L'Allemagne ne fait pas confiance à Windows 8 et TPM 2.0
L'agence de sécurité allemande a préconisé au gouvernement fédéral d'éviter toute solution informatique basée sur Windows 8 et le module d'informatique de confiance (TPM), estimant qu'elles devenaient trop dangereuses.
Les autorités allemandes se méfient de Microsoft et de la prétendue "informatique de confiance", à laquelle ils n'accordent pas leur confiance.
En effet, le Trusted Platform Module (TPM), qui est un composant électronique de chiffrement des informations répondant aux spécifications déterminées par le Trusted Computing Group (TCG, ancêtre du TCPA), permet en théorie d'empêcher l'exécution de codes malicieux sur les ordinateurs. A l'instar de ce qui est désormais courant sur les smartphones et tablettes, il permet d'empêcher y compris sur ordinateur l'installation ou l'exécution de logiciels qui n'ont pas été vérifiés par le fournisseur du système d'exploitation, ou l'exécution de code signé sur un matériel dont les "droits" ont été supprimés. A l'inverse, il permet d'exécuter tout code correctement signé sur un matériel validé.
La France cherche une taupe
Or le BSI estime que les pouvoirs conférés par ce système à Microsoft et aux Etats-Unis sont trop importants, d'autant que toutes les spécifications auraient été vérifiées et validées par la NSA. L'intégralité des membres fondateurs du Trusted Computing Group sont américains (AMD, Cisco, HP, IBM, Intel, Microsoft et Wave Systems).
Jusqu'à présent, le Trusted Computing était désactivé par défaut. Mais Microsoft impose désormais qu'il soit activé de base sur les ordinateurs équipés de Windows 8, et il est prévu qu'il devienne obligatoire. D'où les craintes exprimées par l'agence allemande, qui a nuancé dans un communiqué en précisant qu'elle ne déconseillait pas l'utilisation de Windows 8 aux particuliers qui n'ont pas de besoins particuliers de sécurité, mais dans lequel elle confirme sa réticence.
"Du point de vue de la BSI, l'utilisation de Windows 8 associée à un module TPM 2.0 s'accompagne d'une perte de contrôle sur le système d'exploitation et le matériel utilisé", prévient-elle. "Cela résulte, pour l'utilisateur, et en particulier pour le gouvernement fédéral et les infrastructures critiques, en de nouveaux risques".
De son côté, en France, l'Agence Nationale de Sécurité des Systèmes d'Information (ANSSI) est restée très discrète sur le sujet, et s'est même fendue l'an dernier d'une petite annonce assez surréaliste. Ne pouvant assister elle-même aux travaux du Trusted Computing Group, elle se propose de rémunérer les entreprises membres du TCG, pour obtenir des comptes-rendus des réunions.