Dans une version bêta publiée le 25 novembre, Valve a introduit un changement technique majeur pour le client Steam : le passage au tout 64 bits pour Windows 10 et 11. Pour les personnes possédant un Windows 10 en 32 bits, la version 32 bits de Steam recevra des mises à jour jusqu’au 1ᵉʳ janvier 2026. Il ne reste donc qu’un mois.

Cette transition vers le 64 bits ne devrait rien changer côté utilisateurs. La nouvelle est « satisfaisante » d’un point de vue technique, mais un passage au 64 bits sur ce type d’application n’entraine aucun gain visible. La transition devenait pressante cependant pour d’autres raisons, principalement de compatibilité, les composants et pilotes 32 bits étant presque tous abandonnés.

On remarque cependant que Valve est en pleine modernisation de ses clients. Au cours des derniers mois, l’entreprise a ainsi lancé une version native pour les Mac Apple Silicon. Cette fois, le gain de performances était majeur, car l’ancienne version était prévue pour l’architecture x86 des anciens Mac Intel. L’application se lançait, mais via la couche d’émulation Rosetta, et offrait des performances particulièrement dégradées.

Cette phase de modernisation s’est incarnée également le 20 novembre avec le lancement du Steam Runtime 4.0 pour Linux, le composant principal de Steam pour le lancement des jeux et le lien avec la couche Proton (passée récemment en version 10). Cette version 4.0 a apporté des changements majeurs, notamment un appui sur les bibliothèques de Debian 13 contre 11 précédemment.

L’éditeur avertissait d’ailleurs les développeurs que l’utilisation de cette version entrainerait des cassures de rétrocompatibilité. On peut également voir dans les changements que la plupart des bibliothèques ne sont désormais plus disponibles qu’en x86_64.

• Valve revient sur le marché des consoles de salon avec sa Steam Machine et un casque VR

« Tartufferies »

OVHcloud serait aux prises avec la justice canadienne, qui ordonne à l’entreprise française de remettre des données dans le cadre d’une décision de justice. Pour l’avocat Alexandre Archambault, il n’y a cependant rien de nouveau dans ce type de procédure, en vertu des accords d’adéquation et du RGPD.

Dans un article publié le 26 novembre, le média allemand Heise décrit une situation inextricable : OVHcloud est sommée d’obéir à une décision de justice canadienne dans le cadre d’une enquête criminelle.

18 mois plus tôt

Cette décision a été initialement rendue en avril 2024 par la Cour de justice de l’Ontario. Puisque des données sont présentes sur des serveurs appartenant à OVHcloud sur des serveurs situés en France, au Royaume-Uni et en Australie, demande est faite à la filiale canadienne de transmettre ces informations. Celle-ci étant une entité juridique indépendante, elle répond qu’elle ne peut pas transférer les informations réclamées.

Selon Heise, l’affaire remonte, en France, aux oreilles du SISSE (Service de l’information stratégique et de la sécurité économiques). Un premier courrier aurait été envoyé à OVHcloud en mai 2024 pour rappeler qu’en vertu de la loi de blocage de 1968 (renforcée en 2022), il est interdit aux entreprises françaises de transmettre des informations à une autorité étrangère hors des canaux internationaux.

Le 25 septembre suivant, la juge chargée de l’affaire en Ontario, Heather Perkins-McVey, décide que c’est la maison mère française qui doit envoyer les données. Elle motive sa décision en faisant référence à la « présence virtuelle » : « Puisque OVH opère à l’échelle mondiale et propose des services au Canada, l’entreprise est soumise à la juridiction canadienne, peu importe où se trouvent les serveurs physiques », écrivent nos confrères. Une vision qui se rapprocherait du Cloud Act américain.

Conflit diplomatique ?

La Cour aurait donné jusqu’au 27 octobre 2024 à OVHcloud pour répondre. La société française aurait alors fait appel devant la Cour supérieure de justice de l’Ontario. Janvier 2025, nouveau courrier de la SISSE, décrit comme « plus détaillé », mais enfonçant le clou : tout envoi de données à la Gendarmerie royale du Canada serait illégal.

Le 21 février, toujours selon Heise, le ministère français de la Justice serait intervenu pour assurer à ses homologues canadiens qu’ils bénéficieraient d’un « traitement accéléré » en passant par la voie officielle. Le ministère aurait ainsi montré sa volonté de coopération, indiquant qu’OVHcloud se tenait prête, l’entreprise ayant préparé les données demandées. Mais la Gendarmerie canadienne aurait insisté pour une transmission directe, appuyée par le tribunal en Ontario.

Nos confrères affirment que l’affaire est depuis suivie de près par l’industrie technologique comme illustration des tensions autour du modèle commercial habituel du cloud, et plus généralement de la notion de souveraineté des données.

L’affaire rappelle celle qui avait alimenté la création du Cloud Act américain : Microsoft était sommée par un tribunal de fournir les données d’une personne accusée de trafic de drogue. Problème, ces données étaient situées sur un serveur en Irlande, l’entreprise estimant qu’il fallait passer par la voie classique de coopération. Pour le tribunal américain, Microsoft était une entreprise mondiale dont le siège était aux États-Unis, elle devait donc pouvoir transmettre ces données, où qu’elles soient. L’emplacement physique des serveurs n’avait pas d’importance.

