Sécurité : Sans doute conscient des déboires de Lenovo en 2015 avec Superfish, HP a rapidement réagi au problème de sécurité introduit sur différents de ses modèles de PC par une faille oubliée dans un driver audio. Le constructeur s'explique auprès de ZDNet.fr.

Les logiciels préinstallés peuvent poser de sérieux problèmes de sécurité sur les ordinateurs. C'est un des enseignements de l'affaire Superfish, un adware livré avec des PC de Lenovo. La mésaventure d'HP est quelque peu différente cependant.



Interrogé par ZDNet.fr, Mike Nash, responsable de l'expérience client pour HP, assure que le problème de sécurité identifié au niveau du driver Conexant HD n'est en rien comparable à Superfish, qui relevait alors d'un acte "intentionnel".



publicité

Du code de debug oublié par l'éditeur du driver



Le driver fautif n'est en effet pas un programme malveillant ou espion. Le fabricant tient à préciser qu'il s'agit d'une "erreur". Le fournisseur de l'application a ainsi oublié un "code de debug" dans le driver livré sur les PC d'HP.



Problème, ce logiciel enregistrait à chaque session Windows l'ensemble des frappes clavier de l'utilisateur. Stocké localement, ce fichier était automatiquement supprimé à chaque arrêt du système. Cela réduit les risques, souligne HP, qui insiste en outre : a aucun moment, il n'a eu accès aux données de ces fichiers.



Quant au code fautif, il intervenait pour les phases de test et aurait donc dû être supprimé avant la livraison des ordinateurs aux clients. Si la faute en incombe à l'éditeur, Mike Nash reconnaît qu'HP ne peut se cacher derrière la responsabilité d'un éditeur tiers et assume sa responsabilité en tant que fournisseur.



HP présente ses excuses et insiste sur la rapidité à laquelle il a réagi en proposant d'ores et déjà un correctif "de haute qualité" pour les ordinateurs équipés de processeurs Kaby Lake. Pour les machines affectées à base de processeurs Skylake, le correctif est attendu aujourd'hui.



Des correctifs rapidement et Windows Update



Mike Nash précise par ailleurs que l'entreprise travaille avec Microsoft afin de déployer ce correctif automatiquement par l'intermédiaire de Windows Update. Toutes les entreprises n'effectuent cependant pas de mises à jour automatiques sur les PC de leur parc.



HP informera en parallèle les clients concernés. Combien sont-ils au total a être affectés par ce driver défaillant ? Le dirigeant du constructeur nous répond que cette information n'est pas encore connue. Sans surprise.



Les logiciels préinstallés peuvent être sources de failles comme en témoignent plusieurs cas, dont celui-ci. Les fabricants doivent-ils faire plus pour prévenir ces incidents ? Pragmatique et lucide, Mike Nash répond qu'il faut apprendre de ce qui se produit, y compris sur le marché, afin d'adapter ces processus.



Mais le cadre insiste également sur la réactivité de la réponse sur incident. Car éliminer le risque totalement n'est pas réaliste.