Journal Espionnage sous Linux ou délire paranoïaque ?

Posté par . Licence CC by-sa
Tags : aucun
-7
10
juil.
2013

Bonjour à Tous,
Aprés Windows : http://www.undernews.fr/anonymat-cryptographie/vie-privee-la-nsa-soctroie-un-backdoor-dans-tous-les-systemes-windows.html
Linux serait-il victime lui aussi de l'espionnage Etatique ? : http://quebecos.com/?p=1228 ou s'agirait-il plutôt d'un délire d'une personne souffrant d'espionnite ? M'intéressant depuis peu à Linux,je soumets à vos yeux avisés cette information et attends avec impatience vos réactions de fins connaisseurs.

  • # Marmotte papier d'alu

    Posté par . Évalué à  10 .

    S'adresser aux gens qui aident la NSA à s'infiltrer dans ton ordinateur et leur demander si c'est réel, c'est comme demander à ton boulanger pourquoi ses baguettes de pain comportent des drogues secrètes manipulant ton subconscient.

    • [^] # Re: Marmotte papier d'alu

      Posté par . Évalué à  -7 . Dernière modification : le 10/07/13 à 10:29

      j'ai bien rigolé en lisant ton commentaire…
      il est bien sûr évident que l'ensemble des lecteur de linux-fr sont très influents sur le développement de linux.
      Et ils ont tous passé le code source du noyau en revue, comme tous linuxien qui se respecte…

      En réalité, Si la NSA veut implanter une backdoor dans linux, ils ne mettront pas au courant linux-fr

  • # Bof

    Posté par . Évalué à  9 .

    Je vois deux différences avec Windows :

    1. « Tu » peux lire et analyser le code
    2. Il y a des alternatives à SELinux
    • [^] # Re: Bof

      Posté par . Évalué à  -5 .

      1) Plein de gens ont acces aux source de Windows depuis des annees (oui, avec possibilite de recompiler, etc…) a travers toute la planete, pas une personne n'a encore senti le besoin de poster en ligne cette soi-disant backdoor(normal, elle n'existe pas), pas un gouvernement sur cette planete a decide d'eliminer l'usage de Windows.

      • [^] # Re: Bof

        Posté par . Évalué à  10 .

        Plein de gens

        Pas tout le monde. Bien que ton argumentation se tienne, quelqu'un qui publierait ces sources enfreindrait un NDA et donc la loi. Peut-être que le Snowden du source code ne s'est pas encore manifesté !

        pas un gouvernement sur cette planete a decide d'eliminer l'usage de Windows.

        Sans aller jusqu'à l'élimination, le gouvernement français voudrait bien en limiter l'usage ! Pas à cause d'une backdoor de la NSA c'est vrai.

        • [^] # Re: Bof

          Posté par . Évalué à  -2 .

          Pas tout le monde. Bien que ton argumentation se tienne, quelqu'un qui publierait ces sources enfreindrait un NDA et donc la loi. Peut-être que le Snowden du source code ne s'est pas encore manifesté !

          Super !

          a) Et tu crois que tout le monde lit les sources de Linux ?
          b) Poster une maniere de trouver cette backdoor de maniere anonyme sur le net("regardez le binaire xyz, si vous passez les parametres a et b a la function p, ca declenche la backdoor" par exemple) est on ne peut plus simple et sur
          c) "Pas encore" ? C'est quoi cette connerie ? On est coupable jusqu'a ce qu'on soit prouve innocent ?

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  3 .

            c) "Pas encore" ? C'est quoi cette connerie ? On est coupable jusqu'a ce qu'on soit prouve innocent ?

            Si (je dis bien si) on se cache derrière un NDA, oui. Car c'est tout sauf faire pattes blanches.

            • [^] # Re: Bof

              Posté par . Évalué à  1 .

              C'est drole.

              En fait, la France, la Chine, la Russie, plein d'autres gouvernements et meme societes, ont acces aux sources.

              Et pourtant, elles continuent toutes a utiliser ce Windows bourre de backdoors de la NSA.

              Qu'est ce qu'ils sont stupides quand meme… Ils trouvent la backdoor, ok ils peuvent pas en parler a cause du NDA, mais ils continuent a utiliser l'OS !!!

              Heureusement les gars de LinuxFr eux savent mieux qu'eux…

              Mais quelle arrogance quand meme ici… c'est franchement dingue.

              • [^] # Re: Bof

                Posté par (page perso) . Évalué à  10 .

                Je tiens à préciser que je ne suis pas convaincu que Windows ait des portes dérobées, mais je vais quand même aller dans le sens contraire dans mon propos.

                On peut supposer que le code qui contiendrait cette porte dérobée ne serait pas une ligne du genre

                if(SOCKET_RECEIPT.seeder == NSA)
                     ouvrirAcces("http://www.nsa.gouv/windows/backdoor/vilanprogramme.exe");
                ...