« C’est une tempête dans un verre d’eau ! »

L’avocat Alexandre Archambault, spécialiste des questions numériques, n’est cependant pas d’accord avec le récit que dresse Heise de la situation. Il s’étonne également des réactions émues autour de la question, car il n’y a selon lui rien de nouveau dans cette affaire.

Contacté, il ne cache pas son agacement : « Il faut qu’on arrête vraiment ces tartufferies ! C’est une tempête dans un verre d’eau. Moi ce que je vois, c’est qu’une juridiction s’est prononcée, avec des magistrats indépendants, dans le cadre d’une procédure contradictoire, publique, sur laquelle tout le monde peut faire valoir ses points de vue. On est face à une décision de justice. Et bien sûr, si on n’applique pas cette décision, on s’expose à des sanctions. Et on peut tout à fait contester la décision là-bas, ce qui a été fait ».

L’avocat cite en exemple un arrêt de la cour d’appel de Paris (via le site de la Cour de cassation) dans le cadre d’une affaire où il était exigé de la filiale allemande d’OVHcloud qu’elle applique la loi française. OVHcloud avait contesté, mais la Cour avait confirmé la validité de la demande. « On peut difficilement exiger, à juste titre d’ailleurs, d’acteurs établis hors de France de communiquer des éléments d’identification d’auteurs d’infractions en ligne, tout en s’indignant que d’autres pays fassent la même chose », estime Alexandre Archambault.

Tout est dans le RGPD

Pour l’avocat, OVHcloud « n’est pas coincée entre deux lois » et le média allemand s’est trompé. « Le droit de l’Union, notamment au titre du DSA et du prochain règlement E-evidence, dit que les acteurs du numérique établis sur le sol européen doivent coopérer avec les autorités judiciaires, quelles qu’elles soient. Tout est dans l’article 48 du RGPD ! ».

Que dit ce dernier ? Que toute « décision d’une juridiction ou d’une autorité administrative d’un pays tiers exigeant d’un responsable du traitement ou d’un sous-traitant qu’il transfère ou divulgue des données à caractère personnel ne peut être reconnue ou rendue exécutoire de quelque manière que ce soit qu’à la condition qu’elle soit fondée sur un accord international, tel qu’un traité d’entraide judiciaire, en vigueur entre le pays tiers demandeur et l’Union ou un État membre, sans préjudice d’autres motifs de transfert en vertu du présent chapitre ».

Or, rappelle l’avocat, il y a non seulement un traité d’entraide entre la France et le Canada, mais également un accord d’adéquation avec le pays. La CNIL pointait ainsi en décembre 2024 que le Canada faisait justement partie d’un groupe de onze pays bénéficiant « d’un niveau de protection adéquat », à la suite d’un examen d’évaluation de ces accords au regard du RGPD.

Les courriers du SISSE ne seraient donc que des rappels de la bonne marche à suivre dans ce contexte, mais il est difficile d’en savoir plus, leur contenu n’étant pas consultable.

Contactée, OVHcloud n’a pas souhaité réagir, indiquant simplement : « Nous ne commentons pas les décisions de justice ».

Tic tac

Toujours dans le lent cheminement menant de X11 à Wayland, l’équipe de KDE vient de confirmer le 26 novembre que la future mouture 6.8 de KDE Plasma n’aura plus de session X11.

Plasma 6.8 n’aura donc plus qu’une session Wayland. Comme GNOME récemment, les applications X11 seront confiées aux bons soins de XWayland. Comme nous l’avions expliqué dans notre dossier dédié, ce dernier permet de traiter les demandes pour l’ancien serveur d’affichage en enfermant ce dernier dans un client Wayland. La session X11, elle, disparaitra. Selon l’équipe de développement, « ce changement ouvre de nouvelles opportunités pour les fonctionnalités, les optimisations et la rapidité de développement ».

• X11, Wayland : pourquoi la transition est-elle aussi longue ?

KDE lance le compte à rebours

Dans l’ensemble, l’équipe de KDE prévoit un support de X11 dans Plasma jusqu’à début 2027. Le support pourrait être plus long dans Plasma 6.7, l’équipe prévoyant de publier des versions supplémentaires de corrections de bugs. Pour un besoin plus long, le billet recommande de s’orienter vers des distributions dont le support LTS garantit la présence de X11 pour l’instant. AlmaLinux 9 et son support jusqu’en 2032 sont donnés comme exemple.

L’équipe de KDE veut rassurer sur le support des applications via XWayland. Elle précise qu’elle a ajouté des fonctions supplémentaires de compatibilité, dont une prise en charge améliorée pour la mise à l’échelle fractionnée et une compatibilité rétroactive (optionnelle) pour les raccourcis généraux de X11 et l’émulation d’entrée (input).

