda Software. "Il n'y a pas d'obligation.
Dès lors qu'un logiciel ne doit pas être téléchargé, c'est
à l'entreprise de le faire, pas au salarié", affirme Stéphane
Gili Maro, directeur marketing de l'éditeur Panda. Cependant,
cette politique limite de fait l'usage d'anti-spyware dans
les PME ou TPE où les politiques de sécurité ne sont pas toujours
supervisées et les outils de gestion de parc moins présents.
| La
classification adware / spyware reste encore floue, de
même que le traitement de ces menaces |
D'autres comme Sophos préfèrent trancher nettement entre
deux catégories de produits : les spywares malveillants, proches
des vers actuels, et les logiciels dits à risques.
"Le spyware
malveillant va prendre des informations à l'insu de l'utilisateur
et les mettre à disposition ailleurs. Il n'y a donc pas besoin
de poser de questions, l'antivirus classique les identifie
et les éradique. Dans le cas des adware, le logiciel ne s'installe
pas à l'insu de l'utilisateur, tout était expliqué dans les
conditions de licences", souligne Michel Lanaspèze, directeur
marketing et de la communication.
D'une manière générale, les professionnels de la sécurité
ont choisi d'arbitrer en fonction du comportement du logiciel
(installation cachée ou non, fonctionnalités clairement explicitées)
et des risques potentiels occasionnées par le produit (capture
d'écrans, enregistrement des touches claviers, envoi d'informations
à distances
).
Si le traitement réservé aux logiciels espions
reste aujourd'hui la suppression pure et simple du programme,
celui réservé aux logiciels publicitaires varient fortement
selon l'éditeur.
Chez Sophos, les adwares ne donnent lieu à aucun traitement
particulier. Une stratégie qui devrait changer puisque l'éditeur
prévoit d'introduire prochainement un outil spécifique, proche
de la gestion d'actifs. Kaspersky de son coté, traite indifféremment
spyware et adware.
L'utilisateur s'il choisit de travailler
en mode "base avancée" supprime automatiquement riskware,
adware, pornware et dialers. Enfin, Panda Software réunit
spyware, adware, virus et vers dans une même base unique.
A l'utilisateur de définir le niveau de sécurité qu'il souhaite.
L'enjeu pour l'entreprise est double. D'abord, elle doit
se réapproprier sa bande passante, parfois occupée à tort
par des programmes publicitaires. D'autre part, elle cherche
à contrôler les informations sortantes, s'assurant ainsi qu'aucune
donnée confidentielle ne pourra être exploitée comme par exemple
les versions des logiciels qui renseignent les hackers sur
les failles possibles du système d'information.
Aux clients donc de bien étudier l'offre en fonction de ses
besoins, en attendant une uniformisation des produits. Reste
que celle-ci semble difficile à obtenir puisqu'elle nécessite
une définition claire et précise des limites de logiciels
publicitaires. Une telle action ne sera possible qu'avec une
coordination des législations nationales sur le sujet du respect
de la vie privée et de la confidentialité des données.
|
