Des fuites d'info dans les .doc et les .pdf (et un peu de DRM)

[Benoît Sibaud <bsibaud AT april.org>]

Bonjour,

une fois n'est pas coutume, je vais citer un de mes textes où je regroupe
diverses infos sur un sujet donné :
http://oumph.free.fr/textes/format_msword.html

Les parties qui nous intéressent ici (voir les liens dans le document
original) : 
«
ce format pose des problèmes de confidentialité : « Un document Microsoft
Word peut fournir divers types de renseignements. Il contient notamment
des informations sur son auteur. Il comprend, par défaut, son nom, celui
de son entreprise, les dates et heures de la création et des dernières
sauvegardes du fichier ainsi que le temps passé à l'éditer. Il peut aussi
révéler le nom de la machine sur laquelle il a été créé, une partie de
l'arborescence du disque dur de l'auteur, voire des informations sur la
topologie du réseau interne son entreprise ainsi que le Global Unique
Identifier (GUID, identifiant unique attribué lors de l'enregistrement du
système). Surtout, il permet de récupérer les modifications effectuées. ».

Exemple 1 : un article morons.org « Alcatel Fucks Up Bigtime révèle qui
suite à une faille de sécurité, Alcatel a révélé des informations
involontairement dans son communiqué de presse en .doc (avril 2001).

Exemple 2 : un cas de « collusion découverte entre la Business Software
Alliance (BSA) et la Commission européenne sur un projet de directive sur
les brevets logiciels. Le projet de directive issu de la Commission a en
fait été rédigé par la BSA, comme le montre les informations du
fichier .doc (février 2002).

Exemple 3 : un article de computerbytesman.com « Microsoft Word bytes Tony
Blair in the butt » détaille l'affaire du dossier sur l'Iraq du premier
ministre britannique Tony Blair, qui s'est révélé être un plagiat des
travaux d'un chercheur états-unien, grâce à l'analyse du .doc (juin 2003).

Exemple 4 : un ministre danois trahi par les informations contenus dans un
fichier Word (février 2004).

Exemple 5 : une dépêche Slashdot « Microsoft PR: Looking Under The Hood »
et un article SiliconValley « Word flaw a window into Microsoft » relatent
l'analyse faite avec l'outil libre wxWare sur les .doc publiés sur le site
de Microsoft, qui révèlent diverses informations, grâce à la conservation
des modifications dans les fichiers (mars 2004).

Exemple 6 : une dépêche Slashdot « Documents Reveal US Incompetence with
Word, Iraq » évoque la divulgation involotaire d'informations par les
États-Unis concernant leur guerre en Irak, en raison des informations de
suivi dans un fichier .doc (mars 2007).
»

Et sur les PDF :
«
Remarque 1 : le Ministère de la Justice états-unien a publié un rapport au
format PDF sur la diversité raciale et la parité dans son personnel, en
censurant certaines parties. Mais la censure était faite en laissant les
parties censurées et en les masquant à l'affichage, ce qui a permis de
publier une version non censurée, qui au contraire mettait même en valeur
les parties que le Ministère voulait garder confidentielles (octobre
2003). Et le ministère de la justice a renouvelé son erreur en 2006 en
divulgant involontairement des informations dans une affaire de stéroïdes
dans le milieu du baseball, et en 2008 en laissant fuiter dans un PDF mal
censuré le fait que le FBI a mis sur écoute ses propres citoyens.

Remarque 2 : le format PDF permet d'interdire le copier/coller ou
l'impression, ce qui peut être en contradiction avec la législation
locale. Voir la discussion autour du logiciel libre de lecture des PDF
Xpdf et la partie sur les dispositifs de contrôle de l'usage (DRM) dans
cet historique de la sécurité dans les PDF (en anglais).
»

-- 
Benoît Sibaud