Worldcoin a récemment annoncé la publication du code de son Orb, l’appareil en forme d’œil avec lequel l’entreprise scanne l’iris des gens pour nous donner une identité unique sur sa blockchain, en échange d’une poignée de jetons. Chez Blockchain Observatory, nous avons analysé cette version et ci-dessous nous vous montrons ce que nous avons trouvé. Tout d’abord, un peu de contexte est important.
WORLDCOIN ET SON IRIS SCANNING COLLECT AVEC LES LOIS DE L’EUROPE
Depuis son lancement, la société Worldcoin est entourée de polémiques. L’activité principale de Worldcoin consiste sans doute à acheter notre iris, notre identité et notre vie privée. Une activité qui a reçu de nombreuses critiques et plaintes. La principale et la plus récurrente est que Worldcoin profite des gens qui ont besoin d’argent pour acheter leurs iris et qui souvent ne savent pas ce que signifie vendre ce que leurs yeux cachent pour quelques cryptomonnaies. Cette pratique a été remise en question dans de nombreux pays. Pour l’instant, l’Espagne et le Kenya ont paralysé les activités sociales sur leur territoire.
Pression américaine au Kenya
Début mars, l’Agence espagnole de protection des données (AEPD) a ordonné à Worldcoin de cesser de collecter et de traiter les données et de bloquer les données déjà collectées. L’action de l’AEDP est une mesure conservatoire et temporaire, d’une durée de validité maximale de trois mois.
L’ESPAGNE DEMANDE À WORLDCOIN DE CESSER LA COLLECTE DE DONNÉES AVEC L’IRIS
Dans le cas du Kenya, le secrétaire du Cabinet de l’Intérieur, Kithure Kindiki, a dénoncé il y a quelques jours au Parlement la pression du gouvernement des États-Unis pour révoquer la suspension des activités de Worldcoin. Kindiki, tel que rapporté par NTVKenya, a déclaré que le gouvernement ne lèverait pas la suspension imposée à WorldCoin en août 2023. Worldcoin est une société fondée par Sam Altman, également créateur d’OpenAI et de son célèbre ChatGPT.
Code orbe Worldcoin
Face à de telles pressions, la réponse de Worldcoin a été « libérez le code de votre Orb et rendez ce développement plus transparent ». Ce que Worldcoin a fait a été télécharger le code Orb sur un Github accessible à tous. Rappelons que Microsoft, principal actionnaire d’OpenAi, avait racheté Github pour 7,5 milliards de dollars en 2018.
L’ARGENTINE ENQUÊTE SUR WORLDCOIN, LA SOCIÉTÉ QUI DONNE DE L’ARGENT POUR LE NUMÉRISATION DE L’IRIS
Un lifting
Il est clair que Worldcoin n’a pas publié le code par conscience ou par respect pour l’idée du logiciel libre. Il l’a fait contraint par la situation. C’est un lifting devant l’opinion publique pour pouvoir continuer l’affaire. Cela se voit clairement si l’on compare la décision de Worldcoin avec la grande majorité des projets de blockchain existants, qui sont des logiciels libres depuis leur création.
Pouvez-vous imaginer si Satoshi Nakamoto avait lancé Bitcoin en tant que projet propriétaire au lieu de logiciel libre ? Certes, l’histoire du Bitcoin serait très différente et il n’aurait guère atteint le niveau de succès dont il jouit aujourd’hui. La même situation se répète avec d’autres projets, comme Ethereum, Solana ou Polkadot. Ils sont tous nés en tant que logiciels libres et le restent.
Tout n’a pas été publié
Dans le cas de Worldcoin, tous les logiciels liés au projet n’ont pas été réellement publiés. Rappelons que le Worldcoin Orb est un périphérique matériel qui fonctionne avec une série d’éléments électroniques exécutant un firmware propriétaire. Le micrologiciel est un logiciel binaire qui s’exécute à un niveau très bas dans le matériel et le Worldcoin Orb regorge de micrologiciels. Un firmware qui n’a pas été publié, et qui ne le sera jamais.
HONG KONG COMMENCE UNE ENQUÊTE CONTRE WORLDCOIN POUR LE NUMÉRISATION DE L’IRIS
A commencer par son processeur, un NVIDIA Jetson Xavier NX qui est responsable de la gestion de divers réseaux de neurones qui font le gros du travail d’Orb. Cette petite puce est le cerveau de l’Orb et regorge bien sûr de firmware dont on ne sait rien et que Worldcoin ne peut pas publier, puisqu’il n’a pas l’autorisation de le faire (seul NVIDIA peut le faire).
C’est tout ce qui vit à l’intérieur d’un Worldcoin OrbLe micrologiciel reste privé
La même chose se produit avec une série de modules électroniques avec lesquels Orb fonctionne :
- Module WiFi et Bluetooth: Permet à Orb d’avoir une connectivité Internet et un contrôle à distance, cet appareil exécute un firmware qui n’a pas été publié. D’après les spécifications, il s’agit d’un Intel AX200.
