Microsoft présente un nouveau Recall désinstallable, avec une sécurité largement revue

Recall est un journal d’activité. Présenté plus tôt dans l’année, il part d’une bonne idée : pouvoir fournir à l’utilisateur tout renseignement basé sur une activité passée. Vous vous souvenez avoir travaillé il y a plusieurs mois sur un rapport dont vous ne gardez que quelques vagues souvenirs ? Décrivez-le dans Recall et il le retrouvera.

Si le concept pouvait séduire une partie des utilisateurs, la réalisation a lourdement péché.

Une première version catastrophique

Pour fournir les résultats, Recall prend des captures d’écran toutes les quelques secondes pour en analyser le contenu, via un modèle d’IA spécifiquement entrainé. Les informations extraites sont placées dans une base de données. Ainsi, les requêtes interrogent cette base, permettant de présenter des résultats contextuels, captures d’écran à l’appui.

• Windows Recall : une surveillance locale et isolée, mais…

La première version de l’outil était cependant si mal préparée que de violentes critiques ont rapidement créé une polémique. Fustigé notamment par des chercheurs en sécurité, l’outil de Microsoft faisait peu de cas de la sécurité et du respect de la vie privée. Les informations étaient aisément accessibles depuis d’autres comptes sur la même machine et étaient stockées sous une forme facilement lisible.

Recall posait de sérieuses questions dans de nombreuses situations de types abusifs. Un mari voulant surveiller sa femme, un employé voulant voir ce qu’a fait un collègue ou plus généralement toute personne voulant plonger dans l’intimité d’une autre. Car Recall captait les informations dans tous les scénarios d’usage, y compris l’ouverture de sites particulièrement sensibles comme ceux des banques ou tout ce qui touche à la pornographie.

• La surveillance Windows Recall permet en l’état un pillage des données sensibles

Rapidement, Microsoft avait pris conscience qu’il fallait revoir sa copie. Des améliorations avaient été mises en place, notamment sur le stockage des données, le support des sessions de navigation privée, etc. Mais ce n’était pas suffisant. L’éditeur avait fini par annoncer le retrait de sa fonction et son retour en octobre dans une version remaniée. C’est cette nouvelle mouture qu’il a présentée vendredi soir.

De nombreuses améliorations pour la sécurité

Sans surprise, c’est la sécurité qui a reçu le plus de changements. Et ces derniers sont significatifs, comme Microsoft l’explique dans son billet de blog.

Premier changement, l’ensemble des traitements ayant lieu sur les captures d’écran et les processus sensibles sont déplacés dans une machine virtuelle, au sein d’une enclave sécurisée dont le chiffrement est assuré par la puce TPM. Microsoft assure que cette architecture met les données à l'abri des accès malveillants, car il faudrait un malware en espace noyau pour passer ces défenses.

En outre, tout accès aux données requiert une preuve d’authentification. Elle peut s’obtenir via Windows Hello (biométrie) ou avec le code PIN de la session. Même chose pour les modifications des paramètres sensibles dans Recall.

Toutes les informations stockées dans la base de données vectorielle sont chiffrées, là encore par des clés protégées dans l’enclave sécurisée (et donc la puce TPM). Les captures prises et leurs métadonnées associées (horodatage, texte de la barre de titre, durée d’utilisation…) ont chacune leur propre clé de chiffrement. Toutes les clés sont liées cryptographiquement à l’utilisateur.

De plus, Microsoft dit s’être assurée que Recall ne puisse fonctionner que sur les PC Copilot+ avec un certain nombre de fonctions actives par défaut : BitLocker, Device Encryption, TPM 2.0, sécurité et intégrité du code basées sur l’hyperviseur, Measured Boot et System Guard Secure Launch (si l’intégrité de la chaine de démarrage n’est pas complète, les clés de sécurité sont bloquées), et enfin la protection DMA du noyau.

