↩ Accueil

Vue lecture

Chez Google, la gestion des correctifs de sécurité a basculé sur un système de risque

Sans agence, sans Looping
Chez Google, la gestion des correctifs de sécurité a basculé sur un système de risque

Au cours des derniers mois, la gestion des mises à jour de sécurité a évolué chez Google. Désormais, elle est basée sur une évaluation des risques, avec une priorité donnée aux failles présentant un risque accru. Pour le reste, la diffusion des correctifs adopte un rythme davantage trimestriel. Il semble que le changement ait été mis en place pour soulager les constructeurs.

Le changement a été révélé par Android Authority le 13 septembre et confirmé à demi-mot par Google. Nos confrères relèvent ainsi que le bulletin de juillet ne contenait aucune vulnérabilité corrigée, une rupture face aux 120 failles corrigées depuis le début de l’année. À l’inverse, le bulletin de septembre comportait des correctifs pour 119 failles à lui seul. Comment expliquer une telle différence ?

Une évaluation des risques

Google donne à présent la priorité aux failles comportant un risque élevé, qui ne tient pas uniquement compte de la criticité d’une vulnérabilité. L’entreprise ne détaille pas les critères d’évaluation, mais on peut supposer que le nombre de cibles potentielles et la facilité de mise en œuvre font partie des principaux, de même que l’existence d’une exploitation connue. Selon Android Authority, le mécanisme est nommé Risk-Based Update System, ou RBUS.

La règle est simple : si la faille présente un risque élevé, elle est publiée comme telle dans le bulletin mensuel, et si elle peut attendre, elle partira dans le bulletin trimestriel. Pour nos confrères, ce changement a été mis en place pour soulager les constructeurs intégrant Android dans leurs smartphones (OEM). Les failles à haut risque ont ainsi des chances accrues d’avoir un correctif rapidement diffusé, la diffusion des solutions étant parfois complexe à maintenir en fonction du nombre d’appareils concernés.

Toujours selon Android Authority, ce changement explique pourquoi le bulletin de juillet était vide : aucune faille à haut risque n’était répertoriée. Il explique aussi celui de septembre comptait autant de failles corrigées : elles avaient toutes été mises de côté pour le grand bulletin trimestriel.

Avantages et inconvénients

Bien que Google n’ait pas documenté ce changement, la société l’a confirmé à demi-mots à Android Authority :

« Les bulletins de sécurité Android et Pixel sont publiés tous les mois. Pour assurer la sécurité des utilisateurs, nous intégrons une sécurité puissante profondément ancrée dans les fondations d’Android. Android arrête la plupart des exploitations de vulnérabilité à la source grâce à un renforcement complet de la plate-forme, comme notre utilisation du langage Rust et des protections anti-exploitation avancées. Android et Pixel corrigent en permanence les failles de sécurité connues et donnent la priorité à la correction des vulnérabilités les plus risquées en premier »

Côté utilisateurs, rien ne change vraiment dans la plupart des cas. Les constructeurs décidant d’appliquer quand même les correctifs de sécurité tous les mois pourront continuer à le faire. Ceux souhaitant un rythme plus souple ne diffuseront alors des correctifs mensuels que si des failles à haut risque y sont présentes, et se contenteront d’une grosse mise à jour tous les trois mois dans le cas contraire.

Les avantages ne concernent a priori que les OEM, qui ont parfois du mal à tenir le rythme, selon les gammes commercialisées et le nombre de modifications faites sur la base d’Android. En leur offrant un nouveau cycle trimestriel, ils peuvent en théorie mieux préparer le terrain.

L’approche a également ses inconvénients. Retarder la publication des mises à jour peut laisser le temps à certaines failles d’être exploitées. Car les informations circulent : si des failles sont trouvées, les entreprises sont averties, de même que les équipes d’ingénieurs. Plus il y a de personnes au courant, plus le risque de fuite augmente, et avec lui la probabilité d’une exploitation.

Un système complexe

Le problème des mises à jour de sécurité sur Android est débattu depuis longtemps, avec toujours le même constat : les constructeurs doivent jouer le jeu. La pluralité des gammes et le nombre de modifications apportées à la base d’Android peuvent ralentir l’application des correctifs, car il faut mener suffisamment de tests pour s’assurer du bon fonctionnement. Plus il y a d’appareils dans les gammes, plus ce travail est conséquent.

Comme le rappelle d’ailleurs Android Authority, les entreprises ne jouent pas toutes le jeu de la même manière. Si l’on voit depuis deux ans des annonces très importantes sur la durée du support, notamment sur les Pixel et les Galaxy S de Samsung, un bon support est trop souvent dépendant de la gamme. De nombreux appareils d’entrée ou milieu de gamme ont un support limité de quelques années, les correctifs de sécurité n’arrivant pas tous les mois. C’est d’ailleurs ce qui a poussé l’Union européenne à imposer un nouveau minimum de cinq ans pour les mises à jour logiciels sur tous les nouveaux appareils.

Google connait bien le problème. Le projet Mainline (initié avec Android 10, mais arrivé concrètement dans les versions suivantes) a notamment été instauré pour augmenter le nombre de composants pouvant être mis à jour directement par Google Play. Mais de nombreux composants bas niveau ne peuvent être modifiés que par les constructeurs. Aussi, lorsque Google signale une faille et prépare une modification de code, celle-ci n’est pas publiée immédiatement dans AOSP (Android Open Source Project), pour que les modifications de code ne révèlent pas les détails de la brèche.

Le nouveau mécanisme ne remet pas en cause l’Android Security Bulletin mensuel. L’ASB dispose pour rappel de deux versions : une publique pour lister les failles corrigées, et une privée pour avertir les OEM un mois avant et leur laisser d’intégrer les correctifs. En revanche, certains bulletins seront parfois vides, qu’ils soient publics ou privés. Les bulletins complets seront désormais alignés sur le rythme trimestriel d’Android depuis sa dernière version 16.

  •  

☕️ Apple a publié également iOS 18.7 et macOS 15.7 pour corriger des failles de sécurité

Apple a ouvert grand les vannes lundi pour les versions 26 de toutes ses plateformes. Dans le même temps, l’entreprise a lancé de nouvelles mises à jour intermédiaires pour les moutures précédentes.

iOS/iPadOS 18.7 et macOS 15.7 ont été mis à disposition en même temps que les versions majeures hier soir. Dans l’interface de mise à jour sur iOS, cette version apparaissait même avant la mouture 26. Elles ont été publiées pour colmater une série de failles de sécurité, dont on trouve la liste sur le site d’Apple. Les correctifs concernent des composants comme CoreAudio, le noyau, libc, MobileStorageMounter, Raccourcis ou encore WebKit.

iPhone 15

Apple a également publié des mises à jour de sécurité pour des versions plus anciennes de ses systèmes. Pour iOS/iPadOS, on trouve ainsi les versions 15.8.5 et 16.7.12. Sur Mac, les machines sous Sonoma reçoivent la 14.8.

S’agissant de correctifs de sécurité, il est conseillé d’appliquer rapidement les mises à jour, qui réclament un redémarrage.

  •  

☕️ Apple lance les versions 26 de ses systèmes iOS/iPadOS, macOS, watchOS et tvOS

Comme prévu, Apple commence la diffusion des versions finales pour ses nouvelles plateformes. Elles sont toutes estampillées 26, afin d’harmoniser les numéros entre les systèmes, Apple prenant pour référence l’année à venir. iOS passe ainsi de la version 18 à la 26.

La nouveauté la plus visible et commune à toutes les plateformes est la nouvelle interface Liquid Glass, qui a fait couler beaucoup d’encre. Apple sort de sa période « flat » sobre pour tenter l’aventure du verre plus ou moins dépoli, avec de nombreux effets liés. Liquid Glass a été largement critiquée pendant la phase bêta pour des problèmes de lisibilité et d’accessibilité, mais elle semble là pour durer. On pourrait faire un parallèle avec iOS 7 et la première incarnation du flat design chez Apple, qui avait défrayé la chronique en son temps.

iOS 26 introduit notamment une nouvelle application Téléphone, qui permet de mieux gérer l’historique des appels. Elle peut regrouper les appels en absence et peut filtrer automatiquement tous ceux en provenance de numéros inconnus, avec plusieurs possibilités. On peut choisir par exemple de les envoyer directement sur le répondeur. Citons également l’alimentation adaptative, des informations beaucoup plus détaillées sur l’autonomie, les applications Aperçu et Jeux vidéo, de la personnalisation dans Messages, la traduction automatique des paroles dans Music, etc.

iPadOS 26 récupère ces apports et en ajoute d’autres. La nouvelle version est réellement majeure : toutes les applications peuvent passer sous forme de fenêtre via un glissement sur leur coin inférieur droit. On peut alors les déplacer librement, la contrôler via les trois boutons colorés typiques de macOS, utiliser la barre de menus, agencer les fenêtres via des options de tiling et profiter de la vue Exposé.

macOS 26, nommé Tahoe, reprend l’application Téléphone complète, en lieu et place de FaceTime. Surtout, Spotlight et Raccourcis font leur petite révolution. Le premier devient une palette complète de commandes, avec possibilité de créer des raccourcis personnalisés et de reprendre les actions suggérées par Apple Intelligence. Idem pour Raccourcis, qui peut maintenant agir sur un plus grand nombre d’objets. Toutes les actions liées au bouquet IA lui sont également accessibles. Par exemple, si Apple Intelligence détecte qu’une transcription a souvent lieu après avoir enregistré l’audio d’un cours, Raccourcis pourra suggérer une action pour enchainer automatiquement les actions, avec export et envoi du document sur une destination choisie.

