TidBITS#726/12-Apr-04

Le premier Cheval de Troie sur Mac OS X a été repéré la semaine dernière... vraiment ? Adam jette un oeil critique sur l'annonce par Intego de la 'découverte' de MP3Concept Trojan et comment ce coup de pub d'Intego fait plus de mal que de bien au monde du Mac. De son coté Andrew Laurence revient à son premier amour, le lecteur audio streaming Slim Devices Squeezebox. TidBITS se prend une semaine de vacances, rendez-vous donc pour TidBITS 727 le 26-Apr-04!

Sommaire:

Un Cheval de Troie sur Mac OS X ?
Plein de bonnes vibrations avec la Squeezebox
Qu'est ce qui se dit sur TidBITS-Talk/12-Apr-04

Ce numéro a été traduit de l'américain par les traducteurs bénévoles, de TidBITS-FR :Pollen -- Philippe Cols -- Patrick Mpondo Dicka -- Luc Saint-Elie -- John Howland -- Jean-Marc Gargantiel -- Jean-Louis Delaunney -- Grégoire Seither -- Fréderic Denonne -- Fabrice Jaffre -- Dominique -- Cyril Druesne -- Bertrand Cahuet -- Alain Lortal

NOUS CHERCHONS des TRADUCTEURS !!!!! Ca ne vous prendra que 30 minutes par semaine, vous permettra d'améliorer votre anglais et d'augmenter votre karma Macintoshien ! Venez rejoindre une bande de joyeux drilles amateurs de bonnes bouffes, bons vins et discussions éclairées ! Jetez un coup d'oeil aux consignes de traduction et contactez le coordinateur de la traduction : Grégoire Seither (gregoire@pobox.com).

<http://www.tidbits.com/tb-issues/lang/fr/consignes.html>

Cette édition de TidBITS est rendue en partie possible grâce au soutien financier de :

DES LECTEURS COMME VOUS !
Vous pouvez aider à pérenniser TidBITS en participant à notre programme de donation volontaire. Cette semaine nous remercions tout particulièrement Shady Kanfi, Robin Armstrong, et Lilajane Frascarelli pour leur généreux soutien financier !
<http://www..tidbits.com/about/support/contributors.html>
Tiens ! Il n'y a plus les publicités ? Ben non, vu qu'elles ne concernent que le lectorat états-unien, on s'est dit qu'on pourrait aussi bien ne pas les mettre... en attendant de trouver des annonceurs francophones éventuels.
Si vraiment cela vous dérange, faites le nous savoir.

Etant donné la pénurie de traducteurs bénévoles, nous avons décidé de ne plus traduire les MailBITS et autres brèves - d'autant que les informations qu'elles contiennent sont souvent déjà redondantes au moment de la publication de l'édition française de TidBITS. Si vraiment cela vous perturbe, faites les nous savoir... ou bien devenez traducteur TidBITS ! Il nous manque encore une quinzaine de traducteurs bénévoles pour assurer une traduction hebdomadaire de l'intégralité de l'édition TidBITS.

Apparition du premier Cheval de Troie sous Mac OS X : quand un bidouilleur informatique vous fait un cadeau, méfiez vous !

par Adam C. Engst <ace@tidbits.com>

Si vous gardez un oeil sur la presse Macintosh - en plus de votre TidBITS hebdomadaire, vous avez certainement entendu parler de l'apparition, mardi dernier du premier Cheval de Troie sur Mac OS X. L'information était diffusée par Intego, société éditrice d'un certain nombre de logiciels de sécurité informatique, notamment VirusBarrier. Intego a tout de suite annoncé une mise à jour permettant de détecter les attaques susceptibles d'utiliser cette nouvelle technique.

Quelle attitude adopter face à la stratégie d'Intego ? Faut il les féliciter d'avoir réagi promptement ? Faut il les remercier d'alerter la communauté Mac de cette contamination possible ? Ou au contraire devrions-nous vilipender leur égoïsme commercial et leur service de presse alarmiste qui a été à l'origine de pas mal de maux de tête dans la communauté du monde Mac ? En ce qui me concerne, j'ai un avis assez tranché sur la question: si Intego veut faire des annonces d'utilité publique et informer le monde Mac d'une de leur découvertes, ils ne devraient pas le faire par l'intermédiaire de communiqués de presse. Par ailleurs ils devraient cesser de commercialiser des produits dont la vente se nourrit justement de la paranoïa croissante qu'ils contribuent à entretenir - sans parler du fait que leur annonce risque justement de créer une vague d'attaques similaires, inspirées de la description qu'ils fournissent.