Un support complet en bonne voie

Dans le billet, on trouve d’autres éléments intéressants. Par exemple, au sein de KDE lui-même, le support de X11 reste présent, permettant de lancer des applications KDE dans d’autres environnements de bureau. Le support des cartes NVIDIA est jugé en très bon état, même s’il faut passer par le pilote propriétaire. Côté accessibilité, l’équipe estime que les fonctions sont au même niveau qu’avec X11, avec des améliorations spécifiques dans Wayland, notamment dans les gestes tactiles sur touchpad. Il pourrait cependant y avoir quelques problèmes avec d’autres fonctions fournies par certaines applications tierces.

Les développeurs de KDE précisent quand même qu’il reste un certain nombre de problèmes importants, mais que le travail de correction est en bonne voie. Une partie d’entre eux seront corrigés dès la prochaine mouture 6.6, comme la mise en miroir pour la sortie vidéo. D’autres soucis, comme la restauration de session ou la mémorisation des positions de fenêtres, sont « activement travaillés ».

Il s’écoulera donc du temps avant que X11 disparaisse de KDE Plasma, mais le compte à rebours est lancé. Selon le calendrier actuel, KDE Plasma 6.8 est prévu pour octobre 2026, laissant près d’un an pour corriger les derniers problèmes. À noter que la plupart des distributions avec KDE proposent par défaut une session Wayland depuis un moment maintenant.

Rien d'important

Au cours des trois dernières semaines, de nombreuses mairies françaises ont dû avertir une partie de leurs administrés : plusieurs de leurs données personnelles se sont retrouvées dans la nature. Ces piratages, qui seraient menés par le même groupe, s’inscrivent dans un contexte plus large d’attaques contre des prestataires de services.

Un nombre important de mairies, dont beaucoup en Bretagne, ont signalé des incidents cyber. Tous en commun une fuite d’informations : nom, prénom et, selon les cas, adresse postale, adresse e-mail et numéro de téléphone. Des données non sensibles, mais qui peuvent alimenter ensuite les grandes opérations de phishing.

La première mairie à avoir communiqué sur le sujet semble être Brest, le 14 novembre, faisant état d’une fuite de 50 000 données environ. Sur X, SaxX s’empare du sujet et commence à faire l’historique des fuites en commençant par Brest. Le 19 novembre, c’était au tour de Quimper avec 12 000 données, puis le chiffre total s’est rapidement approché des 100 000 avec plusieurs autres villes de Bretagne. Le même jour, on apprenait que la mairie d’Alfortville (Île-de-France cette fois) commençait à envoyer des e-mails concernant là encore une fuite, avec toujours les mêmes caractéristiques.

Il est rapidement apparu que toutes ces mairies n’avaient pas été directement piratées. Les attaques étaient dirigées contre des prestataires de services, notamment deux plateformes fournissant des solutions de prises de rendez-vous : RDV360 et SynBird. Sur le site Bonjourlafuite.eu.org, on peut voir plusieurs mairies référencées, avec des captures des messages envoyés aux personnes concernées.

Plus précisément, les informations sont celles données par les administrés lors des demandes de rendez-vous pour la production d’une pièce d’identité. Dans la plupart des cas, ces informations proviennent de demandes faites entre 2022 et 2025.

Une vigilance particulière demandée

Dans tous les communiqués ou presque, les mairies indiquent qu’une déclaration a été faite à la CNIL (elles y sont légalement tenues) et qu’une plainte a été déposée. Si certaines communications ne le mentionnent pas, d’autres indiquent clairement qu’il s’agit d’un piratage de l’un des deux prestataires, RDV360 ou Synbird.

La fuite toucherait 1 300 communes, selon Le Parisien. Dans ses colonnes, la société savoyarde Synbird a réagi, confirmant le problème : « La fuite concerne les clients qui utilisent notre module de rendez-vous et de réservations de salle. Elle est circonscrite aux rendez-vous pris de début à fin octobre ». L’entreprise affirme avoir retracé l’origine du problème jusqu’à un poste d’employé municipal.

C’est la réutilisation d’un mot de passe, obtenu par une autre fuite, qui aurait permis aux pirates d’accéder au compte d’une mairie cliente. « L’attaquant a ensuite exploité une faille de sécurité dans le logiciel pour exporter des données. Ce problème a depuis été réglé par nos développeurs », a précisé Synbird, qui a ajouté que l’incident avait été déclaré à la CNIL et qu’un dépôt de plainte à la gendarmerie était en cours.

Les conseils donnés dans la plupart des cas sont les mêmes que ceux de la mairie de Brest dans son communiqué du 14 novembre : « aux personnes ayant fait une demande de pièces d’identité pendant cette période une vigilance particulière notamment en cas de démarchages inhabituels par mail et/ou téléphone, ou de demandes de coordonnées bancaires, même émise d’un opérateur connu des usagers ».

Sur son compte, SaxX affirme que ces fuites, pour des données allant de 2021 à novembre 2025, ont été orchestrées par un groupe de cybercriminels nommé « dumpsec » (qui est curieusement le nom d’un outil de sécurité utilisé pour des audits). Ce groupe aurait contacté le hacker et lui aurait fourni un échantillon « de 20 000 lignes concernant RDV360 ». Sur l’ensemble des mairies touchées par l’incident, 14 millions de données auraient été aspirées.