Quant à watchOS et tvOS, leurs nouveautés sont plus discrètes. Pour la montre connectée, on peut noter Workout Buddy, censé encourager dans la pratique sportive, l’arrivée de Notes, des suggestions d’activités et de listes musicales ou encore une révision des notifications, qui se veulent moins intrusives.

  •  

☕️ Linux Mint : la version 22.3 en décembre, la bêta de Debian Edition 7 presque là

Linux Mint 22.2, alias Zara, est sortie il y a moins de deux semaines, apportant avec elle le support des empreintes digitales pour l’authentification, une meilleure prise en charge de libadwaita ainsi qu’une série d’améliorations visuelles.

On sait désormais que la prochaine version, estampillée 22.3, est prévue pour décembre. L’annonce a été faite par Clément Lefebvre (créateur de Linux Mint et développeur principal) dans sa lettre mensuelle. La mouture proposera notamment le nouveau menu principal pour Cinnamon, comme nous l’indiquions en mars. On y trouvera également un nouvel applet d’état et le support de Wayland pour les dispositions de claviers et autres méthodes de saisie.

Pour une partie des utilisateurs, c’est surtout la Linux Mint Debian Edition 7 (LMDE 7) qui est attendue. La bêta est attendue avant la fin du mois et est donc imminente. Le système sera basé sur Debian 13 (« Trixie ») et représentera donc une vaste modernisation. L’équipe de développement lui ajoutera les dernières améliorations vues sur Linux Mint 22.2.

Cette Debian Edition 7 n’existera qu’en version amd64, l’équipe de Mint suivant la disparition du i386 sur Debian. Il faut également noter que si Mint reprend le socle Debian tel qu’il est actuellement, alors LMDE 7 sera fourni avec un noyau Linux 6.12 (LTS), soit une version moins récente que la 6.14 de Linux Mint 22.3.

  •  

L’attaque sans précédent sur NPM relance les débats sur la chaîne d’approvisionnement

Interface chaise-clavier
L’attaque sans précédent sur NPM relance les débats sur la chaîne d’approvisionnement

Dans l’après-midi du 8 septembre, une attaque a eu lieu contre la chaine d’approvisionnement de plusieurs paquets NPM. Les dégâts ont été limités et tout est vite rentré dans l’ordre. Mais les conséquences auraient pu être bien pires, limitées uniquement par les compétences des pirates. L’affaire relance les débats autour de l’authentification et du contrôle de la provenance des modifications.

Elle est qualifiée désormais de plus grande attaque contre la chaine d’approvisionnement jamais enregistrée. Une telle attaque consiste pour rappel à viser la chaine menant à la production d’un logiciel ou d’un service. Si elle aboutit, un code se retrouve distribué ou mis à disposition des victimes, qui croient récupérer un logiciel, la dernière version d’un composant, etc. Elle permet d’arroser un nombre important de personnes, d’autant plus que le composant ou logiciel est populaire.

Dans l’après-midi du lundi 8 septembre, des pirates ont ainsi compromis le compte NPM (Node Packet Manager, gestionnaire de paquet par défaut pour Node.js) d’un développeur. La récupération des accès leur a permis d’infecter le code de 18 paquets : backslash, chalk-template, supports-hyperlinks, has-ansi, simple-swizzle, color-string, error-ex, color-name, is-arrayish, slice-ansi, color-convert, wrap-ansi, ansi-regex, supports-color, strip-ansi, chalk, debug, ansi-styles.

Certains sont téléchargés des centaines de millions de fois par semaine. Pourtant, tout a été réglé en deux heures environ et la casse a été limitée. Que s’est-il passé ?

L’ingénierie sociale, toujours elle

L’histoire commence avec une détection de l’entreprise belge Aikido. Elle est spécialisée dans la sécurité, et plus particulièrement dans la surveillance des mises à jour de code dans les principaux dépôts open source. Comme elle raconte dans un billet de blog, elle détecte le 8 septembre à 15h16 (heure de Paris) des modifications suspicieuses dans 18 paquets. Ils sont très populaires sur NPM : ensemble, ils cumulent deux milliards de téléchargements par semaine.

L’analyse du code révèle sa fonction : intercepter silencieusement l’activité crypto et web3 dans le navigateur, manipuler les interactions avec le portefeuille et rediriger les paiements vers des comptes contrôlés par les pirates. Le code malveillant peut détourner à la fois le trafic réseau et les API des applications, indique Aikido. « Ce qui le rend dangereux, c’est qu’il fonctionne à plusieurs niveaux : modifier le contenu affiché sur les sites Web, falsifier les appels API et manipuler ce que les applications des utilisateurs croient signer », ajoute l’entreprise.

La société belge indique avoir alors contacté le développeur concerné, Josh Junon, surnommé Qix. Celui-ci répond alors qu’il a découvert avoir été piraté. Comme il l’indique lui-même dans un message sur BlueSky deux heures plus tard, il dit avoir été victime d’un email qui l’invitait à réinitialiser ses codes d’authentification à deux facteurs (2FA). Le courrier semblait parfaitement légitime selon lui, avec un lien renvoyant vers une copie conforme de la page de connexion de NPM. Cette page interceptait les informations d’authentification et le jeton 2FA pour les envoyer aux pirates. Après quoi, ces derniers ont simplement modifié l’adresse de connexion utilisée pour se connecter à NPM.

Le 9 septembre, Josh Junon a publié un message d’excuses sur Hacker News, dans lequel il admet honteusement : « yep I got pwned ». Le même jour, jFrog indiquait de son côté que la campagne continuait et que de nouveaux paquets contaminés avaient été découverts, dont DuckDB. Toujours le 9 septembre, SlowMist avertissait que d’autres développeurs recevaient le même e-mail, signe que Josh Junon n’était pas un cas isolé.

Tout s’enchaine très vite

Une chaine d’approvisionnement contaminée sur des paquets aussi populaires aurait constitué une catastrophe pour de nombreux produits. Ces attaques sont notamment très efficaces contre des composants impliqués dans le web de manière générale. Or, avec la multiplication des applications web encapsulées, cela pouvait signifier une diffusion à très grande échelle du code vérolé. Pourtant, tout s’est achevé en quelques heures, sans grande casse.

Sur le blog de la Security Alliance, on peut lire dans le billet du 9 septembre une note ironisant sur les 5 cents d’ETH ou encore les 20 dollars d’un memecoin. Dans les heures qui ont suivi la compromission, seuls 588 dollars de transactions auraient été détectés. Ce qui fait dire à l’Alliance que le plus gros impact financier de l’attaque réside finalement dans « les milliers d’heures passées collectivement par les équipes d’ingénierie et de sécurité du monde entier à nettoyer les environnements compromis, et les millions de dollars de contrats de vente qui seront inévitablement signés à la suite de cette nouvelle étude de cas ».

Cité par Brian Krebs, le pentester Philippe Catureli, responsable sécurité chez Seralys, s’en étonne également : « Ce qui est fou, c’est qu’ils ont compromis des milliards de sites Web et d’applications juste pour cibler quelques crypto-monnaies. Il s’agissait d’une attaque de la chaîne d’approvisionnement, et cela aurait facilement pu être quelque chose de bien pire que la récolte de crypto-monnaies ».

Même son de cloche chez Florian Roth, chercheur en sécurité chez Nextron Systems : « Étant donné que la plupart des entreprises exécutent au moins une application React ou Angular, elles ont eu la possibilité d’exécuter du code sur des millions de systèmes dans des milliers d’organisations. Et ils l’ont utilisé pour lacher un voleur de cryptomonnaies obscurci de manière amateur, ont été attrapés par des règles élémentaires de détection, et le problème a été résolu après 2 heures ». Pas mieux du côté du chercheur Kevin Beaumont.

