Si Apple Intelligence et iOS 18 ont attiré la plupart des regards, le Mac se contente moins cette année de suivre les plateformes mobiles. visionOS a droit à sa première mise à jour majeure et Xcode fait le plein d’intelligence artificielle, avec son propre « copilote ».
Les annonces sur l’intelligence artificielle ont largement dominé l’ouverture de la WWDC. L’entreprise était attendue au tournant. Très en retard sur la concurrence (particulièrement Microsoft, portée par les modèles d’OpenAI) elle a consacré une bonne part des annonces à une vaste opération de rattrapage. Si l’entreprise n’a pas brillé par les nouveautés, elle veut en revanche faire la différence sur la vie privée.
Après iOS et iPadOS 18, qu’en est-il alors du Mac ? Le prochain système se nomme Sequoia et apporte des nouveautés intéressantes, dont la recopie de l’iPhone. Les autres plateformes, watchOS 11 et tvOS 18, sont plus discrètes, avec des apports moins nombreux. Xcode 16, en revanche, sera probablement l’une des versions les plus importantes de l’environnement de développement.
macOS Sequoia introduit la recopie de l’iPhone
La fonction, nommée iPhone Mirroring aux États-Unis, permet une recopie complète de l’iPhone et son utilisation en temps réel.
La fonction est une extension de Continuité. Elle reprend l’ensemble des signaux provenant de l’iPhone, y compris le son (que l’on peut faire varier ou couper). Le pilotage se fait avec le Mac, au clavier, au trackpad ou à la souris. L’utilisation peut se faire en mode portrait ou paysage, y compris pour lancer un jeu. On peut même redimensionner la fenêtre.
L’intégration est poussée. Par exemple, on peut accepter que le Mac reçoive les notifications en provenance de l’iPhone. Elles sont accompagnées du logo de l’application concernée, frappé en bas à droite un symbole de téléphone. Quand une de ces notifications apparait, cliquer dessus ouvre la recopie de l’iPhone sur le contenu correspondant. Il n’est pas nécessaire que l’iPhone soit déverrouillé pour que la fonction remplisse son office. Il peut être en cours de recherche et en mode « En veille », tout en étant utilisé sur le Mac.
L’intégration prend également en charge le glisser/déposer d’éléments de l’un vers l’autre. On peut sélectionner un ou plusieurs fichiers par exemple depuis le Finder et les déposer dans une application ouverte sur l’iPhone. Même chose pour une image copiée et que l’on peut intégrer dans un message ou autre.
Le couplage des appareils ne passe pas par internet. Ils établissent une double connexion Bluetooth et Wi-Fi sécurisée.
Les scénarios d’usages sont variés. La fonction étant intégrée, on peut s’en servir pour récupérer rapidement un élément d’un appareil vers l’autre, sans devoir passer par le cloud et des manipulations tactiles. Il y a surtout le cas des applications mobiles n’ayant pas d’équivalent sur Mac. On pense aux jeux bien sûr, mais aussi à d’autres plus axées sur la sécurité. Certaines applications sont par exemple reliées à des caméras de sécurité. Cliquer sur une notification ouvrira donc la fenêtre de recopie de l’iPhone et affichera l’image dans l’application correspondante.
Apple insiste sur les jeux !
Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Nouvelle mouture pour le navigateur de Mozilla. Cette version 127 propose de démarrer automatiquement sur Windows à l’ouverture de session. Comme d’autres navigateurs (notamment Chrome et Edge), le réglage permet de précharger l’application pour que son ouverture soit plus rapide. On peut également fermer tous les onglets dupliqués depuis le clic droit sur un onglet.
Plusieurs nouveautés sont liées à la sécurité. Le travail d’optimisation est ainsi terminé sur la recherche préalable (prefetching) de DNS pour les documents HTTPS (rel= »dns-prefetch »). « Cette norme permet aux développeurs web de spécifier des noms de domaine pour les ressources importantes qui doivent être résolues de manière préemptive », indique Mozilla.
Firefox 127 essaie aussi de passer automatiquement à HTTPS pour l’ensemble des éléments img, audio et vidéo d’une page, si celle-ci est déjà en HTTPS. Sur Windows et macOS, il est possible de forcer Firefox à réclamer l’identification de la session (biométrie, mot de passe, code PIN…) pour accéder aux mots de passe stockés dans le navigateur.
On note quelques autres changements, comme le passage à x86_64 dans la chaine User-Agent pour les systèmes Linux x86 32 bits. La fonction Capture d’écran est améliorée également. Offrant de meilleures performances, elle prend en charge un plus grand nombre de types de fichiers (SVG, XML…) ainsi que les thèmes du navigateur, et supporte les thèmes à contraste élevé.
Nouvelle mouture pour le navigateur de Mozilla. Cette version 127 propose de démarrer automatiquement sur Windows à l’ouverture de session. Comme d’autres navigateurs (notamment Chrome et Edge), le réglage permet de précharger l’application pour que son ouverture soit plus rapide. On peut également fermer tous les onglets dupliqués depuis le clic droit sur un onglet.
Plusieurs nouveautés sont liées à la sécurité. Le travail d’optimisation est ainsi terminé sur la recherche préalable (prefetching) de DNS pour les documents HTTPS (rel= »dns-prefetch »). « Cette norme permet aux développeurs web de spécifier des noms de domaine pour les ressources importantes qui doivent être résolues de manière préemptive », indique Mozilla.
Firefox 127 essaie aussi de passer automatiquement à HTTPS pour l’ensemble des éléments img, audio et vidéo d’une page, si celle-ci est déjà en HTTPS. Sur Windows et macOS, il est possible de forcer Firefox à réclamer l’identification de la session (biométrie, mot de passe, code PIN…) pour accéder aux mots de passe stockés dans le navigateur.
On note quelques autres changements, comme le passage à x86_64 dans la chaine User-Agent pour les systèmes Linux x86 32 bits. La fonction Capture d’écran est améliorée également. Offrant de meilleures performances, elle prend en charge un plus grand nombre de types de fichiers (SVG, XML…) ainsi que les thèmes du navigateur, et supporte les thèmes à contraste élevé.
Si les annonces d’Apple sur l’IA étaient attendues de pied ferme, les nouvelles versions majeures de ses plateformes ont d’autres nouveautés. C’est particulièrement vrai sur iPhone et iPad, avec un accent mis sur la personnalisation. Au point de rappeler furieusement Android par moments.
La présentation d’Apple s’est faite en deux temps. Une première partie listant les nouveautés classiques que l’on peut attendre de nouvelles versions majeures de ses systèmes. La seconde était consacrée à l’intelligence artificielle. L’exposé, relativement long, devait démontrer la vision intégrée d’Apple et son souci de la vie privée. En pratique, Apple est en retard, les fonctions n’arriveront qu’en bêta à l’automne, qu’en anglais et uniquement aux États-Unis.
Même si Apple était attendue au tournant face à une concurrence prenant le large (particulièrement Microsoft, portée par les succès d’OpenAI), ses plateformes ont leurs nouveautés propres. Comme les années précédentes, c’est surtout vrai pour iOS et iPadOS. macOS récupère presque tous les apports et y ajoute quelques spécificités, comme iPhone Mirroring, qui permet d’afficher l’écran de son iPhone sur l’ordinateur. Nous y reviendrons dans un futur article, avec les autres plateformes.
iOS 18 fait un gros lâcher sur la personnalisation
Android ! Le nom survient seul, tant les nouveautés d’Apple sur la personnalisation de son iOS 18 rappellent le système de Google, surtout dans sa version « stock » (sans surcouche).
L’écran d’accueil, en particulier, est beaucoup plus personnalisable. On peut par exemple disposer les icônes où l’on veut sur la grille, et pas uniquement les unes à la suite des autres. On peut également changer la teinte des icônes pour leur imposer une couleur spécifique ou harmonisée avec le fond d’écran.
Ces réglages peuvent être appliqués sur une icône ou sur toutes. En outre, on peut supprimer les noms des applications et afficher certaines icônes dans un format plus grand.
Personnalisation également pour le centre de contrôle, qui en avait bien besoin. Premier gros changement, l’écran peut être scindé en plusieurs. On peut y regrouper les contrôles que l’on souhaite, selon ses besoins ou envies. Par exemple, pour regrouper tous les contrôles domotiques de la maison. On peut faire défiler ces écrans par le geste classique ou en prolongeant le glissement vers le bas depuis l’appel du centre. Deuxième changement, la possibilité de placer les boutons d’action (aussi ronds que ceux d’Android) où l’on souhaite. On peut également modifier leur taille.
