L'histoire est connue, voire banale : vous venez d'être victime d'une infection sur votre PC, qui vous force éventuellement à réinstaller Windows. Et vous savez déjà qu'un de vos proches, vous en connaissez forcément un, va vous répondre : « tu devrais passer au Mac, il n'y a pas de virus sur Mac OS X ! ». En elle même, l'affirmation est vraie : il n'y a actuellement aucun risque majeur d'être infecté par une menace sur un Mac.
Sécurité sur Mac : le discours officiel et les faits
Que ce soit dans ses fameuses publicités « Mac vs PC » ou sur son site, Apple véhicule un discours rassurant sur la sécurité du Mac, mais que dit-on exactement ? Contrairement à ce que l'on pourrait penser, si on lit entre les lignes, Apple ne dit pas que le Mac est invulnérable aux virus, mais uniquement aux « virus PC ». Autrement dit, Mac OS X ne craint pas les vers et autres chevaux de Troie qui ciblent Windows. Ce qui est assez logique, puisque Mac OS X n'est pas Windows : le fait que les Mac soient immunisés contre ces menaces provient simplement du fait qu'une attaque prévue pour Windows ne s'exécute pas sur un Mac.Pourtant le discours d'Apple est confus, faisant l'amalgame entre les virus affectant Windows (qui, effectivement, ne peuvent pas menacer un Mac) et la possibilité que des menaces développées spécifiquement pour Mac OS X soient bloquées par le système. Or, à l'heure actuelle, il n'existe pratiquement aucune menace ciblant le Mac. Il faut donc d'emblée tirer cette situation au clair. Si Mac OS X est plus sûr que Windows, ça n'est donc pas forcément parce qu'il est mieux protégé, mais parce qu'il n'est pas attaqué. C'est une précision d'autant plus importante que les failles, elles, existent, et qu'Apple ne brille pas forcément par la réactivité de ses corrections.
Il n'est pas attaqué, certes, mais il pourrait l'être. Cela signifie-t-il pour autant qu'il pourrait être infecté ?
Pourquoi y'a-t-il si peu de menaces en activité sur Mac OS X ? La réponse que l'on fournira généralement à cette question est la suivante : le Mac n'intéresse pas encore les cybercriminels, parce que sa part de marché n'est pas assez élevée. C'est un argument valable, mais difficile à vérifier. Qu'est-ce qu'une part de marché suffisante ? Mac OS X ne l'a-t-elle pas déjà dépassée ? Pas évident...
Une autre explication plus technique peut être donnée : le développement de logiciels malveillants pour Mac nécessite des compétences spécifiques... et un Mac ! Les malwares et autres trojans étant majoritairement issus des pays émergeants, et l'essentiel de la gamme Mac étant ciblée vers le milieu et le haut de gamme, on peut y voir tout simplement une carence en développeurs Mac dans ces pays.
Sécurité sur Mac : les types de menace en activité
Trojans
Évidemment, on est loin du spectre de vers se multipliant sur des millions de machines. Néanmoins, même si l'installation de telles menaces nécessite une intervention de l'utilisateur, elles misent sur sa naïveté et sur le fait qu'il va forcément cliquer. Ne nous leurrons pas : la plupart des utilisateurs, et notamment des nouveaux utilisateurs de Mac venus à la plate-forme par le fameux « effet halo », ne sont pas des experts en informatique. S'ils se rendent sur un site pour visionner des vidéos, et qu'on leur demande de télécharger un codec, ils le téléchargeront. Ils ne se rendront même pas compte des subtilités technologiques entre Safari et Internet Explorer : ils tenteront de passer toutes les étapes qui les séparent en cliquant sur OK. D'où un certain risque et la nécessité de disposer d'un mécanisme bloquant ces fichiers (ce que Mac OS X propose très partiellement, comme nous le verrons)
Phishing, vol d'identité
Si le Mac est, pour l'instant, à l'abri de nombre des menaces qui plombent le monde Windows (vers, drive by download, auto exécutables sur clé USB...), il existe une faille qui touche l'ensemble des utilisateurs, et qui ne peut pas être patchée, pour reprendre les mots du fameux «hacker» Kevin Mitnick : la naïveté des utilisateurs. Celle-ci peut être facilement exploitée par des mails ou des sites apparemment légitimes, mais qui vont tout simplement voler des informations à l'utilisateur. Les identifiants Paypal, numéros de carte de crédit et autres identifiants peuvent être subtilisés très facilement : il suffit de les demander en se faisant passer pour un organisme bien connu de l'utilisateur (banque, site de paiement en ligne, réseau social, FAI...)
