Rien d'important

Au cours des trois dernières semaines, de nombreuses mairies françaises ont dû avertir une partie de leurs administrés : plusieurs de leurs données personnelles se sont retrouvées dans la nature. Ces piratages, qui seraient menés par le même groupe, s’inscrivent dans un contexte plus large d’attaques contre des prestataires de services.

Un nombre important de mairies, dont beaucoup en Bretagne, ont signalé des incidents cyber. Tous en commun une fuite d’informations : nom, prénom et, selon les cas, adresse postale, adresse e-mail et numéro de téléphone. Des données non sensibles, mais qui peuvent alimenter ensuite les grandes opérations de phishing.

La première mairie à avoir communiqué sur le sujet semble être Brest, le 14 novembre, faisant état d’une fuite de 50 000 données environ. Sur X, SaxX s’empare du sujet et commence à faire l’historique des fuites en commençant par Brest. Le 19 novembre, c’était au tour de Quimper avec 12 000 données, puis le chiffre total s’est rapidement approché des 100 000 avec plusieurs autres villes de Bretagne. Le même jour, on apprenait que la mairie d’Alfortville (Île-de-France cette fois) commençait à envoyer des e-mails concernant là encore une fuite, avec toujours les mêmes caractéristiques.

Il est rapidement apparu que toutes ces mairies n’avaient pas été directement piratées. Les attaques étaient dirigées contre des prestataires de services, notamment deux plateformes fournissant des solutions de prises de rendez-vous : RDV360 et SynBird. Sur le site Bonjourlafuite.eu.org, on peut voir plusieurs mairies référencées, avec des captures des messages envoyés aux personnes concernées.

Plus précisément, les informations sont celles données par les administrés lors des demandes de rendez-vous pour la production d’une pièce d’identité. Dans la plupart des cas, ces informations proviennent de demandes faites entre 2022 et 2025.

Une vigilance particulière demandée

Dans tous les communiqués ou presque, les mairies indiquent qu’une déclaration a été faite à la CNIL (elles y sont légalement tenues) et qu’une plainte a été déposée. Si certaines communications ne le mentionnent pas, d’autres indiquent clairement qu’il s’agit d’un piratage de l’un des deux prestataires, RDV360 ou Synbird.

La fuite toucherait 1 300 communes, selon Le Parisien. Dans ses colonnes, la société savoyarde Synbird a réagi, confirmant le problème : « La fuite concerne les clients qui utilisent notre module de rendez-vous et de réservations de salle. Elle est circonscrite aux rendez-vous pris de début à fin octobre ». L’entreprise affirme avoir retracé l’origine du problème jusqu’à un poste d’employé municipal.

C’est la réutilisation d’un mot de passe, obtenu par une autre fuite, qui aurait permis aux pirates d’accéder au compte d’une mairie cliente. « L’attaquant a ensuite exploité une faille de sécurité dans le logiciel pour exporter des données. Ce problème a depuis été réglé par nos développeurs », a précisé Synbird, qui a ajouté que l’incident avait été déclaré à la CNIL et qu’un dépôt de plainte à la gendarmerie était en cours.

Les conseils donnés dans la plupart des cas sont les mêmes que ceux de la mairie de Brest dans son communiqué du 14 novembre : « aux personnes ayant fait une demande de pièces d’identité pendant cette période une vigilance particulière notamment en cas de démarchages inhabituels par mail et/ou téléphone, ou de demandes de coordonnées bancaires, même émise d’un opérateur connu des usagers ».

Sur son compte, SaxX affirme que ces fuites, pour des données allant de 2021 à novembre 2025, ont été orchestrées par un groupe de cybercriminels nommé « dumpsec » (qui est curieusement le nom d’un outil de sécurité utilisé pour des audits). Ce groupe aurait contacté le hacker et lui aurait fourni un échantillon « de 20 000 lignes concernant RDV360 ». Sur l’ensemble des mairies touchées par l’incident, 14 millions de données auraient été aspirées.

« Aucune donnée sensible »

La plupart des communiqués, à l’instar de ceux d’Ergué-Gébaric et de Guipavas, mettent l’accent sur l’absence de données « sensibles » dans les fuites. « Aucune donnée sensible, aucun document ou pièce d’identité, aucune donnée financière et aucun mot de passe n’ont été prélevés », peut-on lire par exemple dans le communiqué de Guipavas.

Pour autant, ces informations peuvent se révéler dangereuses. Elles alimentent les campagnes de phishing, et peuvent parfois servir à des attaques plus personnalisées, comme on l’a vu avec Ledger très récemment. Même sans ce type d’attaque plus ciblée, les numéros de téléphone et adresses e-mail intègrent de vastes bases de données exploitées pour des tentatives d’arnaques en tous genres.

• Du phishing ciblé directement dans votre boite aux lettres physique, le cas Ledger

Sans aller jusqu’à la communication de Pandora en aout dernier, ce type de communication tend à banaliser les fuites d’informations jugées « non sensibles ». Il est malheureusement vrai que ces fuites sont devenues monnaie courante, avec d’énormes opérations au cours des deux dernières années notamment, dont celles des deux plus gros prestataires de tiers payant en France, ou encore le cas emblématique de France Travail.

On remarque également que ces fuites interviennent une fois de plus dans le cadre de l’exploitation d’une faille chez un partenaire, comme c’était le cas pour France Travail.

Fin mars, Plex annonçait à la fois une hausse des prix et un changement d’approche pour la diffusion des contenus médias en dehors de son réseau domestique. En clair, il s’agissait de faire passer les utilisateurs à la caisse.

• Plex revoit ses prix à la hausse et lance une option payante pour la lecture à distance

Sans toucher à la diffusion domestique, il était proposé deux manières de payer, selon le contexte. Pour la personne ayant le serveur et les contenus, une formule Plex Pass (6,99 dollars par mois ou 69,99 dollars par an) déverrouillait la possibilité de streamer vers des personnes extérieures au réseau, par internet donc. Dans l’autre sens, une personne peut payer 1,99 dollar par mois (ou 19,99 dollars par an) pour un Remote Watch Pass, permettant l’accès à un serveur Plex distant, sans que son possesseur ait besoin d’un Plex Pass.

Il était prévu que ces règles entrent en vigueur à compter du 29 avril, mais l’application ne se fait réellement que cette semaine, en commençant par l’application Roku. L’équipe a confirmé le changement dans un message dans son forum le 20 novembre et repéré par How-To Geek le 25.

Si cette obligation est limitée pour l’instant, elle sera généralisée l’année prochaine à toutes les autres applications (Android TV, Apple TV, FireTV…) « ainsi qu’à tout client tiers utilisant l’API pour proposer le streaming à distance ».

Rappelons que ces changements concernent l’accès distant pour les serveurs Plex. Les personnes utilisant cette solution de streaming pour de la diffusion locale ne sont pas concernées.

