Depuis les premières annonces de Microsoft au sujet de Palladium, l’ensemble des observateurs du monde de l’informatique s’émeut de cette nouvelle stratégie de la firme de Redmond. Entre tous ces rapports souvent alarmistes, il est peu évident de s’y retrouver, et de garder une appréciation lucide de l’initiative Palladium et de ses implications.



Être objectif semble difficile quand on touche à des sujets aussi sensibles que la sécurité des données personnelles et que, de surcroît, l’ombre de Microsoft plane sur le débat. Néanmoins, on peut s’essayer à y voir plus clair, et se faufiler entre les propos démagogiques de Microsoft et l’alarmisme démesuré à l’heure actuelle de ses pourfendeurs.



En 2 parties, consacrées d’une part à l’explication de ce qu’est Palladium, et d’autre part à l’analyse de cette nouvelle stratégie de Microsoft, nous allons donc essayer d’y voir plus clair…



Palladium, c'est quoi ?



Pour le moment, ce projet s’avère très flou, et il semble que ce ne soit pas pour déranger Microsoft. L’objectif de Palladium est (selon Microsoft) de rendre l’ordinateur « digne de confiance » . Cela passe principalement par l’association de briques logicielles et matérielles (Microsoft s’est ainsi assuré la collaboration d’AMD et Intel) au sein du PC.



Schématiquement, des données confidentielles seront écrites dans un endroit protégé (une puce spéciale disposée sur la carte mère, par exemple), et seuls des logiciels autorisés (choisis par l’utilisateur) pourront avoir accès à ces données.

Dans ce cadre, le but de Palladium est de s’assurer (par des moyens d’authentification et de cryptologie) que les logiciels qui accèdent à ces données sont sécurisés, et qu’ils accèdent à ces données de manière sécurisée. Pour ce faire, Palladium propose d’exécuter les logiciels estampillés Palladium dans un espace mémoire réservé, qui sera lui aussi certifié inviolable.



Bien sûr, tout ceci sera géré par un système d’authentification des logiciels et du matériel, qui est (malheureusement) peu détaillé par Microsoft. Une chose est sûre : pour tirer parti de Palladium, les logiciels devront être réécrits, et tourner sur des ordinateurs d’un type nouveau. Il est même évoqué l’obligation probable d’utiliser un clavier spécial (avec une puce lui aussi). En somme, l’ensemble des composants d’un PC devront être repensés, pour que la sécurité soit réellement « à tous les étages ».



Pour se fixer les idées (ça ne peut pas faire de mal), imaginons par exemple une utilisation simple de Palladium, dans le monde parfait de Microsoft. Lors de l’installation de votre PC, vous avez entré des informations personnelles, qui sont donc stockées de manière sécurisée. Vous souhaitez par la suite acheter en ligne un logiciel (développé en conformité avec Palladium). L’installeur que vous avez téléchargé, s’il n’est pas corrompu par un virus, va s’exécuter dans l’espace mémoire protégé de votre « PC-Palladium ». Après une authentification, un « agent de confiance » (petit programme inclus par Microsoft dans Windows) va directement aller chercher les informations vous concernant (dont votre numéro de carte bancaire), et les transmettre au logiciel de manière cryptée (ainsi ce n’est pas le logiciel lui-même qui accède à vos données, mais un intermédiaire). Le logiciel se connecte ensuite au serveur, en utilisant des techniques de cryptage rendues possibles par Palladium (système de clefs privées et clefs publiques), et vous accorde le droit de continuer l’installation du logiciel. Ainsi, à chaque étape de ce processus, il a été fait appel à des fonctionnalités de Palladium pour assurer une sécurité optimale.



On aura ainsi en quelque sorte un PC à deux vitesses : d’un côté les applications Palladium, disposant de fonctionnalités de sécurité et d’authentification, et de l’autre les anciennes applications, qui resteront en leur état actuel (vulnérables aux virus et autres pirates) et seront toujours utilisables (point sur lequel insiste longuement Microsoft).



En étant un peu naïf, Palladium fait tout simplement profiter les utilisateurs d’un degré de contrôle sur la sécurité de leur ordinateur. Aujourd’hui, de nombreuses entreprises équipent leurs postes de travail d’un lecteur de carte à puce, qui assure les fonctions principales de sécurité (authentification, confidentialité). Avec cette carte, les utilisateurs peuvent crypter leurs données, s’identifier sur le réseau ou encore empêcher certains logiciels d’être exécutés…

Palladium revient finalement à intégrer la carte à puce au cœur de l’ordinateur. Dans cette optique, Palladium n’est qu’un moyen de plus « d’offrir » de la sécurité sur un ordinateur personnel.



Sur le papier, donc, Palladium est destiné à améliorer les fonctionnalités de l’ordinateur, en plaçant les aspects de sécurité au centre de son fonctionnement. Tout va donc pour le mieux dans le meilleur des mondes, non ?



Non. La proposition de Microsoft, si elle se comprend bien en terme de stratégie, est pleine de dangers potentiels pour tous les acteurs du monde de l’informatique, et en premier lieu, les utilisateurs…



>Lire la suite (les enjeux…)