« Aucune donnée sensible »

La plupart des communiqués, à l’instar de ceux d’Ergué-Gébaric et de Guipavas, mettent l’accent sur l’absence de données « sensibles » dans les fuites. « Aucune donnée sensible, aucun document ou pièce d’identité, aucune donnée financière et aucun mot de passe n’ont été prélevés », peut-on lire par exemple dans le communiqué de Guipavas.

Pour autant, ces informations peuvent se révéler dangereuses. Elles alimentent les campagnes de phishing, et peuvent parfois servir à des attaques plus personnalisées, comme on l’a vu avec Ledger très récemment. Même sans ce type d’attaque plus ciblée, les numéros de téléphone et adresses e-mail intègrent de vastes bases de données exploitées pour des tentatives d’arnaques en tous genres.

• Du phishing ciblé directement dans votre boite aux lettres physique, le cas Ledger

Sans aller jusqu’à la communication de Pandora en aout dernier, ce type de communication tend à banaliser les fuites d’informations jugées « non sensibles ». Il est malheureusement vrai que ces fuites sont devenues monnaie courante, avec d’énormes opérations au cours des deux dernières années notamment, dont celles des deux plus gros prestataires de tiers payant en France, ou encore le cas emblématique de France Travail.

On remarque également que ces fuites interviennent une fois de plus dans le cadre de l’exploitation d’une faille chez un partenaire, comme c’était le cas pour France Travail.

Fin mars, Plex annonçait à la fois une hausse des prix et un changement d’approche pour la diffusion des contenus médias en dehors de son réseau domestique. En clair, il s’agissait de faire passer les utilisateurs à la caisse.

• Plex revoit ses prix à la hausse et lance une option payante pour la lecture à distance

Sans toucher à la diffusion domestique, il était proposé deux manières de payer, selon le contexte. Pour la personne ayant le serveur et les contenus, une formule Plex Pass (6,99 dollars par mois ou 69,99 dollars par an) déverrouillait la possibilité de streamer vers des personnes extérieures au réseau, par internet donc. Dans l’autre sens, une personne peut payer 1,99 dollar par mois (ou 19,99 dollars par an) pour un Remote Watch Pass, permettant l’accès à un serveur Plex distant, sans que son possesseur ait besoin d’un Plex Pass.

Il était prévu que ces règles entrent en vigueur à compter du 29 avril, mais l’application ne se fait réellement que cette semaine, en commençant par l’application Roku. L’équipe a confirmé le changement dans un message dans son forum le 20 novembre et repéré par How-To Geek le 25.

Si cette obligation est limitée pour l’instant, elle sera généralisée l’année prochaine à toutes les autres applications (Android TV, Apple TV, FireTV…) « ainsi qu’à tout client tiers utilisant l’API pour proposer le streaming à distance ».

Rappelons que ces changements concernent l’accès distant pour les serveurs Plex. Les personnes utilisant cette solution de streaming pour de la diffusion locale ne sont pas concernées.

Coup de balai

Dans un billet publié ce 24 novembre, l’équipe du réseau d’anonymisation Tor a annoncé un changement important pour la sécurité de son infrastructure. Elle va ainsi remplacer l’ancienne méthode de chiffrement « pour chiffrer les données utilisateur au fur et à mesure de son parcours » entre les relais, au profit d’une approche beaucoup plus sécurisée.

L’ancienne méthode, nommée « tor1 », comporte plusieurs problèmes. Créée en 2002, elle n’est plus adaptée aux attaques plus modernes, notamment par marquage. Celles-ci permettent à un acteur malveillant de tracer le trafic en le modifiant à un endroit du réseau et en observant des changements prévisibles à un autre endroit.

Des briques de 2002

Cet ancien système utilise AES-128-CTR comme algorithme de chiffrement. Considéré comme malléable, il peut permettre à cet acteur malveillant de modifier un contenu chiffré de manière prévisible, sans connaitre la clé. S’il parvient à contrôler plusieurs nœuds du réseau, il peut insérer un motif dans les données chiffrées d’un côté et le retrouver de l’autre, permettant de démasquer une personne immédiatement (trouver son identifiant unique), plutôt que de s’appuyer sur des méthodes probabilistes.

Dans le billet, l’équipe de Tor évoque deux autres problèmes. D’une part, tor1 n’offre pas de confidentialité persistante immédiate, les mêmes clés AES étant utilisées pendant toute la durée de vie du circuit (jusqu’à plusieurs jours). D’autre part, cette infrastructure utilise actuellement des authentificateurs de 4 octets (32 bits) utilisant SHA-1, « qui affiche son âge, c’est le moins que l’on puisse dire », note l’équipe.

