La semaine dernière, Bambu Lab a informé ses utilisateurs d’une mise à jour imminente de son firmware. Au cœur du débat, le nouveau mécanisme d’autorisation pour le hardware et la désactivation des API réseau pour les logiciels tiers (le populaire OrcaSlicer étant nommé), ce qui empêchera le contrôle direct de l’imprimante 3D à partir de ces applications. Cette annonce a suscité l’indignation de la communauté et de nombreuses craintes d’un resserrement de l’emprise sur l’écosystème à code source fermé du fabricant.
La mise à jour, qui, selon Bambu Lab, est vouée à atténuer « les risques de piratage à distance ou les problèmes de vulnérabilité des imprimantes qui se sont déjà produits par le passé, ainsi qu’à réduire le risque de trafic anormal ou d’attaques », introduit également une nouvelle application intégrable appelée Bambu Connect. Celle-ci est destinée à recréer le lien avec les fonctions de contrôle, pour combler le vide laissé par la suppression des API réseau.
Au moment de l’annonce, Bambu Lab avait déclaré que les utilisateurs qui préféraient ne pas passer à son nouveau système devaient continuer à utiliser l’ancien firmware, et ce, indéfiniment. Il semble que l’entreprise ait décidé d’assouplir cette position, puisqu’elle prévoit désormais d’offrir une option supplémentaire sous la forme d’un « mode développeur » : un paramètre exclusif au mode LAN qui active un canal MQTT, un flux en direct et un FTP, permettant apparemment aux fonctions de contrôle existantes dans les logiciels tiers de continuer à fonctionner.
Nadia Yaakoubi, responsable des relations publiques chez Bambu Lab, a confirmé à All3DP que l’utilisation du mode développeur n’affectera pas la garantie de l’imprimante, tout en précisant que l’entreprise sera « dans l’incapacité de fournir une assistance pour la configuration de MQTT ou d’autres intégrations… L’assistance est limitée aux configurations réseau de base nécessaires pour le mode LAN ».
Il est important de rappeler que l’utilisation des imprimantes 3D de Bambu Lab en mode LAN désactive certaines fonctionnalités. En mode LAN, il est bien sûr uniquement possible de lancer des impressions à partir du réseau local. Par ailleurs, l’application Bambu Handy ainsi que la fonction d’historique des impressions ne sont pas disponibles. Le mode LAN peut également entraîner une mauvaise détection des spaghettis, car l’algorithme d’apprentissage automatique du système n’est mis à jour qu’à partir du firmware de l’imprimante 3D.
Un sondage réalisé par All3DP a révélé que plus de 60 % des 1 300 répondants utilisent régulièrement des outils tiers tels qu’OrcaSlicer avec leurs imprimantes 3D Bambu Lab, tandis qu’environ 26 % ne les utilisent pas du tout. Si l’on peut considérer qu’elle représente un échantillon raisonnable de makers, cette réponse souligne l’importance des outils tiers pour les utilisateurs de Bambu Lab.
Il existe une troisième option notable pour les propriétaires d’imprimantes de la série X qui souhaitent conserver le contrôle du système par un tiers : le firmware X1Plus à source ouverte, officiellement autorisé par Bambu Lab en janvier 2024.
X1Plus ajoute de nombreuses fonctionnalités aux imprimantes 3D de la série X basées sur Linux, mais s’accompagne également de compromis. En effet, s’ils décident d’opter pour le firmware exploitable qui permet d’utiliser X1Plus, les utilisateurs doivent signer une renonciation à la garantie de leur imprimante et à la responsabilité de Bambu Lab en matière de sécurité.
Le firmware fermé de Bambu Lab est déjà un point de discorde au sein de la communauté de l’impression 3D, ce qu’a reconnu le fabricant lorsqu’il a commencé à autoriser les utilisateurs à passer à X1Plus :
« Nous avons choisi de concevoir un système fermé et propriétaire, sachant que cela entraînerait son lot d’obstacles, notamment des difficultés en matière de développement et la possibilité de décevoir des clients, car l’esprit DIY est très cher à la communauté des makers.
L’ensemble de notre écosystème, y compris le hardware et les logiciels, a été conçu en partant du principe qu’il serait fermé, Bambu Lab ayant un contrôle total sur son évolution, à l’exception du slicer, qui utilise un code source ouvert ».
Bambu Lab a justifié la mise à jour et le mécanisme d’autorisation qu’il propose en citant les « préoccupations croissantes de l’industrie en matière de sécurité » dans un communiqué de presse du 18 janvier, qui met également en avant le Security Incident and Cloud Traffic Report (Rapport sur les incidents de sécurité et le trafic dans le cloud) de l’entreprise, un article wiki qui décompose ce que Bambu Lab appelle un « volume persistant et croissant de requêtes anormales ». Dans son communiqué, Bambu Lab indique que son système actuel présente « plusieurs vulnérabilités documentées » que son prochain système d’autorisation vise à corriger pour protéger contre l’accès à distance non autorisé aux systèmes de contrôle des mouvements et aux éléments chauffants, l’exploitation des protocoles réseau en mode cloud et LAN » et, surtout, « l’utilisation non autorisée de l’API entraînant une surcharge de l’infrastructure ».
Un autre outil tiers affecté, les mods Bambu Lab de la série Panda de BigTreeTech, a été abordé de manière plutôt sèche. C’est étrange, étant donné que le mode développeur semble répondre de manière appropriée à toutes les préoccupations concernant la continuité de la fonctionnalité des hardware tiers.
Sur son blog, Bambu Lab a supprimé de son annonce d’origine la date prévue du 23 janvier pour la publication de la version stable de la mise à jour de sécurité. D’après ce qu’a déclaré Yaakoubi à All3DP, la mise à jour pourrait en effet prendre plus de temps que prévu. Pour lire la réponse complète de Bambu Lab et l’annonce concernant le mode développeur, et pour voir une démonstration de Bambu Connect (qui, selon Bambu Lab, « a été soigneusement conçu pour minimiser la perturbation des processus utilisateurs existants »), rendez-vous sur le blog de Bambu Lab.
Découvrez les dernières actus :
Licence : Le texte de l'article "Mise à jour de sécurité : Bambu Lab répond à la controverse et promet un « mode développeur »" écrit par All3DP est publié sous la licence Creative Commons Attribution 4.0 International (CC BY 4.0).