Coup de balai

Dans un billet publié ce 24 novembre, l’équipe du réseau d’anonymisation Tor a annoncé un changement important pour la sécurité de son infrastructure. Elle va ainsi remplacer l’ancienne méthode de chiffrement « pour chiffrer les données utilisateur au fur et à mesure de son parcours » entre les relais, au profit d’une approche beaucoup plus sécurisée.

L’ancienne méthode, nommée « tor1 », comporte plusieurs problèmes. Créée en 2002, elle n’est plus adaptée aux attaques plus modernes, notamment par marquage. Celles-ci permettent à un acteur malveillant de tracer le trafic en le modifiant à un endroit du réseau et en observant des changements prévisibles à un autre endroit.

Des briques de 2002

Cet ancien système utilise AES-128-CTR comme algorithme de chiffrement. Considéré comme malléable, il peut permettre à cet acteur malveillant de modifier un contenu chiffré de manière prévisible, sans connaitre la clé. S’il parvient à contrôler plusieurs nœuds du réseau, il peut insérer un motif dans les données chiffrées d’un côté et le retrouver de l’autre, permettant de démasquer une personne immédiatement (trouver son identifiant unique), plutôt que de s’appuyer sur des méthodes probabilistes.

Dans le billet, l’équipe de Tor évoque deux autres problèmes. D’une part, tor1 n’offre pas de confidentialité persistante immédiate, les mêmes clés AES étant utilisées pendant toute la durée de vie du circuit (jusqu’à plusieurs jours). D’autre part, cette infrastructure utilise actuellement des authentificateurs de 4 octets (32 bits) utilisant SHA-1, « qui affiche son âge, c’est le moins que l’on puisse dire », note l’équipe.

• SHA-1 : des chercheurs prouvent l’exploitation des collisions dans une attaque

Cet authentificateur est une valeur cryptographique permettant de vérifier que les données n’ont pas été modifiées pendant leur transmission. Quand un client Tor envoie des données, il doit s’assurer en effet que personne ne les a altérées en chemin. L’authentificateur fonctionne comme une empreinte digitale des données : le client la calcule en utilisant les données elles-mêmes et une clé secrète partagée avec le relai destinataire. Quand ce dernier reçoit les données, il recalcule l’empreinte de son côté et la compare avec celle reçue. Si les deux correspondent, les données n’ont pas été modifiées.

La solution Counter Galois Onion

L’équipe est donc en train de déployer un changement majeur pour le chiffrement des informations de l’utilisateur entre les relais. Nommée Counter Galois Onion (CGO), cette solution se base sur une construction cryptographique baptisée Rugged Pseudorandom Permutation par ses quatre auteurs : Jean-Paul Degabriele, Alessandro Melloni, Jean-Pierre Münch et Martijn Stam.

Ces chercheurs ont soumis à ce sujet deux rapports. Dans l’un, on remarque que le besoin d’un renforcement de la sécurité sur le cheminement des données entre les relais avait été exprimé par Tor dès 2012. La seule solution envisagée alors était couteuse en opérations de chiffrement. CGO a été présenté comme une alternative « minimaliste et modulaire », avec plusieurs avantages. Dans l’autre, les chercheurs détaillent en quoi CGO est une méthode robuste.

La nouvelle méthode est censée garantir que toute altération d’une partie des données chiffrées rende le reste du message (ou cellule) irrécupérable, y compris les messages suivants. L’authentificateur passe à 16 octets (128 bits) et les clés cryptographiques sont transformées de manière irréversible après chaque cellule envoyée ou reçue, éliminant la possibilité de déchiffrer les cellules antérieures. Ce changement assure une confidentialité persistante immédiate et l’utilisation de grands blocs de données doit prémunir le réseau contre les attaques par marquage.

La nouvelle méthode cryptographique a déjà été intégrée dans Arti, l’implémentation de Tor en Rust. Elle est en cours dans la version classique (en C). En revanche, l’équipe n’a rien dit sur une date d’arrivée dans Tor Browser.

Metaloid

Google travaillerait sur un système d’exploitation unifié, basé sur Android, pour presque tous les appareils actuellement visés par l’entreprise : tablettes, équipements multimédia et PC. Google serait prête à lancer sa grande offensive l’année prochaine, avec possiblement des mises à jour pour une partie des appareils aujourd’hui sur ChromeOS. Sans surprise, l’IA serait au cœur du produit.

En septembre, lors du Summit de Qualcomm, Google était également dans la place. Rick Osterloh, vice-président de l’entreprise chargé des appareils et services, était monté sur scène pour discuter avec Cristiano Amon, CEO de Qualcomm. Ensemble, ils avaient annoncé un produit centré sur Android pour les PC.

Selon Android Authority, ce projet se nomme Aluminium OS. Un nom étrange, car s’il renvoie à un métal comme Chrome, l’orthographe contenant un deuxième « i » renvoie à une graphie britannique. Aux États-Unis, on utilise plutôt la graphie « aluminum ». Le « i » supplémentaire pourrait avoir été ajouté en référence à Chromium ou à l’IA.

Nos confrères avaient indiqué en novembre 2024 que Google avait un tel projet dans les cartons et rêvait d’une plateforme unifiée depuis longtemps. La vision serait aujourd’hui beaucoup plus avancée, avec un lancement prévu pour l’année prochaine, sans plus de précisions. L’objectif global serait de combiner ChromeOS et Android en une seule plateforme capable de fonctionner sur (presque) tous les supports. Un projet de fusion que Google a directement confirmé en juillet dernier à TechRadar.

Une IA centrale intégrée, mais comment ?

Comme le relève cependant Android Authority, il reste de nombreuses questions en suspens, dont le matériel réellement supporté, le type d’interface, le positionnement des produits associés, la possibilité de mettre à jour les Chromebooks existants, la manière dont l’IA va se manifester, son éventuelle dépendance à une connexion permanente, etc.

Nos confrères pointent une offre d’emploi pour un poste de « Senior Product Manager, Android, Ordinateurs portables et tablettes ». Cette offre, initialement publiée sur LinkedIn et aujourd’hui supprimée, mentionnait explicitement le travail sur « un nouveau système d’exploitation Aluminium, basé sur Android », avec un positionnement central de l’IA, et à destination des ordinateurs portables, détachables, tablettes et diverses box. A priori, tous les segments de gamme seraient visés, jusqu’au « Premium ». Aluminium OS semble présenté comme un nom de code et est d’ailleurs abrégé en ALOS, pour Aluminium Operating System.

Une présence aussi importante de l’IA suppose une intégration profonde de Gemini. Mais quel en serait le fonctionnement ? Sur Android actuellement, pour les appareils le supportant comme les Pixel 9 et 10, une partie des requêtes s’exécutent localement. Quand elles sont plus complexes, elles sont envoyées aux serveurs de Google. La société a d’ailleurs annoncé récemment son Private AI Compute pour un traitement « confidentiel » des requêtes, avec une approche calquée sur celle d’Apple.

