Les serveurs de kernel.org ont été compromis

76
1
sept.
2011
Pirate

Pour télécharger les sources du noyau Linux il faut aller sur kernel.org. C'est là que sont rassemblés les archives des différentes versions et c'est là que se trouvent les différentes branches git de nombreux développeurs.

Les responsables du site viennent d'annoncer (voir la partie news en bas de la page) que le serveur Hera avait été compromis, et ce au moins depuis le 28 août. Le pirate a modifié les binaires SSH du système et il a ajouté un cheval de Troie dans les scripts de démarrage.
Bien évidemment les administrateurs ont immédiatement isolé la machine et sont en train de tout passer au peigne fin pour comprendre l'origine de la compromission et pour évaluer les dégâts. Il faudra au minimum que les centaines de développeurs utilisant directement kernel.org changent leur clé SSH et que les tarballs disponibles soient régénérés (puisqu'elles ont été signées avec une clé présente sur le serveur compromis).

En revanche il n'y a, à priori, pas d'inquiétude à avoir en ce qui concerne les sources du noyau. La conception même de git, avec les sommes de hachage SHA-1 calculées pour chaque commit et chaque fichier source, empêche d'implanter une backdoor. Celui qui tenterait cela serait immédiatement détecté puisque les centaines de développeurs du noyau qui ont une copie git des sources recevraient alors une alerte au premier commit.

Jonathan Corbet, éditeur du site LWN, a rapidement publié un article sur le site linux.com pour expliquer ce fait et pour couper court aux articles catastrophistes que les journalistes n'allaient pas manquer de publier.
L'état de la presse étant ce qu'il est, nous savons tous que cet article de Jonathan n'empêchera pas les gens de dire n'importe quoi....

  • # Ca c'est la meilleure

    Posté par . Évalué à -10.

    L'état de la presse étant ce qu'il est, nous savons tous que cet article de Jonathan n'empêchera pas les gens de dire n'importe quoi....

    Venant de patrick_g et connaissant son potentiel trollifère, ainsi que sa capacité a parler de plein de trucs liés aux BSD sans forcément s'informer correctement, je trouve cette phrase totalement délicieuse. :D

    • [^] # Re: Ca c'est la meilleure

      Posté par (page perso) . Évalué à 0.

      Depuis quand tu classes linuxfr dans"la presse"?

      ⚓ À g'Auch TOUTE! http://agauch.online.fr

      • [^] # Re: Ca c'est la meilleure

        Posté par (page perso) . Évalué à 7.

        L'APRIL l'a déjà fait dans ses revues de presse.

        Commentaire sous licence LPRAB - http://sam.zoy.org/lprab/

        • [^] # Re: Ca c'est la meilleure

          Posté par . Évalué à -3.

          Heu.

          1. C'est l'April et non l'APRIL
          2. Une revue de presse est une revue de ce qui se passe… dans la presse
          3. Ce qui est à destination de la presse, ça s’appelle un communiqué de presse. C'est une chose bien distrincte. Par ailleurs l'April en fait aussi (normal).
          • [^] # Re: Ca c'est la meilleure

            Posté par . Évalué à 4.

            T'as pas compris, il dit que l'April donne des liens vers linuxfr dans ses revues de presses(exemple: http://www.april.org/revue-de-presse-de-lapril-pour-la-semaine-46-de-lannee-2010), donc que l'April considère que linuxfr fait parti de la presse.

          • [^] # Re: Ca c'est la meilleure

            Posté par . Évalué à -3.

            Tu fais exprès ? Non parce que j'ai beaucoup ri. Okay pour les corrections sémantiques (mais alors mélange pas les phrases, les majuscules tombées du ciel etc. dans une liste à puce), mais pour ne pas comprendre qu'une revue de presse citant LinuxFR considère de fait LinuxFR comme faisant partie de "La Presse", même si ça se discute comme point de vue, faut être sacrément ralenti...

            Et pour le communiqué de presse, quel est le rapport avec la spécialité culinaire alsacienne à base de wurst et de choux cuisiné ?

            "The trouble with quotes on the internet is that it’s difficult to discern whether or not they are genuine.” Abraham Lincoln

    • [^] # Re: Ca c'est la meilleure

      Posté par (page perso) . Évalué à 10.

      sa capacité a parler de plein de trucs liés aux BSD sans forcément s'informer correctement

      C'est pour ça que j'avais lancé l'interview des devs OpenBSD afin d'avoir les infos à la source. Mais bon visiblement pour toi je suis un troll et cette info est gravée dans ta ROM interne et ne pourra plus jamais être mise à jour....

      • [^] # Re: Ca c'est la meilleure

        Posté par . Évalué à 3.

        pour toi je suis un troll

        Perso, j'avais pris son commentaire comme de l'ironie... Dire expressément le contraire de la vérité, pour mieux la mettre en exergue... Genre, je crois qu'on parle de litote...

        Hop,
        Moi.

        • [^] # Re: Ca c'est la meilleure

          Posté par (page perso) . Évalué à 10.