• SHA-1 : des chercheurs prouvent l’exploitation des collisions dans une attaque

Cet authentificateur est une valeur cryptographique permettant de vérifier que les données n’ont pas été modifiées pendant leur transmission. Quand un client Tor envoie des données, il doit s’assurer en effet que personne ne les a altérées en chemin. L’authentificateur fonctionne comme une empreinte digitale des données : le client la calcule en utilisant les données elles-mêmes et une clé secrète partagée avec le relai destinataire. Quand ce dernier reçoit les données, il recalcule l’empreinte de son côté et la compare avec celle reçue. Si les deux correspondent, les données n’ont pas été modifiées.

La solution Counter Galois Onion

L’équipe est donc en train de déployer un changement majeur pour le chiffrement des informations de l’utilisateur entre les relais. Nommée Counter Galois Onion (CGO), cette solution se base sur une construction cryptographique baptisée Rugged Pseudorandom Permutation par ses quatre auteurs : Jean-Paul Degabriele, Alessandro Melloni, Jean-Pierre Münch et Martijn Stam.

Ces chercheurs ont soumis à ce sujet deux rapports. Dans l’un, on remarque que le besoin d’un renforcement de la sécurité sur le cheminement des données entre les relais avait été exprimé par Tor dès 2012. La seule solution envisagée alors était couteuse en opérations de chiffrement. CGO a été présenté comme une alternative « minimaliste et modulaire », avec plusieurs avantages. Dans l’autre, les chercheurs détaillent en quoi CGO est une méthode robuste.

La nouvelle méthode est censée garantir que toute altération d’une partie des données chiffrées rende le reste du message (ou cellule) irrécupérable, y compris les messages suivants. L’authentificateur passe à 16 octets (128 bits) et les clés cryptographiques sont transformées de manière irréversible après chaque cellule envoyée ou reçue, éliminant la possibilité de déchiffrer les cellules antérieures. Ce changement assure une confidentialité persistante immédiate et l’utilisation de grands blocs de données doit prémunir le réseau contre les attaques par marquage.

La nouvelle méthode cryptographique a déjà été intégrée dans Arti, l’implémentation de Tor en Rust. Elle est en cours dans la version classique (en C). En revanche, l’équipe n’a rien dit sur une date d’arrivée dans Tor Browser.

Metaloid

Google travaillerait sur un système d’exploitation unifié, basé sur Android, pour presque tous les appareils actuellement visés par l’entreprise : tablettes, équipements multimédia et PC. Google serait prête à lancer sa grande offensive l’année prochaine, avec possiblement des mises à jour pour une partie des appareils aujourd’hui sur ChromeOS. Sans surprise, l’IA serait au cœur du produit.

En septembre, lors du Summit de Qualcomm, Google était également dans la place. Rick Osterloh, vice-président de l’entreprise chargé des appareils et services, était monté sur scène pour discuter avec Cristiano Amon, CEO de Qualcomm. Ensemble, ils avaient annoncé un produit centré sur Android pour les PC.

Selon Android Authority, ce projet se nomme Aluminium OS. Un nom étrange, car s’il renvoie à un métal comme Chrome, l’orthographe contenant un deuxième « i » renvoie à une graphie britannique. Aux États-Unis, on utilise plutôt la graphie « aluminum ». Le « i » supplémentaire pourrait avoir été ajouté en référence à Chromium ou à l’IA.

Nos confrères avaient indiqué en novembre 2024 que Google avait un tel projet dans les cartons et rêvait d’une plateforme unifiée depuis longtemps. La vision serait aujourd’hui beaucoup plus avancée, avec un lancement prévu pour l’année prochaine, sans plus de précisions. L’objectif global serait de combiner ChromeOS et Android en une seule plateforme capable de fonctionner sur (presque) tous les supports. Un projet de fusion que Google a directement confirmé en juillet dernier à TechRadar.

Une IA centrale intégrée, mais comment ?

Comme le relève cependant Android Authority, il reste de nombreuses questions en suspens, dont le matériel réellement supporté, le type d’interface, le positionnement des produits associés, la possibilité de mettre à jour les Chromebooks existants, la manière dont l’IA va se manifester, son éventuelle dépendance à une connexion permanente, etc.

Nos confrères pointent une offre d’emploi pour un poste de « Senior Product Manager, Android, Ordinateurs portables et tablettes ». Cette offre, initialement publiée sur LinkedIn et aujourd’hui supprimée, mentionnait explicitement le travail sur « un nouveau système d’exploitation Aluminium, basé sur Android », avec un positionnement central de l’IA, et à destination des ordinateurs portables, détachables, tablettes et diverses box. A priori, tous les segments de gamme seraient visés, jusqu’au « Premium ». Aluminium OS semble présenté comme un nom de code et est d’ailleurs abrégé en ALOS, pour Aluminium Operating System.

Une présence aussi importante de l’IA suppose une intégration profonde de Gemini. Mais quel en serait le fonctionnement ? Sur Android actuellement, pour les appareils le supportant comme les Pixel 9 et 10, une partie des requêtes s’exécutent localement. Quand elles sont plus complexes, elles sont envoyées aux serveurs de Google. La société a d’ailleurs annoncé récemment son Private AI Compute pour un traitement « confidentiel » des requêtes, avec une approche calquée sur celle d’Apple.

