WireGuard, le projet logiciel majeur et VPN qui sous-tend les logiciels de sécurité populaires, notamment Mullvad et d’autres, s’est retrouvé exclu d’une partie clé de son compte de développeur Microsoft et incapable de fournir des mises à jour logicielles aux utilisateurs Windows.
Jason Donenfeld, le créateur du logiciel open source WireGuard VPN, a déclaré à TechCrunch qu’il avait été exclu de son compte de développeur Microsoft et qu’il ne pouvait donc pas signer de pilotes ni fournir de mises à jour pour WireGuard pour les utilisateurs Windows, qui sont essentiels au fonctionnement de son logiciel. Donenfeld a déclaré mercredi dans un article sur X que la résiliation du compte avait empêché l’expédition d’une mise à jour WireGuard.
Il s’agit du deuxième incident de ce type dans lequel un projet open source très médiatisé et largement utilisé est exclu de ses clients en raison d’une résiliation apparemment brutale d’un compte de Microsoft, le logiciel de chiffrement populaire VeraCrypt étant confronté à une situation similaire. Les deux développeurs ont déclaré que Microsoft les avait exclus de leurs comptes sans les alerter au préalable.
Dans le cas de VeraCrypt, qui est utilisé par des centaines de milliers d’utilisateurs pour crypter des fichiers et des systèmes d’exploitation, son développeur Mounir Idrassi a déclaré à TechCrunch que le fait d’être exclu de son compte signifie qu’il ne peut pas mettre à jour le logiciel à temps pour une expiration cruciale de l’autorité de certification, ce qui, selon lui, pourrait empêcher certains utilisateurs de démarrer.
Donenfeld, le développeur de WireGuard, a déclaré à TechCrunch dans un e-mail : « S’il y avait une vulnérabilité critique à corriger maintenant – ce n’est pas le cas ! Je veux juste dire hypothétiquement – alors les utilisateurs seraient totalement exposés. »
WireGuard est un logiciel VPN open source utilisé dans le monde entier pour connecter des appareils sur Internet. Le code de WireGuard est très populaire pour sa simplicité et sa sécurité, car il sert de base à de nombreuses implémentations VPN et services commerciaux qui s’appuient sur son code, comme Proton et Tailscale.
Donenfeld a déclaré à TechCrunch dans un e-mail qu’il avait passé les dernières semaines à moderniser le code Windows de WireGuard et qu’il était prêt à envoyer une copie de la mise à jour à Microsoft pour vérification avant de pouvoir l’envoyer aux utilisateurs, mais qu’il avait rencontré une erreur « accès restreint » lors de la connexion à la partie développeur de son compte Microsoft.
Bien qu’il ait suivi le processus de vérification de son permis de conduire ou de son passeport auprès de Microsoft (le tiers utilisé par Microsoft pour la vérification a déclaré qu’il était « vérifié »), Donenfeld a déclaré que son accès était toujours suspendu.
Donenfeld a déclaré à TechCrunch qu’il avait trouvé une page sur le site Web de Microsoft indiquant que la société effectuait « une vérification obligatoire des comptes pour tous les partenaires du programme matériel Windows qui n’ont pas terminé la vérification des comptes depuis avril 2024 », mais que le programme de vérification avait depuis été fermé.
Le programme matériel Windows de Microsoft permet à des développeurs comme Donenfeld et Idrassi de VeraCrypt de « déployer du matériel et des pilotes de périphériques pour les PC Windows et d’autres appareils ». La capacité de développer et de publier des pilotes pour les utilisateurs Windows est réservée aux développeurs connus et approuvés, car les pilotes peuvent accorder un vaste accès à un système d’exploitation et à ses données et sont connus pour être abusés par les pirates pour cette raison.
Ce processus de vérification de compte signifiait que les développeurs devaient télécharger leur pièce d’identité émise par le gouvernement avant d’être autorisés à publier du code potentiellement très sensible à la base d’utilisateurs Windows plus large.
« Microsoft ne m’envoie jamais aucune notification à ce sujet. J’ai regardé dans chaque boîte de réception, dans chaque dossier spam, dans chaque journal de courrier, et zéro, rien, rien », a déclaré Donenfeld.
Le programme de vérification du programme matériel Windows est « maintenant terminé » et les développeurs qui n’ont pas téléchargé leurs documents ont vu leurs comptes « suspendus », indique la page, ce qui signifie que ces comptes ne peuvent plus envoyer de mises à jour.
Donenfeld a déclaré qu’il avait été référé à l’équipe de support exécutif de Microsoft, qui gère le service client et les demandes de compte de personnes de premier plan, ce qui a confirmé que son appel avait été reçu mais qu’ils avaient dû attendre jusqu’à 60 jours pour être examiné.
Mercredi soir, il y avait une lueur d’espoir dans le cas de Donenfeld. Il a déclaré à TechCrunch qu’il était enfin en contact avec Microsoft et qu’il espérait que le problème serait bientôt résolu.
Microsoft n’a pas immédiatement commenté lorsqu’il a été contacté par TechCrunch.
Donenfeld et Idrassi ne sont pas seuls, les problèmes de verrouillage de compte affectant également d’autres personnes.
Windscribe, un fabricant de VPN et d’autres outils de confidentialité pour les consommateurs, a déclaré dans un article sur X qu’il avait également été exclu de son compte Partner Center. L’entreprise a déclaré qu’elle disposait d’un compte vérifié depuis plus de huit ans afin de signer ses chauffeurs.
« Nous essayons de résoudre ce problème depuis plus d’un mois, sans succès. Le support est inexistant », a déclaré Windscribe dans son message. « Quelqu’un connaît un humain doté d’un cerveau qui travaille toujours chez Microsoft et qui peut aider ? »