Ce type d'arnaque peut revêtir différentes formes. On peut également rapprocher du phishing les « scarewares », ces fausses applications ne faisant absolument rien d'autre que se faire passer pour un antivirus ou un logiciel de nettoyage système, qui commence sa tâche, mais qui a besoin de passer en version complète pour achever ce qu'il a détecté (et il détecte forcément quelque chose !). Ici, le but ne va pas plus loin que vendre du vent, et absolument rien n'empêche ce genre de menace de fleurir sur Mac OS X. On l'a vu avec les récentes affaires d'arnaque sur iTunes, les utilisateurs Apple sont parfois naïfs et accordent peu d'importance à la sécurité de leurs données : si ces attaques réussissent, c'est en partie en tirant parti de la faiblesse des mots de passe utilisés pour protéger les comptes iTunes.
Mac OS X : les mécanismes de défense standard
Nous avons vu que Mac OS X est à l'abri des menaces Windows pour une simple et bonne raison d'architecture. Nous avons vu que le Mac est actuellement à l'abri d'attaque à grande échelle, mais peut être victime de trojans ou de sites illégitimes qui tirent profit de la naïveté des utilisateurs (la fameuse « interface chaise clavier »).Ceci dit, que propose Mac OS X « out of the box », par défaut, pour protéger les utilisateurs contre ces malveillances ? Apple fait grand cas des fondations UNIX du système, et notamment d'une spécificité : par défaut, contrairement aux autres systèmes UNIX, Mac OS X désactive le compte Root. Un mot de passe administrateur est demandé à l'installation du système, et il est nécessaire pour accéder à certains niveaux de privilèges, notamment pour installer une application, mais on ne peut pas accéder au compte Root.
Le système propose également plusieurs défenses contre les codes malveillants. La première est l'exécution d'applications dans un bac à sable (sandboxing), ce qui permet de limiter leur accès à certaines données. Snow Leopard utilise cette technique pour la plupart des processus ayant recours à l'accès réseau, ainsi qu'à certaines applications ou codecs susceptibles de communiquer avec des fichiers aux sources potentiellement dangereuses. C'est notamment le cas de QuickLook, la visionneuse rapide de fichiers, et notamment de PDF, ou du codec H264 utilisé par QuickTime.
On note également dans le système une prise en charge de la fonctionnalité Execute Disable (XD), intégrée depuis Mac OS X 10.4 (en version Intel) et permettant de prévenir les attaques de type « buffer overflow », ainsi qu'un système d'adresses mémoire aléatoires, réinitialisées à chaque mise à jour d'application (processus qui peut être forcé en ligne de commande).
Concrètement, quelles défenses contre des logiciels malveillants ?
Passons aux outils concrets de protection fournis avec Mac OS X. On a beaucoup parlé de « l'antivirus » intégré à Snow Leopard. Celui-ci est très basique et permet tout simplement de bloquer l'exécution de menaces connues et répertoriées. Il a récemment été mis à jour pour référencer une... deuxième signature de trojan. Ce chiffre et la fréquence des mises à jour peuvent paraître extrêmement choquants, voire inquiétants, mais il s'agit actuellement des deux seuls chevaux de Troie « en activité » (c'est à dire qui ne soient pas simplement des prototypes) connus sur Mac OS X.En plus de cet « anti malware », Snow Leopard propose une détection automatique des fichiers téléchargés depuis Internet. Ceux-ci sont automatiquement signés, et cette signature est également ajoutée aux fichiers inclus dans une archive, si c'est une archive qui a été téléchargée. Le mécanisme vous avertit du risque potentiel, mais le système est plus que limité : il vous avertit pour n'importe quelle application, légitime ou illégitime : il est donc totalement impossible, pour l'utilisateur lambda, de savoir ce qu'il faut faire du fichier téléchargé. Et on connaît l'utilisateur lambda : il aura plutôt tendance à confirmer qu'à annuler.
