Apple a donné des explications sur les difficultés rencontrées par ses serveurs le jour du lancement de macOS Big Sur, et apporté des réponses à un début de polémique sur une possible surveillance de l'activité logicielle de ses utilisateurs.
Le lancement de Big Sur, ce jeudi 12 novembre, s'est avéré laborieux. D'une part, les serveurs d'Apple mettaient un temps infini à transférer la mise à jour vers les utilisateurs, d'autre part le lancement des applications, une fois Big Sur installé, était également considérablement ralenti.
Ces lenteurs excessives pour l'ouverture des logiciels ont été provoquées par une mauvaise configuration du côté des serveurs d'Apple. S'y est ajouté un autre défaut de configuration sur un réseau de serveurs tiers utilisé pour aider à ces volumineux transferts de données.
Les serveurs d'Apple en question sont ceux rattachés à la fonction Gatekeeper de macOS (introduite avec Yosemite) qui a pour mission de vérifier que l'application ouverte par un utilisateur ne contient pas de malwares et que son développeur est toujours agréé par Apple. À l'inverse, si le certificat de ce compte développeur a été révoqué (parce qu'il aurait enfreint des règles d'Apple ou distribué un malware) son application ne peut plus s'exécuter. Ces contrôles ne sont pas réalisés à chaque ouverture mais ponctuellement.
Normalement, si l'utilisateur n'est pas connecté à internet ou qu'un délai de réponse trop long est constaté avec les serveurs d'Apple, Gatekeeper rend la main et l'application s'ouvre. Jeudi dernier, le système s'entêtait à attendre la validation des serveurs. Apple utilise un protocole de communication standard pour effectuer cette vérification : l'OCSP (« Online Certificate Status Protocol »).
La Pomme a également actualisé une fiche d'explications sur Gatekeeper (sa version française n'a pas encore été complétée). Une polémique commençait à enfler, lancée par le chercheur en sécurité Jeffrey Paul. Il affirmait qu'au moyen de Gatekeeper, Apple récupérait votre adresse IP, vérifiait les certificats développeurs et, en croisant tout cela, pouvait grosso modo savoir où vous étiez, quand et quelles applications vous lanciez à ce moment-là. Des affirmations qui ont été ensuite déconstruites et sérieusement tempérées par l'un de ses pairs, Jacopo Jannone. Reste qu'il y avait tout de même des choses à améliorer.
Apple a donc ajouté des précisions sur le volet « vie privée » de ce mécanisme de vérification. Elle explique en premier lieu que ces contrôles à distance « n'ont jamais inclus l'Apple ID de l'utilisateur ni l'identité de ses appareils ». Apple collectait bien les adresses IP mais elle a cessé de le faire et assure qu'elle va purger de ses bases celles déjà stockées.
D'autres changements sont prévus l'année prochaine : l'utilisation d'un protocole chiffré (https) pour ce contrôle du statut d'un certificat de développeur (un chiffrement que l'OCSP n'oblige pas dans sa forme actuelle, de façon à éviter des situations où le client et le serveur tournent en rond dans leur vérifications respectives) ; des protections plus efficaces contre les dysfonctionnements de serveurs et un réglage dans les préférences pour les utilisateurs qui ne veulent pas de ces vérifications occasionnelles (un blocage de ces communications que certains font déjà, avec LittleSnitch par exemple).
