L’Antivirus est (encore) mort…

Récemment, Robert O’Callahan, un ancien développeur de Firefox a tenu des propos controversés en affirmant que les utilisateurs devaient supprimer leur protection antivirus dans la mesure où celles des systèmes d’exploitation étaient suffisantes.

Nous allons analyser ses propos et par la même occasion briser quelques mythes.

Pas besoin d’antivirus ?

Tout le monde reconnaît de nos jours l’abondance des malwares. Il ne s’agit pas d’un problème spécifique à un pays en particulier ; il est partout. Selon Kaspersky Lab, 31,9% des ordinateurs ont été infectés au moins une fois.

En 2016, les solutions de Kaspersky Lab ont repoussé 758 044 650 attaques lancées depuis des ressources en ligne localisées partout dans le monde. Les composants antivirus du Web ont reconnu 261 774 932 URL comme étant malveillantes et détecté 69 277 289 objets malveillants (scripts, exploits, exécutables, etc.). Les ransomwares à chiffrement ont ciblé 1 445 434 ordinateurs d’utilisateurs. Les solutions de Kaspersky Lab ont bloqué des tentatives de malwares capables de détourner de l’argent via les banques en ligne sur 2 871 965 appareils.

Vous pouvez en lire davantage ici.

Bien sûr, les utilisateurs responsables suivent des recommandations générales de sécurité et minimisent les risques. Ils mettent à jour leur système d’exploitation et leur logiciel immédiatement, se rendent sur des sites web de confiance, n’ouvrent jamais de pièces jointes ou des liens suspicieux (même ceux envoyés par des amis ou des collègues), etc.

Ces utilisateurs ont en effet moins de risques de voir leurs appareils infectés. Bien évidemment, les piratages de ressources web populaires et des vulnérabilités critiques sur un logiciel sont communs, mais pas assez fréquents pour augmenter de manière significative les chances qu’un utilisateur expérimenté soit infecté.

Cependant, la majorité des utilisateurs sur Internet, que ce soit des particuliers ou des professionnels, cherchent plus de tranquillité et à éviter les problèmes. Ils veulent tout simplement vivre leurs vies numériques et pouvoir cliquer sur un lien qu’un proche leur a envoyé.

Ils souhaitent que leur logiciel se mette à jour automatiquement et sans complication. Ils veulent s’assurer de la fiabilité d’un site web recommandé par leurs amis.  Ils sont curieux d’explorer le monde numérique. Au travail, ils veulent s’assurer de pouvoir ouvrir un CV envoyé par un candidat (qui est, dans la plupart des cas, une personne inconnue de l’entreprise).

Si vous faites partie de ces personnes, tant mieux pour vous. Nous saluons vraiment vos efforts, cependant la plupart des utilisateurs ont encore besoin d’une protection supplémentaire. Le fait de les avertir ne signifie pas qu’ils seront mieux protégés.

Je suis d’accord pour dire qu’un comportement responsable sur Internet est le moyen de protection le plus efficace. C’est la raison pour laquelle nous passons tant de temps à sensibiliser les utilisateurs. Mais imaginons qu’on parle de vos enfants ou de vos parents, ou de vos arrière grands-parents. Savent-ils adopter une attitude responsable sur Internet ?

Les antivirus sont indispensables, tout autant que des gilets de sauvetage ou des airbags. Si vous n’en avez jamais eu l’utilité, c’est tant mieux pour vous. Mais lorsque vous en avez besoin, il n’y a pas d’avertissement, et peuvent vous éviter bien des ennuis.

Les malwares sont-ils si nuisibles ?

Certains utilisateurs pourraient se demander : « Ok, mon ordinateur est infecté, et alors ? Il n’y a pas mort d’homme. Je n’irai pas sur ma banque en ligne, je n’utiliserai pas mes cartes de crédit sur Internet, de toute façon je n’ai rien à cacher ».

En réalité, il existe toute une variété de programmes malveillants. Certains ne font que vous espionner pour recueillir vos préférences et ensuite utiliser vos données à des fins marketing, d’autres cliquent sur des URL en votre nom pour booster le nombre de visites sur un site web. Certains attaquent des serveurs à distance, en utilisant votre serveur comme une base d’attaque, ce qui peut vous faire valoir une visite de la police. Certains chevaux de Troie allument discrètement votre webcam.