Les faits, Madame, tenez vous-en aux faits -- Vers la fin mars 2004, une discussion s'est tenue sur le forum USENET comp.sys.mac.programmer.misc évoquant la possibilité d'intégrer du code nocif dans un fichier MP3. Après quelques échanges, le développeur Bo Lindbergh a mis en ligne un fichier démontrant une telle possibilité : il s'agit d'un fichier MP3 - donc lisible par iTunes - qui est également une application. En l'état, ce fichier affiche simplement une boîte de dialogue, mais il pourrait tout aussi bien exécuter une autre action. C'est une bidouille brillante, qui met à profit à la fois la façon dont fonctionnent les applications Carbon et la section ID3 du format des fichiers MP3 servant à exécuter du code à l'intérieur d'un fichier MP3. grâce à cela, le fichier MP3 vérolé ne se distingue en rien de ses confrères inoffensifs. Il faut noter que toutes les techniques utilisées par Bo pour réaliser ce fichier sont entièrement légitimes, la seule vulnérabilité qu'elles révèlent est la capacité qu'a un programmeur de déguiser une application en simple fichier. Il ne s'agit donc pas d'une révélation nouvelle et on lira avec profit sur le site BoingBoing, la documentation technique rédigée par Miro Jurisic (un programmeur Mac connu pour avoir remporté à maintes reprises les concours de bidouilles organisé traditionnellement lors de la Conférence de bidouilleurs MacHack - une conférence dont nous rendons compte chaque année).

<http://groups.google.com/groups?th=631 707378ffe9292&seekm=blgl-5D750C.02150821032004%40news.bahnhof.se>
<http:/ /www.boingboing.net/2004/04/08/first_malware_for_os.html>

Aux dires d'Intego, ils ont été informés par une personne anonyme, le 20 mars 2004 de l'existence de ce fichier exemple prouvant la possibilité de réaliser un cheval de Troie sur Mac OS X. Apple, Symantec et Network Associates ont également été informés. Intego en a analysé le code et a programmé VirusBarrier pour le détecter. Jusqu'ici, tout va bien. C'est ensuite que les choses deviennent moins innocentes. Faisant fi de la plus élémentaire prudence - et malgré le fait qu'ils admettent "avoir hésité à le faire", Intego sortit en grande fanfare un communiqué annonçant la sortie d'une nouvelle version de VirusBarrier, seule capable de détecter "le premier cheval de Troie pour Mac OS X". La boite de Pandore venait d'être ouverte.

<http://www.intego.com/news/pr40.html>

Inutile de dire que ledit communiqué fut immédiatement repris par une floraison de sites web d'informations (j'ai inclus une sélection de liens ci-après; il est amusant de les comparer, ne ratez pas l'hilarant dessin de Joy of Tech, en fin de liste). Comme d'habitude, certains sites vérifièrent l'information avant de la publier, firent leur propre enquête technique et questionnèrent les divers experts en sécurité, tandis que de nombreux autres se contentèrent de reproduire le communiqué d'Intego ou d'y renvoyer. Ce bruit médiatique eu pour principale conséquence une déferlante de stupeur et tremblements dans le monde du Mac. Beaucoup d'utilisateurs vivaient dans la certitude que Mac OS X était immunisé contre de tels codes malins (c'est une fausse croyance d'autant plus que le Troyen ci-dessus fonctionne également sous Mac OS 9), certains soupçonnèrent donc Intego d'avoir balancé une info bidon (faux également). D'autres idées fausses s'en suivirent : "c'est un virus" (faux : les troyens ne s'auto répliquent pas); "l'apparition de tels virus est liée au succès d'Apple dans le secteur musical" (au vu de la genèse du Cheval de Troie, c'est une conclusion stupide, à oublier). Intego, de son côté ne fit rien pour endiguer la confusion, laissant entendre, par exemple, que ce qui avait été identifié était un vrai Cheval de Troie (faux) et non pas une méthode hypothétique de création d'un cheval de Troie. Intego s'est également rendu coupable de catastrophisme et d'avoir crié au loup pour renforcer ces ventes; la société claironne en effet que la même méthode peut être utilisée avec des fichiers GIF ou JPEG, ainsi que des films QuickTime (ce qui n'est pas faux mais sans rapport).