Ces modifications s’étendent même aux deux boutons situés en bas de l’écran verrouillé : Lampe torche et Appareil photo. On peut désormais leur affecter d’autres fonctions, y compris provenant d’applications tierces. Dans sa démonstration, Apple montrait comment Appareil photo avait été remplacé par l’ouverture d’une nouvelle publication sur Snapchat. Il est aussi possible de supprimer ces deux boutons.
Apple casse un peu la sobriété de Messages
Nouvelle salve de nouveautés pour Messages. iOS 17 avait déjà apporté quelques « menus plaisirs », iOS 18 va un cran plus loin. Par exemple en colorant les réactions et en ajoutant – enfin – la possibilité de réagir à un message avec n’importe quel émoji.
Il est également possible d’ajouter des effets sur un mot dans un message pour lui donner une certaine emphase. On a le choix entre des effets comme « Grand », « Secousse », « Ondulation » ou encore « Explosion ». On peut sélectionner un mot et lui appliquer l’un de ces effets. Certains mots doivent être détectés automatiquement pour qu’iOS propose d’ajouter l’effet correspondant, mais la fonction ne semble pas encore disponible en français.
En plus de la gestion très attendue du RCS, iOS 18 permet de préparer à l’avance un message pour l’envoyer à la date et l’heure choisie. Par exemple, pour ne pas rater un prochain anniversaire au moment où on y pense.
Surtout, Messages pourra passer par satellites quand l’iPhone n’a pas de réseau. La fonction est disponible depuis les iPhone 14 et peut servir à envoyer des iMessage comme des SMS. Même les réactions et effets sont gérés. Apple précise que le chiffrement de bout en bout est préservé pour iMessage. Cette nouveauté sera d’abord réservée aux États-Unis, comme le positionnement par satellite à ses débuts.
Notez que nous faisons volontairement l’impasse sur toutes les fonctions liées à Apple Intelligence, résumées dans notre article dédié. On pourrait sinon aborder les envois d’emojis personnalisés (Genmoji) ou encore la génération d’images.
Photos change d’approche
Apple a largement insisté sur la nouvelle version de Photos, qui aurait reçu sa « plus grosse évolution » depuis qu’iOS existe. Finie la vue fragmentée, qui avait d’ailleurs tendance à se montrer redondante. On trouve désormais un accueil unique, avec la grille en haut de l’écran et les collections en-dessous.
Ces collections sont une nouveauté et sont générées par IA, en fonction de thématiques se voulant plus intelligentes que celles créées automatiquement aujourd’hui. On peut épingler les collections les plus intéressantes et supprimer les autres. Si l’on « swipe » vers la gauche, Photos révèle un carrousel mettant en avant les souvenirs jugés comme les plus importants. Le carrousel est personnalisable. On peut également créer des souvenirs autour d’évènements avec un plus grand nombre d’options de personnalisation. Une musique « adaptée » est sélectionnée depuis Apple Music, avec possibilité d’en charger.
Photos comporte également des fonctions alimentées par l’IA et dont on ne sait pas encore quand elles seront réellement disponibles. Par exemple, Clean Up permet de sélectionner un élément dans un cliché pour le supprimer. Une fonction classique dans les applications de retouche et qu’Apple intègre donc dans iOS. Sans doute pour faire écho à Google, qui inclut ce type de fonctions dans sa propre application.
Vie privée : des applications à cacher et à verrouiller
iOS 18 introduit plusieurs fonctions importantes pour la vie privée dans la gestion des applications. Le système est ainsi capable de verrouiller n’importe quelle application, qu’elle soit interne ou tierce. Son ouverture réclame alors une authentification biométrique. En outre, cette application peut être cachée dans un nouveau dossier spécial, destiné à cacher tout ce qui s’y trouve et lui-même verrouillé.
Quand des applications sont verrouillées, ce qu’elles contiennent ne peut plus apparaître dans les recherches ou ailleurs. Les notifications ne sont plus affichées. L’idée est de pouvoir mettre son iPhone dans les mains d’une autre personne sans risquer que des informations sensibles soient affichées accidentellement, jusqu’à la présence d’une application spécifique.
Apple ajoute également la possibilité de ne sélectionner que certains contacts à partager avec une application. Dans le même esprit, la connexion d’un accessoire à une application peut se faire sans que celle-ci voit les autres appareils du réseau.
Mode jeu, Tap to Cash et le reste
On note plusieurs autres apports assez importants dans iOS 18. Par exemple, le Mode jeu, que l’on trouvait dans macOS Sonoma, débarque sur iPhone (et iPad). Le fonctionnement est le même : réduction de la priorité des tâches en arrière-plan et amélioration « considérable » de la latence pour les manettes et AirPods.
Tap to Cash est une extension d’Apple Pay. Comme son nom l’indique, la fonction autorise l’échange d’argent entre deux iPhone simplement approchés l’un de l’autre. Il faut malheureusement que le compte bancaire soit compatible Apple Cash… ce qui n’est possible qu’aux États-Unis. Dommage. L’application Cartes est aussi mise à jour, offrant une nouvelle vue pour les billets d’évènements, tels que les concerts.
Citons également l’affichage des Rappels dans Calendrier, la possibilité dans Maison de créer des accès invités pour leur laisser le contrôle de certains accessoires domotiques, une révision de la Fiche médicale pour mieux mettre en avant les informations cruciales, ou encore, pour les possesseurs d’AirPods Pro de 2e génération, la possibilité de hocher ou secouer la tête pour répondre « oui » ou « non » aux questions de Siri. Journal propose de son côté une nouvelle vue d’ensemble, peut compter le temps d’écriture, propose un widget et simplifie la recherche. Ajoutons, dans Calendrier, une vue mensuelle détaillée, permettant d’afficher les noms des évènements sans avoir besoin d’entrer dans la vue journée.
Enfin, les performances de Safari ont été améliorées (comme à chaque fois) et on note l’apparition d’une application dédiée pour la gestion des mots de passe. Un changement important sur lequel nous reviendrons dans notre article sur le nouveau macOS, Sequoia.
iOS 18 pour qui ?
La réponse est simple : tout iPhone actuellement compatible avec iOS 17 pourra installer iOS 18. Comme toujours, cela ne signifie que tout le monde sera servi de la même manière. On le sait déjà pour Apple intelligence, qui ne pourra fonctionner qu’avec au moins un iPhone 15 Pro. Mais d’autres fonctions peuvent ne pas être présentes sur des appareils anciens.
L’iPad, roi des maths ?
iPadOS 18 récupère évidemment toutes les nouveautés présentées dans iOS 18 et en ajoute quelques-unes « rien qu’à lui ».
La plus impressionnante est sans doute Math Notes. On écrit dans l’application avec le stylet comme on le ferait avec un papier et un crayon pour faire ses calculs. À la différence que la tablette va calculer automatiquement les résultats et les afficher, en respectant la calligraphie. On peut écrire a priori n’importe quel type d’expression mathématique, les modifier, les transformer en équations, générer des graphes ou encore assigner une valeur à une variable dans un coin de l’écran.
Cet ajout est complété par un autre, auquel on ne croyait plus : Calculette. Apple a beau avoir présenté cette nouveauté avec un certain humour, on ne comprend toujours pas ce qui a nécessité tant de temps. Les modes basique et scientifique sont présents, de même que l’historique et la conversion des longueurs, poids et devises.
Une préservation de la calligraphie
Cet aspect, évoqué dans Math Notes, est en fait une fonction nommée Smart Script. Elle analyse la calligraphie de l’utilisateur et permet par la suite de la « nettoyer », tout en le redressant. Ce texte est en outre manipulable comme n’importe quel autre qui aurait été tapé au clavier. L’application de la calligraphie fonctionne également pour du texte collé dans la note.
On ne sait pas encore dans quelle mesure ce traitement, tout comme Math Notes, font appel à Apple Intelligence. Si tel est le cas, ce sont deux ajouts majeurs qui disparaissent d’entrée pour toutes les tablettes n’étant pas munies au moins d’une puce M1. Et quand bien même, il faudrait encore résider aux États-Unis, jusqu’à ce qu’Apple élargisse la disponibilité de ses fonctions IA.