L’annonce précise que le ou la future responsable aurait à sa charge les plateformes et appareils ChromeOS et Aluminium. Mais si ce dernier représente le futur de Google, alors les deux plateformes cohabiteraient un moment, avant que ChromeOS disparaisse. Selon nos confrères, Google réalise des tests d’ALOS sur des configurations utilisant le SoC Kompanio 520 de MediaTek ou un processeur Alder Lake d’Intel. Ils estiment que les configurations utilisant ces puces ou des modèles approchant pourraient se voir proposer le nouveau système en mise à jour optionnelle. En outre, les tests auraient lieu sur une version actuellement basée sur Android 16, mais la version finale serait basée sur Android 17.

Les fonctions pourraient faire la différence

Google sait que les puces Arm constituent une base solide pour une informatique mobile. Apple l’a amplement montré avec ses designs personnalisés au travers de sa série M sur les Mac (puces Apple Silicon), et Microsoft a obtenu une certaine crédibilité avec les configurations basées sur les Snapdragon X Elite. Qualcomm a d’ailleurs présenté les X Elite 2 lors de son dernier Summit, avec des gains importants promis sur les performances.

Et alors que les questions autour de la pertinence de Windows s’accumulent, face à la volonté de l’entreprise d’inclure l’IA dans chaque recoin et à un Linux qui n’a plus à rougir dans le domaine du jeu vidéo, Google pourrait se positionner. L’extension d’Android vers les PC (notamment) pourrait ainsi aboutir au même type d’univers qu’Apple, avec de nombreux produits capables de synchroniser toutes leurs informations, la reprise d’activité en passant de l’un à l’autre, un fonctionnement hors ligne, ou encore une IA capable de réponse sans connexion internet.

Dans un autre article, Android Authority dresse d’ailleurs une liste de fonctions rêvées, dont le support natif des jeux prévus pour Windows. Dans ce domaine, lancer des applications Windows de manière générale serait un gros avantage, mais la compatibilité avec les jeux enfoncerait le clou. Il faudrait idéalement que Google se rapproche de Valve pour intégrer Proton (bien qu’il s’agisse d’un projet libre n’ayant pas besoin d’un aval particulier), qui a largement transformé le jeu sur Linux et est au cœur des récentes annonces de Valve sur le matériel, dont la Steam Machine. Mais il faudrait encore que l’ensemble puisse fonctionner sur l’architecture Arm, Proton étant prévu pour du x64.

• Valve revient sur le marché des consoles de salon avec sa Steam Machine et un casque VR

Rappelons par ailleurs que Google vient de relancer Cameyo, sa solution de virtualisation permettant d’utiliser des clients lourds Windows au sein de Chrome ou de ChromeOS, à destination du marché entreprise.

Si Google envisage réellement une sortie l’année prochaine, il est probable qu’une communication officielle sur le sujet fasse bientôt son apparition, pour préparer le marché et faire grimper les attentes. Un lancement en 2026 signifierait également une opposition frontale avec un autre produit prévu par les rumeurs : le lancement par Apple d’un MacBook d’entrée de gamme basé sur une puce A, que l’on trouve d’ordinaire dans les iPhone, et dont le tarif serait de 600 dollars.

Si la vision Aluminium OS se concrétise, Google pourrait alors bénéficier de tout un écosystème cohérent de produits unis par les mêmes services, avec une approche commune. Un projet que Microsoft n’a jamais su mener à bien, particulièrement à l’époque de Windows Mobile et Windows Phone.

Début septembre, Signal lançait une fonction de sauvegarde sécurisée dans une version bêta de son application Android. Il s’agissait alors de proposer une méthode alternative de sauvegarde, avec des échanges chiffrés de bout en bout, sur les propres serveurs de l’entreprise.

Cette fonction est aussi disponible désormais dans la dernière version de l’application iOS. Le fonctionnement est le même : une version gratuite sauvegardant 100 Mo de texte et les 45 derniers jours pour les médias échangés, ou une version payante à 1,99 dollar par mois, pour un stockage passant alors à 100 Go. Signal estimait que 100 Mo pour les textes étaient largement suffisants pour la plupart des utilisateurs.

Cette option payante est la toute première lancée par Signal depuis sa création. À son arrivée début septembre, le billet d’annonce précisait que la nouvelle fonction serait répercutée sur iOS et dans les versions desktop. Ces dernières sont donc les prochaines sur la liste.

Rappelons également que cette fonction n’est « pas la fin de la route », selon les propres mots de Signal. Elle va servir de base au chapitre suivant, qui sera de proposer la possibilité de sauvegarder les données où l’on souhaite, avec possibilité de restaurer les données sur n’importe quelle autre application Signal sur un autre appareil.

C'est pas gagné

L’installation, la désinstallation et la mise à jour des applications tierces sur Windows a toujours été un sujet. Des ajouts récents dans les préversions du système montrent que l’éditeur cherche à simplifier certaines démarches.

Dans un récent billet de blog, Microsoft a présenté plusieurs nouveautés en approche pour Windows 11 et en cours de diffusion auprès des testeurs (Windows Insiders). On y trouve des ajouts comme le mode plein écran pour l’application Xbox, ou encore la restauration ponctuelle. Celle-ci est surtout destinée aux entreprises, avec un enregistrement de l’état de la machine toutes les 24 heures (par défaut, modifiable par l’équipe d’administration), que l’on peut restaurer depuis WinRE.

Un bouton attendu depuis longtemps

Dans le billet, on trouve également un ajout dans le Microsoft Store que les utilisateurs réclament depuis longtemps : la possibilité de désinstaller une application directement depuis la liste dans l’onglet Bibliothèque. Cette capacité n’est valable que pour les applications installées depuis la boutique, mais elle simplifie nettement la gestion du parc applicatif. On se demande d’ailleurs pourquoi il a fallu autant de temps.

Non que la désinstallation des applications soit un gros problème dans Windows, surtout quand elles viennent du Store. Le type package spécifique utilisé sur la boutique rend la suppression d’un logiciel rapide et propre. On peut aussi la lancer depuis le menu Démarrer via un clic droit sur le raccourci. Et dans tous les cas, il reste le panneau classique de gestion des applications depuis le panneau des Paramètres.

Une centralisation des mises à jour ?

Dans ce dernier, la section Applications vient justement de recevoir un ajout dans les dernières préversions. Nommé App Updates, il laisse à penser que le système devrait être capable de récupérer des mises à jour pour des applications de manière centralisée. Une capacité qui a toujours fait défaut à Windows, et pour cause : il n’existe pas de dépôt centralisé pour l’ensemble des applications tierces.

Ce problème s’est légèrement amoindri dans le temps avec la proportion grandissante d’applications présentes dans le Store, la boutique mettant régulièrement à jour tout ce qu’elle a installé. Mais il est resté, car nombre de logiciels restent installés par des processus séparés, via le flux traditionnel : site de l’éditeur, téléchargement d’un exécutable, lancement de l’installation. Les problématiques liées sont connues, avec des mises à jour pas toujours faites (nombre d’applications n’ont pas de processus intégré, comme 7-zip) et des failles de sécurité restant béantes sur une partie du parc informatique.

