2005 – Sony BMG Rootkit, Le DRM qui s’est comporté comme un malware
2005. Un CD audio acheté légalement peut installer sur une machine un composant qui se cache, modifie le système, complique l’analyse et ouvre un terrain d’abus inattendu. Ce n’est pas le pitch d’un malware clandestin. C’est celui d’un mécanisme de DRM signé par une major. Avec Sony BMG, le monde découvre une vérité obscène : l’industrie culturelle est prête à emprunter des techniques de rootkit pour défendre son business. Et l’underground, lui, n’a même pas besoin d’inventer le scandale. Il lui suffit de le disséquer.
I. Prologue : le disque qui installe plus qu’une chanson
Le scandale Sony BMG a une saveur particulière parce qu’il brouille les catégories morales familières.
L’utilisateur n’ouvre pas une pièce jointe louche.
Il insère un CD acheté en magasin.
Le geste paraît légal, banal, presque nostalgique.
Et pourtant, sous le capot, le système accueille un composant qui se comporte comme ce que la sécurité appelle déjà un intrus gênant :
- installation opaque ;
- dissimulation ;
- altération du système ;
- difficulté de suppression propre.
Le problème n’est donc pas seulement technique.
Il est civilisationnel.
Quand une entreprise légitime déploie ce type de logique sur les postes de ses clients, elle rappelle une vérité froide :
les techniques les plus toxiques ne sont pas réservées aux criminels.
Elles sont aussi à la portée des acteurs qui se sentent autorisés par leur modèle économique.
II. Dossier technique : quand le DRM emprunte la grammaire du rootkit
Le cas Sony BMG devient célèbre parce que le logiciel de contrôle des usages embarque des traits qui rappellent le comportement rootkit :
- masquage de fichiers ou de composants ;
- insertion profonde dans l’environnement Windows ;
- absence de transparence réelle pour l’utilisateur ;
- désinstallation problématique ;
- création d’une surface d’abus pour d’autres logiciels.
Le point le plus sidérant n’est pas seulement la dissimulation.
C’est l’asymétrie de consentement.
L’utilisateur écoute de la musique.
Le système, lui, se reconfigure au profit d’un modèle de contrôle qui n’a jamais été vraiment expliqué à hauteur de ses effets réels.
Techniquement, le monde de la sécurité voit immédiatement le gouffre :
si un mécanisme caché devient une convention acceptable pour le DRM, il suffit ensuite que d’autres codes apprennent à s’y abriter.
Le verrou commercial devient alors un parasol pour des comportements malveillants.
III. Bureau XCP : fiche d’autopsie d’un mauvais réflexe industriel
“Le client voulait limiter la copie. Il a obtenu un composant caché. Le service marketing voulait protéger la propriété intellectuelle. Il a livré au monde une démonstration publique de comportement hostile déguisé en conformité commerciale.”
Cette note imaginaire résume le vrai cœur de l’affaire.
Ce n’est pas seulement un bug de mise en œuvre.
C’est une mentalité.
L’idée qu’un objectif commercial légitime autorise à :
- masquer ;
- contraindre ;
- installer ;
- résister à l’observation ;
- prendre la machine de l’utilisateur comme territoire d’exécution non négocié.
L’underground n’a pas besoin de broder.
Il lui suffit de relever la parenté structurelle entre ce DRM et ce qu’il combat d’ordinaire dans le monde des malwares.
IV. Le jour où la frontière entre protection et comportement hostile s’est effondrée
Sony BMG force tout le monde à répondre à une question embarrassante :
À partir de quel moment un mécanisme de protection devient-il un comportement de type malware ?
La réponse n’est pas purement juridique.
Elle est aussi technique et éthique.
Quand un logiciel :
- agit sans transparence ;
- s’installe trop bas dans le système ;
- se cache de l’utilisateur ;
- altère l’environnement au profit d’un acteur tiers ;
- complique volontairement la maîtrise ou la suppression,
alors le discours de légitimité ne suffit plus à le purifier.
Le scandale Sony BMG a précisément montré cela :
une entreprise peut se comporter comme un acteur hostile tout en se croyant encore du côté de la normalité marchande.
Et c’est là que l’affaire devient historique.
Elle rappelle que l’ennemi du contrôle de la machine n’est pas seulement le pirate clandestin.
C’est aussi le fournisseur officiel quand il estime sa volonté supérieure à celle de l’utilisateur.
V. Références hacker : de la scène anti-DRM aux guerres de contrôle
Pour toute une culture hacker, Sony BMG agit comme un révélateur.
Depuis longtemps déjà, la scène anti-DRM, les bidouilleurs, les défenseurs du logiciel libre et les obsédés de la souveraineté machine répètent la même chose :
- un ordinateur doit obéir à son propriétaire ;
- la dissimulation n’est pas acceptable quand elle sert un acteur externe ;
- les verrous commerciaux deviennent toujours, tôt ou tard, des problèmes de sécurité ;
- le code imposé à bas bruit finit par produire des usages inattendus, parfois désastreux.
Dans cette affaire, l’histoire donne raison à la culture underground sans qu’elle ait besoin d’exagérer.
Le rootkit Sony BMG devient alors une petite pierre noire dans la mémoire collective de la liberté logicielle.
Un cas où le capital culturel et juridique d’un grand acteur n’empêche pas la dérive technique la plus grotesque.
VI. Héritage : votre machine n’est à vous que si vous pouvez voir dedans
Le scandale n’a pas seulement ridiculisé Sony BMG.
Il a renforcé une intuition fondamentale qui continue de structurer la culture hacker :
tout système qui réclame votre confiance tout en vous cachant ce qu’il fait sur votre propre machine mérite d’être traité comme un suspect.
Le DRM pensait défendre un catalogue.
Il a fini par défendre, malgré lui, une thèse plus profonde encore :
la transparence, l’auditabilité et le contrôle utilisateur ne sont pas des lubies d’extrémistes techniques.
Ce sont des conditions minimales pour qu’une machine reste un espace vivable.
“Sony BMG n’a pas seulement installé un rootkit. Il a rappelé au monde qu’un malware se reconnaît moins à celui qui le signe qu’à la manière dont il traite la machine d’autrui.”
En 2005, l’industrie musicale a voulu contrôler la copie.
Elle a surtout offert à l’underground une preuve durable que le pouvoir adore appeler “protection” ce que la machine, elle, reconnaît immédiatement comme intrusion.