Ouvrez l’application MS Paint intégrée à un PC sous Windows 11 totalement déconnecté d’Internet, griffonnez quelque chose et sauvegardez-le sous forme d’image locale : ce qui semble être un fichier personnel entièrement privé a déjà été marqué par un code de suivi invisible exclusif. Une analyse technique publiée récemment par le chercheur en rétro-ingénierie et sécurité Xusheng révèle que Microsoft a discrètement intégré un module de suivi dans les applications natives Paint et Photos de Windows 11. Dès qu’un utilisateur effectue une sauvegarde locale, le système génère un identifiant unique global (GUID) et l’inscrit directement dans les métadonnées sous-jacentes du fichier.
Cette découverte a suscité d’intenses discussions sur les communautés techniques telles que Hacker News. Par le passé, le public acceptait généralement que les services IA dans le cloud injectent des informations de provenance lors de la génération d’images, car les services en ligne s’exécutent par définition sur les serveurs des prestataires. Cependant, MS Paint est un outil purement local et hors ligne utilisé depuis plusieurs décennies. En déplaçant les mécanismes de suivi des services web vers l’espace de création local de l’utilisateur, Microsoft a tracé une ligne de confrontation extrêmement controversée dans le domaine de la vie privée numérique.
Figure : Aperçu de l’article d’analyse sur le tatouage numérique caché de MS Paint. Source : xusheng.dev
Marqueurs secrets dans les outils hors ligne : La chaîne de suivi derrière un simple gribouillage
Lors de l’analyse par désassemblage de l’application MS Paint intégrée à Windows 11, des chercheurs en sécurité ont repéré un appel inhabituel à une bibliothèque de liens dynamiques (DLL). Lors du traitement de la logique de sauvegarde d’image, l’application fait appel au module système watermarker.dll. Ce module crée un champ propriétaire nommé CoImageParam dans la structure du fichier PNG ou JPG sortant et y injecte un GUID nouvellement généré.
Un GUID est un identifiant unique global de 128 bits, offrant théoriquement $3.4 \times 10^{38}$ combinaisons possibles. Mathématiquement, la probabilité que deux appareils n’importe où dans le monde génèrent le même GUID au même moment est pratiquement nulle. Cela signifie que Microsoft délivre concrètement une carte d’identité numérique unique pour chaque image exportée depuis l’application Paint locale. Quiconque détient deux images n’a qu’à comparer ce champ pour déterminer si elles ont été créées dans le même environnement matériel.
Si un utilisateur modifie et exporte plusieurs images sur le même ordinateur, les champs d’identification intégrés présentent souvent des caractéristiques de corrélation au niveau de la session ou de l’appareil. Si l’utilisateur publie ces images contenant des métadonnées sur des forums ou des réseaux sociaux, des traceurs tierces n’ont qu’à extraire ces chaînes de caractères pour relier différents comptes anonymes à la même entité physique.
Rétro-ingénierie : Comment Microsoft masque les identités dans les interstices des métadonnées
L’analyse de la structure binaire de watermarker.dll montre que Microsoft n’a pas utilisé la stéganographie LSB (bit le moins significatif) — qui altère la couleur des pixels —, mais a privilégié une méthode plus stable d’injection dans les métadonnées du conteneur. Lors de la sauvegarde au format PNG, le programme écrit un bloc de données auxiliaires propriétaire dans le flux du fichier ; lors de la sauvegarde au format JPEG, il utilise un segment de marqueur APP pour véhiculer ce paramètre.
Figure : Propriétés du fichier watermarker.dll responsable de la génération du tatouage sous Windows. Source : xusheng.dev
Cette implémentation s’avère extrêmement économe en termes de stockage, le volume de données supplémentaire étant généralement inférieur à 1 Ko. Comparé aux images haute définition de plusieurs mégaoctets, cet ajout minime n’impacte pas les performances de sauvegarde et n’apparaît pas non plus dans les visionneuses d’images classiques. Seul un éditeur hexadécimal ou un outil d’analyse Exif spécialisé permet de déceler le GUID complet enfoui au cœur des blocs de données binaires.
Microsoft a auparavant soutenu le standard C2PA (Coalition for Content Provenance and Authenticity) dans ses outils génératifs cloud tels que Bing Image Creator et Microsoft Designer afin de marquer le contenu généré par IA. L’intégration directe de watermarker.dll dans les applications natives Paint et Photos montre que Microsoft cherche à transposer des dispositifs de traçabilité issus du cloud directement sur des centaines de millions d’appareils autonomes hors ligne.
Traçabilité anti-contrefaçon ou surveillance abusive : Un débat polarisé au sein de la communauté
La révélation de ce mécanisme de suivi silencieux a provoqué de vives tensions entre la communauté de la sécurité et les utilisateurs. Les défenseurs de la démarche de Microsoft soutiennent que dans un contexte de prolifération de deepfakes et d’images synthétiques, la mise en place d’un système de traçabilité de bout en bout présente une vraie valeur défensive. Si les outils d’édition hors ligne demeurent des zones franches, des acteurs malveillants pourraient facilement blanchir l’origine d’une image en la réenregistrant ou en effectuant une capture via Paint, contournant ainsi les lignes de défense établies par les plateformes.
À l’inverse, les opposants et défenseurs de la vie privée remettent vivement en question ce comportement silencieux et non sollicité. MS Paint possède une histoire de 41 ans depuis son lancement avec Windows 1.0 en 1985 ; l’attente fondamentale des utilisateurs repose sur un espace de travail local totalement privé. Apposer à l’insu de l’utilisateur une empreinte au niveau de l’appareil sur des images générées hors ligne, sans avertissement ni consentement explicite, viole le droit à la souveraineté des données locales.
Ce mécanisme engendre également un risque de fuite d’informations personnelles non intentionnel. La grande majorité des utilisateurs ordinaires n’a pas l’habitude de purger les métadonnées Exif avant de partager des captures d’écran ou des croquis. Lorsque des journalistes, des professionnels du secteur sensible ou des citoyens publient des fichiers enregistrés localment, ces identifiants d’appareil discrètement intégrés risquent de se transformer en empreintes numériques publiquement exposées.
Mise à l’épreuve de la propriété des espaces de création locaux
L’incident du tatouage caché de MS Paint illustre une tentative poussée d’un géant des systèmes d’exploitation pour étendre son contrôle sur les données des utilisateurs. Auparavant, une ligne claire séparait les services réseau des outils locaux autonomes : la connexion offrait la commodité de la collaboration, le hors-ligne garantissait une confidentialité absolue. En imposant la logique de suivi web au sein d’un environnement local hors ligne, Microsoft remet en cause la barrière d’isolation physique à laquelle les utilisateurs faisaient confiance.
L’équilibre entre traçabilité technique et respect de la vie privée doit reposer sur la transparence et le consentement éclairé. Réduire discrètement le droit à l’anonymat hors ligne sous prétexte de lutter contre la désinformation ne fera, à terme, qu’éroder la confiance fondamentale accordée au système d’exploitation lui-même. À l’ère de la confrontation entre gouvernance cloud et autonomie des terminaux, préserver la pureté et la propriété des fichiers locaux demeure une ligne de défense essentielle pour les créateurs.
Liens de référence :
- Blog technique xusheng.dev : Analyse du tatouage numérique caché dans MS Paint
- Discussion Hacker News : L’application MS Paint de Windows 11 intègre un GUID traçable
- Document de spécifications techniques C2PA sur la provenance et l’authenticité du contenu