<http://maccentral.macworld.com/news/2004/04/08/trojan/>
<http://maccentral.macworld.com/news/2004/04/09/appletrojan/>
<http://apple.slashdot.org/article.pl?sid=04/04/ 08/1922237&mode=thread&tid=126&tid=172>
<http://www.wired.com/news/mac/0,2125,63000,00.html>
<http://us.cnn.com/2004/TECH/Internet/04/09/apple.trojan/index.html>
<http://joyoftech.com/joyoftech/joyarchives/548.html>

Dire les choses telles qu'elles sont -- Arrêtons nous un instant pour prendre le temps de définir clairement les termes désignant les différents types de logiciels agressifs. Les virus sont des morceaux de code exécutable qui ne fonctionnent pas de façon autonome, mais doivent être insérés dans un "fichier hôte," généralement une application. Plus important encore, les virus sont capables de se reproduire, insérant leur code dans d'autres fichiers afin de se propager de fichier en fichier et d'un ordinateur à un autre.Les virus de la catégorie WORM (Ver informatique) sont capables de se reproduire tous seuls, ils ne requièrent pas d'application hôte et fonctionnent de façon autonome.

<http://service1.symantec.com/SUPPORT/nav.nsf/docid/1999041209131106>

Un cheval de Troie est une bestiole différente. Comme les Vers, les Chevaux de Troie sont des applications autonomes, mais ils ne se répliquent pas. Ils sont conçus pour tromper les utilisateurs non avertis et les inciter à les télécharger et les exécuter. En règle générale ils peuvent être identifiés avec précision (ce qui autorise les alertes du genre "Si vous voyez un fichier nommé 'Cheval de Troie' dont l'objet est de vous proposer un annuaire des fabricants de reblochon en Basse Ardèche, ne le lancez pas ou il va effacer tous les fichiers de votre disque !"). Sans vouloir dire du mal de la technique, au demeurant assez intelligente, décrite par Bo Lindbergh, les Chevaux de Troie sont assez simples à écrire. Tout ce qu'ils ont à faire c'est de vous attirer suffisamment pour que vous en arriviez à double cliquer sur eux. Une fois que vous avez double-cliqué, les soldats surgissent du cheval et la chute de la Ville de Troie se répète sur votre ordinateur. (Si votre culture classique n'est pas très développée et que vous ne savez pas ce que c'est qu'un cheval de troie, sachez, en deux mots, que l'auteur grec ancien Homère raconte dans l'Illiade, que, ne parvenant pas à prendre la ville de Troie, les grecs qui l'assiégeaient décidèrent un jour de lever le siège mais de laisser sur la plage un grand cheval en bois dans lequel se cachaient des soldats. Au matin, voyant les assiégeants partis, les troyens décidèrent de garder le cheval en bois comme prise de guerre et le firent entrer dans la ville en offrande à leur déesse. La nuit venue, les soldats sortirent du cheval, tuèrent les gardes, ouvrirent les portes de la ville pour faire entrer l'armée. Ce fut la fin de Troie).

La démonstration technique de Bo est surtout intéressante à cause du fait qu'une fois que l'on a double-cliqué dessus elle continue à se comporter comme un fichier MP3 normal. Autre point intéressant, le fait que le fichier puisse être glissé sur l'icône d'iTunes en glissé déposer et lu comme n'importe quel fichier MP3 légitime - le camouflage est parfait. Malgré le fait qu'il soit doté d'un plage ressources légitime de fichier MP3, il s'agit en fait d'une application et la fonction Lire les Informations du Finder l'identifie bel et bien en tant que tel. S'il s'était agi d'un Cheval de Troie classique, ce camouflage ingénieux l'aurait rendu plus difficile à détecter. Mais comme son code caché n'est ni agressif ni attractif, on ne peut pas vraiment appeler ce fichier de démonstration un Cheval de Troie dans le sens généralement entendu. On peut par ailleurs se poser la question si c'était une bonne idée de faire connaître au grand public une telle "prouesse" technique.

Mettez vous dans la peau d'Intego -- Alors pourquoi Intego décida de publier une alerte à propos du danger que faisait courir MP3Concept - le nom qu'ils ont choisi de donner à notre fichier de démonstration ? De toute évidence ils n'ont pas consulté la communauté des veilleurs anti-virus avant de le faire (s'ils l'avaient fait, des gens comme moi leur auraient indiqué, en termes bien sentis, à quel point c'était une mauvaise idée), mais il semble plus probable que cette décision ait été motivée par la prévision de retombées financières pour Intego. Après tout, la fonction première d'un service de Relations Publiques est de promouvoir les intérêts de son entreprise !.