Des outils spécialisés sont apparus pour aider à gérer ces problèmes. Microsoft a par exemple WinGet en ligne de commande. UniGetUI (anciennement WinGetUI) récupère cet outil au sein d’une interface complète et simplifiant d’autant la gestion.

• [Tuto] Gérer ses applications Windows avec WinGet ou UniGetUI

Des solutions imparfaites

Mais ces outils ont également des inconvénients, car ils récupèrent le package d’installation et l’installent sur la version déjà présente. La mise à jour se fait, mais puisque le processus est celui d’une première installation, il y a de petites conséquences parfois désagréables, comme le retour de l’icône correspondante sur le bureau. Le processus n’a pas la transparence d’une distribution Linux puisant dans un dépôt.

C’est d’ailleurs ce point qui interroge pour le nouvel ajout de Microsoft : quel serait le fonctionnement ? Windows Central émet l’idée qu’il s’agirait d’une capacité équivalente à celle du Store dans le cas où celui-ci ne serait pas disponible, parce qu’il a été désactivé ou même désinstallé. Difficile en tout cas pour le moment d’en savoir plus – que ce soit sur le fonctionnement ou le périmètre de la fonction – car le bouton ne déclenche pour l’instant aucune action et Microsoft n’en a pas encore parlé.

On n'achète pas une communauté

Début octobre, Qualcomm a annoncé son intention de racheter Arduino, célèbre pour ses micro-ordinateurs. Des promesses avaient été faites sur l’indépendance de la structure et le respect de la communauté. Mais de récents changements dans les conditions d’utilisation ont créé une polémique.

Le 7 octobre, Qualcomm signait un accord « pour acquérir Arduino, entreprise leader dans le matériel et les logiciels open source ». Pour le géant de l’électronique, il s’agissait de renforcer son « portefeuille inégalé de technologies et produits d’informatique en périphérie (edge) ». Qualcomm s’empressait de préciser qu’Arduino conserverait une certaine indépendance, dont sa marque, ses outils et sa mission.

• Qualcomm rachète Arduino, qui montre son Uno Q, une carte « double cerveau »

« Arduino préservera son approche ouverte et son esprit communautaire tout en débloquant une plateforme full-stack pour le développement moderne », affirmait ainsi Qualcomm. L’entreprise évoquait au passage les plus de 33 millions d’utilisateurs actifs de la communauté Arduino, qu’elle voulait rassurer. Le rachat leur permettrait ainsi d’accéder « à la puissante pile technologique de Qualcomm Technologies et à sa portée mondiale ». Au passage, Arduino lançait son Uno Q.

Des changements dans les conditions d’utilisation

Dans un billet publié il y a quelques jours sur LinkedIn, le compte d’Adafruit Industries – un revendeur bien connu d’électronique et de micro-ordinateurs – dit tout le mal qu’il pense de la réécriture des conditions d’utilisation et de la politique de confidentialité.

« Les nouveaux documents introduisent une licence irrévocable et perpétuelle sur tout ce que les utilisateurs téléversent, une surveillance étendue des fonctionnalités d’IA, une clause empêchant les utilisateurs d’identifier une possible violation de brevet, la conservation des noms d’utilisateurs pendant des années même après suppression de compte, et l’intégration de toutes les données utilisateur (y compris les mineurs) dans l’écosystème mondial de données de Qualcomm », fustige ainsi Adafruit.

Celle-ci critique plusieurs passages transformant une plateforme communautaire en « service d’entreprise strictement contrôlé » conçu pour récupérer autant de données que possible. Elle pointe notamment l’interdiction explicite de pratiquer la rétro-ingénierie, ou même de « s’engager dans toute autre activité conçue pour identifier les algorithmes et la logique de fonctionnement de la plateforme» (point 8.2). Adafruit regrette d’autant plus ce changement qu’Arduino est appréciée dans l’enseignement, la recherche, les militants de l’open source et les bidouilleurs.

Le reste du billet est cependant plus alchimique, Adafruit parlant des fraudes de Qualcomm, dont la condamnation récente de l’ancien vice-président Karim Arabi à quatre ans de prison pour fraude. Mais le résultat est là : des dizaines de commentaires négatifs et une condamnation sans équivoque de ces changements. Le billet d’Adafruit est rapidement relayé dans la presse, par exemple chez MiniMachines en France ou The Register au Royaume-Uni. Sans surprise, la levée de boucliers est immédiate, notamment sur Reddit. Le média britannique estimait d’ailleurs quelques jours après l’annonce du rachat que la situation évoluerait fortement pour Arduino.

Arduino n’est pas d’accord

Dans un billet publié le 21 novembre, Arduino nie cependant tout en bloc. La société se dit « reconnaissante » que sa communauté se soucie suffisamment d’elle pour lui faire remonter ses craintes.

« Soyons absolument clairs », enchaine toutefois l’entreprise, « nous étions open source bien avant que cela ne devienne à la mode. Nous n’allons pas changer maintenant. L’acquisition par Qualcomm ne modifie pas la manière dont les données utilisateurs sont traitées ni la manière dont nous appliquons nos principes open source ». La société ajoute qu’elle modifie régulièrement ses documents juridiques pour y faire refléter « de nouvelles fonctions, des évolutions de régulations et les meilleures pratiques ». Il ne s’agirait ainsi que d’une évolution de plus.

Effectivement, de nombreuses ressources Arduino sont sous licence GPLv3 ou AGPLv3, qui ne peuvent pas être changées d’un claquement de doigt. La société indique ainsi dans son propre billet que tout ce qui touche à l’open source, la rétro-ingénierie, la propriété des créations, les données et la confidentialité des mineurs ne change pas.

En fait, Arduino pointe que l’essentiel des changements, surtout sur la rétro-ingénierie, s’applique aux applications cloud SaaS (Software-as-a-Service) : « Tout ce qui était ouvert reste ouvert ». Et d’expliquer notamment que les lancements de l’Uno Q et d’Arduino App Lab, qui introduisent des fonctions dopées à l’IA optionnelles, ont obligé l’entreprise à mettre à jour ses conditions « pour refléter ces nouvelles capacités et encourager leur utilisation sûre, responsable et éthique ».

Pour Adafruit, ce n’est pas assez

De quoi apaiser les craintes ? Pas vraiment, comme l’ont montré Limor Fried, fondateur et ingénieur d’Adafruit, ainsi que Phillip Torrone, rédacteur en chef adjoint, chez Ars Technica. Ils estiment que le billet d’Arduino laisse « de nombreuses questions sans réponse ». Ils renouvellent la question sur la rétro-ingénierie et soulignent que la règle ne cadre pas avec une entreprise qui a bâti son succès sur l’open source.