L’authentification des développeurs à nouveau en question

Dans son billet de blog, Aikido relève également le vaste danger évité de peu. De faibles conséquences qui ne semblent dues qu’au manque de compétences des pirates, en dépit de leur réussite sur la chaine d’approvisionnement.

Pour montrer à quel point ce type d’incident peut être grave, la société belge rappelle une autre compromission qui s’est déroulée fin août. Là aussi, un autre développeur NPM avait été visé, permettant la récupération de ses identifiants et l’insertion d’un code malveillant dans nx, une boite à outils pour le développement open source, totalisant six millions de téléchargements par semaine.

Le code malveillant avait servi à analyser l’ordinateur du développeur pour y récupérer des jetons d’authentification, ainsi que des clés SSH et API. Ces informations n’ont cependant pas été transmises aux pirates : elles ont été publiées dans un référentiel public créé pour l’occasion dans le compte GitHub du développeur, afin qu’elles soient visibles de tous et téléchargeables.

À Brian Krebs, Charlie Eriksen, chercheur chez Aikido, affirme que tous les paquets les plus populaires devraient exiger des attestations pour les modifications de code. De manière plus générale, il est d’avis que des plateformes comme GitHub et NPM devraient relever le niveau de sécurité, en s’assurant que les commits (une proposition de modification du code, pour schématiser) sont proposés par des personnes étant bien qui elles prétendent être.

S’il s’en est fallu de peu pour échapper à une catastrophe, les évènements ne semblent pas avoir surpris les chercheurs en sécurité, qui répètent les mêmes éléments depuis des années. Kevin Beaumont s’en moquait justement avec acidité, rappelant – encore une fois – que certaines des briques logicielles les plus utilisées ne sont gérées que par une poignée de personnes. Renvoyant une fois de plus au célèbre dessin de xkcd sur les dépendances.

Rappelons également que l’authentification à facteurs multiples, si elle apporte un gain majeur de protection, n’est pas absolue. En août 2022, Microsoft avait expliqué en détail par exemple comment un acteur malveillant avait mis en place toute une infrastructure pour récupérer des jetons d’authentification, via notamment des serveurs mimant un comportement légitime. Ce type d’attaque passe systématiquement par la compromission d’une personne, le plus souvent par un e-mail soigneusement préparé.

  •  

☕️ Pour son démarrage, Ubuntu 25.10 utilisera Dracut par défaut

Ubuntu 25.10, attendue le mois prochain, devrait être une version plus riche en modifications techniques qu’habituellement. L’équipe de développement va ainsi procéder au remplacement d’initramfs-tools par Dracut pour son démarrage.

Pour l’utilisateur, il n’y aura aucun changement, pas même dans la vitesse de démarrage de la machine. L’arrivée de Dracut représente cependant une évolution technologique intéressante pour Ubuntu (il est déjà utilisé par Fedora).

De quoi parle-t-on ? Actuellement, quand un ordinateur sous Ubuntu démarre, ce n’est pas le système qui se charge en premier. La première étape est un mini-système qui se charge en mémoire vive. Nommé initramfs, il contient le strict nécessaire pour trouver le stockage, déchiffrer les disques si besoin et passer le relai au système de fichiers du « vrai » système. C’est donc un maillon essentiel de la chaine de démarrage.

Si Fedora est passée à Dracut et qu’Ubuntu s’apprête à faire de même, c’est qu’il apporte plus de souplesse dans cette étape. Là où initramfs est basé sur des scripts, Dracut est organisé en modules et propose une approche dynamique via udev, qui gère la détection matérielle dans Ubuntu. Cette organisation modulaire simplifie son développement et sa maintenance.

Dracut est aussi plus moderne, avec une prise en charge de technologies plus récentes, comme NVMe over Fabrics, indique OMGUbuntu. C’est en outre un choix cohérent pour les technologies déjà présentes dans Ubuntu. La distribution utilise par exemple systemd, dont se sert également Dracut, contrairement à initramfs.

Cette décision n’est pas arrivée subitement. Canonical réfléchit à la question depuis un bon moment et a posé la question du remplacement effectif dans une note du 7 février. Les questions de cohérence technique et de cout de maintenance étaient clairement mises en avant.

La bêta d’Ubuntu 25.10 est attendue pour le 18 septembre et sa version finale le 9 octobre.

  •  

Sur Android, Nova Launcher perd son dernier développeur

Docteur ? Radio ? Super ? Mamie ?
Sur Android, Nova Launcher perd son dernier développeur

Nova Launcher est désormais orphelin, son fondateur et dernier développeur étant parti. Dans un billet, il explique que cette décision lui a été imposée. Le passage en open source semble pour l’instant compromis.

Dans le monde des launchers, Nova est probablement le plus connu. Existant depuis plus d’une décennie, à l’époque où Android en était à Ice Cream Sandwich, il a tout de suite brillé par ses performances et ses fonctions. Nova s’est largement enrichi avec le temps, inspirant d’autres launchers à son tour.

Il semble cependant que Nova soit orphelin. En 2022, le produit avait été racheté par la société de statistiques Branch, qui n’a jamais dit vraiment en quoi cet achat pouvait lui être profitable (une version Prime à 3,99 euros existe avec des fonctions supplémentaires). À ce moment, un petit groupe de développeurs travaillait sur Nova, dont Kevin Barry, fondateur et développeur principal du projet.

Dans un billet daté du 6 septembre, Kevin Barry a pourtant annoncé son départ. Il explique qu’il lui a été demandé d’arrêter tout développement sur Nova et qu’il a depuis quitté Branch. Le destin du launcher semblait déjà compromis, car Barry était le seul à travailler dessus depuis un an. Sur le Play Store, la dernière mise à jour date du 18 mai 2024.

La promesse de l’open source

Outre l’abandon probable du projet, la question de son ouverture à l’open source est un sujet central. Comme Kevin Barry le rappelle dans son billet, plusieurs annonces avaient été faites en ce sens. Il cite les propos d’Alex Austin, fondateur et alors CEO de Branch : « Si Kevin devait un jour partir, il est prévu que le code soit open source et mis entre les mains de la communauté ».

Mais comme le développeur l’explique : « Au cours des derniers mois, j’ai préparé la version Open Source de Nova Launcher. Ce travail comprenait le nettoyage de la base de code, l’examen des licences, la suppression ou le remplacement du code propriétaire et la coordination avec le service juridique pour assurer une publication correcte. […] Cependant, on m’a finalement demandé d’arrêter de travailler sur Nova Launcher et l’effort d’open source ».

Branch a peut-être d’autres projets pour Nova, mais l’entreprise n’a pour l’instant rien dit. Une pétition pour le basculement de Nova Launcher en open source a été publiée sur Change.org, mais à l’heure où nous écrivons ces lignes, elle n’a recueilli que 3 775 signatures.

Un ralentissement général ?

De manière plus générale, certains se posent la question : les launchers Android vont-ils disparaitre ? Windows Central, qui évoquait hier le cas de Nova, notait que le launcher de Microsoft (anciennement Arrow) était lui aussi presque à l’arrêt. Il a bien reçu une petite mise à jour en juillet, mais rien de significatif depuis longtemps. Le produit est pourtant très apprécié.

Certains launchers sont pourtant bel et bien vivants. Parmi les plus appréciés, on pourrait citer par exemple Niagara et Smart Launcher, tous deux mis à jour très récemment. Citons également Hyperion, spécialisé dans la personnalisation de l’interface avec de multiples thèmes, ou encore Olauncher qui, au contraire, joue la carte du minimalisme.

  •  

Sur YouTube, le doublage automatique par l’IA loin de faire l’unanimité

I, Robot
Sur YouTube, le doublage automatique par l’IA loin de faire l’unanimité

Dans un billet publié hier soir, Google a annoncé le lancement officiel de sa fonction de doublage automatique à destination des créateurs de contenus américains. Une seule option permet de traduire la vidéo en d’autres langues. Mais l’outil fait débat, tout comme son intégration côté internautes.

En test depuis deux ans, le doublage automatique est officiellement disponible depuis hier soir. La fonction concerne d’abord les créateurs de contenus aux États-Unis, avec traduction automatique et synthèse vocale pour permettre un accès plus large des vidéos. Il ne s’agit donc pas d’une nouveauté, car le test avait été élargi en décembre 2024, de nombreuses vidéos étant doublées par l’IA.

(Quelques) chiffres à l’appui

« Désormais, lorsqu’un créateur YouTube aux États-Unis publie une nouvelle vidéo, en quelques instants, un fan en Corée, un fan au Brésil et un fan en Inde peuvent tous la regarder dans leur langue maternelle », s’enthousiasme Google dans sa communication. Le projet pilote a même permis de sortir un chiffre : en moyenne, un quart des vues sur les vidéos proviennent de personnes ayant une autre langue. YouTube indique même tester actuellement des miniatures multilingues « auprès d’un groupe restreint de créateurs ».

