Quel logiciel de visioconférence utiliser ?

La visioconférence s'est imposée dans la vie courante depuis le premier confinement français lié à la pandémie de COVID-19, et est devenue une pratique très banale. De très nombreux logiciels existent mais tous ne sont pas recommandables. La plupart ruinent la vie privée et parmi ceux-ci, certains peuvent être qualifiés de malveillants. À contrario, certains très minoritaires ont une étique qui respecte la vie privée (logiciels libres), et parmi ceux-ci, certains sont recommandés ou certifiés par l'état français.

Voir aussi la page : Visioconférence facile avec Jitsi Meet

Table des matières :

• Attention à ne pas utiliser de logiciel malveillant !
• Logiciels populaires problématiques pour la vie privée
• Logiciels libres sécurisés et respectueux de la vie privée
• Quelques logiciels de visioconférence sécurisés recommandés par les autorités
• Les problèmes posés par les logiciels de visioconférence dans la presse

Les premiers dangers de l'application Zoom tels qu'ils étaient identifiés au 29/03/2020 :
Interview de l'avocat spécialisé Sébastien Fanti, préposé valaisan à la protection des données
Date : 29/03/2020 – Durée : 4'17" – Réalisation : RTS pour l'émission Forum¹⁾
(Écouter aussi : 29/03/2020: rts.ch > Forum : L'application de visioconférence Zoom fait un carton, mais n'est pas sans risque)

(À la place de Zoom, Sébastien Fanti conseille d'utiliser Jitsi ou bien whereby.com (société norvégienne) dont l'offre gratuite est limitée à 4 participants)

À lire également sur zoom : 16/04/2021: korben.info > Pourquoi désinstaller Zoom ? : […] Vous l'aurez compris, c'est de la saloperie. Après, on est souvent forcé d'utiliser Zoom parce que notre employeur l'exige ou parce que nos amis sont trop noobs pour savoir utiliser autre chose. Dans ce cas, je vous recommande de passer exclusivement par l'application mobile. Ça vous évite au moins d'installer le client sur votre PC ou votre Mac. Après si c'est trop tard, et bien pas de stress. Car il existe un outil open source qui s'appelle Zoom Deleter et qui s'installe sur macOS ou Windows, et qui une fois lancé, possède 2 fonctions : Désinstaller le client Zoom ; Empêcher une installation future de ce client Zoom

Les logiciels de visioconférence listés ci-dessous ont été clairement identifiés comme des logiciels malveillants par la communauté des chercheurs en sécurité informatique. Ils ne doivent en aucun cas être installés et utilisés !

Plus d'informations sur les logiciels cités ci-dessus :
Voir dans l'annexe en bas de page le chapitre Les problèmes posés par les logiciels de visioconférence dans la presse.

Par définition de la Free Software Foundation, tout logiciel privateur (de liberté), – c'est à dire qui n'est pas un logiciel libre –, est un logiciel qui viole au-moins une liberté fondamentale de l'utilisateur, celle d'avoir le contrôle total de l'outil logiciel, et non le contraire.

Par ailleurs, certains logiciels réputés sûrs et populaires dans les communautés numériques ne sont pas si sûrs qu'ils en ont l'air :