Les deux responsables ciblent également les fonctions IA. Ils relèvent le manque d’information, Arduino ne précisant pas « quelles données de ces systèmes IA sont conservées, qui y a accès, et pourquoi cette collecte ne peut être refusée qu’en n’utilisant pas ces fonctions ». Ils soulignent aussi le passage sur la recherche éventuelle d’infractions aux brevets : « Aucune entreprise open source ne met dans ses conditions d’utilisation un texte interdisant aux utilisateurs d’identifier d’éventuels problèmes de brevets. Pourquoi cela a-t-il été ajouté, et qui l’a demandé ? ». Contactées par Ars Technica, ni Arduino ni Qualcomm n’ont souhaité répondre, renvoyant vers le billet de blog.

Arduino est désormais dans un problème de communication, dont il est complexe de sortir indemne. Tout changement dans les conditions d’utilisation est rapidement relayé, d’autant plus quand l’entreprise est spécialisée dans l’open source. Mozilla en a fait les frais en mars dernier, avec une volée de bois vert face à une communauté dans l’incompréhension.

Dans un article d’IEEE Spectrum daté du 18 octobre, l’analyste Leonard Lee indiquait à ce titre : « Je pense que la dernière chose que Qualcomm veut, c’est de saper la communauté des développeurs, parce que ce n’est pas un actif que vous achetez. Elle est changeante et peut disparaître en un clin d’œil si vous faites un mauvais pas. »

Carbone en colère

Un article du Parisien sur le système Android alternatif GrapheneOS a créé une polémique : le système mobile serait une « botte secrète » pour les narcotrafiquants. L’équipe du projet a réagi radicalement, en retirant toutes ses ressources de France. La polémique a enflé en quelques jours, créant une cassure diplomatique dans l’univers open source.

Le 19 novembre 2025, Le Parisien a publié un article affirmant que la police judiciaire française avait alerté sur l’utilisation de GrapheneOS par les réseaux criminels organisés. L’article citait notamment le cas d’un trafiquant de 27 ans identifié comme « Bilel », soupçonné de diriger un réseau sous l’alias « Omar », et dont le téléphone Google Pixel équipé de GrapheneOS s’est « mystérieusement réinitialisé » lors d’une perquisition.

GrapheneOS est ce que l’on appelle une ROM alternative pour smartphones Android. Contrairement à d’autres ROM cependant, il ne peut être installé que sur un seul type d’appareil : les Pixel de Google. Pourquoi ? Car selon l’équipe chargée du projet, ce sont les seuls appareils permettant un reverrouillage complet du chargeur d’amorçage (bootloader) avec des clés cryptographiques personnalisées, garantissant l’intégrité du système contre les attaques physiques (nous y reviendrons). GrapheneOS a une orientation très marquée sur la sécurité, mais l’exclusivité des Pixel pourrait être abandonnée dès l’année prochaine, l’équipe ayant évoqué un rapprochement avec un autre équipementier.

Cet article a déclenché une vaste polémique, la décision brutale pour l’équipe de retirer toutes les ressources du projet hébergées en France, des critiques virulentes du pays, des attaques contre des ROM françaises et jusqu’à l’interdiction pour les membres de l’équipe de voyager en France, par peur des arrestations.

Une déclaration de guerre

L’article du Parisien n’est pas passé. Pour l’équipe de développement de GrapheneOS, il a agi comme une déclaration de guerre. Sur les réseaux sociaux, particulièrement X, Bluesky et Mastodon, le compte officiel du projet répond de manière très franche le 19 novembre : l’article est à charge, fait des raccourcis, a tronqué les citations et les a déformées. Voici la réponse apparaissant dans l’article :

« Nous ne vendons rien, nous n’avons ni clients ni usagers. Les gens peuvent télécharger notre système d’exploitation gratuitement sur leurs téléphones Pixel et l’utiliser. Notre travail sur la sécurité et la confidentialité est très apprécié par les professionnels de la sécurité et est régulièrement recommandé et utilisé par les militants des droits humains, les journalistes et les avocats. […] Les bandits et trafiquants utilisent aussi des couteaux, des voitures rapides et de l’argent liquide, des choses qui sont aussi largement utilisées par des citoyens honnêtes »

Il reste 81% de l'article à découvrir.
Vous devez être abonné•e pour lire la suite de cet article.
Déjà abonné•e ? Générez une clé RSS dans votre profil.

Anthropic était manifestement prête : une semaine après le lancement en grande pompe de Gemini 3 Pro par Google, la startup réplique avec la version 4.5 de son plus gros modèle, Opus.

Dans son billet d’annonce, Anthropic est très satisfaite de présenter des scores supérieurs à ceux de Google dans pratiquement tous les tests, y compris dans ARC-AGI-2, réputé difficile : 37,6 % pour Opus 4.5, contre 31,1 % pour Gemini 3 Pro et 17,6 % pour GPT-5.1. Anthropic met surtout en avant ses performances dans le développement, où son modèle reprend la couronne, en étant notamment le premier à dépasser la barre des 80 % sur le test SWE-Bench Verified.

Anthropic en profite pour s’intégrer davantage dans certaines applications. Ses extensions pour Chrome et Excel sortent ainsi de leur phase de test, avec un Claude pour Chrome prochainement disponible pour les abonnés Claude Max, et un Claude pour Excel bientôt disponible pour les abonnés Max, Team et Enterprise.

Les abonnés Max reçoivent d’ailleurs d’autres capacités, dont un travail de fond sur la mémoire censé permettre une utilisation prolongée des requêtes dans un même contexte, même quand ce dernier atteint la limite de jetons. À TechCrunch, Anthropic explique que la mémoire de contexte sera compressée de manière transparente, ce qui devrait être particulièrement visible dans le cas où un gros modèle est utilisé pour en piloter plusieurs petits (avec Claude Haiku), dans un cadre de développement agentique.

Signalons tout de même que même si Anthropic récupère la couronne dans presque tous les tests, c’est à travers un modèle accessible uniquement par les comptes payants. Les utilisateurs gratuits ne peuvent utiliser que Haiku et Sonnet, là où Gemini 3 Pro a été diffusé dans tous les produits et pour l’ensemble des utilisateurs (avec des limites bien sûr).

Miracle en fabrication

Les propos récents de Microsoft sur l’évolution de Windows vers un système « agentique » provoquent de virulentes réactions. Pour de nombreux observateurs, cette marche forcée vers l’IA illustre un décalage croissant entre les besoins des utilisateurs et la direction que veut donner l’entreprise à son produit.

Comme nous l’indiquions dans notre article du 18 novembre, c’est un message du responsable de la division Windows, Pavan Davuluri, qui a enflammé la toile : « Windows évolue vers un système d’exploitation agentique, connectant appareils, cloud et IA pour une productivité accrue et un travail sécurisé où que vous soyez ». Sous son message, des centaines de commentaires négatifs, voire acerbes, au point que Davuluri bloquera les réponses.

• Vers un Windows « agentique » : accueil glacial pour la vision de Microsoft

Ce que veut Microsoft

La société de Redmond rêve d’un monde où les agents s’occupent de tout, discutent entre eux, apprennent le contexte des utilisateurs et leur viennent en aide sur à peu près tout et n’importe quoi. Un monde dans lequel il suffit de prononcer quelques phrases à haute voix pour que les requêtes soient interprétées et dument exécutées.