                Ca serait un truc assez fin, une faille de sécurité difficile à déceler et exploitable par la NSA qui en aurait connaissance.

                Je ne pense pas que mon propos soit vrai mais en soit c'est possible et théoriquement c'est ainsi que cela se passerait.

                Après tout, pas mal de gouvernements ont accès aux sources, mais on découvre des failles de sécurité chaque mois dans Windows et les gouvernements qui ont accès aux sources n'ont pas prévenu Microsoft ? Microsoft qui a lui même écrit le code 'nest pas au courant de toutes les failles qu'il y a dedans ? mais comment cela se fait ?

                • [^] # Re: Bof

                  Posté par . Évalué à  1 .

                  a) 100% d'accord avec ca. Tu remarqueras qu'avec ce modele, Linux est exactement a la meme enseigne.
                  b) Les gouvernements rapportent de temps en temps des failles, et certaines fois les gardent pour eux…

                  • [^] # Re: Bof

                    Posté par (page perso) . Évalué à  7 .

                    a) 100% d'accord avec ca. Tu remarqueras qu'avec ce modele, Linux est exactement a la meme enseigne.

                    J'en suis conscient. Après je dirais que sauf dans les produits commercialisés comme Red Hat, si la NSA veut mettre un backdoor dans un logiciel il devrait faire un patch hyper discret (mais rien d'impossible en soit).
                    Pour Windows, il peut suffire de taper à la porte de Redmond pour que cela se fasse.

                    Mais en soit, personne n'est à l'abri j'en suis conscient.

                    b) Les gouvernements rapportent de temps en temps des failles, et certaines fois les gardent pour eux…

                    Je me doute, cependant en effet si la NSA a mis quelques portes dérobées discrètes, l'argument que les gouvernement ont accès aux sources n'est pas la preuve qu'il n'y en a pas car ils l'ont peut être pas vu comme une bonne myriade de failles que possède Windows et que Microsoft n'arrive pas seul à débusquer (ce qui est normal devant la taille du code et la complexité d'un tel programme).

                    • [^] # Re: Bof

                      Posté par (page perso) . Évalué à  9 .

                      il devrait faire un patch hyper discret

                      Ha non, je devrais le faire je ne ferais justement pas ça.
                      Au contraire, il faudrait faire de multiples patch, sous couvert d'une fonctionnalité par exemple, chacun d'entre eux apportant une petite pierre à l'édifice.
                      Et à un moment donné le tout s'assemble. L'avantage est justement que tu n'aura jamais la backdoor dans un patch, il faut tout remonté pour comprendre, ce qui est moins visible et d'autant plus complexe.

                      D'ailleurs il n'y avait pas un lien qui était passé sur linuxfr à propos d'un gars qui avait montré qu'il était possible de faire ça ?

                      Et d'ailleurs, tout ceci peut être rapproché de wikipedia. Les "sources" de wikipedia sont libres, disponibles, et même librement modifiables. On peut donc supposer qu'on ne peut pas ajouter de grosses conneries sans se faire choper, au moins dans un temps assez court. Ça c'est la version Open Source.
                      Pourtant, régulièrement il remonte des affaires où quelqu'un explique qu'il a écrit un truc sur wikipedia, que c'était totalement faux, pour déconner / donner une leçon / toussa. Mais au final le truc peut rester des années. Pire, il peut être amélioré, complété par d'autre, et même repris en tant que référence.

                      Alors attention, je ne dis pas qu'il n'y a aucune différence entre un code fermé et un code ouvert. Juste que code ouvert ne suffit pas, code fermé est pire. Mais un code fermé au public mais visible de (nombreux ?) professionnel c'est grossièrement du même genre à mon avis.

                  • [^] # Re: Bof

                    Posté par (page perso) . Évalué à  6 .

                    Tu remarqueras qu'avec ce modele, Linux est exactement a la meme enseigne.

                    Les différences sont :
                    - Taille critique Facebook, Google… ont été prié de filer des choses. pas l’agrégateur du coin.
                    - Si Linux sur le desktop devenait intéressant pour la NSA, plus de monde a potentiellement la possibilité de scanner.

                    Donc Linux n'est pas à la même enseigne : il n'est pas 100% sûr, mais plus proche de 100%.

                    • [^] # Re: Bof

                      Posté par . Évalué à  3 .

                      Les différences sont :
                      - Taille critique Facebook, Google… ont été prié de filer des choses. pas l’agrégateur du coin.

                      Redhat c'est situe ou deja ? Ils ont combien de developpeurs qui posent du code dans le noyau et ailleurs ?
                      Mozilla et les developpeurs de Chrome, ceux qui developpent les principaux browsers pour Linux, tu sais les vecteurs principaux d'entree sur un systeme pour une attaque, ils sont situes ou eux aussi ?