Le raisonnement est simple à comprendre. Avec juste un petit effort dans l'annonce de presse, Intego faisait d'une pierre deux coups, se propulsant sur le devant de la scène Mac d'une part et engendrant une certaine paranoïa dans la communauté Macintosh - paranoïa qui ne peut que profiter aux ventes de VirusBarrier. Il n'y a qu'à voir la formulation du communiqué de presse: "Alors que les premières versions de ce cheval de Troie isolé par Intego sont bénignes, cette technique ouvre la porte à des risques bien plus sérieux." La phrase est formulée de manière à laisser entendre que c'es Intego qui a découvert le virus (alors qu'en fait, c'est un utilisateur qui les a averti) et en même temps fait croire qu'il y a plusieurs versions de ce (soi-disant) virus. Pour autant que je sache, et Intego ne m'a pas jamais répondu à ce sujet, au moment où le communiqué de presse est paru, il n'y avait qu'une seule version dans la nature: celle de Bo Lindbergh.

Ensuite, il y a cette phrase dans le communiqué: "Du fait de cette technique, les utilisateurs ne peuvent plus double-cliquer sans soucis un fichier MP3 dans Mac OS X. Cette même technique pourrait être utilisée avec du JPEG ou du GIF, bien qu'aucun cas de fichier image infecté n'ait jamais été découvert." Cas classique de fausses vérités destinées à faire croire aux utilisateurs "de base" qu'ils ne peuvent plus double-cliquer un MP3, un JPEG ou un GIF sans risquer des horreurs numériques inimaginables. A moins, bien évidemment, qu'ils n'utilisent VirusBarrier d'Intego.

Ainsi, Intego se fait une jolie petite opération de pub, et même si cette campagne de pub n'est pas très glorieuse, il y a toujours l'aphorisme bien connu dans le milieu du marketing: "Peu importe ce qu'on dit de moi tant que ma marque est correctement épellée." Intego reconnaît d'ailleurs que les ventes de VirusBarrier ont augmenté, résultat direct de son annonce. A tout le moins, l'attitude d'Intego fut grossière, guère plus élégante que celle des éditeurs d'anti-virus dont les produits détectent les courriels vérolés et qui, au lieu de les détruire, gaspillent encore plus de temps et de ressources réseau à les renvoyer au prétendu expéditeur - dont l'adresse a généralement été piratée - avec une publicité vantant leur propre logiciel anti-virus. Il n'y a pas encore eu d'action notable des consommateurs contre ce genre de procédés commerciaux mais en attendant l'image de marque d'Intego pourrait bien être sérieusement dégradée suite à sa campagne de pub.

Intego se définit elle-même comme étant "leader en solutions de sécurité Internet" et leur site Web insiste à quel point ils s'engagent à " protéger votre ordinateur contre toutes les menaces informatiques." Même si nous mettons de côté l'idée totalement cynique que le but d'Intego est de nuire à tous les utilisateurs qui ne sont pas parmi ses clients, il n'en reste pas moins qu'en claironnant l'existence de MP3Concept, Intego est allé à l'encontre de sa propre philosophie. Ceci parce que la publicité qui a entouré d'abord le communiqué de presse initial et ensuite leur Foire aux questions sur MP3Concept permet à quiconque de fabriquer soi-même son Cheval de Troie MP3Concept. Ça m'étonnerait que de vrais chevaux de Troie MP3Concept n'aient pas été écrits et relâchés dans la nature à l'heure actuelle, étant donné que la majorité des gens qui écrivent des logiciels illicites ne font en général que modifier les techniques et le code des autres. En fournissant donc les détails du fonctionnement de MP3Concept, et en expliquant la méthode pour exploiter les fichiers GIF, JPEG et autres, Intego a fortement augmenté les chances qu'un bidouilleur informatique quelque part, ayant un peu de temps à perdre, applique les conseils ainsi prodigués. Avez-vous l'impression que le communiqué de presse d'Intego a contribué à protéger votre Mac contre les menaces de sécurité?

<http://www.intego.com/intego/>
<http://www.intego.com/news/pr41.html>

La société Intego répondra certain que de toutes façon ces renseignements seraient devenus publics tôt ou tard. C'est possible, vu que les informations sur ce fichier démonstrations circulaient déjà dans quelques cercles d'initiés et auraient bien fini par sortir de leur relative discrétion. Mais Internet est un espace assez vaste de nos jours, et le simple fait qu'un renseignement y soit disponible ne veut pas forcément dire qu'il sera automatiquement connu de centaines de milliers d'utilisateurs Mac. Ce n'est pas la première fois que des bidouilleurs découvrent des failles permettant de nuire à un système d'exploitation - ils choisissent généralement de ne pas exploiter leur découverte et de ne pas la diffuser. Intego a décidé de se faire un coup de pub et de braquer les feux de l'actualité dessus.