Une barre d’onglets personnalisable
Il y a au moins une nouveauté que les utilisateurs sont certains de retrouver : une nouvelle barre d’onglets. Flottante, elle peut être personnalisée avec les éléments présents d’ordinaire dans la zone latérale gauche. Elle est censée apparaître dans toutes les applications proposant des contenus.
Signalons plusieurs autres ajouts, comme les sections rétractables dans Notes ainsi qu’un nouveau mode Lecteur plus épuré dans Safari.
Quelques vieux iPad éliminés
Contrairement à iOS 18, iPadOS 18 ne prend pas en charge tous les modèles de son prédécesseur. L’iPad 6 ainsi que les iPad Pro de 2e génération passent à la trappe. Il faut donc, au minimum, un iPad 7, mini 5, Air 3 ou un iPad Pro de 3e génération.
Si les annonces d’Apple sur l’IA étaient attendues de pied ferme, les nouvelles versions majeures de ses plateformes ont d’autres nouveautés. C’est particulièrement vrai sur iPhone et iPad, avec un accent mis sur la personnalisation. Au point de rappeler furieusement Android par moments.
La présentation d’Apple s’est faite en deux temps. Une première partie listant les nouveautés classiques que l’on peut attendre de nouvelles versions majeures de ses systèmes. La seconde était consacrée à l’intelligence artificielle. L’exposé, relativement long, devait démontrer la vision intégrée d’Apple et son souci de la vie privée. En pratique, Apple est en retard, les fonctions n’arriveront qu’en bêta à l’automne, qu’en anglais et uniquement aux États-Unis.
Même si Apple était attendue au tournant face à une concurrence prenant le large (particulièrement Microsoft, portée par les succès d’OpenAI), ses plateformes ont leurs nouveautés propres. Comme les années précédentes, c’est surtout vrai pour iOS et iPadOS. macOS récupère presque tous les apports et y ajoute quelques spécificités, comme iPhone Mirroring, qui permet d’afficher l’écran de son iPhone sur l’ordinateur. Nous y reviendrons dans un futur article, avec les autres plateformes.
iOS 18 fait un gros lâcher sur la personnalisation
Android ! Le nom survient seul, tant les nouveautés d’Apple sur la personnalisation de son iOS 18 rappellent le système de Google, surtout dans sa version « stock » (sans surcouche).
L’écran d’accueil, en particulier, est beaucoup plus personnalisable. On peut par exemple disposer les icônes où l’on veut sur la grille, et pas uniquement les unes à la suite des autres. On peut également changer la teinte des icônes pour leur imposer une couleur spécifique ou harmonisée avec le fond d’écran.
Ces réglages peuvent être appliqués sur une icône ou sur toutes. En outre, on peut supprimer les noms des applications et afficher certaines icônes dans un format plus grand.
Personnalisation également pour le centre de contrôle, qui en avait bien besoin. Premier gros changement, l’écran peut être scindé en plusieurs. On peut y regrouper les contrôles que l’on souhaite, selon ses besoins ou envies. Par exemple, pour regrouper tous les contrôles domotiques de la maison. On peut faire défiler ces écrans par le geste classique ou en prolongeant le glissement vers le bas depuis l’appel du centre. Deuxième changement, la possibilité de placer les boutons d’action (aussi ronds que ceux d’Android) où l’on souhaite. On peut également modifier leur taille.
Ces modifications s’étendent même aux deux boutons situés en bas de l’écran verrouillé : Lampe torche et Appareil photo. On peut désormais leur affecter d’autres fonctions, y compris provenant d’applications tierces. Dans sa démonstration, Apple montrait comment Appareil photo avait été remplacé par l’ouverture d’une nouvelle publication sur Snapchat. Il est aussi possible de supprimer ces deux boutons.
Apple casse un peu la sobriété de Messages
Nouvelle salve de nouveautés pour Messages. iOS 17 avait déjà apporté quelques « menus plaisirs », iOS 18 va un cran plus loin. Par exemple en colorant les réactions et en ajoutant – enfin – la possibilité de réagir à un message avec n’importe quel émoji.
Il est également possible d’ajouter des effets sur un mot dans un message pour lui donner une certaine emphase. On a le choix entre des effets comme « Grand », « Secousse », « Ondulation » ou encore « Explosion ». On peut sélectionner un mot et lui appliquer l’un de ces effets. Certains mots doivent être détectés automatiquement pour qu’iOS propose d’ajouter l’effet correspondant, mais la fonction ne semble pas encore disponible en français.
En plus de la gestion très attendue du RCS, iOS 18 permet de préparer à l’avance un message pour l’envoyer à la date et l’heure choisie. Par exemple, pour ne pas rater un prochain anniversaire au moment où on y pense.
Surtout, Messages pourra passer par satellites quand l’iPhone n’a pas de réseau. La fonction est disponible depuis les iPhone 14 et peut servir à envoyer des iMessage comme des SMS. Même les réactions et effets sont gérés. Apple précise que le chiffrement de bout en bout est préservé pour iMessage. Cette nouveauté sera d’abord réservée aux États-Unis, comme le positionnement par satellite à ses débuts.
Notez que nous faisons volontairement l’impasse sur toutes les fonctions liées à Apple Intelligence, résumées dans notre article dédié. On pourrait sinon aborder les envois d’emojis personnalisés (Genmoji) ou encore la génération d’images.
Photos change d’approche
Apple a largement insisté sur la nouvelle version de Photos, qui aurait reçu sa « plus grosse évolution » depuis qu’iOS existe. Finie la vue fragmentée, qui avait d’ailleurs tendance à se montrer redondante. On trouve désormais un accueil unique, avec la grille en haut de l’écran et les collections en-dessous.
Ces collections sont une nouveauté et sont générées par IA, en fonction de thématiques se voulant plus intelligentes que celles créées automatiquement aujourd’hui. On peut épingler les collections les plus intéressantes et supprimer les autres. Si l’on « swipe » vers la gauche, Photos révèle un carrousel mettant en avant les souvenirs jugés comme les plus importants. Le carrousel est personnalisable. On peut également créer des souvenirs autour d’évènements avec un plus grand nombre d’options de personnalisation. Une musique « adaptée » est sélectionnée depuis Apple Music, avec possibilité d’en charger.
Photos comporte également des fonctions alimentées par l’IA et dont on ne sait pas encore quand elles seront réellement disponibles. Par exemple, Clean Up permet de sélectionner un élément dans un cliché pour le supprimer. Une fonction classique dans les applications de retouche et qu’Apple intègre donc dans iOS. Sans doute pour faire écho à Google, qui inclut ce type de fonctions dans sa propre application.
Vie privée : des applications à cacher et à verrouiller
iOS 18 introduit plusieurs fonctions importantes pour la vie privée dans la gestion des applications. Le système est ainsi capable de verrouiller n’importe quelle application, qu’elle soit interne ou tierce. Son ouverture réclame alors une authentification biométrique. En outre, cette application peut être cachée dans un nouveau dossier spécial, destiné à cacher tout ce qui s’y trouve et lui-même verrouillé.
Quand des applications sont verrouillées, ce qu’elles contiennent ne peut plus apparaître dans les recherches ou ailleurs. Les notifications ne sont plus affichées. L’idée est de pouvoir mettre son iPhone dans les mains d’une autre personne sans risquer que des informations sensibles soient affichées accidentellement, jusqu’à la présence d’une application spécifique.
Apple ajoute également la possibilité de ne sélectionner que certains contacts à partager avec une application. Dans le même esprit, la connexion d’un accessoire à une application peut se faire sans que celle-ci voit les autres appareils du réseau.
Mode jeu, Tap to Cash et le reste
On note plusieurs autres apports assez importants dans iOS 18. Par exemple, le Mode jeu, que l’on trouvait dans macOS Sonoma, débarque sur iPhone (et iPad). Le fonctionnement est le même : réduction de la priorité des tâches en arrière-plan et amélioration « considérable » de la latence pour les manettes et AirPods.
Tap to Cash est une extension d’Apple Pay. Comme son nom l’indique, la fonction autorise l’échange d’argent entre deux iPhone simplement approchés l’un de l’autre. Il faut malheureusement que le compte bancaire soit compatible Apple Cash… ce qui n’est possible qu’aux États-Unis. Dommage. L’application Cartes est aussi mise à jour, offrant une nouvelle vue pour les billets d’évènements, tels que les concerts.