Pour bien montrer le potentiel de sa technologie (puisée dans Gemini), Google évoque la chaine du cuisiner Jamie Oliver, qui faisait partie de la phase de test. Selon l’éditeur, les pistes audio multilingues automatiques ont permis de multiplier par 3 le nombre de vues. La société cite également les créateurs MrBeast et Mark Rober, à qui ces pistes ont permis l’arrivée de « millions de téléspectateurs supplémentaires ». pour le second, YouTube a enregistré une moyenne de 30 langues téléchargées par vidéo.

La promesse est donc simple : ouvrir grand les portes de la population mondiale en supprimant la barrière de la langue. Mais cette disponibilité ne se fait pas sans froncer quelques sourcils.

« Sans âme »

Sans surprise, tout le monde n’est pas satisfait de cette génération. Sur Reddit notamment, on trouve de très nombreux commentaires sur ce changement. De nombreux internautes pestent contre les doublages automatiques pour diverses raisons, dont l’une des principales est que les voix, particulièrement monocordes, sont « désincarnées » et « sans âme ». Certaines personnes la jugent même « insupportable ». L’émotion et l’intonation passent au second plan.

Parmi les critiques, on retrouve aussi les erreurs de traduction. Ces erreurs se retrouvent jusque dans les titres, un point faisant grimacer nombre de personnes. Le problème s’amplifie avec la spécificité du sujet. Il existait déjà avec les sous-titres automatisés et prend une nouvelle ampleur avec le doublage. Vous êtes fan de Tolkien et aimez écouter des vidéos explicatives sur certains aspects particuliers de son univers ? Le doublage va écorcher de nombreux noms. Ces erreurs de « compréhension » peuvent produire des contresens. En outre, la traduction des titres ne permet pas de se rendre compte que l’on est sur le point de lancer une vidéo dans une autre langue.

« Certains titres traduits automatiquement n’ont aucun sens et ils perdent souvent le sens voulu par le créateur. Ça arrive aussi dans les descriptions et les chapitres des vidéos. À un moment donné, YouTube a décidé d’activer une voix IA qui est juste insupportable à écouter. Elle n’utilise pas les intonations correctement et prononce les mots avec un dialecte bizarre qui n’est pas parlé dans ma région », dit un internaute sur Reddit.

Les problèmes soulignés sont en fait les mêmes que depuis des mois. Par exemple, le doublage automatique casse l’ambiance sonore. Si la vidéo contient des musiques ou des sons particuliers, ils sont supprimés pour ne laisser que la piste vocale.

C’est comme ça

Le point le plus agaçant souligné dans les commentaires est que ce comportement n’est pas une option : il est actif par défaut. Pour chaque vidéo, il faut se rendre dans le menu des pistes audio et remettre la langue d’origine. Le problème est aggravé par l’absence totale dans les paramètres d’un réglage pour désactiver le doublage automatique, obligeant à répéter la manipulation pour chaque vidéo en anglais que l’on regarde.

Aucune option ne permet actuellement de désactiver le doublage automatique

« Ma langue maternelle est aussi le portugais, mais j’ai dû changer la langue de ma chaîne YouTube en anglais parce que je regarde principalement des vidéos en anglais et je ne veux pas écouter une voix d’IA horrible. Mais je regarde aussi des vidéos dans d’autres langues et elles sont parfois doublées en anglais. Mon Dieu, je déteste ça. Donnez-nous au moins la possibilité de désactiver ça dans les paramètres, comme on peut le faire pour les sous-titres », indique un internaute.

Plusieurs notent que la vision de Google ne semble pas intégrer les personnes bilingues ou ayant au moins une pratique suffisante d’une langue pour pouvoir l’écouter dans de nombreux cas. Solution adoptée par certaines personnes : basculer YouTube en anglais pour que les vidéos concernées restent en version originale. Problème, écouter des vidéos dans d’autres langues activera alors le doublage automatique vers l’anglais.

Le choix des youtubers

Rappelons que le doublage automatique n’est pas imposé à l’intégralité des contenus en anglais. Le choix revient à la personne détentrice de la chaine, qui active donc ou pas cette fonction. Derrière l’aspect pratique, la fonction pose cependant de nombreuses questions.

Certains affirment par exemple avoir renoncé à certaines chaines qui l’avaient activé partout, y compris sur les titres, donnant parfois des résultats « déformés » assimilés à un manque de respect. Une perte d’authenticité culturelle et d’unicité qui semble viser de nouveau la quantité au détriment de la qualité.

Côté métiers, les questions sont nombreuses, même parmi les créateurs de contenus. En janvier dernier par exemple, Benjamin Brillaud, de la chaine Nota Bene, racontait dans une vidéo tout le mal qu’il pensait de l’outil : « Le rendu de l’épisode était catastrophique. Il n’y avait plus d’incarnation, la pertinence des traductions laissait à désirer… ».

La généralisation du doublage automatique pose en outre question pour les métiers concernés. En juillet 2024, Brigitte Lecordier (célèbre voix, entre autres, de Son Goku et Son Gohan) demandait au micro de BFMTV : « Il faut que l’on se demande quelle société on veut pour nos enfants. Est-ce qu’on veut une société gérée par des robots, où le soir, un robot va leur lire une histoire pour aller dormir, ou la voix d’un comédien qui va raconter des belles choses et nous émouvoir ? ». Cette question de l’émotion revient désormais constamment dans les critiques formulées contre le doublage automatique.

Tous les créateurs de contenus ne sont d’ailleurs pas intéressés. Dans les propres commentaires de la vidéo d’annonce publiée hier soir par YouTube, beaucoup demandent ainsi que l’on puisse importer facilement ses propres pistes de doublage, plutôt que de laisser faire l’IA. En attendant, les personnes allergiques à ce doublage peuvent utiliser certains outils, comme l’extension YouTube No Translation disponible sur Chrome ou Firefox.

  •  

☕️ Windows 11 25H2 : l’image ISO disponible, Rufus s’adapte

Comme nous l’indiquions hier, la mise à jour « majeure » 25H2 est disponible dans le canal Release Preview pour les personnes inscrites au programme Insider (depuis Windows Update). C’est l’équivalent d’une release candidate, donc d’une version finale, à moins que des bugs gênants soient trouvés durant cette dernière période avant diffusion.

Microsoft avait promis que des images ISO seraient proposées pour tester plus facilement le système. Après un retard, elles ont finalement été publiées mercredi soir. On parle toujours bien d’une Release Preview, qui ne peut pour l’instant pas être considérée comme la version finale. Ces images sont proposées à des fins de tests, en simplifiant l’opération pour des installations natives ou en machines virtuelles.

Si ces images peuvent être utilisées telles quelles ou placées sur des clés USB via l’utilitaire de Microsoft, Rufus vient d’être lui aussi mis à jour. Dans une nouvelle version publiée hier soir, l’outil de préparation des clés USB annonce sa compatibilité avec la mise à jour 25H2 dans sa dernière révision 4.10 en bêta. Cette mouture ajoute d’ailleurs la prise en charge du thème sombre et corrige plusieurs bugs.

  •  

☕️ Cybersécurité : le projet de loi Résilience adopté à l’unanimité en commission spéciale

Le projet de loi, validé par le Sénat en mars, franchit une nouvelle étape. Il transpose pour rappel dans le droit français les directives européennes NIS2, DORA et REC. Le texte est donc particulièrement attendu, car il doit entrainer une hausse significative du niveau général de cybersécurité.

À l’Assemblée nationale, son adoption s’est faite hier soir à l’unanimité en commission spéciale. Le projet est mené par Eric Bothorel, rapporteur général du texte, et Philippe Latombe, président de la commission. Ce dernier a d’ailleurs fait adopter un amendement visant à sanctuariser le chiffrement de bout en bout dans l’article 16 bis :

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme permettant un accès non consenti aux données protégées »

Dans sa formulation, cet amendement est une réponse directe à l’aventure législative de la proposition de loi Narcotrafic. Comme nous l’avions indiqué, Bruno Retailleau, alors ministre de l’Intérieur, tentait de faire autoriser des techniques dites du « fantôme ». Sans être techniquement des portes dérobées, elles auraient entrainé elles aussi un affaiblissement du chiffrement de bout en bout. L’amendement, en abordant les « accès non consentis », doit empêcher tout retour de ces tentatives.

Le texte va continuer son parcours législatif, rendu plus complexe désormais par le changement de gouvernement.