          Perso, j'avais pris son commentaire comme de l'ironie

          Non, non c'est du premier degré. Regarde par exemple les logs de GCU à 10h14 : http://www.gcu-squad.org/gcu-live/

          Gaston est un habitué de ce genre de déclarations : http://www.gcu-squad.org/2010/05/19-mai-19-mai-il-a-quoi-de-special-ce-jour/

          • [^] # Re: Ca c'est la meilleure

            Posté par . Évalué à 10.

            C'est assez triste que les fans de BSD soient aigris à ce point là.

            Je n'arrive pas à comprendre pourquoi ils sont aussi haineux.

            Ça me rappelle l'agitation d'un autre troll BSD, Maxime Derche (toorop) pour ne pas le nommer.

            Pendant un temps, il squattait le chan #april sur freenode. Jusqu'à là, rien d'anormal, c'est fait pour.

            Mais son unique contribution consistait à éructer dès que les mots rms, GPL, GNU, FSF etc. étaient prononcés. Il trouvait que l'April était trop fortement positionné FSF et pas assez BSD.

            Bon pourquoi pas, c'est un point de vue. bizzare sachant que l'April a pour but de promouvoir et défendre le LL (et pas le copyleft). Mais admettons.

            On lui a proposé de monter son propre groupe de travail visant à promouvoir BSD au sein de l'April. Et depuis plus de nouvelles. Il n'a pas vraiment dit non. Il n'a pas vraiment accepté non plus.

            Bref ma question est la suivante : Pourquoi les fans de BSD sont aigris ? Pourquoi faut-ils qu'ils considèrent d'autres libristes comme des ennemis ? Pourquoi tant de haine ?

            Moi je pensais qu'on défendant la même cause avec des armes différentes.

            • [^] # Re: Ca c'est la meilleure

              Posté par (page perso) . Évalué à 10.

              Il ne faut pas généraliser quand même. Gaston continue seulement de me reprocher de vieux journaux LinuxFr qui, selon lui, étaient trollifères envers les BSD...mais à côté de ça il a été sympa et il a accepté de participer à l'interview OpenBSD.

              Sinon les devs BSD avec qui j'ai interagi ont tous été charmants (il faut juste rester vigilant en permanence: Miod est charmant mais il mange les enfants ;-)

            • [^] # Vous avez dit «partage» ?

              Posté par . Évalué à 8.

              Ce sectarisme devient lassant à la longue ! Il serait temps que les différents membres du monde de l'openSource apprennent à partager. Et non, la communauté BSD n'est pas la seule en cause ! Il suffit de lire régulièrement les commentaires du présent site pour s'en rendre compte, ou des flamewares entre distributions/OS ont lieu régulièrement.

              Quant à savoir pourquoi certains membres de la communauté *BSD sont aigris, cela se comprend aisément. Essayons de se mettre à la place de ces personnes.
              Notons déjà le manque de reconnaissance de la dite communauté. Il ne faut pas oublier qu'elle a une contribution non négligeable dans le monde du libre. Et ne récolte en retour que moqueries sur le prétendu retards de ses logiciels, ou l'absence de fonctionnalité, voire un simple "linux caymieux.".

              Vous me direz que les trolls et les moqueries, ça s'ignore. Je vous l'accorde entièrement. Mais que dire de l'abandon par de grands noms du LL de la portabilité vers ce systemes (pourtant POSIXs. !) ? Citons les DE qui se tournent de plus en plus vers des dépendances à udev ou systemd. Après on peut débattre du manque de standards dans ces domaines mais c'est une autre histoire.

              Enfin, en ce qui concerne la licence, il y a de quoi être aigri parfois quand on voit son code passer sous GPL et quand on n'est plus en mesure d'en récupérer les améliorations. Même si c'est justement le propre de la licence BSD de le permettre.

              Malgrès tout, ces gueguerres intestines sont idiotes, et je pense que plus de collaborations serait bien fructueux pour les deux parties. Quant à sigma_g, je pense que l'accuser de Troll, c'est faire preuve d'une légère mauvaise fois, pour ce qui est de l'incompétence, ce n'est pas à moi de juger.

              • [^] # Re: Vous avez dit «partage» ?

                Posté par (page perso) . Évalué à 10.

                Enfin, en ce qui concerne la licence, il y a de quoi être aigri parfois quand on voit son code passer sous GPL et quand on n'est plus en mesure d'en récupérer les améliorations. Même si c'est justement le propre de la licence BSD de le permettre.

                Tu veux dire : des mecs autorisent explicitement des choses, disent vous pouvez le faire, puis sont aigris parce que les gens le font? Ils faudrait qu'ils se soignent dans ce cas avec un bon psy, ou qu'ils arrêtent de faire du BSD, c'est pas pour eux.

                Un mec qui est aigri parce que du code GPL (ou proprio, pareil) est mélangé à du BSD (le code BSD reste BSD, il ne passe pas en GPL) et que lui ne peut pas l'utiliser en BSD (c'est voulu par le mec faisant du GPL, comme c'est théoriquement voulu que le mec faisant du BSD l'autorise) est seulement un faux-cul qui ne sait pas lire 3 lignes de licence (la sienne de licence), il ferait mieux d'apprendre à lire d'abord, puis à savoir choisir une licence.