L’annonce précise que le ou la future responsable aurait à sa charge les plateformes et appareils ChromeOS et Aluminium. Mais si ce dernier représente le futur de Google, alors les deux plateformes cohabiteraient un moment, avant que ChromeOS disparaisse. Selon nos confrères, Google réalise des tests d’ALOS sur des configurations utilisant le SoC Kompanio 520 de MediaTek ou un processeur Alder Lake d’Intel. Ils estiment que les configurations utilisant ces puces ou des modèles approchant pourraient se voir proposer le nouveau système en mise à jour optionnelle. En outre, les tests auraient lieu sur une version actuellement basée sur Android 16, mais la version finale serait basée sur Android 17.

Les fonctions pourraient faire la différence

Google sait que les puces Arm constituent une base solide pour une informatique mobile. Apple l’a amplement montré avec ses designs personnalisés au travers de sa série M sur les Mac (puces Apple Silicon), et Microsoft a obtenu une certaine crédibilité avec les configurations basées sur les Snapdragon X Elite. Qualcomm a d’ailleurs présenté les X Elite 2 lors de son dernier Summit, avec des gains importants promis sur les performances.

Et alors que les questions autour de la pertinence de Windows s’accumulent, face à la volonté de l’entreprise d’inclure l’IA dans chaque recoin et à un Linux qui n’a plus à rougir dans le domaine du jeu vidéo, Google pourrait se positionner. L’extension d’Android vers les PC (notamment) pourrait ainsi aboutir au même type d’univers qu’Apple, avec de nombreux produits capables de synchroniser toutes leurs informations, la reprise d’activité en passant de l’un à l’autre, un fonctionnement hors ligne, ou encore une IA capable de réponse sans connexion internet.

Dans un autre article, Android Authority dresse d’ailleurs une liste de fonctions rêvées, dont le support natif des jeux prévus pour Windows. Dans ce domaine, lancer des applications Windows de manière générale serait un gros avantage, mais la compatibilité avec les jeux enfoncerait le clou. Il faudrait idéalement que Google se rapproche de Valve pour intégrer Proton (bien qu’il s’agisse d’un projet libre n’ayant pas besoin d’un aval particulier), qui a largement transformé le jeu sur Linux et est au cœur des récentes annonces de Valve sur le matériel, dont la Steam Machine. Mais il faudrait encore que l’ensemble puisse fonctionner sur l’architecture Arm, Proton étant prévu pour du x64.

• Valve revient sur le marché des consoles de salon avec sa Steam Machine et un casque VR

Rappelons par ailleurs que Google vient de relancer Cameyo, sa solution de virtualisation permettant d’utiliser des clients lourds Windows au sein de Chrome ou de ChromeOS, à destination du marché entreprise.

Si Google envisage réellement une sortie l’année prochaine, il est probable qu’une communication officielle sur le sujet fasse bientôt son apparition, pour préparer le marché et faire grimper les attentes. Un lancement en 2026 signifierait également une opposition frontale avec un autre produit prévu par les rumeurs : le lancement par Apple d’un MacBook d’entrée de gamme basé sur une puce A, que l’on trouve d’ordinaire dans les iPhone, et dont le tarif serait de 600 dollars.

Si la vision Aluminium OS se concrétise, Google pourrait alors bénéficier de tout un écosystème cohérent de produits unis par les mêmes services, avec une approche commune. Un projet que Microsoft n’a jamais su mener à bien, particulièrement à l’époque de Windows Mobile et Windows Phone.

Début septembre, Signal lançait une fonction de sauvegarde sécurisée dans une version bêta de son application Android. Il s’agissait alors de proposer une méthode alternative de sauvegarde, avec des échanges chiffrés de bout en bout, sur les propres serveurs de l’entreprise.

Cette fonction est aussi disponible désormais dans la dernière version de l’application iOS. Le fonctionnement est le même : une version gratuite sauvegardant 100 Mo de texte et les 45 derniers jours pour les médias échangés, ou une version payante à 1,99 dollar par mois, pour un stockage passant alors à 100 Go. Signal estimait que 100 Mo pour les textes étaient largement suffisants pour la plupart des utilisateurs.

Cette option payante est la toute première lancée par Signal depuis sa création. À son arrivée début septembre, le billet d’annonce précisait que la nouvelle fonction serait répercutée sur iOS et dans les versions desktop. Ces dernières sont donc les prochaines sur la liste.

Rappelons également que cette fonction n’est « pas la fin de la route », selon les propres mots de Signal. Elle va servir de base au chapitre suivant, qui sera de proposer la possibilité de sauvegarder les données où l’on souhaite, avec possibilité de restaurer les données sur n’importe quelle autre application Signal sur un autre appareil.

C'est pas gagné

L’installation, la désinstallation et la mise à jour des applications tierces sur Windows a toujours été un sujet. Des ajouts récents dans les préversions du système montrent que l’éditeur cherche à simplifier certaines démarches.

Dans un récent billet de blog, Microsoft a présenté plusieurs nouveautés en approche pour Windows 11 et en cours de diffusion auprès des testeurs (Windows Insiders). On y trouve des ajouts comme le mode plein écran pour l’application Xbox, ou encore la restauration ponctuelle. Celle-ci est surtout destinée aux entreprises, avec un enregistrement de l’état de la machine toutes les 24 heures (par défaut, modifiable par l’équipe d’administration), que l’on peut restaurer depuis WinRE.

