carbier a écrit :



Hoax ou pas ?





Tout ce que dit cet article, c’est que la NSA a contribué au code de Linux, et ça n’a rien de nouveau. Cela ne veut pas dire qu’il y a forcément des backdoors -d’ailleurs je vois mal comment la NSA aurait pu injecter une backdoor dans ce code Open Source, sans que les milliers de développeurs kernel dans le monde ne trouvent à y redire. Ce code a été scruté, audité, reviewé, avant d’être accepté dans le noyau.



Linus Torvalds a été clair sur le sujet : oui, il a effectivement été approché par l’agence car la NSA voulait introduire une backdoor dans Linux, mais au final aucune backdoor n’a été introduite.

RaoulC a écrit :



Sur le plan de l’audit du code : ben c’est simple, en closed source, a moins de maitriser l’assembleur et le reverse-engineering (et encore) c’est zobi.  On ne parle pas des audits privés..



Avec l’Open source, tout le monde peut vérifier. Ce qui ne signifie hélas pas que c’est fait, faut pas rêver….On a bien vu HearthBleed et autres..Néanmoins, c’est plus transparent.



(…)

 

Si demain on apprend qu’une backdoor NSA est passée dans Linux kernel, cela sera vraiment la fin des haricots numériques. Pas sur que les avantages a backdoorer nux ne seront pas dépassés par le vent de panique que la révélation de cette info créerait.





Quand on dit «la communauté» ça veut tout et rien dire. Il ne s’agit pas seulement de particuliers, mais aussi d’entreprises (et pas seulement américaines) pour qui la sécurité est importante.



Paradoxalement, je fais aussi confiance à… la Chine, qui développe sa propre distribution GNU/Linux (COS) pour ses besoins. Je leur fais confiance pour auditer le code, car ils ne veulent sûrement pas d’une backdoor venant de leurs «amis» américains. S’ils trouvent une backdoor dans Linux, je suis persuadé qu’ils transformeront ça en scandale mondial, et pointeront du doigt les agissements des États-Unis. La NSA doit connaître ce risque, et s’ils ne veulent pas de ce genre de scandale (ils en veulent sans doute encore moins depuis l’affaire Snowden), le plus sage est de ne pas implanter du tout de backdoor dans Linux…



Bref, comme toi, j’ai aussi beaucoup plus confiance dans un code Open Source plutôt que dans un code propriétaire.

Tolor a écrit :



L’histoire montre que le lien de cause à effet est faux





Ah bon, dans quel logiciel Open Source y a-t-il eu des backdoors ?









Nathan1138 a écrit :



Entre Heartbleed et Shellshock/Bashdoor, t’as la mémoire soit courte, soit sélective. Statistiquement, les intégristes de la GPL rentrent plutôt dans la deuxième catégorie…





Il s’agissait de failles (=erreurs introduites involontairement), et non de backdoors (=portes dérobées pour accéder à un système à l’insu de l’utilisateur).



Pour rappel il y a eu un soupçon de backdoor dans OpenBSD, mais après audit aucune backdoor n’a été trouvée.

ar7awn a écrit :



-1

tu a apporté d’antiques exemples de failles, aucun exemple de backdoors.





Des failles qui ont été exploitées, et il en a résulté des backdoors. C’est ce que j’ai dit plus haut, ni plus ni moins (je n’ai pas dit que ces backdoors faisaient partie de l’OS). Il n’empêche que ce genre de scénario est arrivé sur Windows, mais pas sur des distribs GNU/Linux.







ar7awn a écrit :



-2

oui mais il n’y a pas plus de preuves de blackdoors dans linux que dans windows, et contrairement ace que certains affirment il n’est pas impossible qu’il existe des blackdoors sous linux.





J’espère que ce n’est pas moi que tu vises car je n’ai jamais dit que c’était impossible. Oui, il est possible qu’il existe des backdoors dans Linux, ou dans n’importe quel OS. Il est aussi possible qu’un jour une faille critique soit exploitée sous Linux, et provoque des dégâts en masse. Il est aussi possible que dans le futur, ma tante subisse une opération chirurgicale et que je doive l’appeler «mon oncle». Une fois qu’on a dit ce qui était possible, on n’a rien dit, et surtout on n’a rien démontré.