Toujours convaincu de laisser votre ordinateur et vos appareils sans protection ? A présent, imaginez ce scénario : Vous cliquez sur une pièce jointe ou un lien envoyé par un ami et toutes vos données se retrouvent chiffrées et détenues en l’échange d’une rançon. Vous perdez accès à tout : votre album de mariage, les photos de vos enfants, des photos très personnelles, vos documents, y compris des accords, votre testament, le roman que vous avez mis la moitié de votre vie à écrire, tout ! Même le stockage sur le Cloud comme Dropbox qui synchronise et sauvegarde automatiquement vos fichiers ne résoudra pas forcément le problème. Il est très probable que vos fichiers chiffrés localement écrasent les versions sauvegardées sur le Cloud.

Bien sûr, vous pouvez toujours essayer de payer la rançon. Ça pourrait fonctionner. Vous devriez, pour environ 200$, récupérer vos fichiers. Ou peut-être pas : nos études prouvent que dans un cas sur cinq, ce n’est pas le cas.

L’antivirus de Windows 10 est-il suffisant ?

Mais revenons à nos moutons. D’un côté, O’Callahan déclare que les antivirus ne sont plus nécessaires, cependant de l’autre, il suggère d’activer l’antivirus par défaut du système d’exploitation.

Il est dur de dire s’il reconnaît que la protection est toujours requise ou s’il considère simplement que toutes les solutions de sécurité sont les mêmes. S’il s’agit de cette dernière hypothèse, cet expert en informatique devrait davantage se renseigner sur la sécurité informatique. Les solutions antivirus varient énormément en ce qui concerne la qualité de protection, l’impact sur la performance du système et les faux positifs.

La satisfaction des utilisateurs peut vous en dire long sur l’efficacité d’un produit, mais pas tant que ça. C’est la raison pour laquelle les produits antivirus sont aussi testés par des laboratoires indépendants et obtiennent des récompenses pour leur excellente performance et leurs résultats. Voici un exemple qui devrait intéresser O’Callahan : notre propre Kaspersky Internet Security, comparé à la solution de sécurité de Windows 10.

Le laboratoire de référence AV-Test comparant Kaspersky Internet Security et la protection de base de Windows 10 par Microsoft. Source.

Comme vous pouvez le voir, en matière de faux positifs (la colonne « ergonomie »), ou de l’impact sur la performance, Microsoft Windows Defender est similaire à Kaspersky Internet Security. Mais lorsqu’il s’agit du paramètre principal (la protection), Windows Defender est loin de répondre aux attentes, il n’a obtenu que 3 points sur 6, ça en dit long.

De plus, choisir les acteurs les moins expérimentés sur le marché des antivirus est déconcertant. Jetez un coup d’œil à cette image, montrant qui a terminé le plus souvent dans le top 3, basée sur 94 normes de référence et tests. Vous voyez une trace de Microsoft ?

L’axe vertical représente le pourcentage du nombre de fois où une solution de sécurité s’est retrouvée dans le top 3. L’axe horizontal représente le nombre de fois où une solution a été évaluée. La taille du cercle représente le nombre de fois où un produit a été élu vainqueur.

Pourquoi un antivirus devrait-il être intégré à un navigateur ?

O’Callahan se demande aussi pourquoi les solutions de sécurité traquent l’activité du navigateur web, interceptent et analysent le trafic. Il a déclaré que si ce n’était pas pour les « antivirus inutiles », les développeurs de navigateur auraient conçu leur propre protection efficace depuis longtemps.

Sur ce point, je voudrais ajouter que les développeurs travaillent en effet dur pour minimiser les risques des vulnérabilités critiques, et je suis sûre qu’ils se sentiraient beaucoup libres sans les antivirus planant au-dessus des processus de navigateur.