Ce qu'Intego aurait dû faire Evidemment, on a toujours raison après coup, mais dans le cas qui nous occupe, la façon dont Intego aurait dû agir me parait évidente. Tout d'abord, Intego a bien fait de mettre à jour les définitions de virus de VirusBarrier pour arrêter tout cheval de Troie qui utiliserait la technique du MP3Concept. Cela correspond parfaitement à leur mission de protection des ordinateurs contre toute forme d'attaque, et je n'ai absolument rien contre le fait qu'Intego utilise cette information pour améliorer ses produits.

Cependant, Intego aurait dû s'assurer ensuite que les personnes appropriées chez Apple étaient au courant de l'information. En supposant bien sûr qu'un développeur Macintosh comme Intego bénéficie de meilleurs contacts chez Apple qu'un utilisateur lambda. Intego affirme que leur source avait déjà averti Apple. Mais tout le monde sait bien que dans une grande société comme Apple, envoyer un courriel vers une boîte à lettres destinée aux commentaires généraux n'est pas du tout la même chose que de s'assurer que l'équipe responsable de la sécurité est au courant du problème. Sur la page Web "Apple Product Security", on trouve une adresse spécifique à laquelle signaler ce genre de problèmes.

<http://www.apple.com/ support/security/>

Intego aurait pu également alerter une société indépendante spécialisée dans ce genre de problèmes de sécurité, le centre de coordination CERT, par exemple. Celle-ci aurait pu ainsi vérifier la faille potentielle dans la protection du système, en avertir Apple et publier l'information de façon contrôlée. Si la chose avait été rendue publique de cette manière, Intego n'aurait pas été impliquée dans un conflit d'intérêts aussi flagrant en annonçant que VirusBarrier avait été mis à jour pour traiter ce genre de problèmes.

<http://www.cert.org/>

Et vous dans tout ça ? L'ours est sorti de sa tanière, et à cause du comportement égoïste d'Intego, le monde Macintosh est un endroit moins sécurisé qu'il ne l'était encore la semaine dernière. En conséquence, nous devons nous demander quelle est notre vulnérabilité actuelle vis-à-vis des chevaux de Troie (ou des vers, étant donné qu'un code auto-réplicant peut tout aussi bien être ajouté au fichier) exploitant la technique MP3Concept ? J'espère que, à part quelques création à la va vite de la part de programmeurs sans compétence ou créativité, nous ne verrons pas beaucoup de cousins du fichier de Bo Lindbergh. Si c'est le cas, la plupart des utilisateurs n'auront généralement pas à s'inquiéter de quoi que ce soit. Autre élément rassurant, le fait de télécharger des fichiers MP3, JPEG, ou GIF par FTP ou sur un site Web (ou sur un des réseaux de partage de fichiers) a peu de chance de vous exposer aux chevaux de Troie utilisant la "technique MP3", parce que les plages de ressources Mac ne sont pas transmises quand de tels fichiers sont téléchargés, à moins que le fichier soit tout d'abord encodé dans une archive Stuffit, un fichier MacBinary, un fichier BinHex ou une image disque.

Ceci dit, je vous encourage à être prudent avec les fichiers que vous recevez par courriel, parce que les logiciels de messagerie utilisent l'encodage AppleDouble ou BinHex pour s'assurer que les plages de ressources du fichier sont protégées. Heureusement, les logiciels de messagerie professionnels tel que Eudora et Mail refusent de vous laisser lancer une application attachée à un message sans un avertissement préalable ; si jamais vous voyez une alerte de votre logiciel de messagerie concernant l'exécution d'une pièce jointe, annulez le lancement et vérifiez la source de cette pièce jointe.

Si vous recevez régulièrement des fichiers par courrier électronique et si vous téléchargez des fichiers depuis des sites Web de réputation inconnue, je vous recommande de lancer et de régulièrement mettre à jour votre logiciel anti-virus. Sur un plan technique, je ne connais pas les différences entre Norton AntiVirus de Symantec, Virex de McAfee et VirusBarrier d'Intego, mais je ne peux pas vous encourager à acheter des produits Intego après ce qui vient de se passer. Norton AntiVirus de Symantec coûte 70 US$ chez Symantec, bien que je recommande généralement à la place l'ensemble Norton SystemWorks à 130 US$ (qui inclut également Norton Utilities, Retrospect Express de Dantz, et Spring Cleaning d'Aladdin). Virex de McAfee ne semble pas être aussi disponible que Norton AntiVirus, mais rappelez-vous que vous l'obtenez gratuitement pour tout abonnement .Mac à 100 US$, ce qui permet de réaliser une bonne affaire.