Citons également l’affichage des Rappels dans Calendrier, la possibilité dans Maison de créer des accès invités pour leur laisser le contrôle de certains accessoires domotiques, une révision de la Fiche médicale pour mieux mettre en avant les informations cruciales, ou encore, pour les possesseurs d’AirPods Pro de 2e génération, la possibilité de hocher ou secouer la tête pour répondre « oui » ou « non » aux questions de Siri. Journal propose de son côté une nouvelle vue d’ensemble, peut compter le temps d’écriture, propose un widget et simplifie la recherche. Ajoutons, dans Calendrier, une vue mensuelle détaillée, permettant d’afficher les noms des évènements sans avoir besoin d’entrer dans la vue journée.
Enfin, les performances de Safari ont été améliorées (comme à chaque fois) et on note l’apparition d’une application dédiée pour la gestion des mots de passe. Un changement important sur lequel nous reviendrons dans notre article sur le nouveau macOS, Sequoia.
iOS 18 pour qui ?
La réponse est simple : tout iPhone actuellement compatible avec iOS 17 pourra installer iOS 18. Comme toujours, cela ne signifie que tout le monde sera servi de la même manière. On le sait déjà pour Apple intelligence, qui ne pourra fonctionner qu’avec au moins un iPhone 15 Pro. Mais d’autres fonctions peuvent ne pas être présentes sur des appareils anciens.
L’iPad, roi des maths ?
iPadOS 18 récupère évidemment toutes les nouveautés présentées dans iOS 18 et en ajoute quelques-unes « rien qu’à lui ».
La plus impressionnante est sans doute Math Notes. On écrit dans l’application avec le stylet comme on le ferait avec un papier et un crayon pour faire ses calculs. À la différence que la tablette va calculer automatiquement les résultats et les afficher, en respectant la calligraphie. On peut écrire a priori n’importe quel type d’expression mathématique, les modifier, les transformer en équations, générer des graphes ou encore assigner une valeur à une variable dans un coin de l’écran.
Cet ajout est complété par un autre, auquel on ne croyait plus : Calculette. Apple a beau avoir présenté cette nouveauté avec un certain humour, on ne comprend toujours pas ce qui a nécessité tant de temps. Les modes basique et scientifique sont présents, de même que l’historique et la conversion des longueurs, poids et devises.
Une préservation de la calligraphie
Cet aspect, évoqué dans Math Notes, est en fait une fonction nommée Smart Script. Elle analyse la calligraphie de l’utilisateur et permet par la suite de la « nettoyer », tout en le redressant. Ce texte est en outre manipulable comme n’importe quel autre qui aurait été tapé au clavier. L’application de la calligraphie fonctionne également pour du texte collé dans la note.
On ne sait pas encore dans quelle mesure ce traitement, tout comme Math Notes, font appel à Apple Intelligence. Si tel est le cas, ce sont deux ajouts majeurs qui disparaissent d’entrée pour toutes les tablettes n’étant pas munies au moins d’une puce M1. Et quand bien même, il faudrait encore résider aux États-Unis, jusqu’à ce qu’Apple élargisse la disponibilité de ses fonctions IA.
Une barre d’onglets personnalisable
Il y a au moins une nouveauté que les utilisateurs sont certains de retrouver : une nouvelle barre d’onglets. Flottante, elle peut être personnalisée avec les éléments présents d’ordinaire dans la zone latérale gauche. Elle est censée apparaître dans toutes les applications proposant des contenus.
Signalons plusieurs autres ajouts, comme les sections rétractables dans Notes ainsi qu’un nouveau mode Lecteur plus épuré dans Safari.
Quelques vieux iPad éliminés
Contrairement à iOS 18, iPadOS 18 ne prend pas en charge tous les modèles de son prédécesseur. L’iPad 6 ainsi que les iPad Pro de 2e génération passent à la trappe. Il faut donc, au minimum, un iPad 7, mini 5, Air 3 ou un iPad Pro de 3e génération.
Apple a fini par présenter ses fonctions alimentées par l’IA. La société rattrape la concurrence sur les capacités, avec une intégration poussée. Cependant, la disponibilité est limitée et lointaine, surtout hors Etats-Unis. Certains aspects du fonctionnement restent flous.
Apple Intelligence : c’est désormais le nom officiel pour toutes les fonctions liées à l’IA chez Apple. La firme se permet d’ailleurs de jouer sur les mots, l’appellation pouvant être abrégée « AI ».
La présentation a consisté en un vaste listing de capacités, pour la plupart toutes déjà vues chez un concurrent ou un autre. La vision d’Apple dans le domaine passe par une intégration forte dans ses plateformes, un Siri nettement plus intelligent et – forcément – une protection de la vie privée mise au premier plan. Tout du moins pour les personnes qui y auront droit. Comme on le verra, la disponibilité sera très limitée dans un premier temps.
Si Apple n’a pour l’instant rien de vraiment nouveau à proposer, elle affiche une ligne de départ cohérente. Mais les détails manquent, notamment ce qui est calculé localement et sur le cloud. L’ensemble a du potentiel, mais il lui manque l’essentiel : la disponibilité et des informations concrètes.
Réécriture, génération d’images, d’emojis : avalanche de fonctions
Si la présentation des nouveautés des plateformes (sur lesquelles nous reviendrons plus tard) a avancé à marche forcée, Apple a pris un peu plus son temps pour ses fonctions IA.
On trouve déjà tout ce qui touche au rédactionnel. Rewrite peut ainsi reformuler en fonction du contexte (ou au choix). La fonction sera disponible partout et proposera plusieurs variations d’un texte, selon l’objectif recherché. Proofread vérifiera de manière plus poussée de la grammaire et la structure syntaxique. Les suggestions seront expliquées.
Summarize sera chargée, comme son nom l’indique, de résumer les informations. La fonction sera intégrée à toutes les applications Apple, mais pourra être appelée depuis un clic droit sur une sélection de texte. Selon le contexte et les instructions de l’utilisateur, elle génèrera un condensé des informations considérées comme les plus importantes, une liste de points-clés ou encore un tableau.
La génération d’images a fait, elle aussi, l’objet d’une présentation approfondie. On la trouve dans une application dédiée, Image Playground, mais la fonction peut aussi être appelée depuis les applications Apple. La capacité sera offerte aux applications tierces via une API.
La génération peut se faire dans trois styles – Animation, Illustration et Sketch – selon des requêtes bien sûr réalisées en langage naturel. Image Playground propose une « myriade de concepts provenant de catégories telles que thèmes, costumes, accessoires et lieux ». Les créations peuvent ensuite être affinées. Selon le contexte, l’utilisateur se verra offrir des suggestions d’illustrations. Dans Notes, les ébauches réalisées au stylet pourront également être retravaillées via Image Playground.
La génération d’images s’étend aussi aux émojis, une fonction nommée Genmoji. On pourra créer ces émojis personnalisés depuis soi-même ou un contact et en demander des variations. Ils seront envoyés en tant qu’émojis dans des messages ou sous forme d’autocollants. Pas un mot en revanche sur la compatibilité avec d’autres appareils.
Organiser, ranger, prioriser
Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Une importante faille de sécurité a été découverte dans plusieurs versions de PHP sous Windows, où l’exploitation est jugée triviale. Les personnes ayant installé un serveur avec XAMPP sont encouragées à modifier leur configuration, aucune nouvelle version n’étant pour l’instant disponible.
La vulnérabilité, estampillée CVE-2024-4577, affecte toutes les versions de PHP fonctionnant sur Windows. Elle concerne les versions 8.3 avant 8.3.8, 8.2 avant 8.2.20 et 8.1 avant 8.1.29. Toutes les moutures du langage sont touchées, y compris les plus anciennes. Les branches 8.0, 7 et 5 sont ainsi impactées, mais ne sont plus entretenues.
La faille a été découverte par Orange Tsai, chercheur en sécurité chez DevCore. Elle réside dans la conjonction d’un problème de vérification dans PHP et du fonctionnement d’un mécanisme de Windows, nommé best-fit. Ce dernier est responsable de la conversion du codage des caractères.