  •  

☕️ Spotify a enfin son mode Lossless

Après des années de rumeurs et de teasing, le mode Lossless (sans pertes) est désormais disponible dans Spotify, mais pas partout. Les premiers pays concernés incluent les États-Unis, le Royaume-Uni, le Japon, l’Australie, ainsi que plusieurs pays d’Europe comme l’Allemagne et le Portugal. La France n’est pas encore dans la liste, mais Spotify précise dans son annonce que plus de 50 pays auront le nouveau mode dans les semaines qui viennent.

Les personnes ayant un abonnement Premium recevront une notification pour les prévenir de l’activation. Après quoi, le mode Lossless sera accessible dans les réglages de l’application comme une nouvelle option dans le choix de la qualité. On pourra choisir le nouveau venu dans les trois types d’accès : cellulaire, Wi-Fi et téléchargements. Le Lossless est donc fourni sans surcoût.

Pour cette dernière, Spotify a fait le choix du FLAC en 24 bits et 44,1 kHz. C’est du moins la qualité maximale. Selon les titres, il s’agira en fait de 16 ou 24 bits. Spotify affichera cette information, ainsi qu’une estimation de la consommation de données avec cette qualité. En 24 bits, la valeur indicative est de 1 Go par heure d’écoute. De même, les téléchargements en Lossless prendront nettement plus de place.

Techniquement, des services concurrents montent plus haut en qualité. Tidal et Qobuz utilisent le FLAC Hi-Res et peuvent ainsi grimper jusqu’au 24 bits 192 kHz. Apple Music a fait le même choix. Pour détecter une différence, il faut cependant un matériel adapté et une oreille entrainée. Spotify précise d’ailleurs que le Lossless n’est exploitable qu’avec des écouteurs filaires ou des enceintes sans fil exploitant autre chose que le Bluetooth (trop limité en bande passante).

La plupart des produits estampillés Spotify Connect sont censés être compatibles. Spotify ajoute que la compatibilité sera étendue prochainement aux appareils Sonos et Amazon, mais sans plus de précisions.

  •  

Windows 11 : la drôle de mise à jour annuelle 25H2

Pleine de vide
Windows 11 : la drôle de mise à jour annuelle 25H2

La mise à jour annuelle de Windows 11 sera bientôt là. Nommée très logiquement 25H2, elle affiche pourtant cette fois une différence conséquente avec les précédentes : elle ne contient aucune nouvelle fonction.

Chaque année, à l’automne, Microsoft met à disposition une mise à jour majeure pour Windows 11. Un rythme simplifié par rapport à ce qui existait sous Windows 10, du moins pendant une bonne partie de sa carrière.

Ces mises à jour majeures ont deux grandes caractéristiques. D’une part, elles apportent habituellement un lot très conséquent de nouvelles fonctions. Leur poids est donc élevé, l’installation prend du temps et les incompatibilités peuvent se révéler nombreuses. Ce fut notoirement le cas de la version 24H2. D’autre part, elles prolongent à chaque fois le support technique. Chaque mise à jour relance ainsi le compteur de deux ans pour les éditions Famille et Pro, et de trois ans pour les moutures Enterprise et Education.

Comme toujours en cette saison, la nouvelle mise à jour majeure de Windows 11 est donc en approche. Depuis peu, il est possible de la tester dans le canal Release Preview, si l’on s’est inscrit aux préversions du système (dans Windows Update). Pourtant, si vous faites la manipulation, vous serez sans doute surpris : l’installation est très rapide et, après le redémarrage, il ne se passe rien de particulier.

Comment ça « rien » ?

Pour comprendre cette bizarrerie, il faut se replonger dans un ancien billet de blog de Microsoft, publié le 27 juin. On y apprenait que la version « majeure » 25H2 du système serait proposée sous forme d’un Enablement Package (eKB).

Plus précisément, Microsoft explique que sa technologie visant à proposer des mises à jour a évolué. Windows Update peut ainsi combiner des mises à jour pour la pile de services (SSU) et les dernières mises à jour cumulatives (LCU), aboutissant à une réduction du poids d’environ 40 %. La même technique peut être utilisée pour la branche de service. Celle-ci définit, dans les grandes lignes, la base fonctionnelle présente dans une version donnée de Windows.

S’il ne fallait retenir qu’une explication, c’est que les versions 24H2 et 25H2 de Windows 11 partagent la même branche de service. Les récentes nouveautés fonctionnelles ou celles sur le point de sortir (nous y allons y revenir) sont proposées sur les deux versions. Installer la 25H2 n’activera donc aucune nouveauté spécifique, car elles sont (ou seront) toutes disponibles sur la 24H2.

Oui, non, peut-être

C’est ce qui explique d’ailleurs l’installation rapide de la 25H2, comme on peut le vérifier dans le canal Release Preview. Mais attention : ce processus rapide n’est valable que si vous êtes déjà en 24H2. Si vous venez d’une branche plus ancienne, comme la 23H2, l’installation sera « classique », donc longue.

« Windows 11 version 24H2 et version 25H2 partagent le même code source, seules les fonctionnalités supplémentaires sont activées. Par conséquent, il ne devrait pas y avoir d’impact sur la compatibilité entre les deux. Cela ne signifie pas que vous ne devriez pas tester, mais vous pouvez concentrer vos tests sur les nouvelles fonctionnalités plutôt que sur la compatibilité d’un complément de système d’exploitation, d’applications ou d’appareils », explique Microsoft.

Mais comment ça, des « fonctionnalités supplémentaires » ? Microsoft parle ici en termes génériques, qui ne s’appliquent pas spécifiquement à la version 25H2. En pratique, cette dernière n’est rien censée apporter de neuf, mais son installation peut faire apparaitre quand même de nouvelles fonctions. Il s’agit simplement de nouveautés « dormantes », que l’installation réveille sur certaines machines. À terme, toutes les nouveautés seront ainsi « éveillées » partout, que la machine soit en 24H2 ou 25H2. Seul facteur de différenciation : le type de PC utilisé, selon qu’il est Copilot+ ou non.

Comme toutes les versions majeures, la 25H2 ne sera pas obligatoire au début. Windows Update se contentera d’indiquer sa disponibilité, sans rien forcer dans un premier temps. Six mois plus tard, quand la 24H2 commencera à approcher de sa fin de support, le système se fera plus pressant. Cela signifie aussi que les nouvelles fonctions de Windows 11 seront distribuées sur les deux versions, puisqu’elles partagent la même branche de service.

Les nouveautés en approche

A priori, la version 25H2 est donc surtout là pour relancer le compteur du support de deux ans (ou trois sur certaines versions). On ne sait pas exactement ce qui a décidé à Microsoft à aborder cette version sous cet angle, mais la fin de Windows 10 y est peut-être pour quelque-chose. La décision d’en rester à la date du 14 octobre s’est révélée très impopulaire et il est possible que l’éditeur veuille faire le moins de vagues possible avec son Windows 11, qui n’a jamais réellement déclenché l’enthousiasme des foules.

On trouve ainsi des apports plus ou moins importants. Par exemple, on peut afficher l’horloge dans la zone de notifications, au-dessus du calendrier. Une fonction de Windows 10 qui avait disparu. La recherche depuis le menu Démarrer affiche désormais les photos sous forme de grille. Windows indique par ailleurs quand les données sont toujours en cours d’indexation et que les résultats sont peut-être incomplets.

Le panneau des widgets reçoit plusieurs nouveautés intéressantes. Le design général évolue et propose plus d’options. Surtout, on peut maintenant créer des tableaux de bords personnalisés. L’outil permet d’aller sur le Store pour en récupérer d’autres, mais la section ne contient pour l’instant que celui de Microsoft. On peut en outre sélectionner maintenant quels widgets apparaissent sur l’écran verrouillé.

Signalons aussi une évolution importante de Windows Hello, avec une révision des interfaces. Objectif, mieux faire comprendre ce qui est en train de se passer. L’accent est mis sur le type d’authentification réclamé, avec une mention claire des clés d’accès quand c’est le cas.

Le gestionnaire des tâches reçoit en outre une nouvelle colonne optionnelle « Utilitaire de processeur total sur les cœurs ». On peut l’activer depuis l’onglet Détails, la colonne affichant alors un taux d’utilisation du processeur qui se veut plus en phase avec les mesures standard de l’industrie.

Du neuf pour les PC Copilot+

Certaines nouveautés sont réservées aux PC Copilot+. Ainsi, l’écran d’accueil de l’application Recall a été complètement remanié pour simplifier l’accès aux données. Rappelons que Recall, après sa réécriture, réclame maintenant une authentification biométrique pour tout accès.

Click to Do se dote pour sa part d’un tutoriel interactif, une bonne idée car ses possibilités sont nombreuses. Click to Do est pour rappel l’un des apports les plus populaires des PC Copilot+. En maintenant la touche Windows enfoncée, on peut cliquer n’importe où pour sélectionner un texte, une image ou autre. L’outil permet alors de déclencher toutes les actions liées, quelle que soit l’origine du contenu, par exemple du texte présent dans une image.