                Note : je n'ai rien contre BSD du moment où ils respectent la licence qu'ils ont filé, ce qui est la majorité des gens qui font du BSD. Ce n'est pas propre à BSD d'ailleurs, j'ai aussi vu des gens rouspéter car ils ne pouvaient pas intégrer du code GPLv3+ à leur code GPLv2+ et ils insultaient le codeur GPLv3+ de faire du GPLv3+ (fallait pas mettre le "+" mon gars, tu as autorisé, il a utilisé)

                • [^] # Re: Vous avez dit «partage» ?

                  Posté par . Évalué à 3.

                  Je suis tout à fait d'accord, et encore une fois il ne faut pas généraliser, ce genre de personnes est minoritaire. Cependant, certains font du BSD parce qu'ils aiment BSD, et non la licence BSD.

                  • [^] # Re: Vous avez dit «partage» ?

                    Posté par (page perso) . Évalué à 7.

                    Ceux-la savent que leur code peut être repris pour du GPL (ou proprio), c'est dans le contrat initial, ils n'ont pas non plus à être aigris. Du code, c'est un tout (le texte et la licence). Ça reste schizophrène si ils sont aigris par ce qu'ils ont signé volontairement (personne ne leur met un flingue sous la tempe, ça fait partie du contrat pour être accepté par les mainteneurs xBSD, ils acceptent le contrat ou ils ne signent pas)

                • [^] # Re: Vous avez dit «partage» ?

                  Posté par . Évalué à 3.

                  Enfin, en ce qui concerne la licence, il y a de quoi être aigri parfois quand on voit son code passer sous GPL et quand on n'est plus en mesure d'en récupérer les améliorations. Même si c'est justement le propre de la licence BSD de le permettre.

                  Tu veux dire : des mecs autorisent explicitement des choses, disent vous pouvez le faire, puis sont aigris parce que les gens le font? Ils faudrait qu'ils se soignent dans ce cas avec un bon psy, ou qu'ils arrêtent de faire du BSD, c'est pas pour eux.

                  Tu exagères. Compare avec les grands auteurs de la littérature. Avant l'industrialisation de la fabrication du livre les écrivains ne vivaient jamais de leurs œuvres, au contraire elles les dévoraient. Par la suite une caste de gens de lettres rémunérés par la vente du livre c'est formée. Les seconds détestent et dénigrent les premiers tant qu'ils sont en vie, les traitant d'amateurs. Et pourtant. Qui donne les meilleures œuvres accessibles à tous ?

                  A mon sens, celui qui adopte une licence BSD a une démarche esthétique, c'est pourquoi il ne désire pas imposer de limites ; alors que celui qui adopte la GPL instrumentalise le droit afin de garantir une utilité maximale (dans le temps) à ses créations. Si vous me dites que le but d'un programme n'est pas d'être beau mais d'être utile, je vous répondrais que les machines visent l'utilité pure alors que les programmes peuvent servirent le beau et l'utile, comme l'architecture.

                  Il n'y a qu'à voir comment les "irréductibles BSDéistes" soignent le code, la documentation, etc, pour s'en convaincre. Alors je comprends tout à fait leur frustration quand ce qui est destiné à être un tout harmonieux (principe d'unité du système de base) est tronçonné, dénaturé, puis enfermé dans une petite boite au nom de la liberté.

                  Ces deux visions sont-elles conciliables ? Je ne pense pas. Je me trompe peut-être dans mon analyse. Des BSDéistes pour confirmer ou infirmer ?

                  • [^] # Re: Vous avez dit «partage» ?

                    Posté par (page perso) . Évalué à 6.

                    Alors je comprends tout à fait leur frustration quand ce qui est destiné à être un tout harmonieux (principe d'unité du système de base) est tronçonné, dénaturé, puis enfermé dans une petite boite au nom de la liberté.

                    C'est quoi le rapport avec le nom de la liberté? La license BSD permet de faire du proprio pur et dur, absolument rien à voir avec une quelconque liberté. Ca n'a absolument aucun rapport!

                    Si ces gens frustrés ont envie de changer les règles, ils en sont libres. Mais qu'ils ne viennent pas faire chier ce qui veulent le liberté telle que décrite par la licence BSD. Ces gens frustrés n'ont tout simplement rien à voir avec l'idée de la licence BSD, alors pourquoi utiliser cette licence?

                    Je soupçonne plutôt que c'est une faible minorité qui n'a aucun moyen de maintenir une branche avec une licence qui leur conviendrait, et que la majorité des BSDistes est très contente avec cette liberté donnée.

                    C'est quand même un grand foutage de gueule que de dire "faite ce que vous voulez" pour ensuite critiquer ceux qui font ce qu'ils veulent. Si ils ne veulent pas que les gens fassent ce qu'ils veulent, qu'ils changent la licence et arrête de faire chier avec leur aigreurs auto-créée. Désolé, mais la c'est trop gros, ils sont libres, mais préfèrent se plaindre, faut arrêter de déconner.

                    • [^] # Re: Vous avez dit «partage» ?

                      Posté par . Évalué à 0.

                      C'est quoi le rapport avec le nom de la liberté? La license BSD permet de faire du proprio pur et dur, absolument rien à voir avec une quelconque liberté. Ca n'a absolument aucun rapport!