Pour un simple trait d’union invisible
Pour comprendre le fonctionnement de la faille, expliquons d’abord le concept d’échappement. Ce processus permet de convertir une partie des entrées utilisateur pour en retirer tout ce qui pourrait être interprété de travers. Cas classique, les symboles < et >, convertis dans leur équivalent en hexadécimal, afin de ne pas créer par inadvertance des balises web, selon l’utilisation.
Dans le cas de Best Fit, certains caractères ne sont pas échappés. Le trait d’union conditionnel (ou virtuel) est ainsi cité. Il s’agit d’un caractère invisible servant à indiquer où un mot a le droit d’être coupé pour créer un trait d’union. C’est ce type de caractère que l’on trouve parfois dans des noms de domaines pour afficher un nom paraissant légitime, mais renvoyant vers un faux site. Best Fit modifie notamment la valeur du trait d’union conditionnel (0xAD) en trait d’union classique (0x2D).
Pour le mode CGI uniquement
PHP peut fonctionner dans plusieurs modes. Seul le mode CGI est concerné par la faille, alors même qu’il a été conçu pour la sécurité, l’interprétation du code se faisant dans un processus distinct.
« Il s’avère que, dans le cadre du traitement d’Unicode, PHP applique ce que l’on appelle une correspondance « best fit », et suppose que, lorsque l’utilisateur a saisi un trait d’union virtuel, il avait en fait l’intention de saisir un véritable trait d’union, et l’interprète en tant que tel. C’est là que réside notre vulnérabilité. Si nous fournissons à un gestionnaire CGI un trait d’union virtuel (0xAD), le gestionnaire CGI ne ressentira pas le besoin de l’échapper, et le transmettra à PHP », pointent les chercheurs de WatchTowr.
Vous devinez la suite : PHP va l’interpréter comme un vrai trait d’union. Un changement simple en apparence, mais déterminant, le trait d’union servant à introduire des arguments dans les commandes.
Les chercheurs soulignent que le mécanisme est « remarquablement similaire » à une vieille faille de PHP en 2012. L’équipe de développement ne semble pas avoir pensé à Best Fit sous Windows, permettant de reprendre les codes d’exploitation d’il y a 12 ans et d’y apporter quelques modifications pour les faire fonctionner. Il s’agit d’une attaque par injection d’arguments, comme en 2012.
Une faille critique, avec quelques conditions
La faille est critique, dans le sens où une installation vulnérable peut être utilisée pour déclencher une exécution de code arbitraire à distance, sans intervention de l’utilisateur. En pratique, il faut quand même que quelques conditions soient réunies.
Par défaut, PHP n’est pas installé sur Windows. Pour qu’il le soit, il faut avoir installé un serveur, comme XAMPP, cité par les chercheurs. Il faut en outre que PHP fonctionne en mode CGI, un usage devenu minoritaire (largement remplacé par FastCGI). Mais attention, exposer le binaire PHP (php.exe ou php-cgi.exe) dans un dossier accessible au serveur web permet aussi l’exploitation de la faille. C’est malheureusement la configuration par défaut de XAMPP, qui n’est plus mis à jour depuis plus d’un an.
Les chercheurs ont par ailleurs attesté l’exploitation de la faille – tout en donnant la méthode – sur les versions chinoises (traditionnel et simplifié) et japonaise de Windows. Ils disent ne pas savoir si l’exploitation peut se faire sur d’autres variantes linguistiques. Ils ajoutent avoir été confrontés à une trop grande variation des configurations, d’autant qu’il n’est pas simple, depuis l’extérieur, de savoir dans quelle langue un système est configuré.
Toutes les personnes ayant un serveur PHP sont invitées à vérifier sa configuration et à installer la version la plus récente de PHP.
L’exploitation est simple à réaliser et les pirates peuvent tabler sur l’installation par défaut de XAMPP (qui n’est pas censé être utilisé en production, s’agissant avant tout d’un environnement de test) pour exposer les binaires PHP. La situation pour les systèmes Windows dans d’autres langues que celles testées par DevCore n’est pas claire, mais rien ne s’oppose – en théorie – à une exploitation sur tout type de configuration.
Une importante faille de sécurité a été découverte dans plusieurs versions de PHP sous Windows, où l’exploitation est jugée triviale. Les personnes ayant installé un serveur avec XAMPP sont encouragées à modifier leur configuration, aucune nouvelle version n’étant pour l’instant disponible.
La vulnérabilité, estampillée CVE-2024-4577, affecte toutes les versions de PHP fonctionnant sur Windows. Elle concerne les versions 8.3 avant 8.3.8, 8.2 avant 8.2.20 et 8.1 avant 8.1.29. Toutes les moutures du langage sont touchées, y compris les plus anciennes. Les branches 8.0, 7 et 5 sont ainsi impactées, mais ne sont plus entretenues.
La faille a été découverte par Orange Tsai, chercheur en sécurité chez DevCore. Elle réside dans la conjonction d’un problème de vérification dans PHP et du fonctionnement d’un mécanisme de Windows, nommé best-fit. Ce dernier est responsable de la conversion du codage des caractères.
Pour un simple trait d’union invisible
Pour comprendre le fonctionnement de la faille, expliquons d’abord le concept d’échappement. Ce processus permet de convertir une partie des entrées utilisateur pour en retirer tout ce qui pourrait être interprété de travers. Cas classique, les symboles < et >, convertis dans leur équivalent en hexadécimal, afin de ne pas créer par inadvertance des balises web, selon l’utilisation.
Dans le cas de Best Fit, certains caractères ne sont pas échappés. Le trait d’union conditionnel (ou virtuel) est ainsi cité. Il s’agit d’un caractère invisible servant à indiquer où un mot a le droit d’être coupé pour créer un trait d’union. C’est ce type de caractère que l’on trouve parfois dans des noms de domaines pour afficher un nom paraissant légitime, mais renvoyant vers un faux site. Best Fit modifie notamment la valeur du trait d’union conditionnel (0xAD) en trait d’union classique (0x2D).
Pour le mode CGI uniquement
PHP peut fonctionner dans plusieurs modes. Seul le mode CGI est concerné par la faille, alors même qu’il a été conçu pour la sécurité, l’interprétation du code se faisant dans un processus distinct.
« Il s’avère que, dans le cadre du traitement d’Unicode, PHP applique ce que l’on appelle une correspondance « best fit », et suppose que, lorsque l’utilisateur a saisi un trait d’union virtuel, il avait en fait l’intention de saisir un véritable trait d’union, et l’interprète en tant que tel. C’est là que réside notre vulnérabilité. Si nous fournissons à un gestionnaire CGI un trait d’union virtuel (0xAD), le gestionnaire CGI ne ressentira pas le besoin de l’échapper, et le transmettra à PHP », pointent les chercheurs de WatchTowr.
Vous devinez la suite : PHP va l’interpréter comme un vrai trait d’union. Un changement simple en apparence, mais déterminant, le trait d’union servant à introduire des arguments dans les commandes.
Les chercheurs soulignent que le mécanisme est « remarquablement similaire » à une vieille faille de PHP en 2012. L’équipe de développement ne semble pas avoir pensé à Best Fit sous Windows, permettant de reprendre les codes d’exploitation d’il y a 12 ans et d’y apporter quelques modifications pour les faire fonctionner. Il s’agit d’une attaque par injection d’arguments, comme en 2012.
Une faille critique, avec quelques conditions
La faille est critique, dans le sens où une installation vulnérable peut être utilisée pour déclencher une exécution de code arbitraire à distance, sans intervention de l’utilisateur. En pratique, il faut quand même que quelques conditions soient réunies.
Par défaut, PHP n’est pas installé sur Windows. Pour qu’il le soit, il faut avoir installé un serveur, comme XAMPP, cité par les chercheurs. Il faut en outre que PHP fonctionne en mode CGI, un usage devenu minoritaire (largement remplacé par FastCGI). Mais attention, exposer le binaire PHP (php.exe ou php-cgi.exe) dans un dossier accessible au serveur web permet aussi l’exploitation de la faille. C’est malheureusement la configuration par défaut de XAMPP, qui n’est plus mis à jour depuis plus d’un an.