<http://www.symantec.com/ nav/nav_mac/>
<http:// www.symantec.com/sabu/sysworks/mac/>
<http://www.nai.com/us/products/mcafee/antivirus/desktop/ virex.htm>
<http://www.mac.com/>

Je ne connais pas actuellement les méthodes utilisées par Norton AntiVirus et Virex pour identifier les éventuels chevaux de Troie utilisant la "technique MP3", mais selon certaines discussions sur Usenet, VirusBarrier recherche simplement tout CFM exécutable dont le nom se termine par une extension de fichiers classique. La conséquence est qu'il identifie apparemment certains modules additionnels pour Adobe Photoshop Elements et Adobe InDesign CS comme étant des chevaux de Troie. Oups.

Un dernier point pour la route : des sauvegardes régulières (sur un support externe, pas simplement une duplication de fichiers sur le même disque) peuvent vous protéger contre la multitude de nuisibles sur le Net, depuis les failles d'un logiciel anti-virus qui n'est plus d'actualité à un cheval de Troie malicieux qui se serait engouffré dans la brèche.

Et puis après ? Le maelström médiatique déclenché par Intego a poussé Apple à faire une déclaration, ce qui est inhabituel pour un problème de sécurité. Tel qu'on peut le lire sur la page "Apple Product Security" [existe uniquement en anglais, NdT], " Pour la protection de nos clients, Apple ne fait pas état, ne discute ni ne confirme les problèmes concernant la sécurité tant qu'une étude complète n'aura pas été réalisée et que les "rustines" ou mises à jour nécessaires seront disponibles. " En réponse à notre question, un représentant d'Apple nous a dit ceci : " Nous sommes au courant du problème potentiel soulevé par Intego, nous y travaillons activement et faisons des test. Même si aucun système d'exploitation peut prétendre être 100% à l'abri du danger viral, Apple a une très bonne réputation en ce qui concerne l'identification et la correction rapide des failles de sécurité."

Je serais quand même un peu surpris que Apple ait déjà été en train de travailler sur ce problème au moment de l'annonce d'Intego, alors que cette démonstration technique ne fait rien d'illégal. Si cela n'avait pas été évoqué sur Usenet, ça aurait pu sans doute tromper plusieurs personnes, mais enfin une icône personnalisée et un nom de fichier mensonger sont également trompeurs, et il n'y a rien qu'Apple puisse faire pour l'empêcher. J'ai lu beaucoup de trucs sur les moyens qu'aurait Apple de modifier l'OS pour éviter qu'un utilisateur lance par mégarde un cheval de Troie, par exemple en entourant les icônes d'applications d'un halo imperceptible (faisant ainsi échec à la supercherie d'un cheval de Troie voulant se faire passer pour un document) et aussi l'autorisation explicite de l'utilisateur avant de pouvoir lancer toute application fraîchement chargée. Aucune de ces approches ne pourrait apporter une protection complète, mais elles pourraient diminuer la possibilité de lancer un cheval de Troie sans avertissement préalable. Qu'Apple fut déjà en train de travailler sur ce problème ou pas, je suis certain que les programmeurs d'Apple font des tests maintenant, et qu'il est très vraisemblable qu'Apple va incessamment sortir une mise à jour de sécurité pour que les utilisateurs ne se laissent pas abuser par la technique "MP3".

Pour finir, le seule vraie solution au problème général du code malveillant serait une mise à plat majeure de l'architecture de Mac OS X de façon à empêcher les applications de causer des dégâts. Je doute qu'Apple en vienne à une telle extrémité, étant donné le peu de dommages réellement causés pour l'instant par les logiciels agressifs.

Plein de bonnes vibrations avec la Squeezebox

par Andrew Laurence <atlauren@uci.edu>

(Quand nous avons laissé notre intrépide accro à la musique, il déplorait que Slim Devices ait fait le choix, pour le SLIMP3, de la diffusion en continu au format MP3, plutôt que celui d'un périphérique de lecture et de stockage sur disque comme son bien-aimé TiVo. Voyons comment les choses ont évolué...)

Depuis que j'ai testé le SLIMP3 l'année dernière (voir "SLIMP3 : MP3, hissez-vous vers la Hi-Fi " in TidBITS-676), les lecteurs avec stockage sur disque ont disparus, ou se sont métamorphosés en PC dévolus au home cinéma; mais les périphériques de diffusion en continu (media-streaming) ont connu un bel essor. Pour ne citer que quelques exemples, Alex Hoffman a testé l'Option Home Media du TiVo (" Le TiVo Series2 améliore l'original" in TidBITS-698); Gateway a sorti son lecteur DVD connecté; Les soldats de Turtle Beach ont fait de même avec leur vénérable AudioTron AT-100; et MacSense sort en fin de compte le HomePod. Le Marché a parlé : c'est la diffusion en continu qui l'a emporté.

