Les firmwares Wi-Fi open-source bientôt illicites ?

C'est la panique aux Etats-Unis dans les communautés open-source et open-hardware, et plus globalement chez les hackers qui aiment à modifier le fonctionnement des appareils qu'ils achètent dans le commerce. Le régulateur américain des télécommunications, la Federal Communications Commission (FCC), a publié cet été une proposition de nouvelle réglementation (.pdf) des appareils utilisant des radiofréquences, dont un effet de bord pourrait être d'obliger les constructeurs à verrouiller leurs firmwares pour éviter toute modification non autorisée du logiciel qui contrôle les signaux Wi-Fi, Bluetooth et autres technologies sans fil.

L'idée générale de la nouvelle réglementation détaillée par The Register est d'assouplir la commercialisation et le fonctionnement des appareils électroniques, à une époque où les objets connectés sans fil (Wi-Fi, Bluetooth, NFC, GPRS, 3G, 4G, GPS, etc.) deviennent légion. Actuellement, les industriels qui souhaitent mettre sur le marché un appareil utilisant des radiofréquences doivent obtenir une certification délivrée par la FCC, qui vérifie que la réglementation sur l'usage du spectre radioélectrique est respectée et qu'il n'y a donc pas notamment de risque d'interférences avec des communications civiles ou militaires essentielles.

Il existe une part d'auto-certification, mais limitée au matériel. Or la FCC constate que les appareils peuvent désormais évoluer et subir des mises à jour de leur firmware qui étendent les capacités de communication, y compris vers des fréquences qui n'étaient pas prévues à l'origine. De plus le régulateur voit bien arriver de nouveaux téléphones comme le Projet Ara de Google ou le PuzzlePhone, qui permettront aux consommateurs de composer et de faire évoluer eux-mêmes leur téléphone en choisissant notamment le contrôleur radio de leur choix. 

SIMILAIRE EN EUROPE

La proposition vise donc, d'une part, à favoriser l'auto-certification des appareils par les constructeurs. Mais d'autre part, pour garantir que les utilisateurs finals ne puissent pas faire n'importe quoi qui mette en jeu la sécurité ou d'autres intérêts stratégiques, la FCC souhaite que "les modifications par des tiers ne [soient] pas permises à moins que le tiers reçoive sa propre certification".

L'effet pourrait donc être d'obliger les constructeurs d'appareils électroniques à fermer leurs plateformes pour interdire toute mise à jour du firmware qui ne soit pas signée par une entité certifiée par la FCC. D'où la réaction des communautés open-source qui s'inquiètent de la possibilité ou non de continuer à créer des composants open-hardware que les bidouilleurs pourront modifier librement. La consultation publique qui devait s'achever ce mardi est finalement repoussée de 15 jours, pour permettre à chacun de faire part de ses inquiétudes et de ses propositions.

Notons qu'en Europe, une directive proche a été adoptée sans faire de bruit en avril 2014, qui impose une "harmonisation des législations des États membres concernant la mise à disposition sur le marché d'équipements radioélectriques". Son article 3.3.i) dispose que "les équipements radioélectriques de certaines catégories ou classes (…) sont compatibles avec certaines caractéristiques visant à garantir qu'un logiciel ne peut être installé sur un équipement radioélectrique que lorsque la conformité de la combinaison de l'équipement radioélectrique avec le logiciel est avérée". C'est la Commission qui fixe les catégories d'équipements concernés par cette mesure.

(photo : CC @Morgan)