Les chercheurs ont par ailleurs attesté l’exploitation de la faille – tout en donnant la méthode – sur les versions chinoises (traditionnel et simplifié) et japonaise de Windows. Ils disent ne pas savoir si l’exploitation peut se faire sur d’autres variantes linguistiques. Ils ajoutent avoir été confrontés à une trop grande variation des configurations, d’autant qu’il n’est pas simple, depuis l’extérieur, de savoir dans quelle langue un système est configuré.
Toutes les personnes ayant un serveur PHP sont invitées à vérifier sa configuration et à installer la version la plus récente de PHP.
L’exploitation est simple à réaliser et les pirates peuvent tabler sur l’installation par défaut de XAMPP (qui n’est pas censé être utilisé en production, s’agissant avant tout d’un environnement de test) pour exposer les binaires PHP. La situation pour les systèmes Windows dans d’autres langues que celles testées par DevCore n’est pas claire, mais rien ne s’oppose – en théorie – à une exploitation sur tout type de configuration.
La fonction existe dans WhatsApp depuis deux ans. Elle permet de fédérer de grands groupes de personnes autour de thématiques communes, comme les résidents d’un quartier, les parents d’élèves d’une école, etc.
Cette fois, Meta déploie la fonction sur Messenger, signale TechCrunch. Mais là où WhatsApp réclamait le numéro de téléphone, Messenger fonctionne sur la base des amis (et amis d’amis) sur Facebook. En outre, les invitations sont émises sous forme de liens partageables.
Jusqu’à 5 000 personnes peuvent rejoindre une communauté sur Messenger. Chacune est munie d’un accueil présentant l’espace de conversation. Les administrateurs du groupe peuvent également y placer des publications, mises à jour et autres informations.
Une communauté permet le rassemblement de plusieurs groupes de conversations. Les administrateurs doivent garder en mémoire que toute personne acceptée peut voir l’intégralité des échanges qu’elle rejoint. Une fois une communauté créée, il est possible de créer d’autres groupes, en fonction des thématiques spécifiques à aborder.
La fonction existe dans WhatsApp depuis deux ans. Elle permet de fédérer de grands groupes de personnes autour de thématiques communes, comme les résidents d’un quartier, les parents d’élèves d’une école, etc.
Cette fois, Meta déploie la fonction sur Messenger, signale TechCrunch. Mais là où WhatsApp réclamait le numéro de téléphone, Messenger fonctionne sur la base des amis (et amis d’amis) sur Facebook. En outre, les invitations sont émises sous forme de liens partageables.
Jusqu’à 5 000 personnes peuvent rejoindre une communauté sur Messenger. Chacune est munie d’un accueil présentant l’espace de conversation. Les administrateurs du groupe peuvent également y placer des publications, mises à jour et autres informations.
Une communauté permet le rassemblement de plusieurs groupes de conversations. Les administrateurs doivent garder en mémoire que toute personne acceptée peut voir l’intégralité des échanges qu’elle rejoint. Une fois une communauté créée, il est possible de créer d’autres groupes, en fonction des thématiques spécifiques à aborder.
Alors que la polémique enflait sur Recall, jugée intrusive et dangereuse, Microsoft fait machine arrière. Le choix sera clairement donné pendant la configuration de l’ordinateur. La société ajoute en outre des mécanismes de sécurité qui auraient dû être présents dès le départ.
C’est peu dire que la présentation de la fonction Recall (Retrouver) aura fait réagir. Spécifique aux PC Copilot+ et à ses « bonus » IA, elle consiste à prendre régulièrement des captures d’écran. Les images sont analysées, afin qu’une recherche permette de retrouver quand et comment une information a été utilisée. Flock y a même consacré une bande dessinée dont il a le secret.
L’idée partait d’un bon sentiment, avec l’objectif de pouvoir toujours remettre la main sur un site, un document, une discussion ou autre. Cependant, comme nous l’avions signalé, elle permettait un véritable pillage des données personnelles. Dès lors qu’une autre personne pouvait s’installer devant l’ordinateur, elle pouvait récupérer tout l’historique de l’utilisateur sur plusieurs mois.
Le problème est d’autant plus important que le mécanisme agit aussi bien sur les actions personnelles que celles reçues d’autres personnes. Vous discutez sur Signal, WhatsApp, Messenger, Telegram, par email ou sur un site de rencontre ? Recall en garde des traces. Les correspondants ne sont pas prévenus. D’autres ont signalé les ravages que peut entrainer la fonction avec des proches abusifs.
L’activation de Recall se fera par un choix
On s’en doutait devant l’ampleur des critiques : Microsoft a annoncé la bascule sur un modèle « opt in » pour Recall. L’assistant de configuration de Windows 11 pouvant être mis à jour dès la connexion internet établie, une nouvelle version sera disponible pour le lancement des PC Copilot+. On y trouvera un choix clair sur la fonction :
La capture, publiée par Microsoft, montre l’obligation de faire un choix. Nous nous étions justement interrogés sur ce point, car une bonne partie de l’assistant est consacrée à l’activation de fonctions, aucun choix n’étant sélectionné par défaut. Pourquoi Recall n’avait-il pas eu le même traitement ? L’éditeur a fini par aligner Recall sur le reste.
Le nouveau panneau a l’avantage de mieux présenter la fonction. Il explique son intérêt, mentionne que Microsoft n’accède pas aux captures et que l’on peut contrôler ce que Recall analyse.
Plusieurs mesures de sécurité supplémentaire
Outre le contrôle, Microsoft ajoute plusieurs mécanismes pour verrouiller davantage les informations enregistrées par Recall. La fonction ne brillait pas par la protection des informations très sensibles. Elle les stockait dans une simple base SQLite, enregistrée dans un sous-dossier d’AppData. L’expert en cybersécurité Kevin Beaumont avait même montré qu’on pouvait les récupérer assez facilement depuis un autre compte sur le même PC.
On trouve trois ajouts principaux. D’une part, l’activation de Windows Hello devient obligatoire pour utiliser Recall. Hello est pour rappel la fonction chapeautant tout ce qui touche à l’ouverture sécurisée de session, notamment avec la biométrie.
D’autre part, Windows Hello se manifestera lors de tout accès aux informations recueillies par Recall. Une preuve de présence donc, là où il suffisait à quelqu’un de s’assoir face à un PC Copilot+ pour plonger dans l’historique complet des activités de son utilisateur.
Enfin, plusieurs « couches supplémentaires de protection des données » ont été ajoutées. Un chiffrement à la volée d’abord, via Windows Hello ESS (Enhanced Sign-in Security). Les captures créées par Recall ne seront donc accessibles que si l’utilisateur est dument authentifié. En outre, la base de données de l’index de recherche sera, elle aussi, chiffrée.
De sérieux problèmes à la conception
Pourquoi ne pas avoir mis en place ces mécanismes dès le départ ? La question est évidente au vu des multiples scénarios problématiques apparus dans les quelques jours qui ont suivi la présentation. Elle est d’autant plus prégnante que Satya Nadella, PDG de l’entreprise, avait fait circuler un mémo auprès des employés pour réitérer l’importance de la sécurité, même si elle se faisait au détriment des fonctionnalités.
Recall ne sera techniquement proposé au départ que sous forme de préversion. Cela ne devrait cependant pas compter : obliger l’utilisateur à choisir aurait dû être un réflexe. Tout comme le chiffrement des données. Tout comme l’authentification obligatoire.
Microsoft joue gros avec ce type de mécanisme. La société veut prouver que l’IA peut rendre mille services. Avec Recall, elle a surtout prouvé que le pouvoir de l’IA peut entrainer des catastrophes quand elle n’est pas pensée avec soin. Comme le cloud, ces fonctions ne peuvent être couronnées de succès que si le public a confiance. Mieux vaut éviter qu’une telle bourde se reproduise, d’autant qu’une deuxième vague de PC Copilot+ serait en préparation pour la fin de l’été.
Alors que la polémique enflait sur Recall, jugée intrusive et dangereuse, Microsoft fait machine arrière. Le choix sera clairement donné pendant la configuration de l’ordinateur. La société ajoute en outre des mécanismes de sécurité qui auraient dû être présents dès le départ.
C’est peu dire que la présentation de la fonction Recall (Retrouver) aura fait réagir. Spécifique aux PC Copilot+ et à ses « bonus » IA, elle consiste à prendre régulièrement des captures d’écran. Les images sont analysées, afin qu’une recherche permette de retrouver quand et comment une information a été utilisée. Flock y a même consacré une bande dessinée dont il a le secret.