                      - Si Linux sur le desktop devenait intéressant pour la NSA, plus de monde a potentiellement la possibilité de scanner.

                      a) Et les serveurs ca compte pas ? Et vu que le code entre les serveurs et desktops et en grosse partie le meme…
                      b) Le potentiel c'est sympa, mais on a tres bien vu ce que ca donne en pratique

                      • [^] # Re: Bof

                        Posté par (page perso) . Évalué à  1 .

                        Redhat c'est situe ou deja ? Ils ont combien de developpeurs qui posent du code dans le noyau et ailleurs ?

                        Il y a combien de RHEL sur les postes clients?

                        Mozilla et les developpeurs de Chrome, ceux qui developpent les principaux browsers pour Linux, tu sais les vecteurs principaux d'entree sur un systeme pour une attaque, ils sont situes ou eux aussi ?

                        Je n'ai rien dit de différent à leur sujet à propos de leurs binaires.

                        a) Et les serveurs ca compte pas ? Et vu que le code entre les serveurs et desktops et en grosse partie le meme…

                        A mon avis, moins intéressant quand on cible une personne précise. Ca n'engage que moi.
                        Les serveurs ont pour sale manie d'avoir des admins compétents qui regardent plus le réseau.

                        b) Le potentiel c'est sympa, mais on a tres bien vu ce que ca donne en pratique

                        En pratique, on n'a rien vu : Linux n'a pas encore 50% de part de marché sur le desktop, loin de la.

                        • [^] # Re: Bof

                          Posté par . Évalué à  3 .

                          A mon avis, moins intéressant quand on cible une personne précise. Ca n'engage que moi.
                          Les serveurs ont pour sale manie d'avoir des admins compétents qui regardent plus le réseau.

                          Quand on cible une personne oui, quand on cible une entreprise (genre les societes de defense US qui visiblement ont des fans en Chine, ou EADS que les americains aiment bien) c'est autre chose.

                          Regarder le reseau ne va rien dire a l'enorme majorite des admins, les gars dont on parle ici ne sont pas des script kiddies, c'est du boulot de professionel. Tu regardes Stuxnet ou Flame qui ont servi a attaquer l'Iran, tu vois que c'est des attaques solides, difficiles a detecter, et qui sont plus solides a chaque iteration.

                  • [^] # Re: Bof

                    Posté par . Évalué à  5 .

                    a) 100% d'accord avec ca. Tu remarqueras qu'avec ce modele, Linux est exactement a la meme enseigne.

                    Entre être audité par quelques grands pays et être audité par toutes personnes le voulant et voyant qu'une partie des plus grands faits d'armes sont fait par des particuliers ou des gamins. Je ne pense pas que ce soit tout à fait pareil. Mais aucun des deux n'est parfait on est d'accord.

                    Je suis dans ma tour d'ivoire (rien à foutre des autres, dites moi un truc pour moi), si je ne pose pas explicitement une question pour les 99%, les kévin, les Mm Michu alors c'est que je ne parle pas d'eux.

                    • [^] # Re: Bof

                      Posté par . Évalué à  0 .

                      Ben non, parce que les particuliers/gamins, ils ne trouvent pas leur failles en faisant des revues de code, ils le font en faisant du fuzzing dans quasiment tous les cas. Pas besoin des sources pour ca.

                      • [^] # Re: Bof

                        Posté par . Évalué à  1 .

                        Bien sûr…

                        Je suis dans ma tour d'ivoire (rien à foutre des autres, dites moi un truc pour moi), si je ne pose pas explicitement une question pour les 99%, les kévin, les Mm Michu alors c'est que je ne parle pas d'eux.

                        • [^] # Re: Bof

                          Posté par . Évalué à  0 .

                          Je lis ca et je ne vois nulle part ou il est dit qu'il a trouve son bug par code review. Au contraire quand tu vois le bug, il a donne un PoC et une copie d'ecran du crash dans un debugger, et pas un seul lien sur le code source qui contient le probleme, ce qui tend a montrer qu'il a trouve ca par fuzzing.

              • [^] # Re: Bof

                Posté par (page perso) . Évalué à  9 .

                En fait, la France, la Chine, la Russie, plein d'autres gouvernements et meme societes, ont acces aux sources.

                Pour la Chine, je ne sais pas, mais la France n'a pas accès à tout

                L’État français n’arrive pas à obtenir certaines informations techniques précises sur le noyau Windows.

                http://www.itpro.fr/n/eric-filiol-france-incapable-capitaliser-hackers-20026/

                « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                • [^] # Re: Bof

                  Posté par . Évalué à  -9 .

                  Informations techniques != code source

                • [^] # Re: Bof

                  Posté par (page perso) . Évalué à  6 .

                  Et surtout, si je développais un soft avec une backdoor dedans, je n'irais pas jusqu'à fournir les sources avec le backdoor… Je patcherais avant.