                      Si tu considère la stricte utilité des logiciels, je suis d'accord avec toi pour dire qu'ils font doublement erreurs en utilisant la BSD. Une fois en omettant les garde-fous de la GPL et une autre fois en râlant contre ceux qui tirent partie de la BSD à leur avantage.

                      D'un autre côté, si tu es d'accord avec ma dernière phrase, tu le sera aussi pour affirmer que les logiciels sous GPL ne sont pas libres. La liberté ne se concède pas. Une chose est libre ou elle ne l'est pas. Point. Je conçois la GPL comme les biens communaux.

                      Si ces gens frustrés ont envie de changer les règles, ils en sont libres. Mais qu'ils ne viennent pas faire chier ce qui veulent le liberté telle que décrite par la licence BSD. Ces gens frustrés n'ont tout simplement rien à voir avec l'idée de la licence BSD, alors pourquoi utiliser cette licence?

                      Mon propos était plus général. Pour en venir à l'origine de ce fil, les gars de chez GCU-Squad! sont justes des pommés. Pourquoi utilisent-ils la BSD ? Juste pour le frisson d'agiter des idées et de se sentir plus radicaux que la moyenne !

                      Je soupçonne plutôt que c'est une faible minorité qui n'a aucun moyen de maintenir une branche avec une licence qui leur conviendrait, et que la majorité des BSDistes est très contente avec cette liberté donnée.

                      Peut-être bien, mais comme les clauses de réutilisation ne sont pas symétriques reconnaît que le mélange de de code est impossible avec les contrariétés que ça implique pour ceux qui n'ont pas mûrement réfléchis leurs choix.

                      [...] ils sont libres, mais préfèrent se plaindre, faut arrêter de déconner.

                      Sois indulgent, t'es une gros râleur aussi ;-)

                  • [^] # Re: Vous avez dit «partage» ?

                    Posté par . Évalué à -3.

                    celui qui adopte une licence BSD a une démarche esthétique, c'est pourquoi il ne désire pas imposer de limites ; alors que celui qui adopte la GPL instrumentalise le droit afin de garantir une utilité maximale (dans le temps) à ses créations.

                    Ces deux visions sont-elles conciliables ? Je ne pense pas.

                    Toi tu ne lis pas assez ;)
                    Les licences s'appliquent parfaitement à des domaines différents. Les licenses BSD (j'inclu ici apache avec, comme d'hab) est idéale dès lors que tu souhaites promouvoir un standard. Si tu utilises la license BSD pour autre chose (genre un programme alacon python-qt) ben tu sais ce que tu fais.

                    Si les gens de BSD l'ont aussi mauvaise, faut essayer de se mettre à leur place : ils ont contribués et contribuent énormément à de nombreuses briques, pour plein de système. Pour l'instant le retour a toujours été équitable. Mais avec les derniers développements sur le noyau linux, il n'y a plus que deux solutions : ou on en profite pas ou on en profite. Or la deuxième solution implique des développements au-dessus qui vont faire chier les gens de BSD. Et la première n'est pas leur tasse de thé, vu que ce noyau ils ne l'utilisent que peu.

                    En bref, c'est une question d'échelle. Imagine toi à la place non pas d'un type comme toi et moi qui fait du java en bsd mais de quelqu'un travaillant plus bas. Là, la différence est très nette. Il risque fort de n'avoir aucun autre bénéfice que son travail en échange de son travail. Bon après on peut troller sur "peut être n'ont ils pas choisis la bonne licence dès le début si 1.ils ne font pas du réseau 2.ils ne font pas des trucs en java. Moui, on peut troller)

                    • [^] # Re: Vous avez dit «partage» ?

                      Posté par . Évalué à 0.

                      heu, vous pouvez moinssez ce message au dessus, svp ? il correspond parfaitement à la définition "inutile"
                      désolé

              • [^] # Re: Vous avez dit «partage» ?

                Posté par . Évalué à 2.

                Mais que dire de l'abandon par de grands noms du LL de la portabilité vers ce systemes

                Ce point de vue est encore minoritaire (et je crois que le projet Gnome a justement refusé la dépendance à systemd demandée par le "grand nom" en question).

                Enfin, en ce qui concerne la licence, il y a de quoi être aigri parfois quand on voit son code passer sous GPL et quand on n'est plus en mesure d'en récupérer les améliorations. Même si c'est justement le propre de la licence BSD de le permettre

                C'est permis par la licence. Point.
                La BSD ne se protège pas, c'est quelque chose qu'il faut accepter lorsqu'on fait du code sous BSD. En même temps, j'avoue que la GPL peut agacer car elle pose des limites juridiques à ce que je peux techniquement faire (par exemple, si je souhaite expérimenter un concept de micro-noyau, en déplaçant une partie du code de Linux dans des libs userspace, mon micro-noyau+libs n'autorisera pas les applis propriétaires et le résultat ne pourra donc pas être iso-fonctionnel avec Linux, à cause d'une limite juridique et non technique. Idem si je souhaite réutiliser dans une lib du code sympathique trouvé dans une appli GPL, et permettre à des applis non-GPL de se linker à ma lib). De là à dire que la GPL limite l'innovation et la créativité, il n'y a qu'un pas... que je franchirai allègrement car on est vendredi :)
                Du coup, je pense que la LGPL est un bon compromis et pourrait être utilisé de manière plus générale — même pour des applis/noyau — car elle se protège davantage que la BSD sans pour autant "viraliser" du code écrit par d'autres dans un cadre de liaison dynamique, et elle permet donc de réutiliser le code dans d'autres contextes et notamment sous forme de lib partagée. J'ai l'impression que la LGPL pourrait être la licence rêvée des dévs BSD aigris (mais qui n'aiment pas la GPL) ! Les gars, que diriez vous de basculer tout Free/Net/OpenBSD sous LGPL ?
                C'était ma contribution au troll, bon vendredi :)