L’idée partait d’un bon sentiment, avec l’objectif de pouvoir toujours remettre la main sur un site, un document, une discussion ou autre. Cependant, comme nous l’avions signalé, elle permettait un véritable pillage des données personnelles. Dès lors qu’une autre personne pouvait s’installer devant l’ordinateur, elle pouvait récupérer tout l’historique de l’utilisateur sur plusieurs mois.
Le problème est d’autant plus important que le mécanisme agit aussi bien sur les actions personnelles que celles reçues d’autres personnes. Vous discutez sur Signal, WhatsApp, Messenger, Telegram, par email ou sur un site de rencontre ? Recall en garde des traces. Les correspondants ne sont pas prévenus. D’autres ont signalé les ravages que peut entrainer la fonction avec des proches abusifs.
L’activation de Recall se fera par un choix
On s’en doutait devant l’ampleur des critiques : Microsoft a annoncé la bascule sur un modèle « opt in » pour Recall. L’assistant de configuration de Windows 11 pouvant être mis à jour dès la connexion internet établie, une nouvelle version sera disponible pour le lancement des PC Copilot+. On y trouvera un choix clair sur la fonction :
La capture, publiée par Microsoft, montre l’obligation de faire un choix. Nous nous étions justement interrogés sur ce point, car une bonne partie de l’assistant est consacrée à l’activation de fonctions, aucun choix n’étant sélectionné par défaut. Pourquoi Recall n’avait-il pas eu le même traitement ? L’éditeur a fini par aligner Recall sur le reste.
Le nouveau panneau a l’avantage de mieux présenter la fonction. Il explique son intérêt, mentionne que Microsoft n’accède pas aux captures et que l’on peut contrôler ce que Recall analyse.
Plusieurs mesures de sécurité supplémentaire
Outre le contrôle, Microsoft ajoute plusieurs mécanismes pour verrouiller davantage les informations enregistrées par Recall. La fonction ne brillait pas par la protection des informations très sensibles. Elle les stockait dans une simple base SQLite, enregistrée dans un sous-dossier d’AppData. L’expert en cybersécurité Kevin Beaumont avait même montré qu’on pouvait les récupérer assez facilement depuis un autre compte sur le même PC.
On trouve trois ajouts principaux. D’une part, l’activation de Windows Hello devient obligatoire pour utiliser Recall. Hello est pour rappel la fonction chapeautant tout ce qui touche à l’ouverture sécurisée de session, notamment avec la biométrie.
D’autre part, Windows Hello se manifestera lors de tout accès aux informations recueillies par Recall. Une preuve de présence donc, là où il suffisait à quelqu’un de s’assoir face à un PC Copilot+ pour plonger dans l’historique complet des activités de son utilisateur.
Enfin, plusieurs « couches supplémentaires de protection des données » ont été ajoutées. Un chiffrement à la volée d’abord, via Windows Hello ESS (Enhanced Sign-in Security). Les captures créées par Recall ne seront donc accessibles que si l’utilisateur est dument authentifié. En outre, la base de données de l’index de recherche sera, elle aussi, chiffrée.
De sérieux problèmes à la conception
Pourquoi ne pas avoir mis en place ces mécanismes dès le départ ? La question est évidente au vu des multiples scénarios problématiques apparus dans les quelques jours qui ont suivi la présentation. Elle est d’autant plus prégnante que Satya Nadella, PDG de l’entreprise, avait fait circuler un mémo auprès des employés pour réitérer l’importance de la sécurité, même si elle se faisait au détriment des fonctionnalités.
Recall ne sera techniquement proposé au départ que sous forme de préversion. Cela ne devrait cependant pas compter : obliger l’utilisateur à choisir aurait dû être un réflexe. Tout comme le chiffrement des données. Tout comme l’authentification obligatoire.
Microsoft joue gros avec ce type de mécanisme. La société veut prouver que l’IA peut rendre mille services. Avec Recall, elle a surtout prouvé que le pouvoir de l’IA peut entrainer des catastrophes quand elle n’est pas pensée avec soin. Comme le cloud, ces fonctions ne peuvent être couronnées de succès que si le public a confiance. Mieux vaut éviter qu’une telle bourde se reproduise, d’autant qu’une deuxième vague de PC Copilot+ serait en préparation pour la fin de l’été.
Les clés d’accès – ou « passkeys » – sont un moyen de se débarrasser des mots de passe. Elles ont été créées par un regroupement de grosses entreprises de la tech. Avant de plonger dans plusieurs scénarios pratiques dans un prochain article, nous allons d’abord nous pencher sur leur fonctionnement.
Les mots de passe ont fait leur temps. De multiples entreprises, de sécurité ou non, le disent depuis des années. Les recommandations de l’ANSSI ont évolué elles aussi, pour suivre les problèmes de sécurité liés aux mots de passe. Et ils sont nombreux.
Actuellement, on considère qu’un mot de passe est fort s’il contient au moins douze caractères mélangeant des majuscules, minuscules, chiffres et caractères spéciaux. Il ne doit incorporer aucune information évidente, comme un prénom, une date de naissance, le nom d’un animal domestique, etc. Il ne doit plus contenir aucun mot présent dans le dictionnaire.
L’alternative est la phrase de passe : une séquence de quatre ou cinq mots, liés par des caractères spéciaux (souvent des tirets). Ces mots peuvent être issus du dictionnaire et constituer une courte phrase, d’où leur nom. Il s’agit actuellement de la recommandation principale de l’ANSSI et de la CNIL. En effet, en dépit de l’usage de mots existants, c’est la taille de la phrase qui fait sa force.
Il manque une recommandation cruciale : ne jamais réutiliser les mots de passe. Idéalement, il faut que les mots ou phrases de passe soient aléatoires. Il faut également que chaque site ou service ait son propre mot de passe. Le danger, sinon, est connu : puisque l’adresse email sert souvent d’identifiant, la récupération des deux – par exemple, lors d’une fuite de données chez un prestataire – permet leur réutilisation sur d’autres services.
Les gestionnaires de mots de passe, une avancée…
Les gestionnaires de mots de passe permettent de simplifier largement la gestion des mots et phrases de passe. Ils peuvent créer des séquences aléatoires de caractères ou de mots. Des options autorisent une grande finesse dans cette génération, comme le nombre et le type de caractères. Plus la taille est importante, meilleur est le mot de passe.
Il y a trois écoles parmi les gestionnaires. Premièrement, les solutions synchronisées comme LastPass, Dashlane, BitWarden et autres. Avantage : les identifiants vous suivent partout, sur tous les appareils. Intégrant des extensions pour les navigateurs et proposant des applications mobiles, on peut les utiliser dès que l’on en a besoin. Il y a deux inconvénients principaux. D’abord, il faudra créer un mot de passe protégeant le compte. Il doit être assez fort pour protéger efficacement l’accès à ce compte, particulièrement précieux. Ensuite, le service peut être victime d’une fuite. Auquel cas, si l’entreprise concernée n’a pas bien fait son travail, vos données peuvent se retrouver dans la nature. Les mésaventures de LastPass ont rappelé brutalement la réalité.
Deuxièmement, les gestionnaires intégrés aux navigateurs. Qu’il s’agisse d’Apple, Google ou encore de Microsoft, tous proposent un gestionnaire intégré. Dans le cas d’Apple, il s’agit du Trousseau, présent dans macOS depuis bien longtemps. Gros avantage de ces solutions : elles sont totalement intégrées. Si vous n’utilisez que le même navigateur partout, vos données vous suivent. Inconvénient, tout est beaucoup moins pratique dès que vous utilisez un ensemble hétérogène d’appareils. En outre, leur interface de consultation est souvent moins pratique qu’un gestionnaire dédié.
Enfin, les gestionnaires « simples ». On parle cette fois d’une petite application locale et non synchronisée. Le plus connu est KeePass (et sa variante KeePassXC). Il y a plusieurs avantages, dont l’hébergement local des données. Pas besoin de faire confiance à une entreprise quelconque. En outre, ces logiciels proposent souvent des fonctions très poussées pour la génération des mots de passe, afin d’augmenter l’entropie. Inconvénient majeur : leur récupération depuis d’autres appareils est moins aisée, car il faut alors s’occuper soi-même de la récupération des informations.