Les paramètres de Windows se dotent également d’un agent IA permettant de décrire ce que l’on cherche, plutôt que de trouver le nom précis de la fonction. Les résultats se veulent donc plus souples, mais peuvent également faire apparaitre des réglages directement dans la liste. Par exemple, écrire « mon curseur de souris est trop petit » fait apparaitre plusieurs réglages, dont la réglette pour modifier la taille du curseur. Cette fonction était disponible uniquement sur PC Copilot+ équipés de puces Snapdragon, mais prend désormais en charge les processeurs AMD et Intel compatibles.

Là encore, ces nouveautés sont censées apparaitre avec la dernière mise à jour mensuelle. Si elle n’a pas été installée, elles pourront être activées par la 25H2.

  •  

[MAJ] GLF OS, Linux spécialisé dans le jeu vidéo, est disponible en version finale

Brave new world
[MAJ] GLF OS, Linux spécialisé dans le jeu vidéo, est disponible en version finale

La distribution GLF OS, axée sur le jeu vidéo, est désormais disponible en version finale. Dans ce premier article, nous allons présenter les grandes lignes du système. Dans un deuxième temps, nous ferons une prise en mains de GLF OS et nous pencherons plus généralement sur le jeu vidéo sur Linux.

Mise à jour du 10 septembre :

La version finale de GLF OS vient d’être mise en ligne. Comme nous l’indique Vinceff, à l’origine du projet, cette mouture corrige de nombreux bugs et apporte diverses améliorations, dont des optimisations dans le noyau.

On note également quelques nouveautés, comme l’arrivée d’un alias permettant de voir la dernière mise à jour installée, l’ajout d’un écran de bienvenue pour guider les nouveaux utilisateurs, le support du VRR dans la version GNOME, ou encore l’ajout de plusieurs extensions.

Pour les personnes qui avaient installé la bêta, l’arrivée de la version finale se fera comme n’importe quelle autre mise à jour. Sur le serveur Discord de la distribution, on peut lire qu’un ou deux redémarrages peuvent être nécessaires. Les utilisateurs ayant choisi la variante « rolling » seront basculés sur la branche testing le 17 septembre. À cette date, cette dernière passera automatiquement sur la version N+1 de la distribution. La documentation fournit une méthode pour passer de stable à testing ou inversement sans réinstallation du système.

Les évolutions du système se feront désormais au rythme d’une version par saison. La prochaine arrivera donc dans environ trois mois.


Article originel du 4 juin :

Le jeu vidéo représente souvent une barrière au changement d’environnement. Sur PC, l’immense majorité des titres ne sont disponibles que sous Windows, quelle que soit la boutique utilisée pour y jouer. Il est plus simple de trouver des équivalents Linux pour la plupart des applications que de faire fonctionner ses jeux préférés. Du moins, ce fut le cas pendant longtemps.

La situation a sérieusement commencé à évoluer ces dernières années, sous l’impulsion de Valve particulièrement. Le projet Proton, issu d’un fork de Wine, est désormais au cœur d’une offensive de l’éditeur dans le monde du jeu vidéo. Il est pleinement intégré à Steam OS, que l’on retrouve surtout sur la console portable Steam Deck. Celle-ci ayant connu un grand succès commercial, elle a fait des émules, entrainant une réflexion nouvelle sur la possibilité de jouer sur Linux. GLF OS arrive donc à un tournant intéressant.

Une naissance simple

Vinceff, très impliqué dans la communauté Linux avec notamment de nombreuses vidéos tutos, est l’initiateur de GLF OS (dépôt GitHub). Comme il nous le raconte, il était utilisateur de Mageia. Il avait basculé sur Linux après une énième mise à jour problématique de Windows 10 et s’était rendu compte que ses jeux principaux fonctionnaient sur la distribution. C’est dans ce contexte qu’il commence à proposer des vidéos.

Rapidement, la chaine YouTube gagne des dizaines d’abonnés. Quand le cap des 250 est franchi, Vinceff décide d’ouvrir un serveur Discord pour favoriser les discussions. Il le nomme simplement Gaming Linux FR et les personnes affluent, aussi bien des « sachants » que d’autres, intéressées par le thème et cherchant des réponses à des problèmes pratiques.

Le Discord, créé pendant la crise sanitaire, compte aujourd’hui plus de 3 300 membres. Aucune distribution n’est privilégiée, la thématique étant l’entraide sur le thème général du jeu sur Linux. L’idée est cependant venue d’une distribution qui serait entièrement tournée vers le jeu, en facilitant la prise en main et en donnant immédiatement accès aux outils courants. Le projet a été nommé GLF OS, GLF étant une simple contraction de Gaming Linux FR.

Le système est aujourd’hui le résultat d’un travail d’équipe, comprenant des contributions de plusieurs dizaines de développeurs, le cœur de l’équipe étant constitué d’une petite vingtaine de personnes. Le projet, lui, est codirigé par Vinceff et Cammi.

Une base NixOS

Un grand nombre de distributions sont basées sur Debian ou Ubuntu. GLF OS a regardé ailleurs : vers NixOS. Cette distribution Linux ne date pas d’hier, puisque le projet de recherche qui lui a donné naissance date de 2003. Le système a même sa propre fondation depuis 2015.

NixOS est avant tout basée sur le gestionnaire de paquets Nix. Tout se fait par une configuration déclarative : on écrit dans un fichier texte ce que l’on souhaite, et le gestionnaire construit le système à partir de ces informations. C’est autant le cas pour l’installation initiale que pour les mises à jour.

Comme nous l’explique Vinceff, cette approche déclarative est couplée à une gestion transactionnelle des configurations. Les mises à jour sont donc atomiques, ce qui signifie – dans les grandes lignes – que les opérations liées créent une nouvelle image du système, sur laquelle l’utilisateur ne bascule réellement qu’au redémarrage suivant, si aucune erreur n’a été détectée. Ce mécanisme permet une fiabilité généralement plus élevée, car l’image utilisée est en lecture seule. L’atomicité a particulièrement le vent en poupe depuis quelques années, notamment chez Fedora.

NixOS propose toujours deux versions par an, en mai et novembre. La numérotation des versions est la même que pour beaucoup de distributions : l’année suivie du mois. La toute fraiche version 25.05 désigne ainsi la version « mai 2025 ». Le système est disponible en deux branches, stable et unstable. Pour ses objectifs, GLF OS compose avec les deux, comme nous le verrons.

GLF OS : premier contact

L’installation de GLF OS ne réserve aucune surprise. L’environnement par défaut est GNOME, mais l’installateur permet de changer pour KDE. Pour le reste, on est sur la liste habituelle des questions pour cette étape, avec choix du partitionnement, création du temps, sélection du fuseau horaire, etc.

Il y a quand même une étape importante : le choix de l’édition. Par défaut, « Standard » installe la version complète du système pensée pour le jeu vidéo, qui réclame environ 20 Go d’espace libre. Il s’agit d’une suite complète, avec notamment Firefox en navigateur par défaut et LibreOffice pour la bureautique. On peut également choisir une installation minimale, fournie presque sans aucune application. Deux autres éditions sont proposées. La première, Studio, est orientée vers tout ce qui touche à la création graphique. La seconde est une variation intégrant Da Vinci Resolve (une licence est nécessaire).

L’installation (Standard dans notre cas) est un peu plus longue que pour une distribution ordinaire, NixOS ayant besoin d’un peu plus de temps pour construire le système, à partir des scripts propres à GLF OS. Au redémarrage, le bureau est très classique. Bien qu’il s’agisse d’une base GNOME modifiée, notamment pour avoir un dock affiché en permanence (via Dash to Dock), elle ne choquera pas longtemps une personne venant de n’importe quelle autre distribution GNOME.

L’un des éléments peut-être les plus « étranges », c’est l’absence apparente de gestion des mises à jour. Le système s’en occupe en fait seul et envoie simplement une notification pour indiquer qu’une opération est terminée. Dans ce cas, les changements ne seront pas appliqués tant que GLF OS n’aura pas redémarré. Le redémarrage n’est jamais suggéré.

En outre, l’installation d’applications supplémentaires se fait via Flatpak et passe par Easy Flatpak. L’approche générale de GLF OS se veut résolument moderne : un système atomique et des conteneurs logiciels.

Le jeu vidéo comme spécialité

GLF OS étant spécialisée dans le jeu vidéo, la distribution contient plusieurs applications dédiées à cet usage. Déjà, les personnes ayant un PC équipé d’un GPU NVIDIA auront la bonne surprise de constater que ce dernier est détecté et que l’installation des pilotes correspondants est automatique.