                • [^] # Re: Vous avez dit «partage» ?

                  Posté par (page perso) . Évalué à 1.

                  sans pour autant "viraliser" du code écrit par d'autres

                  Tu vas te faire des amis ici ;-).

                  J'ai l'impression que la LGPL pourrait être la licence rêvée des dévs BSD aigris (mais qui n'aiment pas la GPL) !

                  Ah, voila, ça doit être pour ça que je code en LGPL majoritairement!

                • [^] # Re: Vous avez dit «partage» ?

                  Posté par (page perso) . Évalué à 2.

                  J'ai l'impression que la LGPL pourrait être la licence rêvée des dévs BSD aigris (mais qui n'aiment pas la GPL) !

                  Hum, il me semble qu’une des premières critiques à l’encontre de la GPL, avant même son caractère viral ou prophylactique, c’est sa longueur et sa complexité.

                  Si c’est effectivement le cas, je ne suis pas sûr que l’idée de remplacer la 3BSD par la LGPL séduise beaucoup de monde :

                  $ wc -l 3bsd.txt
                  24 3bsd.txt
                  $ wc -l gpl-2.0.txt
                  339 gpl-2.0.txt
                  $ wc -l lgpl-2.1.txt
                  504 lgpl-2.1.txt
                  
                  
                  • [^] # Re: Vous avez dit «partage» ?

                    Posté par (page perso) . Évalué à -1.

                    Si les gens aigris ne veulent pas écrire ce qu'ils souhaitent pour ne pas être aigris, qu'ils ne viennent pas dire qu'ils son aigris pour quelque chose qu'ils ne veulent pas écrire... (phrase qui sert à rien, mais bon, être aigri pour quelque chose qu'on a explicitement donné, c'est aussi d'un ridicule).

                    Si la (L)GPL est longue, ce n'est pas par plaisir.

            • [^] # Re: Ca c'est la meilleure

              Posté par (page perso) . Évalué à 10.

              C'est assez triste que les fans de BSD soient aigris à ce point là.

              Les fans de BSD ne sont pas (tous) aigris. Le problème c'est que ceux qui sont aigris sont ceux qui n'ont rien à foutre (et donc ils sont encore plus aigris), donc ils trainent sur les forums, irc, blog... à raconter n'importe quoi.

              • [^] # Re: Ca c'est la meilleure

                Posté par . Évalué à 4.

                pas besoin d'être aigri pour trainer sur irc les forums et dlfp à raconter n'importe quoi :p

                • [^] # Re: Ca c'est la meilleure

                  Posté par . Évalué à 1.

                  Eh ben ca fait plaisir de voir comment une phrase avec un smiley à la fin déclenche autant de trolls, d'air déplacé en faisant des gesticulations inutiles et de bave. Décidément, ca changera pas ici.

                  • [^] # Re: Ca c'est la meilleure

                    Posté par . Évalué à 5.

                    Mais c'est ça qui est drôle. Pourquoi viendrait-on ici sinon ? Les news ? autant lire les changelogs. D'ailleurs les notes négatives et moi, on est de grands amis \o/.

                  • [^] # Re: Ca c'est la meilleure

                    Posté par . Évalué à 4.

                    Ce commentaire était de l'auto-dérision, et ne t'étais pas destiné, Gaston.

  • # Changer les clés SSH ?

    Posté par . Évalué à 3.

    Il faudra au minimum que les centaines de développeurs utilisant directement kernel.org changent leur clé SSH

    Hein ? Ils ont tous une clé privée sur ce serveur ? À quel usage ? Logiquement il n'y a que des clés publiques, simplement pour pouvoir commiter leur code, donc je ne vois pas le besoin de les changer.

    • [^] # Re: Changer les clés SSH ?

      Posté par (page perso) . Évalué à 10.

      Le problème c'est que celui qui s'est introduit sur le serveur s'est sans doute servi de la clé d'un des développeurs. Par sécurité, il vaut mieux changer toutes les clés pour que le méchant ne puisse plus s'amuser sur le serveur.

  • # Cle ssh corrompu ?

    Posté par . Évalué à 3.

    Un truc m'echappe: les développeurs vont devoir changer leur clé ssh qui est potentiellement compromise mais les repo git ne craignent rien ?

    Qu'est ce qui empêcherait l'attaquant de pondre un commit au nom d'un developpeur et de le pousser en utilisant ladite clé compromise ? Pour peu que ca ait passé la relecture dans la torpeur du mois d'aout et c'est reglé !