… mais une mesure minimale désormais
Un gestionnaire de mots de passe est aujourd’hui une mesure minimale. À moins d’une mémoire eidétique, il est impossible de retenir de nombreux mots de passe forts et uniques. Le gestionnaire résout ainsi les deux problèmes que sont les mots de passe unique et leur mémorisation.
Cependant, il ne peut rien faire contre les accidents survenant chez les prestataires de services. Une fuite de données et tout peut arriver. C’est pour cela que l’ANSSI et bien d’autres acteurs poussent vers l’authentification à facteurs multiples.
Nous avons abordé le sujet en avril, quand la CNIL a évoqué une future recommandation. Le principe est simple : toujours associer deux facteurs parmi trois : connaissance, possession et inhérence.
Le plus souvent, il s’agit d’un code à six chiffres envoyé par SMS, email ou généré par une application. On doit donner ce code, en plus du mot de passe, pour pouvoir se connecter. Le code arrivant sur le smartphone, il permet de bloquer en théorie toutes les tentatives d’accès si le mot de passe est trouvé ou dérobé par un tiers. Comme nous l’avons vu cependant, cette protection est certes efficace, mais pas absolue.
Les clés d’accès, nées d’un besoin
La protection des accès aux données fait depuis longtemps l’objet de travaux. La biométrie a notamment renforcé cette protection, tout en simplifiant l’usage. Elle ne se substitue jamais cependant au mot de passe. Il reste disponible dans le cas où, par exemple, le capteur d’empreinte digitale ne fonctionnerait plus.
Pour franchir un pas significatif, plusieurs grosses sociétés américaines veulent se débarrasser des mots de passe. Apple, Google et Microsoft notamment, dont les travaux communs ont été chapeautés par la FIDO Alliance, qui émet des standards ouverts sur les mécanismes de vérification d’identité. Ce consortium cherchait une solution aux problèmes récurrents des mots de passe et a accouché des fameuses clés d’accès.
Qu’est-ce qu’une clé d’accès ?
Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Google signe la fin de la récréation sur sa boutique, dans l’optique de mettre fin à la vague d’applications de type IA permettant de générer des contenus normalement interdits. Les conditions d’utilisation de la boutique sont maintenant plus sévères, avec expulsion en cas d’enfreinte.
Les contenus sexuels et violents, notamment, ne doivent pas pouvoir être générés depuis une application faisant appel à l’IA. Une publicité pour l’application ne doit pas non plus aborder ces capacités, qu’elles soient ou non présentes dans le produit.
TechCrunch relève par exemple qu’aux États-Unis, des élèves se servent de ce genre d’application pour générer de faux nus, utilisés à des fins d’intimidation et de harcèlement. 404 Media avait de son côté observé des publicités sur Instagram pour des applications qui se prétendaient capables, elles aussi, de générer des faux nus.
À cette interdiction, que Google veut stricte, l’entreprise en ajoute une autre : ces applications doivent intégrer un mécanisme pour signaler les abus. Même chose s’il existe une section pour les commentaires. Enfin, Google recommande aux développeurs de documenter les tests réalisés, car elle peut les réclamer lors de la validation.
Google signe la fin de la récréation sur sa boutique, dans l’optique de mettre fin à la vague d’applications de type IA permettant de générer des contenus normalement interdits. Les conditions d’utilisation de la boutique sont maintenant plus sévères, avec expulsion en cas d’enfreinte.
Les contenus sexuels et violents, notamment, ne doivent pas pouvoir être générés depuis une application faisant appel à l’IA. Une publicité pour l’application ne doit pas non plus aborder ces capacités, qu’elles soient ou non présentes dans le produit.
TechCrunch relève par exemple qu’aux États-Unis, des élèves se servent de ce genre d’application pour générer de faux nus, utilisés à des fins d’intimidation et de harcèlement. 404 Media avait de son côté observé des publicités sur Instagram pour des applications qui se prétendaient capables, elles aussi, de générer des faux nus.
À cette interdiction, que Google veut stricte, l’entreprise en ajoute une autre : ces applications doivent intégrer un mécanisme pour signaler les abus. Même chose s’il existe une section pour les commentaires. Enfin, Google recommande aux développeurs de documenter les tests réalisés, car elle peut les réclamer lors de la validation.
The Verge a découvert qu’un certain nombre de produits récents d’Apple ont une puce radio compatible Thread.
Ce protocole réseau sert à constituer des réseaux maillés basse consommation (IPv6 et 6LoWPAN). Il fonctionne en se basant sur des routeurs de périphérie, qui peuvent alors servir de ponts. Il est souvent confondu avec Matter, avec lequel il peut fonctionner. Dans les grandes lignes, Thread établit un réseau matériel, Matter est une couche logicielle.
La découverte de The Verge est valable pour les nouveaux iPad lancés récemment ainsi que tous les Mac équipés de puces M3 (et leurs déclinaisons). En clair, tout produit sorti depuis septembre dernier. Les iPhone 15 Pro sont officiellement compatibles.
Cette capacité n’est pas indiquée dans les fiches techniques des appareils. Nos confrères ont trouvé mention de cette compatibilité dans des rapports de la FCC (Federal Communications Commission).
Apple compte peut-être profiter de sa WWDC la semaine prochaine pour évoquer le sujet, par exemple via des fonctions spécifiques à iOS 18 et macOS 15.
The Verge a découvert qu’un certain nombre de produits récents d’Apple ont une puce radio compatible Thread.
Ce protocole réseau sert à constituer des réseaux maillés basse consommation (IPv6 et 6LoWPAN). Il fonctionne en se basant sur des routeurs de périphérie, qui peuvent alors servir de ponts. Il est souvent confondu avec Matter, avec lequel il peut fonctionner. Dans les grandes lignes, Thread établit un réseau matériel, Matter est une couche logicielle.
La découverte de The Verge est valable pour les nouveaux iPad lancés récemment ainsi que tous les Mac équipés de puces M3 (et leurs déclinaisons). En clair, tout produit sorti depuis septembre dernier. Les iPhone 15 Pro sont officiellement compatibles.
Cette capacité n’est pas indiquée dans les fiches techniques des appareils. Nos confrères ont trouvé mention de cette compatibilité dans des rapports de la FCC (Federal Communications Commission).
Apple compte peut-être profiter de sa WWDC la semaine prochaine pour évoquer le sujet, par exemple via des fonctions spécifiques à iOS 18 et macOS 15.
Le gestionnaire de mots de passe maison a désormais une application autonome pour toutes les plateformes majeures. Des versions Mac et Linux viennent en effet d’apparaître, aux côtés de celles pour Windows, Android, iOS et Chrome OS (celle-ci via Android).
Proton en profite pour fournir une extension pour Safari, en plus de celles existant pour les navigateurs sur base Chromium et Firefox.
La version Linux est compatible avec toutes les distributions de type Debian ou RedHat, dont Ubuntu, Fedora ou encore CentOS.
Des améliorations seront bientôt proposées aux versions Mac et Linux dans les semaines à venir. Par exemple, la prise en charge de TouchID pour les Mac compatibles. Sous Linux, une prochaine mouture deviendra compatible avec les mécanismes d’authentification et les API correspondantes.
L’objectif est le même à chaque fois : permettre le déverrouillage du coffre-fort avec la biométrie, le compte utilisateur et « toute autre méthode prise en charge par Linux Pluggable Authentication Modules (Linux PAM) ».
Le gestionnaire de mots de passe maison a désormais une application autonome pour toutes les plateformes majeures. Des versions Mac et Linux viennent en effet d’apparaître, aux côtés de celles pour Windows, Android, iOS et Chrome OS (celle-ci via Android).
Proton en profite pour fournir une extension pour Safari, en plus de celles existant pour les navigateurs sur base Chromium et Firefox.
La version Linux est compatible avec toutes les distributions de type Debian ou RedHat, dont Ubuntu, Fedora ou encore CentOS.
Des améliorations seront bientôt proposées aux versions Mac et Linux dans les semaines à venir. Par exemple, la prise en charge de TouchID pour les Mac compatibles. Sous Linux, une prochaine mouture deviendra compatible avec les mécanismes d’authentification et les API correspondantes.
L’objectif est le même à chaque fois : permettre le déverrouillage du coffre-fort avec la biométrie, le compte utilisateur et « toute autre méthode prise en charge par Linux Pluggable Authentication Modules (Linux PAM) ».
Connexion
