[Précédent (date)] [Suivant (date)] [Précédent (sujet)] [Suivant (sujet)] [Index par date] [Index par sujet]

Qui garantis la sécurité de Linux ?


Question tres interessante. En bref, il n'y as pas de garantie formelle
pour la securite des systemes linux; les compagnies qui semblent offrir
des garanties formelles du cote des logiciels non open-source ne semblent
pas plus secures (et souvent semblent etres *pires* cote securite.) 
Le processus de development open-source, de par certaines de ces 
characteristiques, semble produire des logiciels plus securitaires et
de permettre de fermer les trous de securite plus rapidement.  

Quoiqu'il n'ait pas d'autorite centrale pour les questions de securite
Linux, qui guarantirait la securite de Linux, il existe un projet 
nomme le "Linux Security Auditing Project" qui verifie le code 
source de Linux a des fins securitaires:

"This list has been formed to coordinate a group of people who are attempting
to make the linux operating system more secure. This is being
done by reviewing commonly run code for security issues. This group of
people is all volunteers and is doing this project on their own time (for
now.) The group is attempting to make a sort of "verified" linux. This is a massive
task but every fix that is put in place is one less exploit waiting to happen."

  --tire de "Linux Security-Audit List FAQ"

De plus, lorsqu'on download des logiciels d'un site ftp, plusieurs projets 
rendent disponibles la somme MD5 de leurs logiciels, pour permettre 
de verifier que les fichiers n'ont pas ete modifies ou endommages 
en cours de transfert. Plusieurs aussi signent les logiciels avec PGP, 
pour permettre de verifier que le logiciel vient bien des auteurs que 
l'ont pense. rpm permet meme de faire ces deux verifications avec un
command-line option (traduction?) 

La plupart des distribution Linux prennent la responsabilite 
de rendre disponible des patch et bugfix quand des problemes 
de securite surviennent. La plupart des distributions
majeures ont des mailing-lists pour la securite, ou ils announcent la
sortie de nouvelles patches. Malheureusement, un probleme peut etre poste
sur Buqtraq pour un mois ou plus avant que les distributions poste un
fix officiel pour la version du logiciel qui vient avec leur distribution.
J'ai remarque cela avec Redhat; quelqu'un a t'il remarque de meme avec
les autres distributions?

Je n'ai pas vu de distribution *guarantir* la securite de leur distribution
Linux. Est-ce que Microsoft guarantit la securite de Windows? Je travaille
rarement avec les produits MS, donc j'ignore s'ils le font, mais si je
juge d'apres les evenements des derniers mois, avec le virus Melissa,
la decouverte de NSA_KEY et Hotmail, que Microsoft aie ou non une
guarantie de securite, ca ne vaut pas grand-chose. 

Pour ce qui est d'empecher un programmeur initiallement d'inclure 
du code insecure dans Linux ou dans les logiciels qui l'accompagnent, il n'y rien 
qui lui en empeche. En cela les logiciels open-source different tres
peu des logiciels traditionnels. De meme, il n'y a rien qui empeche un programmeur
de faire cela chez Microsoft ou chez une autre compagnie, si l'on juge 
l'example des easter eggs, ou par le nombre de bugs et de trous de
securite decouvert dans des logiciels populaires.

La question se pose alors de comment fait-on pour batir des systemes
et des logiciels securitaires? Extensive peer review (traduction?)
est une methode qui s'est prouvee avec le temps pour batir 
de tels logiciels, ou du moins leur donner une meilleure chance 
d'etre secure. Le "peer review" fait partie integrante du development
open-source. Son utilite reside dans le fait que les problemes auxquels
nous faisons face en development de logiciels sont complexes, plus 
qu'il est impossible pour meme une personne tres intelligente de 
comprendre a elle seule, et d'avoir d'autres paires de yeux pour 
evaluer du code ou un design augmente les chances que *quelqu'un* 
va remarquer un probleme. 

Eric Raymond parle de ce phenomene dans "The Cathedral and The Bazaar"

"Given a large enough beta-tester and co-developer base, almost every problem
will be characterized quickly and the fix obvious to someone. 

Or, less formally, ``Given enough eyeballs, all bugs are shallow.''"

http://www.tuxedo.org/~esr/writings/cathedral-bazaar/cathedral-bazaar-4.html

Bruce Schneier parle du fait que le development open-source est
utilise depuis des annees dans le monde cryptopgraphique, parce
que la seule facon d'obtenir de la crypto secure est de l'avoir
examine longuement par plusieurs autres personnes: 

http://www.counterpane.com/crypto-gram-9909.html

Que le code est ouvert offre la possibilite que quelq'un va lire le code,
detecter une faiblesse, et l'exploiter; d'autre part, lorsqu'un probleme
est decouvert, avoir le code source rends possible de reparer le probleme
plus rapidement, et de ne pas avoir a attendre qu'une compagnie en
particulier release un bugfix.  

Lorsque la securite d'un programme reside seulement dans
le fait que personne ne peux lire le code-source et voir les trous
dans le code, il suffit que quelq'un reverse-engineer le programme,
et toute securite est perdue. C'est la meme chose que de compter
sur le fait que personne ne sait que la porte n'est pas barree pour
la securite d'une maison, vs. compter sur le fait que la porte est barree,
possede une bonne serrure, et qu'il y a des chiens de garde
a l'interieur. :-)   

Pour ces raisons, je place plus de confiance dans les logiciels
open-source que dans la plupart des logiciels commerciaux et fermes
sur le marche. Ils ne sont pas necessairement de facto plus secures,
mais ils ont beaucoup plus tendance a l'etre, et ceci s'est prouve
avec le temps. Ils sont certainement plus faciles a reparer en cas
de problemes. Les guaranties de securites possiblement offertes pas 
les compagnies commerciales semblent avoir amelioree en rien la securite
de leur produits. Je prefere faire confiance a ce que je peux voir de 
mes propres yeux que de croire les paroles de compagnies qui me disent
de "fais-moi confiance!" ;-) 

-Julie