sylware a écrit :



Ok, d’aillleurs c’est quels algos qu’ils utilisent?



Ils peuvent le dire, un des principes de la crypto: algo ouvert, clé secrète.







C’est une très mauvaise interprétation des principes de Kerckhoffs. Ces derniers stipulent que la sécurité d’un système ne doit effectivement pas reposer sur le secret.



En aucun cas cela ne signifie qu’il faut ouvrir le système à tous.



Pour donner une analogie, c’est à peu près aussi idiot que de demander à une banque de publier les plans des accès aux salles contenant ses coffres, avec en outre une description détaillée des verrous que ceux-ci utilisent.



Il y a en réalité deux paradigmes à partir du principe de Kerckhoffs.

Le premier est celui plus ou moins soutenu par la majorité des personnes ici : un système ouvert afin que le plus grand monde puisse déceler une éventuelle faille et la rapporter aux concepteurs, améliorant sans cesse la sécurité du système.

La seconde consiste à maintenir le secret : si je ne connais pas le système, comment puis-je déceler une faille autrement que par hasard ou en utilisant des techniques classiques (dont on peut supposer le système protégé) ?



Il ne faut pas se tromper. Pour reprendre les propos d’Eugène Kaspersky, la cybersécurité ne vise pas tant à se protéger d’une éventuelle cyberguerre que d’un éventuel cyberterrorisme ou cyberespionnage. Celui dont on veut se protéger n’est pas nécessairement une agence nationale avec de gros moyens, mais peut être n’importe quel hacker (plus malin ou plus chanceux que ses confrères).



À ce titre, utiliser une plateforme spécifique pour les infrastructures (dans l’idéal même, plusieurs plateformes spécifiques) limite l’utilisation des produits, donc les risques de découvrir une faille “par hasard” (si linux possède moins de failles que Windows, cela est probablement plus dû à une moindre utilisation qu’à une réelle meilleure conception - j’en veux pour indice la mauvaise réputation qu’a Android en terme de sécurité). Cela limite également la portée d’une faille trouvée ; on pourrait faire en cela une analogie avec la diversité génétique qui rend la population d’une espèce plus résistante aux différentes maladies.



Pour toutes ces raisons, je ne vois vraiment pas pourquoi tant de personnes ici (et Vincent Hermann entre autres) sont à ce point convaincu qu’utiliser linux ou plus généralement des logiciels libres est plus sûr qu’utiliser des logiciels fermés. Surtout depuis qu’on sait que Linus Torvald a été contacté, comme bien d’autres, par la NSA. Évidemment, par logiciel fermé ici je n’entends pas Windows (ni même OS X), mais une solution nationale comme cela a été suggéré par le Premier Ministre (voir l’article de PCInpact du 9 février). Comme d’autres l’ont rappelé avant moi, logiciel fermé ne signifie pas que l’ANSSI n’ait pas un accès privilégié au code source.







Le grand public ne peut obéir à la même logique (les gens se sentent plus à l’aise avec un système utilisé par d’autres personnes autour d’eux), et dans ce cas une sécurité renforcée par le caractère libre du système prend tout son sens. Mais pas pour des infrastructures critiques.