Un bouton attendu depuis longtemps

Dans le billet, on trouve également un ajout dans le Microsoft Store que les utilisateurs réclament depuis longtemps : la possibilité de désinstaller une application directement depuis la liste dans l’onglet Bibliothèque. Cette capacité n’est valable que pour les applications installées depuis la boutique, mais elle simplifie nettement la gestion du parc applicatif. On se demande d’ailleurs pourquoi il a fallu autant de temps.

Non que la désinstallation des applications soit un gros problème dans Windows, surtout quand elles viennent du Store. Le type package spécifique utilisé sur la boutique rend la suppression d’un logiciel rapide et propre. On peut aussi la lancer depuis le menu Démarrer via un clic droit sur le raccourci. Et dans tous les cas, il reste le panneau classique de gestion des applications depuis le panneau des Paramètres.

Une centralisation des mises à jour ?

Dans ce dernier, la section Applications vient justement de recevoir un ajout dans les dernières préversions. Nommé App Updates, il laisse à penser que le système devrait être capable de récupérer des mises à jour pour des applications de manière centralisée. Une capacité qui a toujours fait défaut à Windows, et pour cause : il n’existe pas de dépôt centralisé pour l’ensemble des applications tierces.

Ce problème s’est légèrement amoindri dans le temps avec la proportion grandissante d’applications présentes dans le Store, la boutique mettant régulièrement à jour tout ce qu’elle a installé. Mais il est resté, car nombre de logiciels restent installés par des processus séparés, via le flux traditionnel : site de l’éditeur, téléchargement d’un exécutable, lancement de l’installation. Les problématiques liées sont connues, avec des mises à jour pas toujours faites (nombre d’applications n’ont pas de processus intégré, comme 7-zip) et des failles de sécurité restant béantes sur une partie du parc informatique.

Des outils spécialisés sont apparus pour aider à gérer ces problèmes. Microsoft a par exemple WinGet en ligne de commande. UniGetUI (anciennement WinGetUI) récupère cet outil au sein d’une interface complète et simplifiant d’autant la gestion.

• [Tuto] Gérer ses applications Windows avec WinGet ou UniGetUI

Des solutions imparfaites

Mais ces outils ont également des inconvénients, car ils récupèrent le package d’installation et l’installent sur la version déjà présente. La mise à jour se fait, mais puisque le processus est celui d’une première installation, il y a de petites conséquences parfois désagréables, comme le retour de l’icône correspondante sur le bureau. Le processus n’a pas la transparence d’une distribution Linux puisant dans un dépôt.

C’est d’ailleurs ce point qui interroge pour le nouvel ajout de Microsoft : quel serait le fonctionnement ? Windows Central émet l’idée qu’il s’agirait d’une capacité équivalente à celle du Store dans le cas où celui-ci ne serait pas disponible, parce qu’il a été désactivé ou même désinstallé. Difficile en tout cas pour le moment d’en savoir plus – que ce soit sur le fonctionnement ou le périmètre de la fonction – car le bouton ne déclenche pour l’instant aucune action et Microsoft n’en a pas encore parlé.

On n'achète pas une communauté

Début octobre, Qualcomm a annoncé son intention de racheter Arduino, célèbre pour ses micro-ordinateurs. Des promesses avaient été faites sur l’indépendance de la structure et le respect de la communauté. Mais de récents changements dans les conditions d’utilisation ont créé une polémique.

Le 7 octobre, Qualcomm signait un accord « pour acquérir Arduino, entreprise leader dans le matériel et les logiciels open source ». Pour le géant de l’électronique, il s’agissait de renforcer son « portefeuille inégalé de technologies et produits d’informatique en périphérie (edge) ». Qualcomm s’empressait de préciser qu’Arduino conserverait une certaine indépendance, dont sa marque, ses outils et sa mission.

• Qualcomm rachète Arduino, qui montre son Uno Q, une carte « double cerveau »

« Arduino préservera son approche ouverte et son esprit communautaire tout en débloquant une plateforme full-stack pour le développement moderne », affirmait ainsi Qualcomm. L’entreprise évoquait au passage les plus de 33 millions d’utilisateurs actifs de la communauté Arduino, qu’elle voulait rassurer. Le rachat leur permettrait ainsi d’accéder « à la puissante pile technologique de Qualcomm Technologies et à sa portée mondiale ». Au passage, Arduino lançait son Uno Q.

Des changements dans les conditions d’utilisation

Dans un billet publié il y a quelques jours sur LinkedIn, le compte d’Adafruit Industries – un revendeur bien connu d’électronique et de micro-ordinateurs – dit tout le mal qu’il pense de la réécriture des conditions d’utilisation et de la politique de confidentialité.