Du côté de Safari, on trouve depuis la version 4 un anti phishing intégré, basé sur une liste noire de sites régulièrement mis à jour. Si un tel site est visité, un avertissement s'affiche en lieu et place de la page. Contrairement aux téléchargements où l'utilisateur est complètement laissé maître de son choix, ici la notion de réputation intervient : l'utilisateur dispose donc d'une indication plus pertinente.
Terminons par le pare-feu, puisque pare-feu il y a, et on a tendance à l'oublier. Celui-ci ne permet de filtrer que les connexions entrantes, et propose des options de personnalisation assez minimaliste : le filtrage s'effectue uniquement par application, et les options se limitent à bloquer ou autoriser les connexions entrantes pour une application donnée. Il est possible d'autoriser automatiquement les connexions pour les applications signées (par exemple celles d'Apple), et de bloquer toutes les connexions entrantes à l'exception des services réseau de base. Pas de contrôle des connexions sortantes, pas de règles de filtrage par port ou par protocole, bref, un pare-feu pas franchement exhaustif...
Le chiffrement de données sous Mac OS X
Mac OS X propose plusieurs fonctionnalités concernant le chiffrement de données personnelles. La première est FileVault, une fonctionnalité intégrée depuis Mac OS X 10.3, permettant de chiffrer l'intégralité du dossier de démarrage du Mac en 128 bits (algorithme AES). Le dossier est protégé avec le mot de passe principal, qu'il faudra donc définir. Pour cela, Apple propose un outil plutôt bien fait, permettant de générer un mot de passe selon différents critères (lettres ou chiffres uniquement, combinaison des deux, inclusion de caractères spéciaux, mots mémorisables...) en déterminant le nombre de caractères. Un indicateur indique le niveau de complexité du mot de passe choisi.
Il est également possible de créer des images disques chiffrées et protégées par mot de passe en passant par l'utilitaire disque. Là encore, l'algorithme utilisé est AES, en 128 ou 256 bits. Sachez enfin que le trousseau de mots de passe de Mac OS X est chiffré par l'algorithme 3DES, et qu'il est automatiquement verrouillé à la fermeture de session. Il est également possible de le verrouiller lors des périodes d'activité de la machine.
Antivirus sur Mac : est-ce bien nécessaire ?
Résumons donc : le Mac n'est pas touché par les menaces ciblant Windows, et les logiciels malveillants taillés pour Mac OS X sont quasiment inexistants. Pourquoi diable installer un antivirus sur un Mac ? On peut naturellement répondre « au cas où ça changerait », mais une fois sorti des spéculations sur une éventuelle progression du Mac qui entrainerait l'apparition de nouvelles menaces, il existe tout de même quelques bonnes raisons qui pourraient justifier l'installation d'une suite de sécurité sur Mac, sachant que dans tous les cas, ça n'est pas indispensable à l'heure actuelle.Tout d'abord, comme nous l'avons vu précédemment, ce n'est pas parce qu'il n'y a presque aucune menace sur Mac OS X qu'il n'y en a pas du tout. Des trojans existent, et on en verra certainement refleurir. Étant donné l'écart parfois relativement long entre la découverte d'une menace sur Mac OS X et la mise à jour effective de l'«anti-malware» d'Apple, on peut avoir envie d'un filet de protection supplémentaire.
La deuxième raison réside dans la place que le Mac a pris ces dernières années. Même s'il reste minoritaire, il est indéniable qu'il est en progression, et notamment en ce qui concerne les ordinateurs portables. On peut donc en déduire que de nombreux MacBook viennent s'intégrer dans des foyers déjà équipés d'ordinateurs sous Windows. Sur ces ordinateurs, des clés USB ou des disques durs externes transitent sans aucun doute. Même si ces fichiers n'auront aucun impact sur un Mac, il peut être bon de les détecter et de les supprimer avant qu'ils ne soient transférés manuellement pour être utilisés sur d'autres PC.