    • [^] # Re: Cle ssh corrompu ?

      Posté par (page perso) . Évalué à 3.

      Git n'est pas utilisé comme ça pour le noyau. C'est Linus Torvalds qui titre les branches de ses lieutenants et qui pousse les commits, à ma connaissance.

      • [^] # Re: Cle ssh corrompu ?

        Posté par (page perso) . Évalué à 10.

        C'est bien ce qu'il me semblait, Linus est le seul au monde à pouvoir commit sur le noyau. Ses lieutenants lui envoient personnellement des patches (voir par exemple ce lien, tout en bas)

        Par contre c'est rigolo, la populace un peu en connaissance sur le monde informatique critique toutes ces "grandes sociétés" qui se font hacker parcequ'elles ont des sécurités arriérées. Par contre, là, on parle quand même du serveur qui host le repo central du noyau linux, donc ca doit pas être des branquignoles qui gèrent la sécurité. J'attends de voir les explications =]

        • [^] # Re: Cle ssh corrompu ?

          Posté par . Évalué à 0.

          Oui, mais il suffit qu'une backdoor soit dans les commits pushés par Linus lui même d'un bonhomme "fiable" donc dont Linus ne relira pas le code pour qu'il se retrouve dans le code...

          "The trouble with quotes on the internet is that it’s difficult to discern whether or not they are genuine.” Abraham Lincoln

        • [^] # Re: Cle ssh corrompu ?

          Posté par . Évalué à 2.

          Les grandes sociétés qui se font hacker déclenchent un scandale lorsque les dommages réels et augmentation des risques sont importants pour les tiers, e.g. diffusion de millions de numéros de carte de crédits -- interruption d'un service pendant une éternité.

          Ici tout le monde est d'accord pour dire que le problème n'est pas à prendre à la légère, mais que l'hypothèse de la compromission du noyau officiel peut être très très très très très très très probablement écartée.

          Il n'y a pas de scandale à avoir. Il y a des réparations à faire, et la sécurité à encore plus renforcer. A lire le communiqué sur kernel.org, le sérieux est déjà extrême dans ce domaine, et je suis près à parier qu'il n'y aura pas non plus besoin d'une interruption de service pendant 1 mois (et même en faisant l'hypothèse absurde qu'il y ait besoin d'en avoir une, les outils sont suffisamment puissants pour que ça soit très peu gênant).

      • [^] # Re: Cle ssh corrompu ?

        Posté par . Évalué à 3.

        Et si la clé de Linus a été compromise ?

        • [^] # Re: Cle ssh corrompu ?

          Posté par (page perso) . Évalué à 3.

          Oui, mais je pense qu'il se souvient de ses commits, et il verrait bien qu'il y'a une incohérence entre son git local et celui du kernel, enfin je pense, non ?

          • [^] # Re: Cle ssh corrompu ?

            Posté par . Évalué à 2.

            Si le commit a été fait normalement, il va juste merger entre son git local et distant, je crains que non il ne va rien voir.

            • [^] # Re: Cle ssh corrompu ?

              Posté par . Évalué à 10.

              Sauf que Linus ne fait jamais de pull du repo principal car il n'y a que lui qui commit dessus. Au prochain push, git lui dira qu'il faut puller et ça risque de lui mettre la puce à l'oreille.

              Étienne

              • [^] # Re: Cle ssh corrompu ?

                Posté par . Évalué à 8.

                En admettant qu'il n'ai qu'une seule machine ou encore qu'un seul répertoire de travaille ce que j'ai du mal à imaginer.

              • [^] # Re: Cle ssh corrompu ?

                Posté par . Évalué à 2.

                Sauf que l'attaquant va modifier une des branches que Linus pull, pas linux.git, et une fois dans le code de Linus, ca sera push sur linux.git

                C'est quand même pas sorcier.

                • [^] # Re: Cle ssh corrompu ?

                  Posté par (page perso) . Évalué à 3.

                  Parce que tu crois qu'il fait pull/push sans regarder ce qui se passe dedans ?
                  Ou alors faut vraiment bien choisir la branche chez quelqu'un en qui il aurait vraiment confiance, et encore.

                  Il n'y a qu'à voir tous les cas où certains se prennent des remarques sur des branches à puller mais qui ne sont pas "propres" pour Linus.

                  (ou alors je surestime vraiment son taff...)

                  • [^] # Re: Cle ssh corrompu ?

                    Posté par . Évalué à 2.

                    Ben apres s'il voit arriver un commit de GHK ou je ne sais qui d'autre en qui il a confiance, il ne cherche certainement pas a débusquer une backdoor.

                    C'est une histoire de confiance et d'historique. Le probleme ici est que l'attaquant a pu usurper l'identité de n'importe quel développeur.

                    • [^] # Re: Cle ssh corrompu ?

                      Posté par . Évalué à 4.

                      Peut etre que les devs sont en train de compare les hash de leur commit de kernel.org et ceux qu' ils ont en local? Parceque piquer l'identite ok mais modifier les hash ca va etre legerement plus coton.

    • [^] # Re: Cle ssh corrompu ?

      Posté par (page perso) . Évalué à 3.