• Logiciel libre de communication chiffrée Signal : Recommandé par The Guardian et Edward Snowden qui est un hacker open source, mais proscrit par les hackers logiciel libre en raison de sa dépendance à Google Cloud Messaging (GCM) (cf. CLOUD Act)⁹⁾. Wikipedia précise : "En mai 2016, le développeur principal de Signal a demandé à LibreSignal, un fork qui avait enlevé les dépendances à GCM, de ne pas utiliser les serveurs de Signal en son nom. À la suite de ça, le fork a été abandonné." C'est pourquoi le magasin de logiciels libres pour smartphones F-Droid annonce : "Versions - We don't have the current version of this app. (Check mode: None) (Auto-update mode: None) - 4.2.3 - We can't build this version: The build for this version was manually disabled. Reason: includes proprietary Google Play Services GMS libs¹⁰⁾"
  –> Conseil : Ne pas utiliser Signal car il envoie les données au service de stockage cloud Google qui n'a rien de libre
• Wire : Logiciel payant recommandé en 2e choix après Signal par Edward Snowden sur France Inter le 16 septembre 2019 (d'après la page Wikipedia de Signal. Mais la fiche Wikipida de Wire indique : "En 2019 Wire est devenu une entreprise américaine donc soumise au CLOUD Act".
  Autres problèmes : cf. fr.wikipedia.org > Wire_(logiciel)#Sécurité
  –> Conseil : Ne pas utiliser Wire car ses méta-données (ou plus) sont transparentes aux services de renseignements états-uniens

Retenez que les meilleurs logiciels de communication instantanées sont les rares logiciels qui intègrent simultanément les 3 caractéristiques suivantes :

1. Logiciel libre à 100% côté serveur (non soumis au CLOUD Act), libre à 100% côté client, et avec un ou des protocoles de communication 100% ouverts
2. Communication chiffrée avec un protocole moderne, ouvert et approuvé par la communauté des chercheurs en sécurité informatique
3. Communication non centralisée : le logiciel n'impose pas l'utilisation d'un serveur en particulier (libre choix), ou mieux encore : le logiciel utilise un protocole de communication 100% décentralisé comme Matrix (qui est notamment utilisé par l'état français, cf. chapitre Quelques logiciels de visioconférence sécurisés recommandés par les autorités ci-dessous)

Un logiciel libre est un logiciel qui donne à l'utilisateur la liberté de l'utiliser, de l'étudier, de le modifier et d'en redistribuer des copies, modifiées ou non¹¹⁾. Grâce à ces libertés, l'utilisateur dispose du contrôle total sur l'outil logiciel qui par conséquent, ne peut pas être malveillant par conception (espionnage, porte dérobée, etc.).
Note : Les logiciels qui sont couramment qualifiés d'open source ne sont pas forcément des logiciels libres¹²⁾.

À l'inverse, les logiciels privateurs (de liberté) sont souvent créés par des programmeurs ou des entreprises qui ont le culte du secret et exercent un contrôle sur l'utilisateur. Celui-ci qui n'a aucune garantie éthique vis-à-vis de ces outils privateurs. Exemple : le logiciel du serveur du célèbre service de messagerie chiffrée Telegram.

Les logiciels libres sont conçus par des hackers, c'est-à-dire par des personnes bienveillantes qui ont le souci de créer et d'améliorer les biens communs numériques dans la transparence et le partage (ne pas confondre avec les cybercriminels : plus d'information sur ma page Qu'est-ce qu'un hacker ?).