                  • [^] # Re: Bof

                    Posté par (page perso) . Évalué à  7 .

                    Oui, mais PasBillPasGates a l'air de penser que les gens chez Microsoft sont un ramassis d'abrutis et que bien sur ils fourniraient le code source avec la backdoor… Faisons lui confiance sur son jugement :)

                    • [^] # Re: Bof

                      Posté par . Évalué à  2 .

                      Ah clair, on l'enleverait du code, comme ca ils se rendraient vite compte que le code compile a une difference claire avec le binaire qu'ils ont sur leur DVD.

                      Que vous etes malins quand meme…

                      • [^] # Re: Bof

                        Posté par (page perso) . Évalué à  7 .

                        Que vous etes malins quand meme…

                        Nan, c'est juste que je pense que tu sur estimes beaucoup les Etats qui réclament le code source de Windows, déjà qu'ils le lisent complètement serait étonnant mais vérifier que ça correspond au binaires fournis par Microsoft, laisse moi douter…

                        • [^] # Re: Bof

                          Posté par . Évalué à  1 .

                          Certains etats regardent des parties de code tres specifiques, ils se foutent pas mal de regarder le code de calc.exe ou le demineur.

                      • [^] # Re: Bof

                        Posté par . Évalué à  2 .

                        Sauf qu'il n'est pas possible de compiler, donc il n'est pas possible de :
                        - faire tourner le code audité
                        - de comparer le code audité avec les binaires officiels

                        Donc en gros, on audite un code qui n'est pas celui qu'on utilise.

                        • [^] # Re: Bof

                          Posté par . Évalué à  0 .

                          a) Il est possible de le compiler
                          b) Il est possible de le faire tourner

                          • [^] # Re: Bof

                            Posté par . Évalué à  3 .

                            Il manque :
                            c) Il est possible de déployer les versions modifiées et recompilées

                            • [^] # Re: Bof

                              Posté par . Évalué à  -2 .

                              Cette etape n'a rien a voir avec la verification.

                              • [^] # Re: Bof

                                Posté par . Évalué à  2 .

                                Mais elle est indispensable à la sécurité.

                                • [^] # Re: Bof

                                  Posté par . Évalué à  -2 .

                                  Tu m'expliqueras en quoi c'est indispensable.

                                  • [^] # Re: Bof

                                    Posté par . Évalué à  2 .

                                    Pour que plusieurs personnes/équipes puissent tester ?

                                    • [^] # Re: Bof

                                      Posté par . Évalué à  -1 .

                                      Deployer le binaire sur la machine de la secretaire va augmenter la quantite de tests de securite ? Tu rigoles ?

                                      • [^] # Re: Bof

                                        Posté par . Évalué à  2 .

                                        Je vais répondre malgré la légère impression que tu te fous de ma gueule…

                                        Non d'autres équipes de chercheurs. Tu vas me dire que dans ce cas chaque équipe pourrait compiler de son coté, mais si les équipes se font confiance on gagne du temps.

                                        • [^] # Re: Bof

                                          Posté par . Évalué à  0 .

                                          C'est toi qui n'a pas compris ce que "deployer" veut dire. Bien sur que le gars securite A peut filer le binaire au gars securite B. "Deployer" veut dire utiliser les binaires en production.

                                          • [^] # Re: Bof

                                            Posté par . Évalué à  2 .

                                            C'est toi qui donne ce sens, qui t'arrange, à "déployer". "Déployer" ça veut dire distribuer un binaire sur un parc (un ensemble de machines) ça n'implique pas que ce soit de la production. Quand bien même, pour une boîte qui fait de la recherche en sécurité informatique, des postes de chercheurs ce sont bien des postes de production.

                                            • [^] # Re: Bof

                                              Posté par . Évalué à  0 .

                                              Non ce n'est pas moi, c'est le sens qu'il a en general. (Demandes a khivapia, c'est de ca qu'il parlait).

                                              Tester des binaires, c'est pas de la production.

                                  • [^] # Re: Bof

                                    Posté par . Évalué à  2 .

                                    Cf mes autres commentaires ci-dessous.

              • [^] # Re: Bof

                Posté par . Évalué à  6 .

                En fait, la France, la Chine, la Russie, plein d'autres gouvernements et meme societes, ont acces aux sources.
                Tant qu'on ne peut pas recompiler et exécuter et déployer les versions modifiées, ça ne sert à rien, et c'est plus pour rassurer l'homme politique qu'autre chose. La décision d'utiliser Windows n'est pas sur des critères techniques mais politiques.

                L'étude des failles de sécurité se fait de toutes façons au niveau de l'assembleur ou par fuzzing, donc en boîte noire, par contre leur correction nécessite les sources.

                Et une simple recompilation, qui modifie le placement en mémoire de certaines structures par exemple et la structure de certains bouts de code suffit à se protéger de bouts de code malveillants préparés à l'avance sur une version générique du logiciel.

