Tristan Nitot nous présentait vendredi dernier l’anti-malware de Firefox 3 et surtout nous expliquait en substance pourquoi c’était en quelque sorte une fonctionnalité “on/off” (soit on s’en sert totalement soit on ne s’en sert pas) et comment elle fonctionnait en interaction avec une “blacklist” fournie établie par Google.

Il concluait l’article sur une petite note indiquant qu’au moment il écrivait aucune décision n’a été prise ni dans un sens ni dans l’autre concernant le moyen de contourner cette protection par l’utilisateur qui le désire.

Je précise que je réfléchis ici sur son concept tel qu’il est présenté actuellement. Et du coup je ne peux qu’abonder avec les commentaires qui vont plutôt dans le sens du “contre” jusque-là. Le débat en commentaire de l’article cité vaut la peine d’être lu, je rebondis d’ailleurs un peu sur les craintes évoquées par Yannick, les questions de Pierre et surtout le long mais très intéressant et détaillé commentaire de Jehan qui pose de bonnes questions, notamment éthiques et sur la (dé)responsabilisation de l’utilisateur.

Effectivement, le choix actuel est simple :

• soit on utilise cette fonctionnalité et dans ce cas-là l’accès à tout site considéré comme dangereux par Google vous est tout simplement interdit (et on vous colle un message à l’écran pour vous dire que ce site est maaaaal)
• soit on ne l’utilise pas et on surf sans être prévenu de rien par son navigateur (donc comme maintenant quoi)!

L’option la plus “normale” (vous pouvez surfer, on vous averti avec un message bien alarmiste comme quoi ce site est peut être infecté par un malware pouvant nuire à votre pc ou à vos données mais vous pouvez décider de passer outre) a tout simplement été écartée sous prétexte que lorsqu’on propose aux gens de passer outre, ils le font ! bah ouaip ? et alors ?

En gros il faut donc choisir si on accepte une “censure” pilotée par Google ou non lorsqu’on surf avec FF3 ? Il me semble qu’il existe une troisième voie, celle utilisée par exemple en général par votre pare-feu personnel un tant soit peu évolué quand vous l’installez :

• la possibilité à l’installation de choisir si on lui laisse entièrement les commandes (éventuellement avec un mode “permissif” et un mode “aggressif”) ou de prendre les commandes en manuel - comprendre être simplement averti avec choix de continuer ou de bloquer le site soupçonné d’être corrompu

Cette méthode aurait le mérite, à mon humble avis, de mettre tout le monde d’accord et d’éviter la levée de boucliers actuelle ! Donner aux administrateurs la possibilité de paramétrer cette fonction sur un parc entier voir d’ajouter à la blacklist de google sa propre blacklist pourrait même devenir un premier rempart très intéressant au passage. Pouvoir la centraliser et la diffuser sur son réseau interne devrait aussi être envisagé pour des raisons évidentes de gestion de la bande passante (point soulevé en commentaire sur le billet de Nitot et que j’ai trouvé plutôt pertinent) et d’une réplication excessivement inutile de cette liste par toutes les occurences de Firefox 3 dans un même réseau LAN.

Bien évidemment, il serait intéressant aussi d’avoir une idée claire des données échangées entre le client Firefox et le serveur Google qui héberge cette blacklist (et surtout de savoir ce que ce même serveur retient comme données du client qui l’interroge ;)).

Bref, cette fonctionnalité et son implémentation actuelle prêtent vraiment à débat. C’est déjà le cas et gageons que ce n’est pas fini !

Pour ma part, si j’aime être averti des dangers que j’encours et qu’on m’explique comment éviter les problèmes, j’ai tendance à ne pas apprécier du tout qu’on pense à ma place. vous imaginez donc bien ma position actuelle je pense…