Enfin, comme nous l'avons dit précédemment, nul utilisateur n'est à l'abri de techniques de phishing ou autres arnaques (faux logiciels de sécurité, même si ceux-ci ne sont pas encore répandus sur Mac OS X). Même avec les quelques mécanismes de protection évoqués plus haut, dont l'antiphishing de Safari, les arnaques de ce genre peuvent toujours passer au travers.
Les suites de sécurité sur Mac
Plusieurs suites de sécurité et antivirus sur Mac sont disponibles. Nous en avons testé 4, sachant qu'il est difficile de tester ce que serait leur impact réel : seul l'avenir nous dira si elles sont réellement efficace pour détecter de nouvelles menaces lorsqu'elles font leur apparition sur le net. En attendant, étant donné que leur but est en partie de s'intégrer dans des foyers équipés de Mac et de PC, il peut tout de même être intéressant de comparer leur taux de détection sur des menaces Windows, ce que nous avons fait en les soumettant à un dossier contenant 635 menaces collectées entre janvier 2008 et Avril 2010.
Détection de 635 menaces Windows collectées entre 2008 et 2010
On constate qu'Intego Virus Barrier X6 est un cran au dessus de ses 3 concurrents. Néanmoins, ce test est un indicateur qui ne revêt certainement pas la même importance que sous Windows. En ce qui concerne les fonctionnalités et l'interface, nous détaillons ci dessous les fonctionnalités de chacune des solutions testées.
Intego Internet Security Barrier
Intego est le principal acteur dans ce domaine sur Mac, proposant depuis des années une solution dédiée pour la plate-forme. La gamme d'Intego est composée de l'antivirus Virus Barrier, et de la suite de sécurité Internet Barrier qui ajoute plusieurs fonctionnalités (pare-feu, contrôle parental, anti spam...). La suite impressionne d'emblée par son interface très accessible et visuelle. On sent qu'Intego est un développeur avec une culture Mac : l'interface d'accueil est très attractive visuellement parlant, mais reste d'une certaine sobriété, en proposant un aperçu de l'état de sécurité du Mac, du trafic réseau ou encore de l'activité de la protection en temps réel.
L'administration de la suite est un modèle du genre : on citera par exemple le pare-feu qui propose, en plus d'un mode avancé, un mode débutant offrant plusieurs pré-réglages de fonctionnement, avec pour chaque réglage une représentation visuelle du comportement du réseau.
Intego est donc simple et agréable à utiliser, mais quid de ses fonctionnalités ? Là encore, Intego propose une solution extrêmement complète et configurable. L'antivirus permet d'inclure ou d'exclure tout type de menace (Mac OS X, Mac Classic, Windows, Linux...), de scanner les volumes Boot Camp, d'analyser les périphériques tels que les iPhone et iPod, ou encore de régler la priorité du processus. Lors de nos tests, il réalise quasiment un sans faute pour ce qui est de détecter les virus et autres trojans pour Windows : 633 menaces détectées sur une base de 635 menaces Windows collectées entre janvier 2008 et avril 2010 !
Du côté du pare-feu, on pourra se fier aux profils évoqués plus haut, mais aussi créer ses propres règles, avec une subtilité appréciable : l'interface des règles permet de déterminer simplement la source, la destination et le service à filtrer, que l'on choisit dans une liste. Celle-ci intègre les services de Mac OS X, mais également des applications telles que Skype ou même des jeux Mac comme World of Warcraft ou Call of Duty 4.
On notera enfin la présence d'un antispam compatible avec Mail et Entourage. Celui-ci propose plusieurs méthodes de filtrage : analyse lexicale, liste noire, ou encore filtrage automatique des mails utilisant certains encodages (japonais, cyrillique...). Quelques petits outils fort sympathiques complètent le tableau : outil de requête WHOIS ou Traceroute, ou encore affichage du trafic réseau par application (iChat, Safari, Mail...).