      Une lecture intéressante sur le sujet :

      http://git-blame.blogspot.com/2011/08/how-to-inject-malicious-commit-to-git.html

      (l'auteur est le mainteneur de Git)

      Le « La conception même de git, avec les sommes de hachage SHA-1 calculées pour chaque commit et chaque fichier source, empêche d'implanter une backdoor. » de la news est un peu optimiste. Ce que Git empêche très bien, c'est de réécrire un commit loin dans l'historique et sans qu'on s'en aperçoive. Mais ajouter des commits à une branche existante, ça n'est effectivement pas Git qui va l'empêcher.

      • [^] # Re: Cle ssh corrompu ?

        Posté par (page perso) . Évalué à 4.

        Et en plus cette sécurité n'existe que si le binaire de git n'a pas été modifié.
        Lorsqu'un serveur de fichiers source est compromis, il y a probablement un but derrière. Ce but étant en principe de pourrir les sources, un joli binaire bien adapté ne devrait pas être surprenant.

        • [^] # Re: Cle ssh corrompu ?

          Posté par . Évalué à 4.

          Je ne connais pas la conception de git, mais il est probable que pour qu'une tel attaque réussisse il faille aussi modifier tout les clients git (si ces derniers recalculent les hash).

          Les logiciels sous licence GPL forcent leurs utilisateurs à respecter la GPL (et oui, l'eau, ça mouille).

        • [^] # Re: Cle ssh corrompu ?

          Posté par . Évalué à 9.

          il y a probablement un but derrière. Ce but étant en principe de pourrir les sources, un joli binaire bien adapté ne devrait pas être surprenant.

          Ou alors de se faire connaitre.
          «-Et les mecs j'ai réussi à pirater linux.
          -Tu veux dire Gnu/linux ?
          -Non non, le noyau \o/»

        • [^] # Re: Cle ssh corrompu ?

          Posté par (page perso) . Évalué à 2.

          Et en plus cette sécurité n'existe que si le binaire de git n'a pas été modifié.

          Le binaire sur le serveur ?

          Non, justement. Même avec un serveur compromis, on ne peut pas éditer un commit dans l'historique sans ré-écrire tout ce qui vient après. Le serveur envoie juste des objets, et c'est le client qui fait un "git pull" qui recalcule les sha1 à la réception. Le serveur ne peut pas tricher. Et les tags signés avec GPG (et donc tout l'historique qui est derrière) ne sont pas falsifiables sans avoir compromis la clé GPG de Linus et/ou trouvé des conflits dans sha1.

          Bien sûr, les gens qui sont un clone nouveau peuvent récupérer n'importe quoi (sauf les tags signés avec GPG) par contre.

      • [^] # Re: Cle ssh corrompu ?

        Posté par . Évalué à 1.

        Ce que Git empêche très bien, c'est de réécrire un commit loin dans l'historique et sans qu'on s'en aperçoive. Mais ajouter des commits à une branche existante, ça n'est effectivement pas Git qui va l'empêcher.

        Oui mais là je pense que le dépôt des contributeurs va hurler lorsqu'il vont vouloir faire un rebase par exemple.

        Les logiciels sous licence GPL forcent leurs utilisateurs à respecter la GPL (et oui, l'eau, ça mouille).

        • [^] # Re: Cle ssh corrompu ?

          Posté par (page perso) . Évalué à 2.

          Non, un commit ajouté à une branche existante, c'est le scénario normal pour un rebase ou un pull.

          Push va raler (non-fast-forward) par contre.

          • [^] # Re: Cle ssh corrompu ?

            Posté par . Évalué à 2.

            Oui, mais raler lors d'un push, c'est quasi normal: suffit que quelqu'un d'autre ait laché un commit sur la meme branche, et hop on y voit que du feu.

            Quand on voit le nombre de commits qui circule a chaque release, il est évident que le projet fonctionne a la confiance. Dans ce contexte, je ne comprends pas qu'une éventuelle usurpation d'identité ne les inquiete pas un peu plus.

            • [^] # Re: Cle ssh corrompu ?

              Posté par . Évalué à 4.

              Si tous les mainteneurs font correctement leur travail et sont attentifs au moment où ils tirent/poussent il ne peut pas y avoir de problème. L'attaquant ne peut pas non plus tenter d'injecter des backdoor en masse pour tomber par chance sur un mainteneur étourdit, donc soit l'attaquant à besoin d'une chance immense, soit il devrait cibler un mainteneur particulier qu'il connait comme étant particulièrement tête en l'air (ce qui est une hypothèse originale mais peu probable)

              De plus j'imagine que pas mal de monde va faire le parano et review les commits qui se sont produits aux alentours de cette période. (Quoique la déclaration "tout est safe" pourrait démotiver les gens de faire ce travail...)

              Le compromission d'une workstation d'un kernel hacker serait sans doute un moyen beaucoup plus efficace pour injecter discrètement du code malicieux, mais encore faudrait-il que la faille soit très discrète et passe des revues sans que personne ne bronche.

            • [^] # Re: Cle ssh corrompu ?

              Posté par (page perso) . Évalué à 3.

