Bienvenue sur Web-News
Re: Fuite de données chez Free : les risques pot 01/11/24 10:24 / Fri, 1 Nov 2024 10:24:48 +0100 Dedibox Discussions
| Sujet | Re: Fuite de données chez Free : les risques pot |
| De | MiguJ |
| Date | Fri, 1 Nov 2024 10:24:48 +0100 |
| Groupes de discussion | proxad.free.divers |
Le 01/11/2024 à 01:35, Aymerick a écrit : > Le 31/10/2024 à 19:44, MiguJ a écrit : > >> C'est tellement grave que beaucoup de gens se demandent aujourd'hui [si les logiciels open-source, avec des contributeurs bénévoles, ne sont pas une immense erreur] > > C'est grave oui > beaucoup de gens, ou beaucoup de gens de microsoft ? > parce que ce n'est pas d'aujourd'hui que des gens critique l'open-source Beaucoup de gens: c'est le piratage par injection de code malveillant. On classe ceci parmi les "attaques de la chaîne d'approvisionnement" (supply chain attack). La forme matérielle peut consister à polluer une source d'eau ou à distribuer des médicaments modifiés (c'est principalement pour cette raison que l'Europe a refusé le vaccin russe Sputnik-V). Israël l'a fait récemment en installant des bombes dans les pagers utilisés par les militants du Hezbollah et des circuits de commande à distance. La forme logicielle consiste, au lieu de tenter de trouver la faille de sécurité dans un logiciel, à infiltrer l'éditeur du logiciel pour introduire directement la porte dérobée qui permettra l'attaque finale. Bien sûr, une telle attaque est possible dans les logiciels commerciaux, et même éventuellement légale (un État peut exiger la création d'une porte dérobée). Mais pour une mafia ou un État étranger, elle est difficile, car il faut arriver à faire embaucher un développeur et à le faire monter au niveau où il pourra introduire la porte dérobée sans être identifié. Or il y a relativement peu de développeurs (car ils travaillent à plein temps), et ils sont dans une organisation pyramidale (votre code devrait être contrôlé par d'autres développeurs). Une telle attaque est plus facile dans l'open-source, car les développeurs sont beaucoup plus nombreux, beaucoup plus dispersés dans le monde, sans contrôle hiérarchique, sans aucune enquête de personnalité même lorsqu'il s'agit d'un logiciel ultra-critique. L'organisation est plus horizontale et il n'y a souvent personne qui a réellement vérifié le code proposé, à partir du moment où "ça marche". > Parce que si c'est un contributeur employé d'une entreprise qui > s'infiltre, ce n'est pas grave ? Si, mais c'est plus difficile de placer un développeur au bon endroit chez Microsoft ou Google, que de créer un compte sur Github (NB: qui appartient à Microsoft) pour contribuer à un projet open-source qui manque désespérant de développeurs (c'était le cas pour XZ Utils). > Des infiltrations pendant des années, il y a suffisamment de > documentaire qui circulent pour qu'on ne puisse plus douter qu'il y en a > à tout endroit. Pour ça qu'il y a des administrations qui ont mission de > lutter contre ça. Oui, il y a des agents doubles depuis toujours, mais dans l'open-source il suffit de créer un compte Github depuis un VPN, c'est facile et on ne risque rien. > La question c'est comment éviter que ces "espions" ne puissent nuire. > Et là ou tu vois l'open-source comme une faiblesse, moi j'y vois une > force, car les back-door y sont détectable tellement plus rapidement. > L'exemple que tu montre en est la preuve. Bien au contraire! Peut-être bien que c'est le cas dans le noyau Linux, qui compte énormément de contributeurs, qui est relativement petit, et où chaque ligne est pesée et réécrite au fil des évolutions technologique (par exemple aujourd'hui avec l'utilisation du langage Rust). Mais dans la majorité des projets open-source, le code est gigantesque et les contributeurs sont rares. Lorsqu'il y a un bug dans Mozilla, très peu de personnes arrivent à y comprendre quelque chose. Un bug critique touchant le stockage des mots de passe a mis plusieurs années entre sa confirmation et sa résolution. Il faut regarder le cas "XZ Utils": le code était maquillé d'une telle manière, et intégré dans un fichier qu'on pouvait tellement peu soupçonner de contenir du code source, que l'attaque était absolument indétectable. Ce n'est absolument pas en examinant le code source que la porte dérobée a été identifiée, c'est parce que le code comportait un défaut qui augmentait l'utilisation du CPU. L'ingénieur de Microsoft a constaté cet usage CPU élevé inattendu dans la nouvelle version, et a tiré les fils à partir de ça: si le code avait été bien écrit, la porte dérobée n'aurait jamais été détectée et elle serait aujourd'hui installée sur la plupart des machines Linux du monde entier. > Aheum, vaut mieux que je m'abstienne de parler de microsoft, ça pourrait > être vu comme du troll. Je vois beaucoup de raisons pour critiquer Microsoft, mais ce que je conteste ici c'est l'affirmation que l'open-source est intrinsèquement sûr. | |