Pour parvenir à cette vision, Windows doit devenir un hub pour les agents. Une infrastructure spécifique, que Microsoft a plus ou moins déjà détaillée : une session Windows à part, avec des contrôles présentés comme stricts, des agents appliquant le principe de moindre privilège, etc.

Le gestionnaire de mots de passe KeePassXC est une version open source et multiplateforme de l’application KeePass Password Safe pour Windows. Les moutures se sont faites plus rares, mais elles comportent toujours autant de nouveautés.

La nouvelle version 2.7.11 déroule ainsi une longue liste d’apports. On y trouve la génération automatique de mot de passe quand on crée une nouvelle entrée, une boite de dialogue pour demander confirmation avant la fusion de deux bases de données, le support de la synchronisation de groupe dans KeeShare, une confirmation quand on sort de la base de données avec Échap, le support des horodatages et de l’historique dans l’import depuis BitWarden, ou encore des recherches prédéfinies pour les entrées TOTP.

On note également la prise en charge d’un plus grand nombre de types de fichiers dans le visualiseur de pièces jointes en ligne, dont les images, le HTML et le Markdown. On peut aussi éditer les fichiers texte en pièce jointe. Sur macOS, l’icône et plusieurs menus ont été passés à la moulinette Liquid Glass.

KeePassXC 2.7.11 corrige en outre toute une série de bugs, dont un qui pouvait empêcher la fenêtre d’être restaurée dans sa géométrie précédente. Les notes de version complètes et les téléchargements sont disponibles depuis le site officiel.

Pour les personnes qui préfèrent une version éprouvée, KeePassXC 2.7.9 a reçu le 17 novembre une certification CSPN-2025/16 de l’ANSSI, obtenue pour trois ans. La petite application a même été mise en avant dans une publication du 21 novembre sur la sécurité des mots de passe.

For the greater good

La fonction Quick Share d’Android est désormais compatible avec AirDrop d’Apple, sur les Pixel 10 pour commencer. Il ne s’agit pas d’une collaboration officielle, posant la question de la réaction d’Apple.

Voilà une nouvelle que l’on n’attendait pas : la compatibilité d’Android avec la fonction AirDrop d’Apple. Celle-ci permet depuis bien longtemps l’échange simplifié de données entre appareils de la marque à la pomme. Google a proposé ensuite sa fonction équivalente Quick Share, mais les deux fonctions n’ont jamais communiqué.

Google vient donc d’annoncer que sa fonction Quick Share était désormais compatible avec AirDrop, permettant la même communication simplifiée entre les appareils Android et ceux d’Apple. Google n’évoque pour l’instant que les iPhone, mais AirDrop étant disponible sur tous les appareils d’Apple, la communication devrait également se faire.

La circulation des données peut se faire dans les deux sens, il suffit simplement que l’appareil Android soit paramétré en « Tout le monde pendant 10 min » pour le partage. La fonction est pour l’instant limitée à ce réglage, le mode « Contacts uniquement » n’étant pas pris en charge.

En revanche, seuls les récents Pixel 10 ont pour l’instant accès à la fonction. Google ajoute que la fonction « commence » avec cette gamme et qu’elle a « hâte de l’étendre à davantage d’appareils Android ».

De la rétro-ingénierie et du Rust

Les deux entreprises auraient-elles collaboré à cette ouverture ? Non, Google l’a confirmé auprès de The Verge : « Nous avons réalisé cela par notre propre mise en œuvre. Elle a été minutieusement vérifiée par nos propres équipes de confidentialité et de sécurité, et nous avons également fait appel à une société de sécurité tierce pour prendre la solution en périphérie ». Il s’agirait donc de rétro-ingénierie. Dans son billet, Google compare la manœuvre au RCS, pour rappeler qu’elle a fini par faire entendre raison à Apple sur le sujet.

• Surprise : Apple implémentera le standard RCS dans iOS l’année prochaine

Google met un accent particulier sur la sécurité. Dans un billet de blog dédié, Google indique : « Cette fonction n’utilise pas de solution de contournement. La connexion est directe et peer-to-peer, ce qui signifie que vos données ne sont jamais acheminées via un serveur, que le contenu partagé n’est jamais enregistré, et qu’aucune donnée supplémentaire n’est partagée ». Google assure que des experts indépendants ont été mandatés pour tester la sécurité de sa solution. Cette dernière a en outre été développée en Rust.

Enfin, l’entreprise précise que cette fonction n’est qu’une « première étape vers un partage multiplateforme fluide » et qu’elle « accueillera avec plaisir l’opportunité de travailler avec Apple pour activer le mode « Contacts uniquement » à l’avenir ». Le message est clair : la balle est dans le camp d’Apple.

Les écrits restent

Le Sommet sur la souveraineté numérique européenne, qui s’est tenu à Berlin le 18 novembre, a été le théâtre de nombreuses annonces. La France et l’Allemagne semblent enfin s’aligner sur un lot de mesures et d’engagements, avec un changement marqué outre-Rhin pour une préférence européenne. Le Sommet a fait de la souveraineté numérique un axe majeur de développement, au moins sur le papier.

Elle était attendue : la rencontre franco-allemande à Berlin du 18 novembre a montré un moteur européen semblant de nouveau en phase. Car la France et l’Allemagne ont beau être voisines, elles ont chacune des conceptions très différentes sur le numérique, particulièrement sur la souveraineté.

Un fossé qui s’était notamment illustré dans la conception de la directive EUCS, qui devait grader les solutions cloud en matière de sécurité. Le niveau le plus élevé, High+ (basé sur SecNumCloud 3.2) avait disparu, sous pression notamment de l’Allemagne, pour supprimer les prérequis de protection contre l’extraterritorialité des lois étrangères. L’Allemagne est depuis longtemps un allié proche des États-Unis, avec qui elle a de nombreux accords commerciaux. L’European Sovereign Cloud d’Amazon, présenté en juin, va ainsi s’implanter chez nos voisins.

La France cependant, avec des offres comme celles de Bleu et S3ns, ou encore les contrats multiples décrochés par Microsoft dans le domaine de l’éducation, n’est pas nécessairement mieux placée. La stratégie nationale en matière de souveraineté a récemment été épinglée dans un rapport très direct de la Cour des comptes, faisant la liste de tous les errements français dans ce domaine et pointant un manque flagrant de cohésion.

Dans un contexte tendu entre guerre en Ukraine qui s’éternise, ondes de choc d’une Maison-Blanche reprise par Donald Trump et tensions croissantes avec la Chine, le Sommet était attendu.

Simplification, cohérence et souveraineté

Le sommet a réuni « plus de 900 décideurs, industriels, investisseurs, chercheurs et représentants de la société civile provenant des 27 États membres de l’Union européenne (UE) et des institutions européennes », a indiqué l’Élysée.

Qui suis-je ? Ou vais-je ?

