cClaude.rocks ☕ Le blog

Raspbian et Raspberry Pi OS, les principaux systèmes d’exploitation installés sur les Raspberry Pi on reçut à travers une mise à jour récente le devoir de passer par les dépôts Microsoft et à l’insu de son propriétaire et/ou de l’administrateur de la machine.

Chaque fois qu’un périphérique sous Raspbian ou sous Raspberry Pi OS est mis à jour avec ce dépôt, il envoie un ping à un serveur Microsoft.

La télémétrie Micro💲oft a une mauvaise réputation dans la communauté Linux.

Voyons-en quoi cela est important pour les utilisateurs de Linux et en quoi cela devrait être important pour vous.

Comment vérifier cela ?

• Déplier

  Voici comment nous pouvons le confirmer :

  # C’est quoi votre machine ?
  lsb_release -a
  
  # Liste des fichiers contenant les dépôts à contacter
  ls -l /etc/apt/sources.list.d/
  
  # Liste des clés de confiance
  ls -l /etc/apt/trusted.gpg.d/
  
  # Contenu du fichier où les dépôts Microsoft sont déclarés
  cat /etc/apt/sources.list.d/vscode.list
  

  On obtient quelque chose comme :

  ### THIS FILE IS AUTOMATICALLY CONFIGURED ###
  # You may comment out this entry, but any other modifications may be lost.
  deb [arch=amd64,arm64,armhf] http://packages.microsoft.com/repos/code stable main
  

  Voyons ce que le dépôt Microsoft installé, à votre insu sur vos Raspberry PI, contient :

  curl -s http://packages.microsoft.com/repos/code/dists/stable/main/binary-arm64/Packages |
      grep "^Package: " |
      cut -d" " -f2 |
      sort -u
  

  On récupère alors :

  code
  code-exploration
  code-insiders
  

Il semble que le dépôt Microsoft ne contienne que VS Code IDE pour votre Raspberry Pi.

Dans mon cas, gardez à l’esprit qu’il s’agit de serveurs avec une image allégée. Des machines qui n’ont donc pas d’interface graphique, et qui se veulent dépourvues de tout contenu superflu…

Naturellement, cela a rendu de nombreux utilisateurs Linux mécontents. Pour aggraver les choses, les administrateurs officiels des forums Raspberry Pi semblent avoir verrouillé et supprimé les fils de discussion, affirmant qu’il s’agissait de « Microsoft bashing ».

En quoi c’est une mauvaise nouvelle ?

Il semble que la fondation RPi recommande officiellement MS IDE, et donc cela a été inclus Raspberry Pi OS. Ils devraient garder cela sur l’image graphique pour les enfants ou toute personne souhaitant apprendre Python et d’autres choses à l’aide de VS Code.

Il ne faudrait quand même pas que des enfants puissent échapper à l’environnement Micro💲oft…

La plupart des geeks et des utilisateurs expérimentés de Linux utilisent RPi comme serveur git ou adblocker et autre comme serveur (sans interface graphique). Il y a toujours un problème de confiance lorsqu’un dépôt de logiciels non souhaité est configuré et que des clés GPG sont installées discrètement.

Quels autres problèmes les utilisateurs de Linux peuvent rencontrer :

• En utilisant le dépôt Micro💲orft sur une machine Linux, Micro💲oft contrôle le logiciel que vous installez.

Par exemple, lorsque vous lancerez :

sudo apt install une-app

Microsoft peut très bien prétendre avoir la dernière version sur son dépôt et dans ce cas votre machine utilisera l’application distribuée par Microsoft. Peut-être qu’ils ne feront rien de mal, mais je ne veux rien avoir à faire avec eux et je ne leur accorde pas la confiance qu’implique cette manipulation.

• Les utilisateurs avancés de Linux ne feront plus jamais confiance à Microsoft ou à Raspberry Pi OS après avoir installé un tel dépôt en secret.

• Microsoft peut collecter plus d’informations sur les utilisateurs RPi et Linux, car beaucoup tentent de réduire leur empreinte numérique telle que leur adresse IP et grâce à cela ils peuvent créer un profil sur vous.

