La loi sur les logiciels purs de 2006

Les logiciels espions sont le fléau de l'informatique de bureau. Oui, les vers informatiques et les virus causent des milliards de dollars de dégâts chaque année. Mais les logiciels espions qui enregistrent vos actions pour une récupération ultérieure ou qui signalent automatiquement vos actions sur Internet combinent commerce et tromperie d'une manière que la plupart d'entre nous trouvent moralement répugnante.

Les vers et les virus ne servent évidemment à rien : ces programmes sont écrits par des mécréants et lâchés dans la nature dans le seul but de faire des ravages. Mais la plupart des logiciels espions sont créés par des sociétés respectueuses de la loi, qui incitent les gens à installer les programmes sur leurs propres ordinateurs. Certains logiciels espions sont également vendus dans le but explicite d'aider les conjoints à espionner leurs partenaires, les parents à espionner leurs enfants et les employeurs à espionner leurs employés. De tels programmes amènent les ordinateurs à trahir la confiance de leurs utilisateurs.

Jusqu'à présent, l'industrie informatique s'est concentrée sur des moyens techniques pour contrôler le fléau des logiciels espions. Les programmes de recherche et de destruction tels qu'Ad-Aware analyseront votre ordinateur à la recherche de logiciels espions connus, de cookies de suivi et d'autres éléments susceptibles de compromettre votre confidentialité. Une fois identifiés, les éléments incriminés peuvent être mis en quarantaine ou détruits. Les programmes de pare-feu comme ZoneAlarm adoptent une approche différente : ils n'empêchent pas les logiciels espions de collecter des données, mais ils empêchent les programmes de transmettre vos informations personnelles sur Internet.

Mais il existe un autre moyen de lutter contre les logiciels espions, une approche qui fonctionnerait car les auteurs sont des organisations légitimes. Le Congrès pourrait adopter une loi exigeant que les logiciels distribués aux États-Unis soient accompagnés d'étiquettes de produits qui révéleraient aux consommateurs des fonctions spécifiques intégrées aux programmes. Une telle législation aurait probablement le même type de résultats favorables aux consommateurs que la Pure Food and Drug Act de 1906, la législation qui est responsable des étiquettes d'aujourd'hui sur les aliments et les médicaments.

L'art de la tromperie

L'étiquetage obligatoire des logiciels est une bonne idée car le problème fondamental des logiciels espions n'est pas la collecte de données elle-même, mais l'acte de tromperie. En effet, bon nombre des actions effectuées par les logiciels espions sont également effectuées par des programmes autres que des logiciels espions. La barre d'outils de Google pour Internet Explorer, par exemple, indique à Google le site Web que vous consultez afin que la barre d'outils puisse afficher le classement de la page du site. Mais Google fait tout son possible pour divulguer cette fonctionnalité - lorsque vous installez le programme, Google vous fait décider si vous souhaitez que vos données soient renvoyées ou non. Veuillez lire ceci attentivement, dit le contrat de licence de la barre d'outils, ce n'est pas le yada yada habituel.

Les logiciels espions, en revanche, font tout leur possible pour cacher leur véritable objectif. Un programme espion prétend régler automatiquement l'horloge de votre ordinateur à partir de l'horloge atomique exploitée par l'observatoire naval américain. Un autre programme affiche des bulletins météo personnalisés pour votre région. Hélas, ces deux programmes affichent également des publicités contextuelles lorsque vous accédez à des sites Web particuliers. (Certains éditeurs de logiciels insistent sur le fait que les programmes qui affichent uniquement des publicités ne sont pas des logiciels espions en soi, mais plutôt quelque chose appelé logiciel publicitaire, car ils affichent des publicités. La plupart des utilisateurs ne se soucient pas de cette distinction.)

Certains de ces programmes se cachent en n'affichant pas d'icônes lorsqu'ils s'exécutent et en se retirant même de la liste des programmes en cours d'exécution sur votre ordinateur. J'ai entendu parler de programmes qui se répertorient dans le panneau de configuration Ajout/Suppression de Microsoft Windows, mais lorsque vous les supprimez, ils ne se suppriment pas eux-mêmes, ils se rendent simplement invisibles. Sournois.