                • [^] # Re: Bof

                  Posté par (page perso) . Évalué à  4 .

                  L'étude des failles de sécurité se fait de toutes façons au niveau de l'assembleur ou par fuzzing, donc en boîte noire

                  Et ? Je suppose que pas mal de monde s'y essaie, non ?
                  Et surtout dans ce cas que ce soit linux ou windows ça ne change strictement rien alors.

                  • [^] # Re: Bof

                    Posté par . Évalué à  2 .

                    Oui, pour la recherche des failles.
                    Non, pour la possibilité de recompiler et déployer des versions modifiées.

                • [^] # Re: Bof

                  Posté par . Évalué à  -1 .

                  Tant qu'on ne peut pas recompiler et exécuter et déployer les versions modifiées, ça ne sert à rien, et c'est plus pour rassurer l'homme politique qu'autre chose. La décision d'utiliser Windows n'est pas sur des critères techniques mais politiques.

                  Oui oui, c'est quand meme gonflant cette attitude de gars moyen de linuxfr qui a pour habitude de mieux s'y connaitre que tous les ingenieurs securite de la DGSE, du ministere de la defense, …

                  Recompiler, executer et deployer des versions modifiees ne sert pas a grand-chose quand le produit a une taille monstre tel qu'une distrib ou Windows.

                  Et une simple recompilation, qui modifie le placement en mémoire de certaines structures par exemple et la structure de certains bouts de code suffit à se protéger de bouts de code malveillants préparés à l'avance sur une version générique du logiciel.

                  Faux. Ca ne protége par exemple pas de failles dues au design (au hasard tout ce qui est crypto, tout ce qui du aux concepts tels qu'isolation de domaine web, …)

                  • [^] # Re: Bof

                    Posté par . Évalué à  3 .

                    c'est quand meme gonflant cette attitude de gars moyen de linuxfr qui a pour habitude de mieux s'y connaitre que tous les ingenieurs securite de la DGSE, du ministere de la defense, …
                    Tu parles de toi ? Ou alors tu n'est pas un "gars moyen de linuxfr" mais un "gars supérieur" ?

                    Sinon visiblement, d'après http://www.lepoint.fr/actualites-technologie-internet/2010-01-06/nicolas-sarkozy-a-teste-le-teorem-son-futur-telephone-crypte/1387/0/411021 quand il s'agit de réellement protéger un secret par ces gens-là, tout est fait from scratch en interne, jusqu'au composant (donc forcément le logiciel qui tourne dessus, et toutes les couches supérieures).

                    Recompiler, executer et deployer des versions modifiees ne sert pas a grand-chose quand le produit a une taille monstre tel qu'une distrib ou Windows.
                    Haha.

                    Ca ne protége par exemple pas de failles dues au design (au hasard tout ce qui est crypto, tout ce qui du aux concepts tels qu'isolation de domaine web, …)
                    On parle des failles de sécurité logicielle, pas logiques. Pour les failles logiques, un audit (dans les cas simples) et sinon (d'après le lien que je donne ci-dessus) carrément faire les couches crypto en interne est ce qu'il y a de mieux.

                    • [^] # Re: Bof

                      Posté par . Évalué à  2 .

                      Sinon visiblement, d'après http://www.lepoint.fr/actualites-technologie-internet/2010-01-06/nicolas-sarkozy-a-teste-le-teorem-son-futur-telephone-crypte/1387/0/411021 quand il s'agit de réellement protéger un secret par ces gens-là, tout est fait from scratch en interne, jusqu'au composant (donc forcément le logiciel qui tourne dessus, et toutes les couches supérieures).

                      Demandes toi si l'armee Francaise utilises des PCs construit maison avec des OS fait maison pour toute son infrastructure. Il y a evidemment des cas specialises, mais ca n'est pas faisable a l'echelle du pays.

                      Recompiler, executer et deployer des versions modifiees ne sert pas a grand-chose quand le produit a une taille monstre tel qu'une distrib ou Windows.__
                      Haha.

                      Non c'est une realite, que tu ne comprends probablement pas. La France n'a tout simplement pas les moyens de gerer un OS totalement modifie. Redhat/Debian/… ne vont pas te filer de support vu que ton code est different, ce sera a toi de tout gerer: debuggage des problemes, maintenance du fork pour le garder a jour, etc…

                      Ca a un cout enorme. Personne ne s'amuse a forker de distrib et la gerer soi-meme a part la Chine, et encore ils ne l'utilisent que tres peu, ca en dit long.

                      On parle des failles de sécurité logicielle, pas logiques. Pour les failles logiques, un audit (dans les cas simples) et sinon (d'après le lien que je donne ci-dessus) carrément faire les couches crypto en interne est ce qu'il y a de mieux.