• Chaque commande apt-get update est signalée au dépôt de Microsoft.

• Si vous ou un membre de votre famille est connecté à l’écosystème MS tel que Github, LinkedIn, Bing, Office Live, il est très facile de vous identifier et vous suivre lorsque vous utilisez la même adresse IP publique partagée à la maison.

Si cela vous convient, arrêtez de lire et retourner à votre vie. Il n’y a rien de mal à cela. Mais, si vous n’êtes pas d’accord avec un tel changement. Voici quelques options pour vous.

Les solutions

Arrêtez d’utiliser Raspbian

• Déplier

  Certains pensent que c’est la meilleure des solutions. Les autres systèmes d’exploitation incluent :

  • Arch Linux,
  • Ubuntu pour Rpi,
  • OpenSUSE pour Rpi,
  • FreeBSD/OpenBSD/NetBSD pour Rpi.

  Dans mon cas, ce n’est pas envisageable dans un détail raisonnable, mais cela me servira de leçon et je vais prendre ce problème au sérieux dans mes développements futurs.

Bloquez Microsoft VSCode…

• Déplier

  Modifiez votre /etc/hosts sur Raspberry (vous pouvez également le faire au niveau de votre serveur DNS)

  if ! grep -q 'packages.microsoft.com' /etc/hosts ; then
    cat <<EOF | sudo tee --append /etc/hosts
  0.0.0.0 packages.microsoft.com
  EOF
  fi
  

  Ensuite il faut mettre le paquet Debian en attente afin qu’il n’installe pas d’autres mises à jour :

  sudo apt-mark hold raspberrypi-sys-mods
  

  Si vous souhaitez plus de détails sur apt-mark, vous en trouverez en suivant ce lien.

  Vous pouvez également, supprimez la clé GPG de Microsoft à l’aide des commandes :

  sudo rm -vf /etc/apt/trusted.gpg.d/microsoft.gpg
  
  # assurez-vous que de nouvelles clés ne peuvent pas être installées
  sudo touch /etc/apt/trusted.gpg.d/microsoft.gpg
  
  # protéger ce fichier sous Linux à l’aide de la commande chattr
  sudo chattr +i /etc/apt/trusted.gpg.d/microsoft.gpg
  
  lsattr /etc/apt/trusted.gpg.d/microsoft.gpg
  

  Plus de détail sur comment protéger un fichier sous Linux, même pour l’utilisateur root.

Vous utilisez VSCode

• Déplier

  Si vous souhaitez utiliser VSCode. Sachez Microsoft comme à son habitude, utilise une télémétrie agressive mise en place sans votre consentement.

  En particulier lorsque vos enfants l’utilisent, utilisez une version de VSCode avec la télémétrie supprimée : vscodium.

  Il existe même vscodium-deb-rpm-repo offrant des dépôts de cette version de VSCode.

Le problème de fond…

À vrai dire, un Raspberry PI n’est pas 100 % open source. C’est le cas en particulier des puces Intel et AMD (CPU / GPU). Le Pi est également livré avec un micrologiciel binaire à code source fermé. Cependant, cela ne signifie pas que vous installez secrètement des dépôts et clés PGP sur un appareil à l’insu du propriétaire. C’est ainsi procèdent les logiciels malveillants.

Il est assez logique que la communauté Linux et la communauté open source soient contrariés, puisque c’est un sans précédant. On peut espérer qu’ils corrigent le tir. Le but était de simplifier l’installation de VSCode sur Raspbian, mais il a des alternatives pour faire cela…

Références

• Heads up: Microsoft repo secretly installed on all Raspberry Pi’s Linux OS sur lequel est basé ce billet,
• Un lien vers les serveurs Microsoft dans Raspberry Pi OS !, la vision de framboise314.fr, qui sont avant tout des utilisateurs de Windows et qui n’utilise le Raspberry PI que pour le loisir. C’est étonnant, car le contenu de l’article montre qu’ils se sont basés sur le lien précédant. Soit il l’on traduit sans le comprendre, soit la culture Microsoft est plus implantée en France que ce que je ne le pensais…

ᦿ