• 14/04/2020: 01net.com > Des centaines de milliers de comptes Zoom sont bradés sur le dark web : Des bases de données d'utilisateurs de Zoom s'échangent sur les forums de pirates. Pour être en sécurité, il vaut mieux changer son mot de passe. […] Pour une fois, cette situation n'est pas de la faute de Zoom, mais des utilisateurs. Interrogé par Bleeping Computer, Cyble estime que ces identifiants ont été collectés par la technique du "credential stuffing" qui affecte tous les services en ligne : les pirates prennent des mots de passe volés et les essayent sur plein d'autres comptes, en particulier ceux de Zoom. Autrement dit, tous les utilisateurs qui figurent dans cette base de données ont la mauvaise habitude d'utiliser le même mot de passe pour plusieurs comptes
• 09/04/2020: silicon.fr > Zoom : l'éditeur décrié engage une course contre la montre : Zoom enclenche une opération "réhabilitation" à l'heure où de nombreuses organisations déconseillent, voire interdisent l'usage de son logiciel. Qui sera le prochain à bannir Zoom ? Qu'elles fassent ou non l'objet d'une communication officielle, les démarches en ce sens se multiplient dans les sphères publique et privée. On les doit à une inquiétude grandissante sur la sécurité et la confidentialité du service. En France, la Dinum (Direction interministérielle du numérique) n'impose pas d'interdiction, mais "déconseille fortement" aux agents de l'État de se passer de Zoom. […] Autre pays à avoir banni l'usage de Zoom pour ses agences gouvernementales : Taïwan. L'annonce de la décision est tombée quelques jours après que Zoom eut reconnu avoir fait transiter involontairement une partie des communications de ses utilisateurs par la Chine. […] Zoom doit également faire face à des poursuites. Entre autres une procédure en action collective tout juste intentée à San Francisco par un actionnaire. Ce dernier dénonce en particulier une rétention d'information sur la réalité du chiffrement.
• 09/04/2020: lemondeinformatique.fr > Zoom sur les améliorations sécurité de Zoom : Soucieux de ne pas perdre sa crédibilité aux yeux de ses clients et entreprises plus ou moins vigilantes en termes de sécurité en cette période intensive de télétravail, Zoom a annoncé la disponibilité de fonctions de sécurité supplémentaires notamment pour mettre fin au Zoom Bombing. […] Après des excuses en bonne et due forme de son CEO Eric Yuan le 1er avril 2020 - ce n'est pas un poisson - la société tente de reprendre l'initiative et propose une salve d'améliorations et de corrections…
• 09/04/2020: developpez.com > Zoom poursuivi en justice par un de ses actionnaires pour non-divulgation des problèmes de confidentialité et de sécurité
• 08/04/2020: nextinpact.com > La Direction interministérielle du numérique "déconseille fortement" l'application Zoom : Questionnée par Next INpact, la DINUM, administration en charge de la transformation numérique de l'État, recommande aux agents de l'État de ne surtout pas utiliser Zoom, la célèbre application de visioconférence…
• 07/04/2020: 01net.com > Zoom : le service de vidéoconférence de nouveau épinglé pour la qualité médiocre de son chiffrement (nouvelles preuves de l'amateurisme de la société et du mépris des utilisateurs)
• 06/04/2020: zdnet.fr > Cybersécurité : les pirates profitent de la popularité de Zoom pour leurs campagnes de phishing : Les cybercriminels tentent de tromper les utilisateurs de Zoom, alors que la plateforme de vidéoconférence gagne en popularité depuis le confinement et la généralisation du télétravail…
• 04/04/2020: lesnumeriques.com > Zoom, Houseparty... : les apps stars du confinement sous le feu des critiques : La visioconférence a connu un vrai boom depuis que la moitié de la planète est sommée de rester chez elle. Mais certaines applis bien pratiques sont actuellement très critiquées pour leur gestion des données personnelles : […] Houseparty, critiqué pour sa gestion des données personnelles. Du côté de Houseparty c'est d'abord la politique de confidentialité qui a fait grincer des dents. En effet, il est écrit noir sur blanc que l'entreprise est "libre d'utiliser le contenu de toutes les communications passées via ses services, dont toute idée, invention, concept ou techniques" dans le but entre autres "de développer, de concevoir ou de vendre des biens et services". Pas de quoi rassurer quiconque tient à sa vie privée.