                      Ah ben oui, un audit ca trouve toutes les failles, suis-je bête… On aurait du nous le dire avant, on aurait regle le probleme !

                      Sinon, une faille logique ca peut pas etre une faille securite ? Grande nouvelle.

                      • [^] # Re: Bof

                        Posté par . Évalué à  2 .

                        Il y a evidemment des cas specialises, mais ca n'est pas faisable a l'echelle du pays.
                        Visiblement dès qu'il s'agit d'échanger des informations classifiées, c'est le cas… Et l'infrastructure du bousin a l'air de couvrir tout le pays vu que c'est un téléphone portable…

                        Ca a un cout enorme. Personne ne s'amuse a forker de distrib et la gerer soi-meme a part la Chine, et encore ils ne l'utilisent que tres peu, ca en dit long.
                        Hahaha. Tu veux dire que Microsoft, qui gère un écosystème logiciel comparable à une distribution à lui tout seul, est aussi riche et puissant que tout l'État chinois ? En retirant, bien sûr, la division XBox et tutti quanti.

                        En plus point n'est besoin de maintenir une distribution complète, seulement les logiciels utiles pour l'administration…

                        Et je ne suis pas sûr que le coût ne soit pas comparable à celui du développement, fonderie et production d'un composant, en plus en si petit nombre !

                        • [^] # Re: Bof

                          Posté par . Évalué à  2 .

                          Hahaha. Tu veux dire que Microsoft, qui gère un écosystème logiciel comparable à une distribution à lui tout seul, est aussi riche et puissant que tout l'État chinois ? En retirant, bien sûr, la division XBox et tutti quanti.

                          Moi je regardes la realite, aucun pays le fait.

                          Tu regardes nos comptes, tu vois que la division Windows fait des milliards de benefs, mais ils coutent aussi des milliards en R&D, et ils emploient des milliers de gens qualifies qu'il a bien fallu trouver. Nous on les trouve en allant embaucher partout sur la planete, si c'est un developpement securitaire et qu'il ne faut que des employes citoyens du pays, ben bonne chance pour les trouvers tes milliers d'ingenieurs qualifies, surtout avec les salaires francais…

                          • [^] # Re: Bof

                            Posté par . Évalué à  2 .

                            Donc la ville de Munich (LiMux) est plus puissante que la Chine selon toi ! :)

                            Plus sérieusement tu surestimes le coup de supporter sa propre distribution linux, mandriva le faissait très bien, c'est tout à fait accessible à un état. Je ne parle pas d'écrire un OS from scratch mais de forker une distribution linux et d'en faire le support ainsi que l'audit.

                            Ensuite les chinois utilisent beaucoup plus que tu ne le pensent leur propres systèmes, oui le citoyen normale enlève l'os officiel et switch sur du win xp.

                            Et pour un ordre d'idée je dirais que pour un bon support tu as besoins de 300 ingénieurs, c'est pas la mer à boire, et tu peux en trouver facilement (encore une fois mandriva, ubuntu, …).

                            • [^] # Re: Bof

                              Posté par . Évalué à  0 .

                              Munich ne change pas le code, ils packagent des softs existants dans une distrib, c'est sacrement different.

                              La proposition plus haut qui vise a modifier le code pour qu'un exploit ne marche plus, c'est une tout autre paire de manche, car ca implique devoir faire le support/maintenance du fork soi-meme, integrer chaque patch a la main, faire la batterie de tests, avoir des gens pour repondre au support car IBM/Redhat ne le fera pas… Mandriva n'a jamais eu a faire cela a cette echelle, bcp des softs etaient juste pris en batch tel quels et simplement le packaging changeait, et leur support etait a des lieux de ce qui doit se faire pour un deployment a cette echelle.

                              • [^] # Re: Bof

                                Posté par . Évalué à  1 .

                                Si un patch corrige une fail de sécurité alors il sera inclus upstream et toutes les autres distributions vont également l'inclure. Ce n'est pas un travail gigantesque, oui il faut des gens qui s'y connaissent. Mais c'est tout à fait réalisable pour un état et encore une fois ubuntu et mandriva sont des exemples pertinant, ils font/faisait du back porting de patch de sécurité et autre.

                                Et LiMux fait également du back porting de patch de sécurité je me souviens avoir vus un de leur ingénieur trainer sur des listes de sécurité.

                                • [^] # Re: Bof

                                  Posté par . Évalué à  0 .

                                  Moi je regardes les pays de cette planete, il n'y en a pas un qui le fait a part en partie la Chine, et c'est pas comme si l'existence de cette option ne leur etait pas connue… Ils sont soit totalement stupides, soit ils ont de tres bonnes raisons… et ils ne sont certainement pas stupides…

                                  • [^] # Re: Bof

                                    Posté par . Évalué à  1 .

                                    Il manque:
                                    - soit ils ont de très mauvaises raisons.