              Oui, mais raler lors d'un push, c'est quasi normal: suffit que quelqu'un d'autre ait laché un commit sur la meme branche, et hop on y voit que du feu.

              Relis le lien que j'ai posté ci-dessus. Les devs du noyau n'utilisent pas de dépôts partagés, donc si ça rale sur un push, c'est pas normal dans leur manière de fonctionner.

  • # Faux ami

    Posté par . Évalué à -3.

    Il me semble que traduire compromised par compromis n'est pas vraiment adapté.

    Je n'irais pas traduire "CTU has been compromised" par "la CTU est compromise".

    • [^] # Re: Faux ami

      Posté par . Évalué à 5.

      Je n'irais pas traduire "CTU has been compromised" par "la CTU est compromise".

      Je traduirais plutôt en "la CTU a été compromise"

      Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur

    • [^] # Re: Faux ami

      Posté par . Évalué à 4.

      j'aurais plutôt mis la CTU promise est conne

      ne me cherchez pas
      --------------->[]

      Il ne faut pas décorner les boeufs avant d'avoir semé le vent

      • [^] # Re: Faux ami

        Posté par . Évalué à 7.

        C'est pas bourrée qu'elle est la promise ?

        • [^] # Re: Faux ami

          Posté par . Évalué à 1.

          C'est pas bourrée qu'elle est la promise ?

          Uniquement pour consommer le mariage pendant la nuit de noces.

          Me cherchez pas, suis déjà dehors.

          cd /pub && more beer

        • [^] # Re: Faux ami

          Posté par . Évalué à 9.

          Non, la promise est cuitée... (ref. inside).

  • # Embarrassing...

    Posté par (page perso) . Évalué à 4.

    Quel doux euphémisme...
    A priori ce serait même depuis le 12 Aout que la machine de Peter Anvin serait compromise:
    http://pastebin.com/BKcmMd47

    J'ose espérer que le résultat des investigations nous éclairera un peu sur cet 'exploit'.

    • [^] # Re: Embarrassing...

      Posté par . Évalué à 3.

        • Break-in seems to have initially occurred no later than August 12th
        • Files belonging to ssh (openssh, openssh-server and openssh-clients) were modified and running live. These have been uninstalled and removed, all processes were killed and known good copies were reinstalled. That said all users may wish to consider taking this opportunity to change their passwords and update ssh keys (particularly if you had an ssh private key on hera). This seems to have occurred on or around August 19th.

      ils n'ont pas de monitoring un peu sécurisant sur les changements de serveur ssh sur kernel.org ?
      parce que modification du serveur ssh c'est assez grossier comme hack ...

      suis-je le seul à trouver ça bizarre ?

      • [^] # Re: Embarrassing...

        Posté par (page perso) . Évalué à 1.

        Ce que je trouve bizarre c'est qu'ils ne réinstallent pas depuis zéro la machine compromise.
        D'une on est certain de ne pas oublié un morceau bien caché.
        De deux c'est bien plus rapide. A moins que toute la configuration soit manuelle, ce qui serait le bouquet pour ce genre de machine.

        Le monitoring a peut-être été trompé. S'il y en a un.

        • [^] # Re: Embarrassing...

          Posté par . Évalué à 0.

          c'est ça de ne pas mettre à jour son antivirus :-)

        • [^] # Re: Embarrassing...

          Posté par . Évalué à 5.

          Je ne vous pas ce qui te fait croire qu'ils ne vont pas réinstaller depuis zéro leur machine, dans l'annonce sur DLFP. D'ailleurs si on suit les liens, c'est clairement précisé :

          We will be doing a full reinstall on all boxes on kernel.org

          Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.

          • [^] # Re: Embarrassing...

            Posté par (page perso) . Évalué à 2.

            Files belonging to ssh (openssh, openssh-server and openssh-clients) were modified and running live. These have been uninstalled and removed, all processes were killed and known good copies were reinstalled

            C'est lorsque j'ai lu ça.
            Ce qui vient en contradiction avec "We will be doing a full reinstall on all boxes on kernel.org".

            Ou alors ils font l'analyse post mortem sur le système en live, sinon à quoi bon virer les binaires foireux ?
            Ce n'est pas mon affaire après tout, mais ça sent mauvais cette manière de procéder.

        • [^] # Re: Embarrassing...

          Posté par . Évalué à 5.

          Ils ne l'ont pas encore formaté pour essayer de comprendre ce qui s'est exactement passé.

          Les logiciels sous licence GPL forcent leurs utilisateurs à respecter la GPL (et oui, l'eau, ça mouille).

        • [^] # Re: Embarrassing...

          Posté par (page perso) . Évalué à 4.

          On peut tromper mille fois une personne mais on ne peut pas tromp… Si, on peut tromper une fois une…euh ? Non ! On ne peut pas tromper une fois mille personnes, mais on peut tromper une fois mille personnes !

  • # ce n'est pas la premiere fois

    Posté par . Évalué à 1.

    A l'epoque de Bitkeeper un truc pareil etait arrive et avait ete detecte. Linus visiblement est un "peu parano" quand a la securite de ses sources, voir de ses emails (il ne peut lire ses emails QUE de son bureau et de sa machine). Je pense que l'on peut etre assez tranquille sur le kernel.

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.