OpenAI a montré ce 19 novembre toute son ambition dans le domaine de l’éducation. L’entreprise lance une version gratuite et spécifique de son ChatGPT pour les enseignants, avec une volonté claire de devenir incontournable.

OpenAI a annoncé hier soir dans un billet de blog la disponibilité d’une version gratuite et spécifique de ChatGPT à destination des enseignants aux États-Unis. Pourquoi ce domaine en particulier ? Parce que selon l’entreprise, sur les 800 millions d’utilisateurs que compte son chatbot, les enseignants seraient les premiers à l’avoir adopté et les plus actifs.

L’offre a donc été spécialement conçue pour le corps enseignant, affirme OpenAI. Elle est basée sur GPT-5.1 Auto pour répartir les demandes et l’ensemble des fonctions. Une mémoire adaptée aurait été mise en place, pour retenir autant de contexte que possible et simplifier le travail quotidien. La sécurité est déclarée comme conforme aux normes FERPA (Family Educational Rights and Privacy Act). L’outil peut être intégré à d’autres comme Canva, Google Drive et Microsoft 365. Envoi de fichiers, génération d’images et autres sont aussi présents.

Des fonctions spécifiques ont été ajoutées. Par exemple, la possibilité de créer des espaces de travail partagés pour créer des modèles de plans de cours. Les enseignants pourront également planifier leurs travaux sur plusieurs semaines, générer des exemples pour un devoir, gérer la conformité avec les normes ISTE (pdf), voir des exemples créés par d’autres enseignants, des contrôles administratifs pour les groupes, etc.

Cette offre a été pensée pour les 400 000 enseignants certifiés du primaire à la terminale, « dans les principaux districts aux États-Unis ». La vérification du statut se fait via SheerID, qui joue le rôle d’intermédiaire de confiance auprès d’OpenAI.

Gratuit jusqu’en 2027, et après ?

« Chaque élève aujourd’hui grandit avec l’IA, et les enseignants jouent un rôle central pour les aider à apprendre à utiliser ces outils de manière responsable et efficace. Pour soutenir ce travail, les éducateurs ont besoin d’espace pour explorer l’IA par eux-mêmes. ChatGPT for Teachers est conçu pour les aider à faire exactement cela : offrir une expérience pratique et concrète qu’ils peuvent ramener dans leurs classes. Et en la rendant gratuite pour des millions d’enseignants, nous espérons faciliter une utilisation sûre et réfléchie de l’IA dans l’apprentissage par toutes sortes d’écoles »

Surtout, ce ChatGPT for Teachers est mis à disposition gratuitement jusqu’en juin 2027. Pour OpenAI, c’est évidemment un pari qui peut lui rapporter gros : en offrant un service conçu spécifiquement pour ce qu’elle-même présente comme les besoins des enseignants, l’entreprise pourrait bien s’assurer une place de choix dans leur quotidien. En juin 2027, quand la gratuité prendra fin, les personnes qui estimeront avoir gagné suffisamment de temps avec l’outil pourraient ainsi envisager l’abonnement payant.

« Après cela, nous pourrions ajuster les prix, mais notre objectif est de garder ChatGPT pour les enseignants abordable pour les enseignants. Si quelque chose change, nous préviendrons pour que les enseignants et les écoles puissent décider s’ils continuent ou non », affirme OpenAI. Et l’opportunité est bien là, si l’on en croit une étude que Gallup avait publiée en juin dernier : 32 % des enseignants utilisaient l’IA toutes les semaines, avec un gain de temps hebdomadaire moyen estimé à 5,9 heures.

Pour l’instant, on ne sait rien d’une éventuelle extension du service à d’autres marchés, mais on imagine mal OpenAI se contenter du marché américain dans sa volonté de devenir le nouvel acteur incontournable de l’éducation.

La crainte de la perte d’autonomie

Le discours de l’entreprise est entièrement tourné vers « l’autonomisation » des enseignants et veut frapper au cœur : puisque les élèves recourent déjà massivement à l’IA générative, les enseignants doivent jouer un rôle central dans l’apprentissage de ces outils, « de manière responsable et efficace ». ChatGPT for Teachers se propose donc de remplir les deux missions : acclimater les professeurs à cette technologie et leur faire gagner du temps dans la préparation des cours, qui eux-mêmes vont changer. « L’IA dans l’éducation fonctionne mieux lorsque les enseignants dirigent », assure OpenAI.

L’annonce d’OpenAI était attendue. L’IA bouscule les méthodes conventionnelles de l’enseignement et certaines entreprises avancent leurs pions. Microsoft a par exemple annoncé une version éducative de son Copilot, pensée pour les élèves et étudiants. L’assistant se transforme alors en « professeur socratique » pour aider à faire travailler les matières, les examens, etc. Différentes fonctions sont présentes pour rendre l’ensemble interactif, notamment un tableau blanc dans lequel inscrire des réponses manuscrites, des schémas et autres.

Des petits ruisseaux aux grandes rivières

Le 18 novembre, la panne de Cloudflare a plongé une partie du web dans le noir. Comme on pouvait s’y attendre, l’entreprise a publié un billet explicatif détaillé sur les raisons ayant conduit à cette coupure d’environ trois heures. Les raisons sont complexes et non liées à une attaque ou autre incident de sécurité.

ChatGPT, X, Facebook, Spotify, Canva, Feedly, Marmiton, Doctissimo et autres sites ont été inaccessibles pendant environ trois heures le 18 novembre. Le dénominateur commun ? Ils sont tous protégés par Cloudflare, qui commercialise des services permettant de résister aux attaques distribuées par déni de service (DDoS), entre autres services.

• La panne Cloudflare touchant de nombreux services comme X ou ChatGPT semble résolue

Les solutions vendues par Cloudflare sont devenues omniprésentes, au point que l’entreprise américaine revendique aujourd’hui la gestion de 20 % du trafic web mondial. Un chiffre colossal, qui fait de l’acteur un maillon devenu essentiel du web, avec les conséquences allant de pair en cas de panne. Dans la veine du récent incident chez Amazon Web Services, la panne de Cloudflare a eu des répercussions mondiales et un post mortem détaillé était attendu pour expliquer ce qui avait bien pu provoquer une telle coupure.

D’un petit rien…

La disparition soudaine de Cloudflare aurait pu faire craindre une infrastructure finalement vaincue par une énorme attaque concertée. Il n’en est rien : tout a commencé par une modification apportée aux permissions de l’un des systèmes de base de données (ClickHouse). Elle visait à améliorer la sécurité des requêtes distribuées en rendant explicites les accès aux tables sous-jacentes dans la base de données.

It's just a cosmic desktop

La nouvelle mouture de la distribution Linux s’annonce comme une étape importante chez System76. En plus de son évolution technique, elle s’apprête à proposer pour la première fois COSMIC comme environnement de bureau, en lieu et place de GNOME. COSMIC arrivera sur d’autres distributions, notamment chez Fedora dont c’est l’un des Spins.