• 03/04/2020: presse-citron.net > Sécurité et télétravail : quelles sont les meilleures alternatives à Zoom ?
• 03/04/2020: developpez.com > Felix Seele de VMRay dévoile comment Zoom s'installe sur macOS sans que vous ayez cliqué sur le bouton "installer". Une pratique louche utilisée par de véritables malwares, selon le responsable
• 02/04/2020: radio-canada.ca > Zoom se donne 90 jours pour régler ses problèmes de sécurité
• 02/04/2020: theguardian.com > ‘Zoom is malware': why experts worry about the video conferencing platform : The company has seen a 535% rise in daily traffic in the past month, but security researchers say the app is a ‘privacy disaster'.
• 02/04/2020: francetvinfo.fr > Données personnelles : pourquoi faut-il se méfier des applications de visioconférence Zoom et Houseparty ? :
• 02/04/2020: lemondeinformatique.fr > Zoom en eaux troubles sur la sécurité et la confidentialité : Star du télétravail, le spécialiste en visio-conférence Zoom subit un tir croisé de critiques sur la sécurité et sur la confidentialité. Son patron est monté au créneau pour répondre aux inquiétudes. […] Un attaquant à faible privilège pourrait injecter du code malveillant dans l'installateur Zoom et ainsi obtenir une élévation de privilège. La seconde faille se situe dans la façon dont Zoom gère la webcam et le micro, un attaquant pouvant injecter du code pour espionner les réunions. La semaine dernière, on apprenait que le client Windows 10 pouvait divulguer des identifiants de connexions réseaux. […] La plateforme ajoute automatiquement des personnes à la liste de contacts d'autres utilisateurs s'ils utilisent une adresse e-mail partageant le même domaine. Une personne s'est ainsi retrouvée avec 995 contacts inconnus avec leurs noms, mails et photos. […] En fin de semaine dernière, la réunion du cabinet de Boris Johnson a montré le risque de Zoom Bombing, c'est-à-dire la capacité à obtenir des identifiants de réunions et s'y inviter. Le FBI s'est ému du phénomène au point d'émettre une alerte sur le sujet. […] l'application iOS de Zoom partageait des données (localisation, fuseau horaire, opérateur télécoms utilisé, …) de ses utilisateurs avec Facebook, y compris ceux n'étant pas abonnés au réseau social. […] Une succession de problèmes qui agace certains dirigeants comme le montre Reuters qui a mis la main sur un mémo de Elon Musk interdisant aux employés de SpaceX d'utiliser Zoom. En France, la CNIL a publié un guide de bonnes pratiques pour le télétravail et promeut notamment l'application Tixeo, labellisée par l'ANSSI.
• 02/04/2020: developpez.com > Un ancien hacker de la NSA découvre une faille dans Zoom permettant de prendre le contrôle des Mac, notamment la webcam, le micro et l'accès root, Elon Musk interdit à ses employés de l'utiliser : […] Une fois cette faille exploitée, l'attaquant peut obtenir et maintenir un accès persistant aux entrailles de l'ordinateur de la victime. Cette action lui permet d'installer des logiciels malveillants ou des logiciels espions. Tout ceci se passe sans que la victime s'en aperçoive. Le second bogue découvert par Wardle exploite une faille dans la manière dont Zoom gère la webcam et le microphone sur les Mac. […] Mais, selon Wardle, un attaquant peut injecter un code malveillant dans Zoom pour le piéger et lui donner le même accès à la webcam et au microphone que celui dont dispose déjà Zoom. Il a réussi à faire charger son code malveillant par Zoom. "Le code hérite automatiquement d'une partie ou de la totalité des droits d'accès de Zoom", a-t-il déclaré. Selon lui, cela inclut l'accès de Zoom à la webcam et au microphone. "Aucune invite supplémentaire ne sera affichée, et le code injecté a pu enregistrer arbitrairement des données audio et vidéo", a-t-il ajouté.