Norton Internet Security 4
Même si les solutions de l'éditeur ne sont pas mises à jour de manière aussi fréquente que sous Windows, Symantec maintient une version Mac OS X de Norton Internet Security. La dernière version date de début 2009. Que propose Norton Internet Security pour Mac ? La suite de sécurité inclut à peu près les composants que l'on trouve sous Windows, mais n'intègre pas toutes les innovations des dernières versions Windows, notamment les fameuses technologies Insight, permettant de déterminer le niveau de dangerosité des téléchargements selon l'analyse de leur réputation, ou la fonctionnalité d'analyse comportementale SONAR. Reste que sur une base de 635 menaces Windows collectées entre janvier 2008 et avril 2010, l'antivirus détecte 565 menaces avec les technologies présentes. Un score en dessous de celui d'Intego mais tout de même très bon.
La version suite de sécurité du logiciel propose en outre un pare-feu bi directionnel, et une protection contre le phishing grâce à un outil intégré, complété par le module Norton Confidential qui, s'il ne propose pas les mêmes fonctionnalités de coffre fort pour mots de passe présents dans la version Windows, permet tout de même d'authentifier les sites web de confiance.
L'interface de Norton pour Mac est claire et simple d'utilisation, mais s'avère plutôt minimaliste dans ses possibilités d'administration. On est tout de même loin du confort offert par la version Windows qui combine simplicité d'utilisation et un certain degré de personnalisation des fonctionnalités pour un utilisateur aux besoins plus avancés.
Initiative originale de la part de Symantec : l'éditeur propose en plus de sa suite de sécurité une version « bundle » incluant les versions Mac et Windows, une idée plutôt pertinente dans la mesure où les antivirus Mac servent essentiellement à compléter des solutions de sécurité sous Windows dans des environnements mixtes.
Au final, Norton, dans sa version Mac, brille par sa simplicité d'utilisation, et ses performances en détection Windows semblent tout à fait correctes, mais il est loin de proposer le confort et la richesse d'Intego.
McAfee Internet Security
Dernier arrivé sur le terrain des antivirus/suites de sécurité pour Mac, McAfee propose une suite de sécurité complète (vendue uniquement en tant que telle) intégrant un antivirus, un pare-feu, ainsi qu'une solution de filtrage des sites web basée sur la technologie Site Advisor de l'éditeur.
L'antivirus propose un composant de protection en temps réel et un module d'analyse. La protection résidente nous a semblé assez efficace et réactive : le logiciel détecte généralement les fichiers malveillants lors de la copie ou même à l'ouverture d'un dossier les contenant, et ce, assez promptement. En revanche, si l'analyse d'une clé USB infectée révèle effectivement des menaces, on aurait souhaité que celles-ci soient détectées dès le montage. Cela n'est pas le cas sur nos tests.
La partie antivirus propose également des analyses planifiées et personnalisées, avec la possibilité d'ajouter plusieurs emplacements à une file d'attente qui sera traitée en un clic. Pour la partie temps réel comme pour la partie analyse, il est possible de configurer les actions à entreprendre en cas de détection : suppression directe ou mise en quarantaine. Les archives peuvent être incluses ou exclues dans les analyses, et le logiciel peut également analyser les pièces jointes de Mail.
Testé sur une base de 635 menaces Windows collectées entre janvier 2008 et avril 2010, l'antivirus détecte 546 menaces. C'est le moins bon résultat obtenu sur notre test, mais il reste largement supérieur à la moyenne. Pas de surprise au niveau de la consommation de mémoire : elle reste plus que correcte à
Le pare-feu est nettement plus complet que celui proposé en standard par Apple, ce qui n'est certes guère difficile. Il se décompose en fait en deux parties dans l'interface. La première est consacrée aux applications et permet de limiter leur accès au réseau, de manière plus détaillée que ce que propose Mac OS X : il est ainsi possible de contrôler précisément les ports auxquels les applications ont accès, et de gérer les connexions entrantes et sortantes. La deuxième partie permet d'établir des règles de manière plus générales sur les protocoles et les ports, là encore en entrant ou sortant.