Mise à jour du 12 décembre à 10h20. La distribution est désormais disponible en version finale, comme vient de l’annoncer Systeme76. Pour les téléchargements, c’est par ici.

---

Article original du 29 septembre à 9h28. Le constructeur System76 propose depuis longtemps des ordinateurs vendus exclusivement avec Linux. L’entreprise a fini par proposer sa propre distribution, Pop!_OS, qui s’est progressivement orientée vers la simplicité et la personnalisation de l’interface. Comme Linux Mint et d’autres, Pop!_OS se base sur les moutures LTS d’Ubuntu.

La société a cependant décidé en 2021 qu’elle voulait son propre environnement de bureau. La transition s’est faite « simplement » : elle a pris l’ensemble des modifications qu’elle avait apportées à GNOME et les a déportées dans un projet neuf, intégralement écrit en Rust, en ajoutant au passage toutes les idées que l’équipe avait eues entre temps.

Nous avions pris en main COSMIC Desktop, via l’une de ses versions alpha. Le potentiel était clairement là : rapide, très personnalisable et présentant bon nombre de petites idées pour aider dans le maniement quotidien. Il s’est écoulé six mois depuis, et System76 vient de lancer à la fois la bêta publique de son COSMIC et celle de Pop!_OS 24.04, qui en fait son environnement par défaut.

COSMIC en bêta : comme l’alpha, mais en mieux

Sans surprise, la bêta de l’environnement COSMIC fonctionne mieux que les alphas qui l’ont précédée. De nombreux bugs ont été corrigés, mais d’autres ont probablement fait leur apparition. Toutes les fonctions n’étaient en effet pas prêtes au moment des alphas, tandis que la bêta les a toutes. Dans son annonce, l’équipe prévient d’ailleurs qu’il faut s’attendre à quelques problèmes et en liste plusieurs (nous y reviendrons) et que les efforts se concentrent maintenant sur le polissage.

Les applications intégrées Files, Terminal, Text Editor et Player remplacent officiellement leurs équivalents dans GNOME. Même chose pour la boutique Logiciels, remplacée par COSMIC Store, compatible avec Flathub. La bêta apporte son lot de nouveautés avec, dans Files par exemple, les aperçus de fichiers, le mode Galerie pour les images, les autorisations de fichiers, la recherche instantanée, les chemins de navigation avec saisie semi-automatique, ou encore un meilleur comportement du contenu de la fenêtre quand on la redimensionne.

Parmi les forces vives de COSMIC, on peut bien sûr citer sa souplesse. On la retrouve partout, notamment dans le maniement des fenêtres. On peut par exemple les empiler pour créer une fenêtre commune avec des onglets, leur faire occuper rapidement une moitié ou un quart d’écran en les faisant glisser vers un coin ou un bord (ces manipulations peuvent se faire aussi au clavier), activer la gravité sur les bords et coins pour attirer les fenêtres qui s’en approchent, etc. Souplesse également dans les bureaux virtuels, qui peuvent s’afficher partout ou indépendamment sur chaque écran, être épinglés pour devenir statiques, s’utiliser horizontalement ou verticalement…

Cette personnalisation poussée se retrouve dans les options liées à l’interface, dans le choix des couleurs, du style graphique, de la forme des coins, du liseré de couleur pour la fenêtre active ou encore de la densité des fenêtres.

Support de Wayland et fonctions absentes ou incomplètes

La bêta introduit également un vrai support de Wayland, avec XWayland pour assurer la compatibilité des applications X11. Il existe quelques limitations cependant. Entre autres, on ne peut pas déplacer d’éléments d’une application Wayland vers une autre en X11, par exemple de Files vers Slack. Pour l’instant, dans ce type de cas, il est recommandé de passer par la fonction intégrée de l’application pour envoyer des fichiers. Côté navigateurs, à partir de Chrome 140 (et de ses dérivés), il n’y a normalement plus de problème. Pour les jeux, l’équipe de développement signale que tout fonctionne bien dans la plupart des cas, mais que certains titres (dont Goat Simulator) démarrent « partiellement hors écran ». Dans ce cas, il faut presser F11 ou Super + F11 pour activer le mode plein écran.

La bêta de COSMIC n’est cependant pas tout à fait complète. Certaines fonctions ne seront réellement finalisées qu’avec la Release Candidate, qui n’a pas encore de date fixée. Par exemple, Text Editor ne prend pas encore en charge les imprimantes. Les suggestions d’addons Flatpak ne s’affichent pas non plus dans le Store, le lecteur d’écran ne fonctionne pas encore aussi bien qu’il le devrait, certaines applications n’ont pas de notifications dans la zone dédiée…

Sur le tableau prévisionnel du projet, on peut voir que la liste des améliorations et corrections s’allonge pour la Release Candidate. Rappelons enfin que COSMIC Desktop n’est pas exclusif à Pop!_OS. Plusieurs distributions le proposent déjà, même en préversion. Fedora a par exemple son propre Spin COSMIC. CachyOS, NixOS, Arch Linux, openSUSE ou encore Slackware le proposent également.

Les personnes ayant l’un de ces systèmes n’ont normalement qu’à effectuer les mises à jour en attente pour passer sur la version bêta de COSMIC.

Et Pop!_OS 24.04 alors ?

Du côté de la distribution elle-même, la grande majorité des nouveautés se concentre dans l’environnement COSMIC. Pour les utilisateurs, cette version 24.04 s’annonce cependant comme un grand saut, bien que l’on ne sache pas encore complètement ce qui se passe durant la mise à jour. Sur les installations neuves en tout cas, le système abandonnera GNOME pour COSMIC pour l’environnement, avec plusieurs remplacements d’applications par défaut.

Bien que basée sur Ubuntu 24.04, Pop!_OS 24.04 embarque globalement des composants plus récents que ceux qui étaient fournis l’année dernière par Canonical. Le noyau Linux fourni est en version 6.16.3, actuellement la dernière révision stable. Le temps que la version finale du système sorte, il est probable que la version 6.17 soit utilisée. On trouve également Mesa en version 25.1.5 - 1, les pilotes NVIDIA 580 (une image ISO dédiée existe pour installer le système sur les machines concernées), libwayland/libwayland-client 1.23.1 - 3 ou encore libdrm 2.4.125 - 1.

Pour le reste, Pop!_OS 24.04 est essentiellement une modernisation générale de la base par rapport à la version 22.04, comme on s’en doute. Notez que dans l’annonce, System76 indique que l’on peut mettre à jour l’actuel système stable vers la bêta, via la commande suivante dans le terminal :

pop-upgrade release upgrade -f

cependant, l’opération n’est recommandée qu’à des fins de tests. Des bugs restent présents, certaines fonctions sont incomplètes et des problèmes spécifiques apparaissent lors de la mise à jour. Par exemple, les favoris épinglés dans le Dock ne sont pas migrés. Le processus désactive aussi les PPA pour ne pas provoquer d’erreurs. Il faut manuellement les réactiver une fois l’opération finie.