En fait vous voulez tellement défendre Windows, système qui a subi le plus d’exploits, que vous voulez à tout prix montrer que Linux est vulnérable… Mais vous ne pouvez donner aucun exemple, alors vous utilisez votre imagination pour donner des exemples plus farfelus les uns que les autres. Je sais très bien ce qui est possible ou pas, ce n’est pas le problème. Je réponds aux gens qui affirment qu’il y a véritablement des backdoors dans Linux -allez-y j’attends toujours des preuves.

ar7awn a écrit :



je pense que tu est dans le dénis, ce qui a protégé linux pendant des années et qui continue a le protéger dans une moindre mesure; ce sont ses pdm ultra minoritaire et ce principalement du coté du public non avertis.

Contrairement a ce que tu sous entend une faille sous linux n’a rien de plus surprenant qu’une faille sous windows, les événements de ces derniers mois l’ont bien prouvé.



après si tu veut te convaincre que linux est tellement mieux sécurisé que linux en le comparant avec windows 2000 histoire de te rassurer libre a toi.





Mais c’est quoi cette sur-interprétation de mes propos ? Je n’ai jamais dit que Linux était «tellement mieux sécurisé que Windows» " />



Je résume : il y a des gens ici qui ont affirmé qu’il y a des backdoors dans Linux. Je dis juste que si c’est le cas, je demande des preuves. Le reste de mon discours ne sont que des parenthèses (comme ce qui va suivre).



Comme le dit très justement Drepanocytose, il y a des marchés où Linux n’est pas minoritaire : celui des serveurs, le marché de l’embarqué, et le marché des smartphones (Android). Il n’y a que sur ce dernier que les attaques de malwares sont nombreuses (90% des malwares pour smartphone visent Android) : large part de marché, beaucoup d’attaques. Mais ce n’est pas vrai pour les autres marchés : sur le marché des serveurs, large part de marché mais peu d’attaques…



Je t’invite à lire cet article écrit par… un développeur de chez Microsoft, qui montre que le nombre d’attaques de malwares est complètement décorrélé des parts de marché. Lorsqu’il a écrit cet article Android avait 50% de pdm mais était la cible de 80% des attaques ; iOS avait 30% de pdm mais n’était que très peu attaqué (~1%). Conclusion : les parts de marché sont UN facteur qui fait que les hackers vont s’attaquer à une plate-forme ; mais cela ne veut pas pour autant dire que les attaques de malwares réussiront, il y a aussi des facteurs plus importants qui entrent en compte : les éléments de sécurité (système de dépôts, sandbox…), le comportement des utilisateurs (utilisent-ils un compte admin par défaut, est-ce qu’ils root leur téléphone, ou au contraire est-ce qu’ils savent administrer les machines comme c’est le cas sur le marché des serveurs). Et donc au final, le nombre effectif de malwares s’attaquent à une plate-forme, n’a pas grand chose à voir avec les parts de marché de cette plate-forme.

Jed08 a écrit :



Bon quitte à demander des trucs vraiment impossible à prouver, prouve moi que toutes les contributions opensources sont réellement lues et auditées ? Et que les gens soient compétents !

Parce que le correctif de Heartbleed c’est seulement 15 lignes, pourquoi une faille aussi conne a été laissée passée ?

Shellshock, le code de bash respecte des standards qui ont 25 ans, certaines syntaxes utilisées sont assez foireuses. Il y a vraiment des gens qui ont audités ce truc et qui ont dit : Ok !

 

Parce que j’ai réellement l’impression que les gens sont tous en train de se dire : c’est audités par des gens donc c’est bon. Et que les seuls audits digne de ce nom qui sont réalisés sont faits tous les 15 ans.







Ah ben si tu en as l’impression c’est que ça doit être vrai… " />



Quand on dit «logiciel libre» ça veut tout et rien dire. Ça inclut aussi bien un code développé par un gus dans son garage, que les «gros» codes comme Linux, KDE, Gnome, LibreOffice, développés par des entreprises, des fondations… C’est évident que le premier ne sera pas aussi bien audité ni surveillé que les seconds. Donc non, tous les logiciels libres ne sont pas audités aussi souvent ni de la même manière. Faut-il pour autant en conclure qu’aucun logiciel libre n’est audité et que toute contribution passe comme dans du beurre ?…



 





Jed08 a écrit :



Maintenant il faut voir ce que certaines de ces failles permettent, avec heartbleed on arrive à récupérer les clés privés de chiffrement. Avec POODLE, via un Man in the Middle, on arrive à casser du chiffrement SSL et c’est sûr, cette attaque est trop compliquée pour être exploitée à loisir par la NSA.