• 02/04/2020: developpez.com > Zoom annonce un gel des fonctionnalités pendant 90 jours pour résoudre les problèmes de confidentialité et de sécurité, alors que l'application a atteint 200 millions d'utilisateurs quotidiens : […] Cette semaine, Patrick Wardle, un ex-hacker de la NSA, a découvert une nouvelle vulnérabilité qui permet aux pirates de prendre le contrôle de votre Mac, notamment la webcam, le microphone, et même l'accès root complet. Ce type de problème avait déjà été observé au sein de Zoom l'été dernier, mais Zoom avait annoncé avoir déployé un correctif pour résoudre le problème. […] Un rapport de The Intercept a également critiqué les pratiques de confidentialité de l'application de vidéoconférence pour avoir prétendument trompé les utilisateurs sur le chiffrement de bout en bout de la plateforme. […] Cette semaine, la division du FBI à Boston a mis en garde les écoles contre deux cas de "zoom-bombes" par des inconnus dans des salles de classe en ligne de deux lycées différents du Massachusetts. […] SpaceX, qui a reconnu qu'un grand nombre de ses 6 000 employés avaient utilisé Zoom pour des réunions, a maintenant demandé à tous ses employés d'utiliser plutôt le courrier électronique, les SMS ou le téléphone en raison de "graves problèmes de confidentialité et de sécurité", selon un mémo vu par Reuters. L'agence spatiale américaine NASA a également interdit à ses employés d'utiliser Zoom.
• 02/04/2020: silicon.fr > Sécurité et vie privée : Zoom est-il à la hauteur ? : Quelles garanties pour Zoom en matière de sécurité et de vie privée ? L'inquiétude croît parallèlement à l'usage du logiciel… […] Windows : attention à la fuite d'identifiants. […] Le SDK Facebook intégré avait tendance à envoyer un grand nombre de données au réseau social, que l'utilisateur en soit ou non membre. L'éditeur a corrigé le tir la semaine passée. Il n'a, en revanche, pas encore éliminé la faille découverte dans son client Windows. […] L'espionnage du micro et de la webcam. Et plus globalement l'usage des mêmes permissions que celles dont dispose l'application, par injection de code dans le processus…
• 01/04/2020: toolinux.com > Les réunions Zoom, cible de cyberattaques : failles, conseils, alternative open source
• 01/04/2020: developpez.com > L'éditeur de l'application de vidéoconférence Zoom poursuivi en justice pour avoir transmis les données des utilisateurs à Facebook via son SDK "Facebook Login" : Un utilisateur de Zoom a, lundi dernier, intenté une action collective contre l'éditeur de l'application de vidéoconférence devant un tribunal de Californie. L'initiative fait suite à des signalements que l'application Zoom pour iOS envoyait des informations d'analytique à Facebook lors de l'ouverture de l'application par les utilisateurs…
• 31/03/2020: reddit.com > r/privacy > Zoom Appears To Use Actual Malware Techniques Upon Installation (article approuvé à 96%)
• 31/03/2020: labs.bitdefender.com > Infected Zoom Apps for Android Target Work-From-Home Users : […] Zoom has been in the spotlight lately as one of the booming applications for video conferencing, despite its issues with end-to-end encryption and liberalized data sharing with Facebook. It did not take long for cyber-criminals to re-package it, disseminate it on third-party markets and wait for new victims to install it…
• 31/03/2020: silicon.fr > Zoom : la procureure de New York investigue sur les pratiques de confidentialité
• 31/03/2020: 01net.com > Zoom, le service de vidéoconférence ultra-populaire, attire aussi les trolls et les pirates : […] De fausses applications Zoom sont également en circulation. Il faut donc faire extrêmement attention aux liens que l'on visite et aux logiciels que l'on installe…
• 30/03/2020: rts.ch > Quand l'application Zoom envoie vos données à Facebook
• 29/03/2020: rts.ch > Forum : L'application de visioconférence Zoom fait un carton, mais n'est pas sans risque
• 29/03/2020: rts.ch > Forum : Les dangers de l'application Zoom: interview de Sébastien Fanti, préposé valaisan à la protection des données
• 20/03/2020: protonmail.com > Using Zoom? Here are the privacy issues you need to be aware of
• 16/07/2019: schneier.com > Zoom Vulnerability : The Zoom conferencing app has a vulnerability that allows someone to remotely take over the computer's camera. […] Zoom didn't take the vulnerability seriously…
• 08/07/2019: medium.com > Zoom Zero Day: 4+ Million Webcams & maybe an RCE? Just get them to visit your website!