<http://db.tidbits.com/getbits.acgi?tbart=07150>
<http://db.tidbits.com/getbits.acgi?tbart=07366>
<http://www.gateway.com/home/ce/dvd.shtml>
<http://www.turtlebeach.com/site/products/audiotron/>
<http://www.macsense.com/product/homepod/>

Entrez dans le monde de la Squeezebox -- Slim Devices a lancé la Squeezebox en Novembre 2003. Sous un nouveau carrossage et dotée d'un tas de nouvelles fonctions, elle remplace le SLIMP3 comme étendard des produits matériels de Slim Devices. Là où le SLIMP3 ressemblait à un exercice d'assemblage fait à la maison, la Squeezebox fleure bon l'électronique grand-public de haut vol. Elle garde l'excellent écran fluorescent VFD (Vacuum Fluorescent Display) du SLIMP3 mais est présentée dans un boîtier plus mince et plus séduisant. L'austère métal noir du SLIMP3 est remplacé par un revêtement caoutchouté; L'écran n'est plus orienté vers le haut, mais occupe la face avant de l'appareil juste comme le reste de vos éléments Haute-Fidélité. A la maison, l'unité est beaucoup plus à sa place dans le centre de loisirs multimédia, sur un bureau ou un buffet. À l'intérieur, la Squeezebox se place d'elle-même directement à l'intersection démographique entre les fanatiques de l'ordinateur et ceux de l'audio. La version filaire peut être reliée à un réseau câblé Ethernet 10/100/1000Base-T; la version sans fil ajoute la possibilité de se relier à un réseau sans fil 802.11b. Le flux audio est fourni à la stéréo via une liaison RCA analogique ou des liaisons numériques optique ou co-axiale.

<http://www.slimdevices.com/>

La configuration de la Squeezebox est remarquablement intuitive. Après qu'une série de questions vous ait guidé pour la configuration de votre réseau, la boîte est éteinte et prête à fonctionner. Jolie amélioration par rapport au SLIMP3 : la Squeezebox détecte automatiquement la présence sur le serveur d'une nouvelle version du logiciel interne (firmware) et engage l'utilisateur à faire la Mise à Jour.

Alors que le convertisseur analogique du SLIMP3 ne gère que des fichiers audio MP3, la Squeezebox gère la plupart des formats courants : AAC (sur Mac et Windows), AIFF, FLAC, Ogg Vorbis, WAV ou WMA (seulement sur Windows). Les fichiers AAC, FLAC, Ogg Vorbis et WMA sont gérés moyennant leur conversion, côté serveur, en fichier audio non compressé. La conversion n'est disponible que pour les fichiers non protégés par la loi, contrairement aux fichiers achetés sur l'iTunes Music Store. En d'autres termes, les chansons que vous avez copiées en AAC ou en WMA peuvent être lues, mais les chansons protégées que vous avez achetées ne seront pas lues (la lecture des fichiers AAC requiert QuickTime et n'est donc possible que sur les serveurs Mac et Windows. Les formats Ogg et FLAC demandent à ce que les programmes adéquats soient déjà installés sur le serveur).

L'interface de la Squeezebox est exactement la même que celle du SLIMP3, et vous contrôlez ses fonctions avec la télécommande inclue ou l'interface Web du serveur. Vous pouvez lire mon article précédent pour une description de cette dernière manip.

SlimServer -- Le logiciel SlimServer, qui est installé sur le Mac hébergeant vos fichiers musicaux, demeure une impressionnante plateforme musicale, souple et robuste. Alors que la plupart des lecteurs vous contraignent à l'organisation, prédéfinie par iTunes, des morceaux en albums et listes, le logiciel SlimServer introduit le concept de "liste interne de morceaux" qui ouvre la porte à des listes ad-hoc. Vous pouvez improviser une liste de morceaux, mélanger n'importe quelles chansons, albums, ou listes prédéfinies; n'importe quelle unité musicale disponible pour iTunes peut être un composant d'une liste ad-hoc. J'ai toujours rêvé d'un flux de musique ininterrompu, seulement limité par mon humeur et mon imagination. Avec SlimServer, ce rêve s'est réalisé (oui, je sais très bien que je donne l'impression de débiter de la publicité).

Pour preuve de la solidité de la plateforme SlimServer, leur concurrent Roku Labs a adopté la licence open-source GPL du logiciel SlimServer pour leur SoundBridge, pas encore mis en vente. L'argumentaire de Roku liste fièrement l'interface Web du serveur et la compatibilité de l'appareil avec iTunes, de nombreux formats audio et systèmes d'exploitation. Intéressant également, le fait que le SoundBridge semble lui aussi utiliser un affichage luminescent. Si l'imitation est la forme la plus sincère de la flatterie, l'adoption tend vers l'adoration pure.

