Le 2 juin dernier, nous vous parlions de Debasis Mohanty, un chercheur indien qui avait trouvé une faille dans le système d'authentification de Microsoft, Windows Genuine Advantage. Une information quelque peu déconcertante pour l'éditeur, WGA étant censé bouter le piratage hors des frontières.

Par sa méthode, que l'on trouve en quelques clics sous un moteur quelconque, il est donc possible de créer des copies faussement authentiques de XP. Postée sur la mailing list de sécurité de Microsoft, elle explique comment il est possible de détourner la vérification WGA pour générer une clé CD valide à utiliser avec une copie illégale. Il est parvenu alors à télécharger depuis le Download Center, aux nez et à la barbe du gendarme Microsoft.

Pour autant, cela n'a pas empêché Microsoft d'une part de minimiser cette information et plus récemment, de généraliser le WGA. Avant-hier, le programme passait ainsi au stade 1.0. Une occasion pour Microsoft d'étendre sa vérification à un plus grand nombre de types d'update et à l'échelle de la planète. Manque de chance pour la firme de Redmond, il a été publié une autre méthode pour déjouer WGA, à peine quelques heures après. Dans un article intitulé "Windows Genuine Advantage + Javascript = Workaround", une personne décrit ainsi le nouveau moyen qui permet d'y passer outre. En partie, seulement.

Pour les utilisateurs de la suite Mozilla ou de son cousin Firefox, l'internaute téléchargera l'extension Greasemonkey (qui offre aux utilisateurs la possibilité d'utiliser, voire d'écrire, des petits scripts qui modifient la page en cours de visite) qu'on alimentera avec un script de quelques lignes très basiques. Pour les utilisateurs d'Internet Explorer, la méthode est simillaire, à l'aide de Trixie (l'équivalent de Greasemonkey chez IE) et toujours d'un bout de code. Selon nos informations, des tests effectués n'ont pas été toujours fructueux. Ce chercheur tente actuellement d'explorer cette "ouverture" par la porte du navigateur Opera.

Notons que ce système ne fonctionne directement que sur la page Download, non (encore?) sur celle de l'Update. Microsoft qui tente de réguler son marché comme il peut, accueillera nécessairement cette astuce que très froidement. Elle est en outre située sans doute au-delà des franges de la légalité... D'un autre côté, si certains usagers souhaitent véritablement contourner les volontés de Microsoft, ils pourront toujours explorer d'autres terrains : les offres concurrentes ne manquent tout de même pas.