Le dernier composant de la suite de sécurité est l'intégration de McAfee Site Advisor au sein d'une extension pour navigateur. À l'heure actuelle, celle-ci est uniquement compatible avec Mozilla Firefox, les extensions pour Safari étant trop récentes pour être prises en charge (on peut imagine que McAfee proposera par la suite des extensions pour Safari et Chrome, mais ça n'est pas le cas actuellement).
En définitive, McAfee Internet Security a le potentiel pour devenir une bonne suite de sécurité : l'interface est propre et les fonctionnalités, relativement complètes, sont cohérentes par rapport à l'utilité d'une solution de sécurité sur Mac à l'heure actuelle.
Kaspersky Antivirus for Mac
Contrairement à ses concurrents, Kaspersky ne propose qu'un antivirus « basique » pour Mac. Ici, donc, pas de pare-feu, ni de contrôle parental, et même pas de filtrage des sites malveillants via les résultats de recherche, mais une protection essentiellement destinée à protéger l'utilisateur en temps réel contre le téléchargement de fichiers malveillants et à réaliser des analyses de disque.
Du côté de l'analyse en temps réel, Kaspersky Antivirus propose des fonctionnalités assez classiques : inclusion ou non des archives, types de menaces à prendre en compte (virus et vers, logiciels espions, numéroteurs...), ou actions à entreprendre en cas de détection. Le logiciel gère les pièces jointes de mails. Bref, on reste loin des technologies d'analyse comportementale utilisées par la version Windows, mais les besoins ne sont pas encore là : comme ses concurrents, Kaspersky Antivirus pour Mac a comme but essentiel de détecter les menaces Windows que l'on pourrait télécharger et transférer d'un Mac à un PC.
Testé sur une base de 635 menaces Windows collectées entre janvier 2008 et avril 2010, l'antivirus détecte 573 menaces. En ce qui concerne la consommation de ressources, le logiciel consomme environ 80 Mo en cours d'analyse.
On regrettera en revanche qu'il ne mette pas davantage l'accent sur les menaces qui peuvent toucher les Mac, à savoir les sites frauduleux, le vol d'identité et le phishing. Sous Windows, on dispose ainsi de quelques outils intéressants tels qu'un clavier virtuel pour la saisie de données sensibles. Il manque également un système d'analyse de la réputation des sites web.
Pour un premier essai sur Mac, Kaspersky a indéniablement réussi à créer une solution à l'interface agréable et à l'administration plutôt simple, mais quelque peu minimaliste comparée à ce que propose Intego ou McAfee. En contrepartie, le logiciel semble assez léger, peu intrusif, et nous a semblé réactif sur les quelques tests de détection de virus Windows que nous avons effectués.
Conclusion
S'il existe un risque, il est plutôt à chercher du côté d'iOS : la récente affaire JailbreakMe a prouvé que le système peut comporter des failles extrêmement dangereuses. Mikko Hypponen, de l'éditeur F-Secure, nous confiait récemment qu'il était surpris de la réactivité d'Apple sur la faille de sécurité permettant le site JailbreakMe d'exécuter sa tâche. Selon lui, nous étions passés très près des premières attaques majeures sur iPhone, iPod Touch et iPad. Rassurant...
Ceci étant dit, faut-il acheter une suite de sécurité sur Mac ? Clairement, les risques liés à Mac OS X sont, pour le moment, très limités. Néanmoins, dans la mesure où ces solutions permettent également de limiter la circulation des menaces Windows, on peut envisager leur utilisation si son foyer comprend des PC sous Windows et des Mac (et donc des fichiers qui peuvent transiter, notamment sur des clés USB). Certaines solutions, notamment celle d'Intego ou de McAfee, semblent également bien armées pour protéger le Mac contre les menaces futures, et contre les types de risques qui peuvent toucher n'importe quel utilisateur, quelque soit son système d'exploitation (spam, phishing...). On pourra donc dire en guise de conclusion que ces solutions nous semblent actuellement plus rassurantes qu'indispensables.
