Chapeau la distrib'

Fedora 45 vient d’entrer dans sa phase bêta. Les nouveautés sont assez nombreuses, notamment sur la sécurité et les paquets reproductibles.

Fedora est le laboratoire à ciel ouvert de Red Hat. La distribution est connue pour être pionnière dans ses choix technologiques, comme le choix du serveur d’affichage Wayland par défaut dès la version 25, longtemps avant les autres distributions (et les bugs de jeunesse qui allaient avec).

• X11, Wayland : pourquoi la transition est-elle aussi longue ?

Comme Ubuntu, Fedora dispose d’un rythme biannuel, au printemps et à l’automne. La nouvelle mouture 45 est ainsi prévue pour le 20 octobre, ou le 27 en cas de problème. Maintenant que la bêta est disponible, on peut observer ses nouveautés, parmi lesquelles une hausse manifeste du niveau de sécurité.

Toutes les variantes du système peuvent être téléchargées (images ISO) depuis le site officiel. Sur la page de téléchargement, il faut penser à activer le sélecteur d’affichage pour la bêta. Depuis l’annonce officielle, les différents liens pointent tous directement vers les versions 45.

Composants de base

La bêta de Fedora 45 est livrée avec le noyau Linux 7.2, la dernière révision stable (sortie le 16 aout). Parmi les nouveautés de ce dernier, le Cache Aware Scheduling permet à l’équilibrage de charge de tenir compte du cache de dernier niveau au sein des processeurs. Phoronix, connu pour ses tests de performances, indiquait en outre que le noyau 7.2 introduisait des gains mesurables de performances pour les processeurs AMD et Intel. Entre autres nouveautés, on trouve une première prise en charge du HDMI 2.1 FRL dans le pilote AMDGPU, le support du protocole USB4STREAM d’Intel ou diverses prises en charge dans KVM de fonctions de sécurité propres à AMD et Intel.

Comme toujours avec Fedora, la version proposée par défaut pour les PC, Workstation, est fournie avec GNOME, qui passe pour l’occasion en version 51. Cette mouture n’est pas finalisée, même si les composants en bêta sont remplacés par leurs équivalents RC (Release Candidate) après l’installation de Fedora 45. GNOME 51 inaugure des curseurs au format SVG (déjà présents dans KDE), une nouvelle interface de gestion des empreintes digitales, le support de la connexion distante multi-utilisateurs via Kerberos, de nouveaux réglages pour le pavé tactile, de meilleures performances pour Agenda ou encore le nettoyage du code auparavant lié aux anciens pilotes NVIDIA. Pour les personnes n’appréciant pas GNOME, KDE Plasma 6.7 est disponible dans une version dédiée.

Côté développement, la chaîne GNU passe à GCC 16.2, binutils 2.47, glibc 2.44 et gdb 17.2. S’y ajoutent LLVM 23 pour l’ensemble des sous-projets, Go 1.27, Python 3.15, Perl 5.44 et Lua 5.5. Dans les notes de version de la distribution, on peut lire que plusieurs changements cassent la compatibilité. Par exemple, Setuptools 82 supprime le module pkg_resources. Pandas passe de la 2.3 à la 3.0, avec une gestion des chaînes revue, un comportement copie-sur-écriture cohérent et la suppression de fonctionnalités dépréciées depuis longtemps. Même chose avec libxml2, dont le passage de la 2.13.9 à la 2.15.3 s’est accompagné d’un changement d’ABI, imposant une recompilation de masse avec dépréciation des liaisons Python.

Parmi les autres changements, Podman 6 est une des mises à jour les plus lourdes de conséquences. Elle « inclut des changements importants de rupture de l’API et de la ligne de commande, de nouvelles fonctionnalités, ainsi que la suppression finale de composants obsolètes tels que slirp4netns, cgroups v1 et le backend BoltDB », prévient Fedora. Citons également le passage de MySQL de la version 8.4 à 9.7, et celui de MariaDB de la version 11.8 à la 12.3. NetworkManager prend en charge par défaut les réseaux « IPv6-mostly ».