Pourtant, malgré cette duplicité, la plupart des programmes de logiciels espions et publicitaires n'enfreignent aucune loi américaine. C'est parce que beaucoup de ces programmes divulguent ce qu'ils font et obtiennent ensuite le consentement explicite de l'utilisateur. Ils le font avec ce qu'on appelle un contrat de licence click-wrap - une de ces boîtes pleines de charabia juridique qui apparaît lorsque vous installez un programme ou que vous l'exécutez pour la première fois. Le texte énonce plus ou moins toutes les astuces secrètes que ces programmes hostiles pourraient jouer sur votre système. Bien sûr, presque personne ne lit ces accords. Néanmoins, les accords protègent efficacement les fournisseurs de logiciels espions et publicitaires de toute responsabilité. Après tout, vous ne pouvez pas prétendre que le logiciel espion surveillait vos actions sans votre permission si vous avez donné la permission au programme en cliquant sur ce bouton J'accepte.

Des normes uniformes pour l'étiquetage des logiciels ne remplaceraient pas le besoin d'accords de licence, mais elles rendraient plus difficile pour les entreprises d'enterrer les fonctions d'un programme. Une telle législation, appelée Pure Software Act de 2006, demanderait à la Federal Trade Commission d'établir des normes pour l'étiquetage obligatoire de tous les programmes informatiques distribués aux États-Unis. Une exigence d'étiquetage obligerait les fabricants de logiciels espions à révéler les fonctionnalités cachées de leur programme.

Le précédent historique

Comme je l'ai laissé entendre ci-dessus, nous avons déjà emprunté cette voie auparavant. Le Pure Food and Drug Act de 1906 a été adopté par le Congrès pour lutter contre un ensemble remarquablement similaire de pratiques commerciales trompeuses. Le problème en 1906 était les aliments et les médicaments qui étaient vendus avec des étiquettes trompeuses, ou sans étiquette du tout.

La loi de 1906 exigeait que chaque médicament vendu aux États-Unis soit livré au consommateur dans un emballage indiquant la force, la qualité et la pureté du médicament si elles différaient des normes acceptées. La dose du médicament devait être clairement imprimée à l'extérieur de l'emballage. Un certain nombre d'ingrédients qui avaient tendance à accompagner les médicaments brevetés du XIXe siècle - des substances comme l'alcool, la codéine et le cannabis - devaient également être clairement divulgués.

Dans le cas des aliments, la loi exigeait que les étiquettes mentionnent explicitement tous les colorants et arômes artificiels. Après 1906, vous ne pouviez plus vendre quelque chose appelé soda à l'orange à moins qu'il n'ait un arôme provenant d'oranges authentiques. Sinon, vous vendiez de l'imitation ou du soda à l'orange artificiel. Et chaque bouteille, boîte et sac de nourriture devait indiquer clairement le poids précis de la nourriture qui se trouvait à l'intérieur du récipient.

La Pure Food and Drug Act a été un succès pour de nombreuses raisons. Forcer les fabricants à divulguer le contenu de leurs produits a permis aux consommateurs d'éviter les produits contenant des choses qu'ils ne voulaient pas ingérer. Par exemple, bon nombre des toniques à base d'huile de serpent distribués à la fin du XIXe siècle contenaient des doses importantes de drogues addictives comme la codéine ou la cocaïne. L'obligation de divulguer ces médicaments sur l'étiquette du produit, accompagnée d'un avertissement indiquant qu'il peut s'agir d'une accoutumance, a permis aux consommateurs de prendre des décisions éclairées. L'étiquetage a également permis aux scientifiques et éventuellement aux groupes de consommateurs de vérifier les allégations des fabricants de produits. L'étiquetage obligatoire a poussé les fabricants à supprimer les ingrédients les plus répréhensibles, un processus qui se poursuit encore aujourd'hui. Enfin, les étiquettes ont fourni aux législateurs des preuves supplémentaires qui ont été utilisées pour justifier l'élaboration d'une législation supplémentaire.

Les parallèles entre les produits alimentaires falsifiés du XIXe siècle et les logiciels falsifiés du XXIe siècle sont troublants. Tout comme certains toniques prétendaient faire une chose (comme faire pousser les cheveux) alors qu'ils en faisaient une autre (rendant l'utilisateur intoxiqué et chimiquement dépendant de la codéine), nous avons aujourd'hui un logiciel qui prétend faire une chose (définir l'heure de votre PC) et fait en fait autre chose (affiche des publicités lorsque vous visitez des sites Web particuliers).

Alors, à quoi ressemblerait un Pure Software Act ? À en juger par la législation de 1906, les meilleurs résultats proviendront probablement de l'exigence d'étiquettes qui traiteraient directement le problème de la tromperie. La nouvelle loi exigerait donc que le logiciel s'identifie comme tel : fini les programmes cachés qui s'installent silencieusement puis s'exécutent sans aucune preuve visible. Le Pure Software Act rendrait illégal l'exécution de programmes sans se révéler par le biais des moyens standard utilisés par le système d'exploitation hôte. Et la loi exigerait que les programmes aient une fonction de désinstallation, sinon il serait très clair qu'ils n'en ont pas.