<http://www.rokulabs.com /products/soundbridge/>

Coûts et bénéfices -- Le prix des périphériques de diffusion de musique en continu semble s'établir autour de 200 US$. Pourtant, de la même manière que les Mac coûtent plus cher que les PC, la SqueezeBox coûte un peu plus cher; suffisamment pour vous faire dire "hmmm." la version filaire coûte 250 US$; l'ajout de la fonctionnalité sans fil fait passer le prix à 300 US$. Bien que la Squeezebox ait toutes les fonctionnalités que l'on puisse "légitimement" en attendre, comme le revendique une publicité dans le milieu de l'électronique grand public, le prix me semble un peu élevé. Mis à part cela, la SqueezeBox est l'exemple-type du bon produit.

Pendant que je rédigeais le compte-rendu du SLIMP3, ma femme et moi-même avons remarqué que nous écoutions plus facilement et plus souvent de la musique. Accéder à de la musique sans raccord a augmenté notre fréquence d'écoute et notre plaisir dans les mêmes proportions que celles observées en utilisant le TiVo. Après avoir renvoyé le modèle de démonstration, nous remarquâmes son absence. De nouveau obligés de mélanger nous-même les CD, nous sommes retombés dans nos vieux travers de laisser le même jeu de CD dans le lecteur et d'endurer la radio commerciale. Maintenant que nous avons eu entre les mains la SqueezeBox, je n'ai plus qu'à en acheter un exemplaire pour notre centre de loisirs multimédia.

[Andrew Laurence a presque résolu le problème du rangement de tous ses CD dans le salon. Presque.]

PayBITS: si cet article vous a été utile
pourquoi ne pas remercier Andrew avec une petite donation
ce qu lui permettra de s'acheter une Squeezebox rien que pour lui.
<https://www.paypal.com/xclick/business=atlauren%40uci.edu>
Pour en savoir plus sur PayBITS : <PayBITS en français>

Qu'est ce qui se dit sur TidBITS-Talk/12-Apr-04

par l'équipe de TidBIT <editors@tidbits.com>

Comme auparavant, la seconde URL au dessous de chaque résumé de fil de discussion pointe vers notre serveur Web Crossing, lequel sera plus rapide, même s'il n'emploie pas encore l'architecture espérée.

<http://emperor.tidbits.com/TidBITS/Talk/>

Alerte sur le cheval de Troie d'Intego -- Les lecteurs échangent à propos du Cheval de Troie "MP3Concept" présenté par l'article de presse d'Intego. (7 messages)

<http://db.tidbits.com/getbits.acgi?tlkthrd=2215>
<http://emperor.tidbits.com/TidBITS/Talk/77>

Serveur de disquette ? Nous filtrons au maximum les messages canulars, mais l� nous ne savons pas si ce fil est une discussion sérieuse.. il discute de la méthode pour mettre en réseau et g�rer à distance un vieux Mac qui démarre à partir d'une disquette. (8 messages)

<http://db.tidbits.com/getbits.acgi?tlkthrd=2214>
<http://emperor.tidbits.com/TidBITS/Talk/76>

Match LaunchBar/Quicksilver -- Le vénérable lanceur LaunchBar est mis en compétition face à tout jeune Quicksilver. Comment les deux se comparent-ils ? (14 messages)

<http://db.tidbits.com/getbits.acgi?tlkthrd=2212>
<http://emperor.tidbits.com/TidBITS/Talk/73>

QWERTY et Dvorak -- L'article d'Adam sur le clavier Matias Tactile Pro relance la discussion sur quelle disposition de clavier est la meilleure (quand bien même y a-t-il une réelle différence). (3 messages)

<http://db.tidbits.com/getbits.acgi?tlkthrd=2210>
<http://emperor.tidbits.com/TidBITS/Talk/72>

Sacoches recommandées pour portables -- A la suite de l'article de Jeff Carlson's sur l'achat d'une sacoche poir ordinateur portable, les lecteurs apportent leur propre expériences avec les différents modèles sur le marché. (10 messages)

<http://db.tidbits.com/getbits.acgi?tlkthrd=2209>
<http://emperor.tidbits.com/TidBITS/Talk/71>

Les publications et les sites web sans but lucratif peuvent réimprimer ou créer des liens vers nos articles en référençant leur origine. Pour les autres, contactez-nous, SVP. Nous ne garantissons pas l'exactitude de nos articles. Caveat lector. Les noms de publication, de produit et de société peuvent être des marques déposées. TidBITS ISSN 1090-7017.