                                    M'enfin tout ça dépend en général du point de vue et des intérêts de chacun.

                                  • [^] # Re: Bof

                                    Posté par . Évalué à  4 .

                                    Ton faux dilemme se voit à des kilomètre, c'est presque insultant à ce niveau…
                                    Il peuvent avoir de mauvaises raisons ou des raisons qui sont simplement discutable.

                                    Ce qu'on remarque c'est surtout que nous ne sommes plus maître d'une technologie hautement stratégique, on a une forte dépendance envers les USA. Que les USA soient « gentils » aujourd'hui ou pas ne change rien à cet état de fait. On a appris à s'en accommoder, mais ce serait risible de ta part de nier que les USA se servent de cette position comme d'une arme, il est important pour eux de garder cette dépendance (et il n'y a rien dévalorisant à faire ça) et leur patriotisme les poussera à ne jamais avoir de dépendances inverse.

                                    Où est-ce que je veux en venir ? Je veux simplement montrer que les USA sont largement mieux préparer à des conflits technologiques que n'importe quel autre pays de la planète et qu'il serait tout de même bien d'en prendre conscience et d'être au moins un peu moins dépendant d'un autre pays.

                                    Je suis dans ma tour d'ivoire (rien à foutre des autres, dites moi un truc pour moi), si je ne pose pas explicitement une question pour les 99%, les kévin, les Mm Michu alors c'est que je ne parle pas d'eux.

                                    • [^] # Re: Bof

                                      Posté par . Évalué à  -1 .

                                      Que tous les pays aient de mauvaises / discutables raisons est a mon avis sacrament tire par les cheveux…

                                      Ce qu'on remarque c'est surtout que nous ne sommes plus maître d'une technologie hautement stratégique, on a une forte dépendance envers les USA. Que les USA soient « gentils » aujourd'hui ou pas ne change rien à cet état de fait. On a appris à s'en accommoder, mais ce serait risible de ta part de nier que les USA se servent de cette position comme d'une arme, il est important pour eux de garder cette dépendance (et il n'y a rien dévalorisant à faire ça) et leur patriotisme les poussera à ne jamais avoir de dépendances inverse.

                                      Tout a fait. Mais en fait je crois que cela revient a "tout a un prix". Cette independence technologique a un cout, ce cout est tres eleve. Est-ce que les pays sont prets a payer pour cela ? Visiblement non a part peut-etre la Chine (qui est la seule a en avoir les moyens certains diront).

                                      • [^] # Re: Bof

                                        Posté par (page perso) . Évalué à  2 .

                                        L'UE en a les moyens, en étant plus riche que les USA eux mêmes…
                                        La France seule par contre on peut rêver.

                                        • [^] # Re: Bof

                                          Posté par . Évalué à  3 .

                                          Sauf que l'UE n'est pas aussi soudée et entière que l'état fédéral US. Pour l'instant c'est encore qu'une union économique avec une politique commune balbutiante et pas un pays à part entière comme les USA…

                                          • [^] # Re: Bof

                                            Posté par (page perso) . Évalué à  2 .

                                            Faire des projets économiques communs, l'UE sait le faire : ESA, EADS, Eurocopter, Airbus, Ariane, Galileo, etc.
                                            Faire des entreprises de ce type où les pays européens se coordonnent mais dans d'autres secteurs c'est possible avec une bonne volonté. Et étant donné la réussite des projets européens quand ils se font, c'est de bon augure pour continuer sur cette lancée.

                                            Il n'y a pas eu des débats et études parlementaires au sein de l'UE pour justement acquérir l'indépendance technologique ?

                                            • [^] # Re: Bof

                                              Posté par (page perso) . Évalué à  4 .

                                              ESA, EADS, Eurocopter, Airbus, Ariane, Galileo, etc.

                                              Déjà, EADS, Eurocopter et Airbus, c'est la même chose.

                                              Ensuite, ces projets ne sont pas du tout issu de l'UE, ils ne regroupent pas tous les membre de l'UE et ont des membres qui ne font pas partie de l'UE. Citer ça comme exemple de projet à succès issu de l'UE me semble bizarre.

                                              « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                              • [^] # Re: Bof

                                                Posté par (page perso) . Évalué à  2 .

                                                Déjà, EADS, Eurocopter et Airbus, c'est la même chose.

                                                La maison mère est identique mais les buts différents, cela donne une réussite plus large.

                                                Ensuite, ces projets ne sont pas du tout issu de l'UE, ils ne regroupent pas tous les membre de l'UE et ont des membres qui ne font pas partie de l'UE. Citer ça comme exemple de projet à succès issu de l'UE me semble bizarre.

                                                Bien sûr, seulement cela montre que l'Europe et l'UE peuvent largement le faire s'ils le souhaitent…

                                                • [^] # Re: Bof

                                                  Posté par (page perso) . Évalué à  3 .