Documenter l'installation d'un programme et prévoir sa suppression n'est qu'un début. Le Pure Software Act exigerait que la Federal Trade Commission identifie les pratiques spécifiques des logiciels qui devraient être explicitement révélées lorsque les programmes sont distribués et exécutés. Au lieu de laisser les entreprises masquer les fonctionnalités de leurs logiciels avec un jargon juridique obscurément écrit enfoui dans des accords de licence cliquables, la législation exigerait que la divulgation soit faite sous la forme d'icônes faciles à comprendre sur lesquelles cliquer pour obtenir des informations supplémentaires. En cliquant sur l'icône, un texte explicatif supplémentaire s'afficherait, peut-être à partir d'un site Web géré par la Federal Trade Commission. Les icônes pourraient également être affichées à d'autres endroits. Sous Windows, par exemple, le Gestionnaire des tâches et le panneau de configuration Ajouter/Supprimer peuvent tous deux afficher les icônes de comportement obligatoire à côté de l'icône d'application du programme.

Une proposition modeste

Pour rendre ma proposition plus concrète, j'ai dressé une liste de comportements de programme qui devraient être divulgués, et quelques icônes représentatives. Ces icônes (créées par le graphiste senior de TechnologyReview.com Matthew Bouchard) ne sont que des exemples pour illustrer le concept. Les icônes réelles mandatées par le gouvernement seraient développées par une équipe de professionnels ayant une expertise en interface homme-machine, testées sur des groupes de discussion et soumises aux commentaires du public. Mais ces icônes sont utiles pour transmettre l'idée générale et lancer la discussion.

Crochet : Fonctionne au démarrage
Certains programmes se connectent au système d'exploitation de votre ordinateur afin qu'ils s'exécutent automatiquement chaque fois que l'ordinateur est redémarré ou qu'un utilisateur se connecte. D'autres programmes ne le font pas. Aujourd'hui, il n'y a aucun moyen de le savoir, sauf en effectuant une analyse détaillée des fichiers de configuration de l'ordinateur avant et après l'installation du programme et en notant les modifications. Tout programme qui s'installe pour s'exécuter automatiquement devrait afficher cette icône Hook.

Composer : passe un appel téléphonique
Une escroquerie de logiciels espions courante implique des programmes qui obligent votre ordinateur à appeler des numéros de téléphone qui vous coûtent de l'argent. Par exemple, il y a quelques années, certains sites Web pornographiques diffusaient un programme appelé david.exe qui poussait l'ordinateur de la victime à passer un appel téléphonique longue distance à un fournisseur de services Internet en Europe de l'Est ; la société pornographique a pu conserver la moitié des revenus (exorbitants) des appels interurbains. D'autres types de logiciels frauduleux peuvent composer des numéros 900 ou même utiliser votre ordinateur pour envoyer des télécopies indésirables à votre insu. Documenter que le logiciel a un code qui pourrait le faire composer votre téléphone serait un bon moyen de résoudre ce problème.

Modifier : modifie le système d'exploitation de votre ordinateur
Certains programmes font plus que simplement s'installer pour s'exécuter au démarrage, ils modifient le système d'exploitation de votre ordinateur. Voir cette icône vous donnerait une raison de poser des questions. Plus probablement, forcer ce type de divulgation mettrait simplement fin à la pratique des développeurs.

Monitor : garde une trace de ce que vous faites
La plupart des programmes s'occupent de leurs propres affaires. Mais certains logiciels surveillent vos frappes et surveillent les pages Web que vous consultez même si d'autres programmes s'exécutent au premier plan. Les programmes peuvent observer pendant que vous créez des fichiers, faire des copies de chaque document imprimé ou simplement noter quand votre ordinateur est inactif et quand il est en cours d'utilisation. La clé ici est que les informations personnelles sont capturées par un programme lorsque vous pensez qu'il n'écoute pas. Peut-être que cette icône comprend un éclair pour indiquer que les informations surveillées sont renvoyées sur Internet à quelqu'un d'autre.

Affiche des fenêtres contextuelles
Un programme bien élevé ne parle que lorsqu'on lui parle. Certains programmes, en revanche, demandent votre attention. J'ai été étonné l'autre jour lorsque Microsoft Word 2003 a ouvert une fenêtre sur mon ordinateur m'invitant à participer à une sorte de sondage. Il y a quelques années, j'ai remarqué qu'un programme de portefeuille électronique appelé Gator ouvrait des fenêtres sur des sites Web concurrents chaque fois que je visitais certains marchands en ligne.

