1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
|
.. -*- mode: rst -*-
.. -*- coding: utf-8 -*-
==================================
Revue du système Sailfish OS (2/2)
==================================
:date: 2015-12-31
:tags: Libre, Sailfish
:logo: /images/hacking/2294144289_a54db90ac5_q.jpg
:status: draft
:summary: Petite revue du développement et de la sécurité du système
d'exploitation Sailfish, suite à la diffusion de ma première
application.
.. figure:: {filename}/images/hacking/2294144289_a54db90ac5_q.jpg
:figwidth: 150
:figclass: floatright
:alt: Security
`David Goehring`_ (creativecommons_)
.. _David Goehring: https://www.flickr.com/photos/carbonnyc/2294144289
.. _creativecommons: https://creativecommons.org/licenses/by/2.0/
La sécurité
===========
Gestion de droits
-----------------
**Oups !** Contrairement à un système android, dans lequel les applications
affichent les droits qu'elles requirent (avec plus ou moins de succès bien
sûr), ici rien de tout ça : le développeur est maître à bord de son
application, et celle-ci tourne avec les droits de l'utilisateur en disposant
pleinement du système.
On dispose donc d'un accès à l'ensemble des fichiers, aux connexions réseaux,
etc. Ça rend le développement bien sûr plus facile, mais ça signifie qu'il faut
rester vigileant quand on télécharge une nouvelle application. En fait le
comportement est identique à la situation que l'on peut rencontrer sur son
poste d'utilisateur : l'utilisateur installe ce qu'il veut sur son ordinateur,
et ce qu'il installe relève de sa responsabilité…
Pour l'instant, une grosse partie de la sécurité repose sur la faible
utilisation du système, mais à terme, le problème risque de prendre de plus en
plus d'importance…
La diffusion
------------
Il n'est pas difficile de diffuser son application une fois prête. Le site
openrepos permet facilement d'ouvrir un compte et fournir un espace pour
envoyer ses applications. Du côté utilisateur, il suffit d'activer le compte du
développeur pour pouvoir installer l'ensemble de ses applications.
Par contre, le *open* du nom indique juste que le site est ouvert à tout le
monde : aucune obligation de diffuser son code source (ni même aucune garantie
que le code que l'on télécharge correspond à celui affiché…). Cela veut donc
dire qu'il faut être prudent lorsqu'on télécharge une application. Pour
l'instant je n'ai pas entendu parler de compte diffusant des logiciels
malveillants (la faible part de marchés des téléphones jolla doit aider), mais
c'est un gros avertissement pour l'ensemble des utilisateurs.
.. admonition:: Bémol
Il faut quand même avoir autorisé l'installation d'applications depuis des
dépôts tiers pour pouvoir installer les applications depuis ce catalogue.
(mais qui aujourd'hui n'a jamais installé une application
depuis un catalogue non officiel ?)
Quelles solutions ?
-------------------
La sécurité est une affaire de contraintes et de confiance. Contrainte pour
garantir qu'une application ne sort pas du cadre qui lui a été accordée, et
confiance de l'utilisateur vers l'application qu'il utilise (ou vers la chaîne
qui relie l'application au développeur). Pour l'instant aucun des deux points
n'est satisfaisant.
Pour autant, il n'existe pas de solution parfaite : les droits accordés aux
applications android n'empêchent pas la diffusion de malwares sur le système,
et les développeurs échangent avec les utilisateurs sur les `forums de maemo`_,
ce qui permet de garder une proximité.
.. _forums de maemo: http://talk.maemo.org/forumdisplay.php?f=52
Tout ça pour dire que cette solution n'est peut-être pas viable à grande
échelle, mais elle n'est pas non plus catastrophique *pour l'instant*. Pour
autant je n'ai pas vu de discussions qui vont dans le sens de mettre en place
davantage de contrôles sur les applications sur les catalogues d'applications.
Je n'ai pas testé la diffusion d'application sur le catalogue officiel. Tout ce
que j'ai dit doit donc être nuancé, voire corrigé concernant l'ensemble des
applications que l'on peut télécharger sans activer les dépôts tiers.
Au final
========
Jolla vise pour l'instant les programmeurs (il suffit de voir les vidéos de
promotion du téléphone), et cela se ressent à travers la mise à disposition de
l'environnement de développement. L'émulateur permet de tester facilement les
applications sans craintes de casser son système, ce qui permet de tester son
développement sans grand risque (beaucoup de patches au système sont
disponibles en ligne).
Par contre cette grande liberté va de pair avec le problème de la sécurité. On
prend de plus en plus conscience des risques qui planent sur les smartphones,
et le système n'offre ici aucune garantie… C'est dans l'esprit du téléphone
j'ai envie de dire.
Toutefois, n'oublions pas qu'une application qui tourne avec l'utilisateur
principal d'un téléphone a un accès complet à la messagerie, l'historique des
sms, etc. Pour ma part, j'apprécie ce système, avec ses avantages et ses
limites. L'esprit d'ouverture que m'offre le téléphone me convient davantage
qu'une boîte protégée certe, mais fermée.
|