Côté logithèque, on retrouve bien sûr Wine et Proton, tous deux disponibles dans leur dernière révision. La distribution propose également trois applications cruciales : Steam évidemment, ainsi que Lutris et Heroic. Les deux dernières sont des clients capables de se connecter à des comptes Steam, Ubisoft, EA, Epic, GOG ou encore Amazon. De là, ils permettent l’accès aux jeux en créant un environnement préconfiguré pour permettre leur lancement grâce à Proton.

Dans cet esprit d’une plateforme pensée pour le jeu vidéo, on trouve tout un ensemble de modifications et d’ajouts. Par exemple, la base du système repose sur la branche stable de NixOS (GNOME, KDE, Wayland, Pipewire, pilotes NVIDIA…), mais tout ce qui nécessite des mises à jour régulières s’appuie sur la branche unstable. C’est le cas pour toutes les applications en lien avec le jeu vidéo comme Steam, Heroic Games Launcher, Lutris, Proton, Mesa et autres.

GLF OS apporte en outre ses propres modifications, dont le kernel qui est une version 6.14 modifiée pour régler certains soucis de compatibilité, notamment avec le Ryzen 9800 X3D d’AMD. L’équipe a également intégré des paquets pour étendre le support des volants de jeu (ThrustMaster, Fanatec et Logitech) et des manettes (Xbox, PlayStation, Switch et 8bitdo).

Nous aurons l’occasion de revenir sur le sujet avec une prise en main concrète et un retour d’expérience sur ce qu’est le jeu vidéo sur Linux aujourd’hui. En attendant, la bêta de GLF OS peut être téléchargée depuis son site officiel.

  •  

☕️ Apple lancera les versions 26 de ses plateformes le 15 septembre

Évènement de rentrée oblige, Apple a confirmé l’arrivée de ses nouvelles plateformes pour le 15 septembre. Les release candidates ont d’ailleurs été mises en ligne hier soir pour les personnes ayant activé les bêtas. Si tout se passe bien, il s’agit donc des versions qui seront proposées la semaine prochaine.

Les versions 26 d’iOS/iPadOS, macOS, watchOS et tvOS se distinguent par une longue liste de nouveautés, dont la plus visible est la nouvelle interface Liquid Glass qui a tant fait couler d’encre. Comme souvent, c’est iOS qui concentre le plus d’apports, avec une nouvelle application Téléphone, du neuf dans Messages, une nouvelle app pour les jeux vidéo, l’intégration d’Aperçu (lecteur/éditeur PDF), la traduction en direct, ou encore la traduction des paroles et AutoMix dans Apple Music.

Un aperçu d’iOS 26 selon Apple

iPadOS 26 reprend les mêmes nouveautés et en ajoute une majeure : un débrayage presque complet sur la gestion des fenêtres, similaire désormais à ce que propose macOS. On peut ainsi créer une fenêtre avec n’importe quelle app (en la redimensionnant depuis le coin inférieur droit), la déplacer librement, la contrôler avec les trois pastilles de couleur, etc. Les capacités d’agencement (tiling) sont également là, comme la barre de menus et le mode Exposé.

Côté macOS Tahoe, on note l’arrivée de l’application Téléphone complète, qui remplace FaceTime. Tahoe récupère également les activités en direct, mais les vraies « stars » de cette version sont Spotlight et Raccourcis. Le premier devient ainsi une palette de commandes pour accéder à tout et n’importe quoi, avec possibilité d’ajouter des actions rapides personnalisées. Apple Intelligence est utilisé pour suggérer des actions. Même chose pour Raccourcis, qui peut puiser dans l’IA pour suggérer des actions souvent effectuées. Toutes les fonctions du bouquet de services peuvent d’ailleurs être reprises dans Raccourcis.

Les nouveautés sur watchOS et tvOS sont moins nombreuses, avec des améliorations dans certaines applications et bien sûr l’arrivée de Liquid Glass.

Même s’il s’agit de release candidates, les bugs sont toujours possibles, d’autant plus avec des versions majeures intégrant une longue liste de nouveautés. Attention donc si vous choisissez d’installer ces versions sur vos appareils.

  •  

☕️ La fondation Mozilla satisfaite que Google ne soit pas démantelée

Dans un billet de blog publié mardi soir, la fondation Mozilla revient sur la récente décision de justice américaine contre Google. L’entreprise avait perdu et seul restait à prononcer l’ensemble des mesures correctrices dans le domaine de la recherche. Pour rappel, le ministère américain de la Justice (DoJ) réclamait la scission de Chrome et Android, ce que le juge Amit Mehta a finalement refusé.

Ce qui intéresse particulièrement la fondation, c’est la décision concernant les accords financiers pour mettre en avant le moteur de recherche de Google. Le juge a en effet décidé que la firme pouvait tout à fait continuer à payer des structures pour que son moteur soit configuré par défaut dans un ou plusieurs produits. On avait appris par exemple qu’Apple recevait 20 milliards de dollars par an pour propulser Google dans Safari.

Logo de la fondation Mozilla

La fondation Mozilla bénéficie également d’un tel accord. En mars, elle avait d’ailleurs publié un billet dans lequel elle dévoilait une position ambivalente. Sans le dire ainsi, Google était dépeinte comme un mal nécessaire, une entreprise immense dont les accords permettaient aussi bien la préservation d’un certain web ouvert, mais également – et c’est ce qui intéressait surtout Mozilla – d’une alternative à Blink (Chrome) et WebKit (Safari) avec son moteur Gecko.

La fondation se montre donc satisfaite de la décision de justice, notant que le juge a cité son témoignage pendant le procès. « S’assurer que Gecko de Mozilla – le seul moteur de navigateur indépendant restant – peut continuer à concurrencer Google et Apple est vital pour l’avenir du Web ouvert », lance la fondation.

Cette dernière se montre cependant prudente sur l’efficacité des autres mesures envisagées, selon une expérience forgée dans des affaires antitrust précédents et dans l’application du DMA en Europe (Mozilla ne précise pas sa pensée). Outre l’efficacité, la fondation cite d’autres points de surveillance : la protection de la vie privée, la sécurité des utilisateurs, ainsi que le transfert « du pouvoir d’un géant de la technologie à un autre ».

Enfin, elle affirme que son engagement en faveur d’un internet ouvert ne changera pas. La fondation ne dit rien en revanche de l’autre affaire antitrust de Google, la société ayant récemment déclaré au tribunal que le « web ouvert est en déclin rapide ».

  •  

Évoquant un « web ouvert en déclin rapide », Google s’emmêle les pinceaux

Essor, déclin, c'est pareil
Évoquant un « web ouvert en déclin rapide », Google s’emmêle les pinceaux

En avril, un tribunal fédéral américain a statué que Google avait construit un monopole illégal dans le domaine de la publicité en ligne. Désormais, l’entreprise lutte contre la menace d’une séparation de ses activités publicitaires. Dans son argumentaire, elle évoque un marché chamboulé par l’IA et défend son modèle, pour soutenir un « web ouvert en déclin rapide ».

Mi-avril, Google perdait un important procès. Pour la justice américaine, l’entreprise avait bel et bien construit un monopole illégal sur la publicité en ligne. Le mois suivant, le ministère de la Justice (DoJ) réclamait un démantèlement partiel de Google, avec une séparation des activités de publicité dans une structure indépendante. Le DoJ a fait d’autres propositions en ce sens sur une autre affaire, demandant que Google se sépare de Chrome et Android. Un juge en a récemment décidé autrement.

Comme repéré par Search Engine Roundtable, Google se bat actuellement pour convaincre le juge chargé de l’affaire de ne pas toucher à son organisation. Dans les grandes lignes, Google estime que le marché de la publicité est bouleversé par l’IA, que les forces de ce marché sont suffisantes pour rebattre les cartes, et qu’une décision du tribunal ferait plus de mal que de bien.

Un web ouvert en déclin rapide ?

Pour Google, le monde a largement changé depuis le dépôt de plainte en janvier 2023. La firme insiste : dans tous les développements de l’affaire, les plaignants présentent les mêmes arguments, « comme si l’écosystème incroyablement dynamique de la technologie publicitaire était resté immobile pendant que ces procédures judiciaires se poursuivaient ».

« Mais les changements ont été nombreux : l’IA remodèle la technologie publicitaire à tous les niveaux ; Les formats publicitaires d’affichage Web non ouverts tels que la télévision connectée et les médias de détail explosent en popularité ; et les concurrents de Google orientent leurs investissements vers ces nouveaux domaines de croissance », indique l’entreprise dans un document remis au tribunal (PDF).

Google abat alors son maître argument : « Le fait est qu’aujourd’hui, le Web ouvert est déjà en déclin rapide et que la proposition de désinvestissement des plaignants ne ferait qu’accélérer ce déclin, nuisant aux éditeurs qui dépendent actuellement des revenus publicitaires de l’affichage sur le Web ouvert ».

