Docker : Apple réclame le retrait d’une image contenant macOS

« En tant que chercheur en sécurité, hacker et développeur », dit Sick Codes, « j’aime ce que je fais ». Ce qu’il fait, entre autres choses, c’est maintenir une image Docker contenant macOS à des fins de recherche. « Apple dit explicitement ne pas prendre en compte les violations des conditions d’utilisation de macOS, selon les termes de son programme [de bug bounty], tant que vous participez au programme de bonne foi », assure-t-il. Les avocats de la firme de Cupertino n’ont pas eu le message et obtenu le retrait de l’image Docker-OSX.

Docker est une plateforme facilitant l’usage des conteneurs. Ces ”boites” hermétiques peuvent être vues comme des ordinateurs virtuels, à ceci près qu’elles ne comportent pas de système d’exploitation, mais s’appuient sur les fonctionnalités du système installé sur l’ordinateur physique. Sauf que pour faire tourner l’image Docker-OSX sur Windows ou GNU/Linux, il faut bien télécharger macOS à un moment ou à un autre.

C’est là où le bât blesse : Sick Codes héberge ses propres images de macOS, téléchargées depuis ses serveurs lors de la première utilisation du conteneur¹. Pour ne rien arranger, il distribue aussi une image contenant une version préinstallée de macOS Catalina. Le projet Docker-OSX viole donc les conditions d’utilisation de macOS et la propriété intellectuelle d’Apple. Éhontément, même, puisque Sick Codes justifie sa posture au nom du programme de bug bounty.

Apple ne s’offusque effectivement pas des conditions d’utilisation de macOS quand il s’agit de rechercher des bugs, puisque c’est précisément dans les zones grises que peuvent se cacher des failles compromettant la sécurité du système. Mais cela ne veut pas dire qu’elles disparaissent magiquement et surtout, rien ne dit que tous les utilisateurs de l’image Docker-OSX adhèrent au programme de recherche d’Apple. Sick Codes mentionnait d’ailleurs explicitement la possibilité d’utiliser son image pour compiler des applications avec Xcode ou se connecter aux services d’Apple sans posséder de Mac.

Les avocats d’Apple ne disent pas autre chose : « Apple possède des droits exclusifs sur le programme et le processus d’installation de macOS ». L’image macOS distribuée par Dockurr reste d’ailleurs disponible, parce qu’elle se contente de télécharger le système depuis les serveurs d’Apple, exactement comme lorsque vous réinitialisez un véritable Mac. C’est plus lent, mais c’est légal, et c’est plus sûr.