Plus de contrôle sur la fonction

Tant qu’à faire, l’entreprise affine les réglages de sa fonction et lui ajoute d’importants paramètres. Premièrement, et surtout, Recall est en opt-in. Cela signifie que la question de son utilisation et de son activation sera posée à l’utilisateur. Comme les autres questions posées durant l’assistant de configuration initial de Windows 11, aucune réponse ne sera présélectionnée. De plus, la fonction pourra être désinstallée. Si c’est le cas après une période d’utilisation, toutes les données associées seront supprimées.

Deuxièmement, tout ce qui est effectué dans un navigateur au cours d’une session privée n’est pas sauvegardé. Cette fonction est compatible avec tous les principaux navigateurs. On peut également filtrer des applications ou sites web spécifiques afin qu’ils n’apparaissent jamais dans Recall.

Troisièmement, de nouveaux paramètres permettent un plus grand contrôle sur ce qui est fait. On peut par exemple choisir la durée de conservation des contenus. Même chose pour l’espace disque alloué, mais ce réglage existait déjà. On peut aussi supprimer une plage de temps spécifique, tout le contenu d’une application ou d’un site, ainsi que l’historique des résultats après les recherches.

Enfin, un filtrage du contenu sensible est activé par défaut. Tout ce qui touche aux mots de passe, identifiants nationaux, numéros de cartes de crédit/paiement et autres doit être filtré par Recall. Cependant, Microsoft ne parle pas d’élimination totale : ce filtrage (basé sur la technologie maison Purview) « permet de réduire le nombre » de ces informations. On ne peut donc pas totalement compter dessus, et cette part d'incertitude pourrait faire la différence pour de nombreuses personnes.

À noter que lorsque Recall effectue des captures, une icône apparait maintenant dans la barre d’état système. En cliquant dessus, on peut interrompre l’opération pour mettre la fonction en pause.

Assez pour faire confiance ?

L’idée à la base de Recall n’est pas un problème dans l’absolu. Nous avons rencontré des personnes vivement intéressées par cette perspective : retrouver à peu près n’importe quoi issu d’une activité passée sur un ordinateur. Dans un cadre professionnel, la fonction peut effectivement permettre de remettre la main sur des informations précises quand on ne se souvient que de certains éléments de contexte, là où la recherche classique réclame davantage que l’on se rappelle d’un nom, ou au moins d’une partie.

De l’idée à la réalisation, il y avait cependant un gouffre. Il semble que les multiples améliorations portées par Microsoft à sa fonction puissent effectivement faire la différence. Mais la question demeure : pourquoi avoir présenté à la dernière conférence Build un Recall dont les implications en matière de sécurité et de vie privée n’avaient clairement pas été réfléchies ? Surtout dans un contexte où l’éditeur martèle régulièrement que la sécurité est devenue sa priorité absolue, au point de différer une fonction si nécessaire.

Microsoft clame « Recall est conçu avec la sécurité et la confidentialité à l'esprit », mais on imagine mal l’entreprise lancer une gamme de produits vulnérables et vendus comme tels. La firme assure cependant que l’équipe Microsoft Offensive Research Security Engineering (MORSE) a mené des tests de conception et de pénétration pendant plusieurs mois. Une société tierce aurait également été engagée pour réaliser un audit de sécurité.

Dans une interview à The Verge, David Weston, chargé de la sécurité des entreprises et des systèmes d’exploitation chez Microsoft, indique que le développement initial de Recall était bien placé sous l’égide de la Secure Future Initiative de l’entreprise. Mais il s’agissait d’un produit en avant-première, soumis a priori à un régime légèrement différent. La levée de boucliers aurait forcé l’éditeur à accélérer les modifications prévues. L’explication ne tient guère, car la nouvelle version présentée repose sur une architecture très différente.

Recall sera à nouveau proposée courant octobre, d’abord chez les testeurs Windows Insiders. Si Microsoft reste sur son idée, seules les personnes sur des PC Copilot+ pourront mettre la main dessus.