- Module réseau cellulaire: Un autre élément géré via le firmware et qui n’a pas non plus été publié.
- Module NFC : Il s’agit d’un autre élément contrôlé par le firmware.
- Module GPS: Il est également contrôlé via le firmware.
- Caméra thermique: Contrôlé par le firmware et n’a pas été publié non plus.
- ToF 2D : Également contrôlé par le firmware.
- Caméra IR visage et yeux: Les deux caméras sont contrôlées par le firmware
- Caméra RVB: Contrôlé par le micrologiciel.
Ce sont des noms ou éléments reconnus par Worldcoin dans son schéma :
Schéma des composants d’un Worldcoin OrbOui, un firmware supplémentaire est disponible. Il s’agit du firmware Zephyr, que vous pouvez voir ici lien.
Faut-il s’inquiéter ?
La reponse courte est oui. Tout cela doit je m’inquiète beaucoup. Le micrologiciel de ces appareils vous permet de les contrôler à un niveau que des logiciels plus avancés ne peuvent pas offrir. Tout cela est dû au fait que le firmware s’exécute ou « vit » au sein des puces elles-mêmes. Cela signifie que si le firmware est vulnérable, l’appareil l’est également. Au point qu’il est peu probable que l’opérateur dudit appareil s’en aperçoive.
Nous avons déjà une longue histoire de tout cela. Par exemple, vous lisez probablement cet article depuis un ordinateur personnel ou un smartphone. Eh bien, pour la grande majorité de ces appareils, il existe une faille connue sous le nom de Meltdown, qui permet à un attaquant d’obtenir des informations de votre ordinateur ou smartphone sans que vous vous en rendiez compte. Il s’agit d’un bug « complexe à exploiter », mais toute personne disposant de ressources et de connaissances peut le faire (par exemple un gouvernement). La solution pour y remédier ? Une mise à jour du firmware pour les appareils concernés, mais cela ne résout pas complètement le problème, cela ne fait que rendre son utilisation plus difficile et même dans ce cas, avec les échecs.
L’exemple ci-dessus n’est qu’un exemple des raisons pour lesquelles nous devrions nous préoccuper du micrologiciel et pourquoi l’annonce de Worldcoin est trompeuse : Worldcoin a sorti le logiciel qui vous convient. Même avec la sortie, il y a des éléments dans le code qui laissent beaucoup matière à réflexion.
Orb et les faiblesses de son logiciel
La prochaine chose que l’on peut observer dans la version du code de Worldcoin est que le référentiel public n’est pas le référentiel de développement principal. Pour bien comprendre cela vous pouvez prendre en compte cet exemple :
Lorsque vous accédez au référentiel Bitcoin, vous pouvez voir clairement le code total du projet. En fait, vous pouvez prendre ce code, le compiler et obtenir le logiciel qui fait fonctionner Bitcoin. Cette même situation se répète dans d’autres projets de logiciels libres, tels que Linux, OpenBSD ou FreeBSD. Dans chacun d’eux, vous pouvez prendre le code, le compiler et l’utiliser, car cela vous donnera un produit logiciel fini prêt à l’emploi.
Cela ne se produit pas avec le code Worldcoin publié. Tout d’abord, dans le référentiel Worldcoin, vous pouvez voir qu’il existe des « dépôts privés » (ils mentionnent le référentiel SeekThermal, mais cela arrive avec d’autres éléments matériels) qui sont nécessaires pour construire le logiciel nécessaire au fonctionnement d’Orb. Des référentiels privés auxquels vous n’avez pas accès et qui ont un poids énorme lorsqu’il s’agit d’obtenir le bon fonctionnement d’Orb. Surtout parce qu’ils sont liés à l’interaction éléments/firmware propriétaires d’Orb.
Tout le code n’a pas été publié, Worldcoin dispose toujours de « dépôts privés : »Publié mais pas entièrement fonctionnel
Qu’est-ce-que tout cela veut dire? Même si une partie du code Worldcoin Orb est gratuite, prendre ces morceaux et les compiler ne signifie pas que cela fonctionnera. Il s’agit donc d’une version partielle du logiciel. Avec beaucoup de choses dans une boîte sombre qu’on ne peut pas voir. Cela brise complètement les principes et l’idéologie du logiciel libre. Sans aucun doute, la pire chose que Worldcoin puisse faire à la communauté.
La sortie de Worldcoin est un pas en avant, mais insuffisant. Le fait qu’il existe des référentiels privés, un micrologiciel peu clair, des implémentations conditionnelles inappropriées dans le code laissent Worldcoin dans une mauvaise position en termes de transparence.
Activiste et blogueur de la technologie, des logiciels libres et de la blockchain.
Voir l’article original en espagnol