Télécommande : permet à d'autres programmes de prendre le contrôle de votre ordinateur
En théorie, tout programme exécuté sur votre ordinateur peut le prendre en charge et exécuter des commandes de la part des autres. En pratique, très peu de programmes ont la capacité d'offrir à d'autres une telle télécommande. Les programmes qui le font doivent être étiquetés.

Mises à jour automatiques : ce programme peut changer de comportement
L'une des techniques les plus importantes pour les fournisseurs de logiciels pour faire face aux problèmes persistants de sécurité informatique consiste à faire en sorte que leurs programmes se mettent automatiquement à jour avec le code téléchargé sur Internet. Les programmes dotés de cette fonctionnalité doivent annoncer cette fonctionnalité, car ils peuvent modifier leur comportement sans aucune intervention de l'utilisateur.

Bloqué : ne peut pas être désinstallé
Certains programmes, une fois installés sur votre ordinateur, sont impossibles à déloger. Ces programmes sont généralement des mises à jour du système d'exploitation, mais il est facile pour un programmeur intelligent de créer également des logiciels espions désinstallables. Les consommateurs devraient être informés qu'il existe certains programmes pour lesquels il n'y a pas de retour en arrière.

Règles d'engagement

Avec les icônes viendraient des règles pour leur utilisation. Par exemple, de nombreux accords de licence cliquables d'aujourd'hui stipulent que l'utilisateur accepte implicitement toute modification de l'accord de licence, à moins que ces modifications ne soient substantielles. Mais qu'est-ce qui est substantiel ? Une fois qu'un régime d'étiquettes était en place, un changement substantiel pourrait être défini par la loi comme un changement entraînant un changement d'icônes, par exemple, si un programme d'auto-mise à jour téléchargeait une fonction de contrôle à distance. La loi pourrait alors exiger que ce type de changement nécessite un nouveau consentement de la part de l'utilisateur.

Une tension inhérente à tout régime d'étiquetage est de décider ce qui doit être mis sur l'étiquette et ce qui est laissé de côté. Plus les informations requises sur l'étiquette sont nombreuses, plus sa production sera coûteuse et moins les consommateurs seront susceptibles de prêter réellement attention à l'information. Tout organisme de réglementation mettant en œuvre cette politique devra éviter le fluage d'icônes. Avoir 23 icônes différentes sur chaque logiciel ne répondra pas aux besoins des consommateurs, cela ne fera que semer la confusion.

Personnellement, j'aimerais que mes étiquettes de logiciels fassent la distinction entre les informations collectées et utilisées sous forme agrégée et les informations personnellement identifiables stockées dans un grand entrepôt de données. Mais fondamentalement, il ne s'agit pas de ce que fait le programme, mais de ce que fait l'entreprise une fois que le programme a communiqué ses informations. C'est-à-dire qu'il s'agit d'une pratique commerciale qui devrait être protégée par la politique de confidentialité de l'entreprise. Peut-être que nous avons besoin d'icônes là aussi. (Il y a des années, l'organisation commerciale TRUSTe a essayé d'avoir trois icônes pour trois types différents de politiques de confidentialité standard ; TRUSTe a abandonné lorsque ses sociétés membres ont hésité.)

Une autre tension se situe entre l'étiquetage volontaire et obligatoire. Je pense que l'obligation est la voie à suivre. Nous vivons aujourd'hui dans un régime volontaire : Google a fait un excellent travail en expliquant ce que fait la barre d'outils Google, mais d'autres entreprises ne sont pas aussi ouvertes. Près de 100 ans d'expérience avec la Pure Food and Drug Act de 1906 montrent que les exigences en matière d'étiquetage n'ont pas besoin d'être onéreuses, mais elles doivent être obligatoires, sinon les bonnes entreprises étiquettent et les mauvaises entreprises ne le font pas. Ce qu'il faut maintenant, c'est étendre ce principe au monde du logiciel.

Remerciements
Cela fait plusieurs mois que je discute de cette proposition d'étiquetage logiciel avec des associés à Cambridge. À la Harvard Law School, Jonathan Zittrain a fait des commentaires très utiles ; au Laboratoire d'informatique et d'intelligence artificielle du MIT, j'ai eu des discussions et des commentaires utiles avec mes directeurs de thèse, Rob Miller et David Clark, et avec mon camarade de classe, Steven Bauer.

cacher