Permettez-moi toutefois de vous rappeler M. O’Callahan, que les vulnérabilités représentent un vecteur d’attaque évident pour les malwares d’infecter un système d’utilisateur, mais ce n’est pas le seul. Une solution de sécurité compétitive requiert une protection contre l’hameçonnage, les textes malveillants, du contenu inapproprié, de la publicité omniprésente, et le suivi en ligne, tout en sécurisant les paiements sur Internet et empêcher parfois un utilisateur de télécharger et d’exécuter des malwares. Toutes ces menaces sont liées à l’activité du navigateur, cependant un navigateur ne se protège pas contre elles, du moins, pas très bien.

C’est pourquoi un navigateur et un antivirus devraient être étroitement intégrés. Pour Kaspersky Lab, la compatibilité et l’ergonomie sont tout aussi importantes que les développeurs de navigateurs. C’est la raison pour laquelle nous avons un groupe d’experts qui mènent de manière proactive des tests et réparent des failles dès que les versions bêta du navigateur sont disponibles pour les développeurs. Lorsque nous détectons un problème, nous contactons aussitôt les développeurs.

Lever le mystère sur quelques points supplémentaires

Quelques points méritent d’être éclaircis.

O’Callahan a indiqué qu’il est nécessaire d’appliquer des patchs sur le logiciel et le système d’exploitation afin de garantir une protection. C’est juste, les patchs minimisent le risque d’infection via des vecteurs connus. Nous sommes d’accord pour dire que la mise à jour est fondamentale. C’est pourquoi nous avons lancé une nouvelle composante dans Kaspersky Internet Security 2017, appelé Software Updater, et qui automatise les patchs.

Il a également indiqué que les antivirus pouvaient avoir des bugs et des vulnérabilités. C’est vrai, toutefois, Kaspersky Lab gère ces problèmes de manière responsable. Nous disposons d’ailleurs du Programme Bug Bounty qui finance les chercheurs réussissant à trouver des vulnérabilités dans nos produits.

Enfin, O’Callahan a indiqué que certains programmes antivirus avaient un impact sur la performance du système. C’est vrai. Toutefois, les solutions de sécurité de Kasperky Lab ont un impact minime sur la performance,  les tests d’évaluation indépendants le confirment.

Source 1; Source 2; Source 3

Une petite théorie du complot

Il y a un autre fait étrange à propos des états d’âme de l’ex employé de Firefox. Il a déclaré que les relations publiques de l’entreprise cherchaient toujours à étouffer ses plaintes concernant les logiciels antivirus afin d’éviter que les entreprises de sécurité ne se vengent. Mais face à la désapprobation constamment émise, je n’ai jamais entendu parler de sanctions ou de contre-attaques venant de ses ennemis jurés. Je reste perplexe quant à la nature de ses craintes.

Robert O’Callahan avait critiqué d’autres logiciels auparavant. En 2010, il s’était disputé avec Microsoft au sujet des affirmations de ce dernier déclarant qu’Internet Explorer était le seul navigateur à supporter l’accélération logicielle. En 2013, il avait attaqué Blink, le nouveau moteur de rendu de Chrome. En 2014, il appelait à boycotter Chrome, en déclarant que Google monopolisait Internet, et en 2017, il indiquait que tous les développeurs de navigateurs à l’exception de Mozilla, accordaient plus d’importance aux profits qu’aux utilisateurs.

D’un point de vue plus large, les utilisateurs ont déclaré que l’antivirus était mort et inutile. Les développeurs de navigateurs semblent être les derniers à vouloir clore le sujet. Par exemple, Darren Bilby, ingénieur en sécurité chez Google, a récemment indiqué que la sécurité des logiciels était « inutile ».

Je ne peux pas le savoir à coup sûr, peut-être que les programmes antivirus empêchent les développeurs de navigateurs de faire davantage de bénéfices. Après tout, les navigateurs sont pour la plupart gratuits, ils sont financés grâce à des publicités contextuelles et autres types de publicités. Les antivirus protègent des publicités indésirables et du suivi des utilisateurs. En d’autres termes, la protection des utilisateurs est en contradiction avec les intérêts des développeurs de navigateurs.

Mais il ne faut pas faire de suppositions hâtives. Notre mission est de protéger les utilisateurs des menaces, et nous restons fidèles à ces principes. C’est ce que nous appelons la vraie cybersécurité.