Sécurité : plusieurs serrages de vis

Plusieurs changements importants sont présents dans Fedora 45. D’abord, l’équipe indique avoir franchi la barre des 90 % de paquets reproductibles.

Pour comprendre l’intérêt, rappelons qu’un paquet est dit « reproductible » si, à partir du même code source, du même environnement de compilation et des mêmes instructions, n’importe qui peut régénérer une copie identique bit à bit du paquet publié. En clair, il s’agit d’un gage de sécurité de la chaine d’approvisionnement : c’est la garantie que le binaire téléchargé correspond bien au code source publié. Dans le cas de Fedora, toute non-reproductibilité détectée est considérée comme un bug et est traitée comme telle, via un rapport. La distribution n’est pas la seule à progresser dans ce domaine, d’autres comme Arch Linux ou NixOS font de même.

On reste dans le sujet avec la vérification désormais obligatoire des signatures par le gestionnaire de paquets RPM. Un mode de vérification stricte, conformément au comportement en amont introduit par la version 6.0, comme nous l’indiquions il y a un an. Ainsi, seuls les paquets dont la signature est vérifiée peuvent être installés, sauf dérogation explicite avec --nosignature ou l’API correspondante. Les RPM compilés localement et non signés sont directement concernés. Côté Fedora, ce changement se fait dans la foulée du passage à RPM 6.1.

Fedora 45 restreint également ptrace par réglage global dans le noyau qui retire par défaut certaines permissions de débogage aux utilisateurs non privilégiés. L’objectif est d’empêcher un logiciel malveillant d’inspecter les autres processus du même utilisateur. En revanche, si des outils de débogage sont installés, un fichier sysctl rétablit le comportement classique de Fedora 44 et des versions précédentes.

Autre changement significatif, le changement de fournisseur par défaut du service Secret. On passe ainsi de KWallet et GNOME Keyring à oo7. Écrit en Rust, il implémente la même interface D-Bus org.freedesktop.secrets, et se veut une alternative légère utilisable sur tous les environnements. Il est développé dans le cadre du projet linux-credentials et sert déjà de service de secrets natif pour COSMIC Desktop. D’après la fiche Fedora, oo7 doit permettre un modèle d’autorisation limitée par application ou par service, ouvrir la voie à l’authentification FIDO2 et mieux encadrer l’accès des applications isolées aux secrets.

On trouve d’autres modifications liées à la sécurité, comme l’interdiction par DNF5 de changer de fournisseur par défaut. Un changement important, car à moins d’une manipulation spécifique, un paquet installé ne peut donc plus être remplacé automatiquement par celui d’un autre fournisseur. Signalons aussi que chpasswd et newusers passent désormais par PAM et appliquent donc les politiques de mots de passe du système.

Entre deux chaises

Le constructeur LG est dans une mauvaise passe dans le domaine de la vie privée. Ses écrans PC et téléviseurs OLED ont été accusés cet été de comportements peu vertueux. LG se défend désormais, affirmant que cette polémique n’a pas de raison d’être. Gamers Nexus, qui avait révélé les deux affaires, n’est pas d’accord.

La chaine Gamers Nexus, sur YouTube, a publié le 7 septembre une vidéo dans laquelle elle relate ses découvertes sur plusieurs écrans OLED de chez LG. Des failles de sécurité ont été découvertes et plusieurs comportements troublants ont été pointés du doigt.

• Des failles dans les téléviseurs connectés LG permettent d’écouter leur environnement

LG avait répondu peu après, indiquant que certaines fonctions, notamment la reconnaissance vocale, nécessitaient une activation et un consentement de l’utilisateur. Devant l’ampleur de la polémique, l’entreprise a cependant fini par publier un communiqué plus détaillé le 12 septembre.

Selon LG, tout va bien

Dans son texte, le constructeur n’y va pas par quatre chemins : « Les affirmations formulées dans la vidéo récemment publiée sont fausses ».

