Sous pression, Microsoft passe Recall en opt-in

Dans quelles conditions Recall sera-t-il mis à disposition du public ? À quelques jours de l’échéance prévue, Microsoft règle encore la mire.

Annoncé en parallèle des PC Copilot+, ce service apparaît comme une de leurs fonctionnalités phares. Comparé à une « mémoire photographique », il permet de retrouver, par une recherche ou via une timeline, des contenus que l’on a consultés. Il s’appuie sur un index sémantique local (base de données SQLite) alimenté par l’analyse (OCR) de captures d’écran faites à intervalle de quelques secondes.

À l’heure d’officialiser Recall, Microsoft avait garanti la conservation des informations en local, avec chiffrement, sans partage entre utilisateurs. Ainsi que l’exclusion des contenus avec DRM comme de la navigation privée… sur Edge. Chrome, notamment, n’est pas concerné en l’état. Par ailleurs, Recall ne modère pas le contenu. Autrement dit, il ne masque pas les données personnelles, financières, etc.

Ce ne sont pas là ses seuls écueils, a-t-on pu constater dans la communauté infosec. Entre autres trouvailles : un accès local et la connexion à n’importe quel compte peut suffire à récupérer la base de données. Un infostealer peut aussi faire le job si on considère que le chiffrement mis en place (Bitlocker) se désamorce lorsque l’utilisateur est connecté.

The full OCR text with the temporarily visible password is available in the %LocalAppData%\CoreAIPlatform.00\UKP\{<UUID>}\ukg.db SQLite database, nicely gift wrapped 🎁 for infostealer malware to exfiltrate: pic.twitter.com/UKRjSPdUNs

— Marc-André Moreau (@awakecoding) June 3, 2024

It's just an SQLite database, feature ships in a few weeks - I've already modded it into an Infostealer hosted on Microsoft's Github (a few lines of code)

Microsoft are going to deliberately set cybersecurity back a decade & endanger customers by empowering low level criminals.

— Kevin Beaumont (@GossiTheDog) May 30, 2024

Opt-in par défaut et chiffrement renforcé

Dans ce contexte, Microsoft opère plusieurs changements. En premier lieu, Recall passe en opt-in par défaut. En tout cas pour le grand public. Reste à clarifier la situation pour les environnements d'entreprise. Aux dernières nouvelles, les admins auront la possibilité de désactiver. Mais pas d'activer au nom des utilisateurs.

Autre changement : le chiffrement de la base de données. Il faudra en outre activer Windows Hello et apporter une « preuve de présence » pour pouvoir utiliser Recall (accès à la timeline et recherche).

Illustration principale © HP