« Les nouveaux documents introduisent une licence irrévocable et perpétuelle sur tout ce que les utilisateurs téléversent, une surveillance étendue des fonctionnalités d’IA, une clause empêchant les utilisateurs d’identifier une possible violation de brevet, la conservation des noms d’utilisateurs pendant des années même après suppression de compte, et l’intégration de toutes les données utilisateur (y compris les mineurs) dans l’écosystème mondial de données de Qualcomm », fustige ainsi Adafruit.

Celle-ci critique plusieurs passages transformant une plateforme communautaire en « service d’entreprise strictement contrôlé » conçu pour récupérer autant de données que possible. Elle pointe notamment l’interdiction explicite de pratiquer la rétro-ingénierie, ou même de « s’engager dans toute autre activité conçue pour identifier les algorithmes et la logique de fonctionnement de la plateforme» (point 8.2). Adafruit regrette d’autant plus ce changement qu’Arduino est appréciée dans l’enseignement, la recherche, les militants de l’open source et les bidouilleurs.

Le reste du billet est cependant plus alchimique, Adafruit parlant des fraudes de Qualcomm, dont la condamnation récente de l’ancien vice-président Karim Arabi à quatre ans de prison pour fraude. Mais le résultat est là : des dizaines de commentaires négatifs et une condamnation sans équivoque de ces changements. Le billet d’Adafruit est rapidement relayé dans la presse, par exemple chez MiniMachines en France ou The Register au Royaume-Uni. Sans surprise, la levée de boucliers est immédiate, notamment sur Reddit. Le média britannique estimait d’ailleurs quelques jours après l’annonce du rachat que la situation évoluerait fortement pour Arduino.

Arduino n’est pas d’accord

Dans un billet publié le 21 novembre, Arduino nie cependant tout en bloc. La société se dit « reconnaissante » que sa communauté se soucie suffisamment d’elle pour lui faire remonter ses craintes.

« Soyons absolument clairs », enchaine toutefois l’entreprise, « nous étions open source bien avant que cela ne devienne à la mode. Nous n’allons pas changer maintenant. L’acquisition par Qualcomm ne modifie pas la manière dont les données utilisateurs sont traitées ni la manière dont nous appliquons nos principes open source ». La société ajoute qu’elle modifie régulièrement ses documents juridiques pour y faire refléter « de nouvelles fonctions, des évolutions de régulations et les meilleures pratiques ». Il ne s’agirait ainsi que d’une évolution de plus.

Effectivement, de nombreuses ressources Arduino sont sous licence GPLv3 ou AGPLv3, qui ne peuvent pas être changées d’un claquement de doigt. La société indique ainsi dans son propre billet que tout ce qui touche à l’open source, la rétro-ingénierie, la propriété des créations, les données et la confidentialité des mineurs ne change pas.

En fait, Arduino pointe que l’essentiel des changements, surtout sur la rétro-ingénierie, s’applique aux applications cloud SaaS (Software-as-a-Service) : « Tout ce qui était ouvert reste ouvert ». Et d’expliquer notamment que les lancements de l’Uno Q et d’Arduino App Lab, qui introduisent des fonctions dopées à l’IA optionnelles, ont obligé l’entreprise à mettre à jour ses conditions « pour refléter ces nouvelles capacités et encourager leur utilisation sûre, responsable et éthique ».

Pour Adafruit, ce n’est pas assez

De quoi apaiser les craintes ? Pas vraiment, comme l’ont montré Limor Fried, fondateur et ingénieur d’Adafruit, ainsi que Phillip Torrone, rédacteur en chef adjoint, chez Ars Technica. Ils estiment que le billet d’Arduino laisse « de nombreuses questions sans réponse ». Ils renouvellent la question sur la rétro-ingénierie et soulignent que la règle ne cadre pas avec une entreprise qui a bâti son succès sur l’open source.

Les deux responsables ciblent également les fonctions IA. Ils relèvent le manque d’information, Arduino ne précisant pas « quelles données de ces systèmes IA sont conservées, qui y a accès, et pourquoi cette collecte ne peut être refusée qu’en n’utilisant pas ces fonctions ». Ils soulignent aussi le passage sur la recherche éventuelle d’infractions aux brevets : « Aucune entreprise open source ne met dans ses conditions d’utilisation un texte interdisant aux utilisateurs d’identifier d’éventuels problèmes de brevets. Pourquoi cela a-t-il été ajouté, et qui l’a demandé ? ». Contactées par Ars Technica, ni Arduino ni Qualcomm n’ont souhaité répondre, renvoyant vers le billet de blog.

Arduino est désormais dans un problème de communication, dont il est complexe de sortir indemne. Tout changement dans les conditions d’utilisation est rapidement relayé, d’autant plus quand l’entreprise est spécialisée dans l’open source. Mozilla en a fait les frais en mars dernier, avec une volée de bois vert face à une communauté dans l’incompréhension.

Dans un article d’IEEE Spectrum daté du 18 octobre, l’analyste Leonard Lee indiquait à ce titre : « Je pense que la dernière chose que Qualcomm veut, c’est de saper la communauté des développeurs, parce que ce n’est pas un actif que vous achetez. Elle est changeante et peut disparaître en un clin d’œil si vous faites un mauvais pas. »