E. Filiol (ESIEA – iAWACS) : « Minimiser l’impact des résultats du test, c’est malhonnête »

ITespresso.fr : Avez-vous fait un distinguo entre solutions payantes et gratuites ?
Eric Filiol : Non. De toute façon, la distinction entre payant et gratuit, c’est du pur marketing. C’est le moteur anti-viral qui compte. Pourquoi n’avoir pas sélectionné Avast qui a une version gratuite ? Nous ne pouvions pas tous les prendre en compte. L’année prochaine, nous serons encore plus impartiaux. Encore une fois, on ne voulait pas « se payer » les outils anti-virus. Nous voulions d’abord monter une analyse rationnelle de la sécurité.

ITespresso.fr : Donc clairement, c’était une démarche neutre ? Il n’y avait pas d’intentions cachées ou de favoriser un éditeur par rapport à un autre…
Eric Filiol : Non. Ce qu’on veut faire passer comme message, c’est : « n’accordez pas une confiance aveugle à votre anti-virus. C’est une solution imparfaite par nature que l’on peut toujours contourner ». Quand vous allez sur Internet, ayez une hygiène informatique : appliquer les correctifs de sécurité des logiciels, éviter les logiciels pirates, éviter de cliquer sur tout ce qui bouge…Nous sommes condamnés à choisir les moins mauvais outils mais tous peuvent être contournés.

ITespresso.fr : Un éditeur a émis un commentaire en faisant une allusion au monde automobile : « l’objectif du test n’était pas de  prouver que l’airbag fonctionnait mais qu’il était possible de l’empêcher de sortir ». Vous en pensez quoi ?
Eric Filiol : Non. C’est pas du tout cela. A la fin, il y quand même exécution d’un code malveillant. Le parallèle n’est pas pertinent : l’airbag est censé protéger l’utilisateur. Dans notre cas, il s’agit d’éviter l’accident.

ITespresso.fr : Vous élargissez le débat à un niveau législatif. Pourquoi vous sentez-vous bridé dans vos initiatives de tests anti-virus en France ?
Eric Filiol : En science, il y a la notion de preuve. Dans l’informatique, c’est de donner le code fait à la main. Mais le problème, c’est qu’en publiant ce code, on tombe sous le coup de l’article 323 du Code pénal, renforcé par la loi pour la Confiance dans l’économie numérique. On nous empêche de faire une pression sur les éditeurs pour vraiment les mettre face à leurs contradictions. J’ai un tas d’exemples de collègues chercheurs tant du monde des hackers que du monde académique qui ne publient pas les résultats de leurs recherches en France par crainte des plaintes des éditeurs. Ce texte de loi est une spécificité française par rapport au reste du monde.