Une nuance inutile

La mention d’un web ouvert en rapide déclin n’a pas manqué de faire réagir, la presse américaine s’étant largement emparée du sujet. Cependant, comme signalé par Ars Technica et The Verge notamment, Google a rapidement contacté certaines rédactions pour préciser sa pensée. De même, Dan Taylor, vice-président des activités publicitaires, a directement répondu à Barry Schwartz (Search Engine Roundtable) sur X.

Pour Dan Taylor, il est ainsi « clair que Google fait référence à la publicité display sur le web ouvert et non au web ouvert dans son ensemble ». « Comme vous le savez, les budgets publicitaires dépendent du temps passé par les utilisateurs et les marketeurs constatent des résultats, de plus en plus dans des domaines comme la télévision connectée, les médias grand public, etc. », a ajouté Dan Taylor. « Je ne pense pas que cela fasse la moindre différence », a répondu Barry Schwartz, tout en précisant que la réaction de Google avait été ajoutée à l’article d’origine.

Si l’argument fait réagir, c’est que Google soutient que ses publicités sont essentielles pour le web ouvert. Accéder aux demandes du ministère de la Justice et séparer les activités publicitaires nuirait à ces dernières. Par effet boule de neige, de nombreux éditeurs en pâtiraient, alors que l’activité se déplace vers le web fermé, selon Google.

Tout va très bien

Or, comme le pointe notamment Ars Technica, l’arrivée de l’IA change justement la donne. Google a dit et répété que ses résumés IA dans les résultats de recherche ne risquaient pas de faire diminuer le trafic des sites dont les informations étaient extraites.

En juillet cependant, une étude publiée par le Pew Research Center semblait pointer au contraire vers une baisse importante. Google s’était défendue, assure que le nombre de clics était « relativement stable ». L’entreprise n’a jamais publié de chiffres pour appuyer ses affirmations.

Comme largement noté par la presse outre-Atlantique, le distinguo entre web ouvert et publicités sur le web ouvert est au mieux ténu. Beaucoup évoquent un lien de proportionnalité : si le web ouvert était dans un état sain, la publicité suivrait. Or, les documents de Google montrent que ce sont les publicités intégrées aux applications qui connaissent le développement le plus significatif. Y compris les propres applications de Google.

Carambolage

De plus, évoquer un « déclin rapide » contredit directement les propos tenus en juin par l’un des vice-présidents de Google, Nick Fox, comme relevé par la BBC. « De notre point de vue, le Web est en plein essor », affirmait alors le responsable. « Il n’y a probablement pas d’entreprise qui se soucie plus de la santé et de l’avenir du Web que Google ».

Nick Fox indiquait alors que les robots d’exploration de Google avaient enregistré une hausse de 45 % des contenus indexables depuis janvier 2023. Aucune précision n’est donnée sur ces derniers, mais Ars Technica pose la question : ne s’agirait-il pas de l’explosion des contenus générés par IA ?

La défense de Google laisse transparaitre un délicat numéro de funambulisme sur le fil du rasoir. Il semble compliqué désormais d’entretenir l’image d’un web ouvert en pleine santé, alors que la firme fournit à la fois des services digérant l’information aux internautes et des outils pour le faire aux entreprises. Les courbes publiées par le Wall Street Journal en juin sur la fréquentation de plusieurs gros sites d’informations laissaient peu de doutes sur l’évolution.

  •  

☕️ Signal lance ses sauvegardes sécurisées, avec une option payante pour la première fois

Signal a annoncé hier soir une fonction très attendue par de nombreux utilisateurs : les sauvegardes sécurisées en ligne. Présentes uniquement dans la version bêta de l’application Android pour l’instant, elles permettent – une fois activées – de déclencher une sauvegarde automatisée quotidienne. Celle-ci pouvait déjà se faire localement, Signal passe cette fois à la synchronisation en ligne, pour les cas où l’appareil serait cassé, perdu ou volé.

Dans son billet de blog, la fondation Signal explique plusieurs points. Tout d’abord, il s’agit d’une option. Un choix qui découle du fonctionnement de ces sauvegardes, car elles sont sécurisées et chiffrées de bout en bout. L’activation de cette fonction génère une clé de récupération de 64 caractères, requise obligatoirement pour déverrouiller les données.

Si la clé est perdue, les données ne pourront pas être récupérées. La fondation indique qu’elle ne pourra rien faire dans ce cas. Un risque inhérent au chiffrement de bout en bout et que l’on retrouve dans d’autres catégories d’applications et services, comme les gestionnaires de mots de passe. Attention donc à la manière dont vous stockerez cette clé.

Ensuite, la sauvegarde n’est pas illimitée et fonctionne sur un modèle freemium. Dans sa version gratuite, elle permet de stocker jusqu’à 100 Mo de texte (la fondation estime que c’est largement suffisant, même pour les gros utilisateurs) et les médias échangés durant les 45 derniers jours.

Les personnes en voulant plus pourront souscrire une option payante à 1,99 dollar par mois. C’est la première fois que Signal se dote d’une fonction payante. La fondation explique à ce sujet que le stockage est onéreux et qu’il n’était pas possible de faire autrement. Avec l’option, le stockage passe à 100 Go, ce qui laisse voir venir.

Dans son billet, la fondation précise que les versions iOS et desktop seront bientôt équipées de la même fonction. En outre, « la technologie qui sous-tend cette version initiale des sauvegardes sécurisées servira également de base à des options de sauvegarde plus sécurisées dans un avenir proche ». Signal sera ainsi capable d’enregistrer la copie de sauvegarde où on le souhaite. En outre, Signal prévoit enfin de transférer l’historique des messages entre les appareils.

  •  

KDE a désormais sa propre distribution officielle, KDE Linux

KDE live ! Yeah !
KDE a désormais sa propre distribution officielle, KDE Linux

L’équipe de développement de KDE a lancé hier soir sa distribution officielle, en version alpha. Elle se veut l’implémentation de référence pour les aficionados de l’environnement et les développeurs.

Avec GNOME, KDE est l’autre grand environnement de bureau que l’on trouve sur les systèmes Linux. Bien qu’il soit courant, la distribution KDE Neon s’est fait une spécialité depuis des années de fournir un environnement KDE sans modification. Cette distribution, bâtie par la communauté, est basée sur les moutures LTS d’Ubuntu.

Si connue soit-elle, Neon n’est cependant pas la distribution « officielle » de KDE. Et justement, du côté de l’environnement, l’équipe en charge du projet vient d’annoncer son propre système. Nommé sobrement KDE Linux, il ambitionne d’être « sûr, facile à maintenir, fonctionnel et moderne ». Il se veut « le meilleur choix pour une utilisation à domicile, les postes de travail d’entreprise, les institutions publiques, la pré-installation sur les ordinateurs que vous pouvez acheter, et plus encore ».

Immuable et moderne

Les choix techniques de l’équipe sont très différents de KDE Neon. KDE Linux se sert en effet d’Arch Linux comme base, avec un fonctionnement en rolling release et immuable. En grande majorité, les applications sont fournies sous forme de Flatpaks, sauf pour quelques applications KDE centrales comme Dolphin, Konsole, Spectable, Ark ou encore les paramètres système.

Crédits : PointieStick

La distribution se veut donc moderne, avec une approche idoine, comme on peut en retrouver sur des systèmes globalement proches, comme Fedora Kinoite. Les choix de certaines technologies par défaut suivent la même trajectoire : Wayland pour la session, Btrfs pour le système de fichiers, PipeWire pour le son, etc.

Le système n’est pour l’instant disponible que sous forme alpha et est donc loin d’être terminé. Il s’adresse uniquement aux ordinateurs équipés de processeurs Intel ou AMD compatibles UEFI. Secure Boot n’est pas encore supporté et le système n’accepte pas les pilotes NVIDIA pour tous les GPU ayant précédé la GeForce GTX 1630. Précisons enfin que la distribution n’est livrée avec aucun gestionnaire de paquets et que toutes les installations d’applications se font via Discover.

Réservée aux testeurs

Cette première préversion ne sera également pas toujours simple à tester, car elle est fournie sous forme d’un fichier RAW et non ISO. Il faut déjà avoir un ordinateur avec un système équipé de KDE pour créer la clé USB qui servira à l’installation. L’utilisation en machine virtuelle n’est pour l’instant pas supportée.

Enfin, l’équipe de développement précise que le système est dans un état très brut. Elle prévient : les bugs seront nombreux. Elle demande d’ailleurs à ce que les bugs ne soient pas remontés pour l’instant, car le système est mis à jour quotidiennement.

  •