Il assure que ses téléviseurs n’enregistrent ni ne transmettent les conversations en continu. De même, la détection du mot de réveil est faite localement, les données audio étant immédiatement supprimées si aucun mot de réveil n’est reconnu. LG précise qu’une session de reconnaissance vocale dure 18 secondes au maximum.

En outre, il affirme que les données ne sont pas stockées localement pour être envoyées dès que la connexion revient, contredisant directement les propos de Gamers Nexus. L’entreprise le redit : rien ne se produit si on n’appuie pas sur le bouton dédié sur la télécommande et si l’on n’a pas activé l’option idoine dans les paramètres, désactivée par défaut.

Le constructeur évoque également la question de la reconnaissance automatique de contenus (ACR). LG indique que cette technologie se sert d’empreintes numériques audio en passant par le processeur audio du téléviseur pour identifier le contenu. Il « ne collecte pas de captures d’écran, d’enregistrements d’écran, d’enregistrements vidéo, d’enregistrements vocaux ou d’autres enregistrements audio provenant de la télévision ». Et de rappeler que là aussi, un consentement est demandé. S’il est donné, « les informations liées à l’ACR peuvent être utilisées pour la segmentation de l’audience et l’analyse des tendances ou de visionnage ».

LG ajoute : « La publicité basée sur les intérêts et la publicité inter-appareils nécessitent un consentement utilisateur distinct via les accords publicitaires applicables ».

L’entreprise affirme que la « protection de la vie privée des utilisateurs est un principe fondamental dans la conception et le fonctionnement des produits et services LG ». Elle insiste sur ses quatre principes en matière de vie privée : transparence, choix de l’utilisateur, consentement éclairé et amélioration continue. « L’approche de LG est guidée par les principes de la Privacy by Design », assure le constructeur.

Gamers Nexus : « Vraiment ? »

La chaine, qui a déjà longuement plongé dans les entrailles matérielles de ces produits, n’a pas apprécié la réponse de LG. Steve Burke, qui présente la chaîne, estime que le constructeur ne répond pas à tous les problèmes signalés, ne fournit aucune preuve de ce qui est avancé et ne tient plus tout à fait le même discours.

Dans une nouvelle vidéo, il note ainsi les modifications dans la forme des phrases, entre la première réponse d’il y a plusieurs semaines – quand le sujet avait débuté – et celle du 12 septembre. Il y a un mois, LG indiquait par exemple : « [nos téléviseurs] ne collectent pas, n’enregistrent pas et ne stockent pas les conversations ambiantes ». Dans le récent communiqué, la phrase est devenue : « Nous veillons à ce que votre téléviseur LG ne collecte, n’enregistre pas ou ne transmette pas de conversations ambiantes ». Il n’est plus question de stockage, mais de transmission. De même, la condition « sauf si la fonction verbale a été intentionnellement activée » a été ajoutée.

Gamers Nexus relève en outre un comportement qu’elle considère comme un catalogue de « dark patterns », c’est-à-dire des schémas trompeurs pour amener les utilisateurs à des actions qu’ils n’auraient pas acceptées sinon. Selon la chaîne, c’est le cas plusieurs fois dans le recueil du consentement, l’interface réclamant trop d’autorisations, dont plusieurs sont en plus cochées par défaut.

Autre point relevé : LG affirme que sans consentement les données ACR ne sont pas utilisées à des fins publicitaires. Toutefois, le constructeur ne dit ni qu’elles ne sont pas collectées, ni qu’elles ne sont pas utilisées pour d’autres objectifs. Gamers Nexus indique que les termes du communiqué ont été analysés par un avocat, Vincent Agosta, lui aussi présent dans la vidéo.

La chaine s’en prend aussi à la déclaration selon laquelle la reconnaissance vocale ne démarre que quand le ou les mots-clés sont prononcés, requérant d’activer une option dans les paramètres. Selon Gamers Nexus, c’est techniquement faux : les failles trouvées peuvent être exploitées pour changer ce réglage, tout dépend de qui a la maitrise du matériel. Avec un accès « root », il est possible de modifier les options, voire les mots-clés d’activation.

