Chrome analyse vos fichiers personnels (et ce n'est pas grave)

Le navigateur que vous êtes probablement en train d’utiliser scanne pratiquement tous les fichiers présents sur votre ordinateur. Et vous n’en saviez probablement rien avant de lire cet article. Ne vous inquiétez, vous n’êtes pas seul.

L’année dernière, Google a annoncé de nouvelles mises à jour pour Chrome, le navigateur le plus utilisé au monde – de loin – et celui que les professionnels de la sécurité recommandent souvent. La société a promis de rendre la navigation sur Internet sur les ordinateurs Windows encore plus « propre » et plus « sûre » en lui ajoutant ce que The Verge qualifie de « fonctionnalités antivirus de base ». Google a donc introduit le Chrome Cleanup Tool pour les utilisateurs de Windows, en partenariat avec la société de sécurité antivirus ESET.

Les tensions autour de la question de la vie privée numérique sont naturellement palpables depuis le scandale Facebook impliquant la firme Cambridge Analytica mais il n'y a, a priori, aucune raison de s'inquiéter dans le cas présent. Google agit dans les règles.

En pratique, Chrome sur Windows analyse votre ordinateur via le dispositif antivirus d'ESET, à la recherche d’éventuels logiciels indésirables qui ciblent le navigateur Chrome lui-même. Si une entité de ce genre est détectée, l’outil transmet à Google des métadonnées de fichiers et des paramètres système qui lui sont associés, puis vous invite à le supprimer. (Vous pouvez toutefois désactiver le partage de ces données en décochant la case « Envoyer les informations à Google ».)

La semaine dernière, Kelly Shortridge, une employée de l’entreprise de cybersécurité SecurityScorecard, a constaté que Chrome analysait les fichiers présents dans le dossier Documents de son ordinateur Windows.

« Dans le climat actuel, j’ai été choquée de voir que Google déployait si discrètement cette fonctionnalité sans publier de documentation plus détaillée, ne serait-ce que pour atténuer les spéculations », m'a-t-elle déclaré lors d'une discussion en ligne. « Leurs intentions sont clairement axées sur la sécurité, mais le manque de consentement explicite et de transparence semble enfreindre leurs propres critères de « logiciel convivial » qui inspirent la politique de Chrome Cleanup [Tool]. »

Son tweet a attiré l’attention des autres membres de la communauté de la sécurité – mais aussi des utilisateurs lambda tels que moi.

« Personne n'aime les surprises », m'a confié Haroon Meer, fondateur de la société de conseil en sécurité Thinkst, lors d'une discussion en ligne. « Quand les gens ont peur d’un Big Brother, et que les géants de la technologie vont trop loin… un navigateur qui touche à des fichiers qu'il ne devrait pas toucher va forcément déclencher la sonnette d’alarme. » Pour que ce soit clair, cela ne signifie pas que Google peut, par exemple, voir les photos que vous stockez sur votre PC. Selon Google, l'objectif de Chrome Cleanup Tool est de s'assurer que les logiciels malveillants ne ruinent pas votre navigateur en installant des extensions dangereuses ou en mettant des annonces là où il ne devrait pas y en avoir.

Comme l'explique sur Twitter Justin Schuh, responsable de la sécurité de Google Chrome, « l'unique but de l'outil est de détecter et de supprimer les logiciels indésirables qui manipulent Chrome ». Il ajoute que l'outil fonctionne uniquement de manière hebdomadaire et avec les « privilèges utilisateur normaux » (ce qui signifie qu'il ne va pas trop loin dans le système), qu’il est « sandboxé » (son code est isolé des autres programmes) et que les utilisateurs doivent explicitement cliquer sur la fenêtre pop-up ci-dessus pour supprimer les fichiers et procéder au « nettoyage ».

En d'autres termes, Chrome Cleanup Tool est moins invasif qu'un antivirus « cloud » classique qui analyse l'ensemble de votre ordinateur (y compris ses parties plus sensibles telles que le noyau) et télécharge des données sur les serveurs de la société antivirus.

Mais comme le dit Matthew Green, professeur à l'université Johns Hopkins, la plupart des gens « sont un peu effrayés à l'idée que Chrome commence à fouiller dans leur tiroir à sous-vêtements sans demander. »

C'est tout le problème : la plupart des utilisateurs ne s'attendent probablement pas à ce que leur navigateur Internet scanne et supprime des fichiers sur leur ordinateur.

Une section du Livre blanc sur la confidentialité dans Google Chrome nous apprend que « Chrome analyse régulièrement votre appareil afin de détecter des logiciels potentiellement indésirables ». Cette formule exacte existe depuis janvier 2017, au moins, selon les versions archivées du livre. Et une formule similaire ( « Chrome analyse périodiquement votre appareil afin de détecter les logiciels potentiellement indésirables ») existe depuis plus longtemps encore. Martijn Grooten, rédacteur en chef de Virus Bulletin et organisateur de l'une des premières conférences antivirus au monde, m'a expliqué sur Twitter que le comportement de Chrome Cleanup Tool était « raisonnable ».

« Pour presque tous les utilisateurs, cet outil semble vraiment inoffensif, quant à ceux qui s’inquiètent trop du fait que Google voit certaines métadonnées, peut-être qu'ils ne devraient pas utiliser le navigateur de Google en premier lieu », a-t-il déclaré.