Non. En sécurité, le nombre de failles n’est pas le plus important. La criticité de la faille (ce qu’elle permet de faire ou pas) n’est pas le plus important. Le plus important, c’est la fenêtre d’ouverture : pendant combien de temps la faille peut être exploitée avant d’être corrigée ?



Parce que tu as beau avoir la plus grosse faille du monde (une faille importante comme HeartBleed), qui a été corrigée dans les 2 jours après sa découverte, si personne n’a eu le temps de l’exploiter avant le patch, ce n’est qu’un incident mineur. Si des pirates (ou la NSA) en avaient connaissance depuis longtemps et l’ont exploité, ça change tout et ça en fait une faille très importante -mais ça, on n’en a aucune preuve, donc ce genre de scénario reste de la pure fiction. Avoir conscience de cette possibilité c’est bien, mais l’utiliser pour dire que les logiciels libres sont tous vérolés jusqu’à la moelle, ça relève de la théorie du complot.



Microsoft a fait de gros progrès sur la sécurité et le patch des failles, surtout depuis Windows 7, et on ne peut que les féliciter. Cela n’a pas toujours été le cas, et par le passé des failles Windows ont permis à des malwares (notamment Sasser, Blaster que je citais plus haut) d’offrir des portes dérobées, des vraies. Je suis bien placé pour le savoir, à l’époque je m’étais mangé ces malwares, et j’avais dépanné pas mal d’amis et collègues qui avaient aussi été infectés. Ça ce sont des faits concrets, pas une histoire de fiction que j’invente juste pour faire croire que j’ai raison.



Je ne nie pas qu’il existe aussi des failles dans les logiciels libres : HeartBleed, Bash, les exemples ne manquent pas surtout ces derniers mois. Mais citez-moi un seul exemple, UN SEUL, où une faille a été exploitée de la sorte, et a fait autant de dégâts que Sasser ou Blaster ? Je doute que vous ne trouviez cela facilement, pour diverses raisons : systèmes moins utilisés donc moins assujettis aux attaques, peu importe. Le fait est que ça n’est pas le cas.



Alors laisse-moi résumer les faits avérés : dans Windows des failles ont permis l’introduction de backdoors par le passé ; dans les logiciels libres il y a des failles, mais aucune à ma connaissance n’a permis l’introduction de backdoor. Mais bon, dans le doute, il est possible qu’il y ait des backdoors dans les logiciels libres, donc Windows est beaucoup plus sûr ? Mmm, raisonnement implacable, je ne sais pas quoi répondre. Et, fort de ce raisonnement, vous estimez que c’est aux libristes de prouver que les logiciels libres sont invulnérables, chose que personne ici n’a jamais prétendu.



Je t’invite (et d’autres) à lire ce petit document, surtout ces deux erreurs de raisonnement souvent utilisées : (1) l’appel à l’ignorance («on ne peut pas démontrer qu’il n’y a pas de backdoor dans les logiciels libres, donc il y en a forcément»), et (2) le renversement de la charge («prouvez-moi que ce que je dis est faux»). Les auteurs appellent ça des «moisissures argumentatives». Je le redis : si vous voulez démontrer la vulnérabilité de Linux et des logiciels libres, c’est à vous d’apporter des preuves de ce que vous avancez, et non pas aux libristes de démontrer le contraire.



De mon côté je reconnais parfaitement les progrès qu’a fait Microsoft sur les questions de sécurité, j’ai déjà été très clair là-dessus. Windows 7, 8 et bientôt 10 apportent de vrais mécanismes qui améliorent la sécurité, c’est indéniable. Mais pour une raison qui m’échappe, il y a des anti-logiciels libres qui veulent absolument faire passer le massage que Windows est le seul OS sûr, et que les logiciels libres sont forcément plus vulnérables et pleins de backdoors, et ça j’ai du mal à l’avaler…