Dans sa vidéo de plus de trois quarts d’heure, Gamers Nexus redonne la liste des éléments reprochés à LG. La chaine met au défi le constructeur de lui prouver qu’elle a tort, pointant les 70 000 employés de l’entreprise. Steve Burke indique d’ailleurs qu’une deuxième partie est en préparation, avec d’autres découvertes, toujours liées à la vie privée. Il fustige LG pour avoir redit, dans son communiqué, que la sécurité était une priorité, alors que le constructeur n’a – selon lui – pas répondu à ses signalements dans ce domaine.

Une création agressive d’empreintes numériques

La vidéo évoque une partie de ces nouvelles découvertes. Steve Burke cite les travaux d’un chercheur en cybersécurité, nommé uturn, qui avait déjà participé à la première vidéo. Selon le chercheur, qui a utilisé du matériel pour se poser en « homme du milieu », les tests montrent une capture « agressive » d’informations sur la liaison HDMI, dont les données audio qui servent à la création de l’empreinte numérique.

Dans cette configuration, le téléviseur associait dans la même télémétrie la localisation de l’appareil, des identifiants de la source HDMI récupérés (via les canaux d’informations auxiliaires SPD et CEC), ainsi que l’horodatage couvert par chaque empreinte. Les tests ont révélé un débit de 20 paquets par minute vers un serveur d’Alphonso (LG Ad Solutions, la filiale du groupe dédiée à la publicité), par salves de cinq messages espacés d’environ une seconde, avec une dizaine de secondes entre les salves, et uniquement lorsque de l’audio était effectivement joué.

Dans ces paquets, on trouve un identifiant d’appareil, une clé de correspondance pour la géolocalisation, la ville et l’État, la latitude et la longitude, le nom de la voie principale la plus proche, le fuseau horaire et le code postal. Pour trouver l’emplacement géographique, le système utilise la puissance de signal d’un réseau Wi-Fi voisin. Ce qui peut expliquer les découvertes faites dans la première partie sur le comportement réseau très actif, les téléviseurs testés analysant tout ce qui est détecté. Dans une partie des tests, la précision relevée était d’environ 8 km, mais Gamers Nexus estime qu’elle peut être améliorée par le couple BSSID (Basic Service Set Identifier)+ puissance de signal. Dans les téléviseurs LG, comme pour de nombreux autres modèles, ces informations circulent via ACR.

Entre deux chaises

La chaine précise que ces résultats ont été obtenus sur un appareil d’origine, non modifié et sans exploitation de vulnérabilité. En outre, comme souligné par Tech Radar, ces travaux recoupent ceux d’Anna Maria Mandalari publiés dès 2024 sur les communications du système ACR. Professeure à l’University College de Londres (UCL), elle avait montré que les empreintes étaient calculées sur la base de tout ce qui transitait par le HDMI, même quand le téléviseur était utilisé comme relais depuis une autre source, comme un ordinateur. Interrogée par nos confrères, elle estime elle aussi que la récente réponse de LG ne répond pas à « l’ensemble du tableau » sur les questions de vie privée.

Pour Lillian Edwards, professeure en droit, innovation et société, la plupart des utilisateurs veulent simplement pouvoir se servir rapidement de l’appareil et ne prêtent plus attention à ce qu’ils acceptent. Elle estime que les méthodes utilisées dans les téléviseurs LG pourraient ne pas être compatibles avec le RGPD, qui exige un consentement explicite et éclairé. Ses propos appuient en filigrane les accusations de « dark patterns » lancées par Gamers Nexus.

Enfin, Cobun Zweifel-Keegan, l’un des directeurs de l’IAPP (International Association of Privacy Professionals), relève que la réponse de LG est « cohérente avec les pratiques de l’industrie ». En revanche, « la réponse se concentre sur ses capteurs et ses pratiques de collecte de données, sans aborder les allégations de publicité et de profilage utilisateur qui constituent une grande partie du rapport Gamers Nexus ». LG pourrait ainsi se retrouver dans une situation délicate, forcée par la pression médiatique à s’exprimer, sans jeter l’opprobre sur un lot de pratiques commun à de nombreux constructeurs.