                                                  Bien sûr, seulement cela montre que l'Europe et l'UE peuvent largement le faire s'ils le souhaitent…

                                                  Non, ça montre justement que l'UE n'est pas du tout capable de le faire et qu'il faut trouver des accords entre un nombre réduit de pays intéressés.

                                                  « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                                  • [^] # Re: Bof

                                                    Posté par . Évalué à  2 . Dernière modification : le 12/07/13 à 10:16

                                                    il faut trouver des accords entre un nombre réduit de pays intéressés

                                                    Oui enfin c'est un peu comme ça que l'Europe fonctionne, au début c'était 6 pays qui ont initié le mouvement, puis d'autres les ont rejoint. Pour l'aéronautique et le spatial c'est un peu pareil. OK, actuellement tous les pays ne participent pas, en fait seuls ceux qui avait déjà un programme participent. Mais il n'empêche que l'on peut imaginer que d'autres monteront dans le train la fusée à un moment donné.

                                                  • [^] # Re: Bof

                                                    Posté par (page perso) . Évalué à  2 .

                                                    Non, ça montre justement que l'UE n'est pas du tout capable de le faire et qu'il faut trouver des accords entre un nombre réduit de pays intéressés.

                                                    Est-ce que tu crois que tous les Etats des Etats-Unis d'Amérique sont d'accord sur tous les sujets et participent à tous les programmes fédéraux ? Non.

                                                    Un Etat fédéral fait qu'il serait possible que la partie unifiée lance une impulsion que les Etats en dessous récupère pour le faire. Je ne crois pas par exemple que le Minnesota a un programme spatial développé, par contre il est clair que l'Etat de Washington en fait beaucoup.

                                                    En quoi une situation similaire avec un Parlement ou une Commission Européenne ne pourrait pas lancer un projet que les Etats peuvent ou non y adhérer ? Que seuls la France, l'Allemagne ou l'Italie participent à un projet n'est pas un problème si l'UE est garant de l'ensemble. On ne va pas demander à Malte de participer ou d'être d'accord sur tous les projets en UE sinon on ne s'en sort pas (et note que les USA font actuellement cela)…

                                                    Bref, si l'UE et l'Europe peut avoir l'indépendance technologique s'ils veulent faire un programme commun. Et l'histoire montre que de tels projets peuvent être de véritables réussites.

                                                    • [^] # Re: Bof

                                                      Posté par (page perso) . Évalué à  3 .

                                                      Est-ce que tu crois que tous les Etats des Etats-Unis d'Amérique sont d'accord sur tous les sujets et participent à tous les programmes fédéraux ? Non.

                                                      Mais justement, même si un état n'est pas d'accord, le fédéral pourra le faire, ce qui n'est pas le cas en Europe.

                                                      Un Etat fédéral fait qu'il serait possible que la partie unifiée lance une impulsion que les Etats en dessous récupère pour le faire. Je ne crois pas par exemple que le Minnesota a un programme spatial développé, par contre il est clair que l'Etat de Washington en fait beaucoup.

                                                      Une UE fédérale serait un grand pas en avant qui permettrait, entre autres, ce genre de programme d'envergure, malheureusement, ça n'est pas près d'arriver.

                                                      En quoi une situation similaire avec un Parlement ou une Commission Européenne ne pourrait pas lancer un projet que les Etats peuvent ou non y adhérer ?

                                                      Parce qu'actuellement, c'est le conseil des ministres qui est le pouvoir exécutif et législatif de l'UE, et qu'il suffit de quelques états pas d'accord pour que ça ne marche pas. Sans compter que le budget de l'UE est limité et qu'elle ne peut donc pas se permettre d'être garant d'un projet d'envergure.

                                                      « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                                      • [^] # Re: Bof

                                                        Posté par (page perso) . Évalué à  2 .

                                                        Mais justement, même si un état n'est pas d'accord, le fédéral pourra le faire, ce qui n'est pas le cas en Europe.

                                                        Donc les Etats-Unis arrivent à lancer un projet spatial sans qu'aucun Etat ne soit chaud pour le financer et l'accueillir ? Ils le font où, à Washington DC qui est le seul "Etat" dont le gouvernement fédéral peut influer directement ?
                                                        Non je en vois pas comment c'est possible, et comment un tel projet pourrait aussi avoir l'aval du Congré américain sans le support des Etats qu'ils représentent…

                                                        Une UE fédérale serait un grand pas en avant qui permettrait, entre autres, ce genre de programme d'envergure, malheureusement, ça n'est pas près d'arriver.

                                                        Une UE fédérale serait cool et malgré tout, jamais l'UE n'en a été aussi proche qu'aujourd'hui.
                                                        Le problème actuellement de l'UE non fédéral dans les projets en commun c'est la défense qui est encore du ressort entier des Etats. Faire un éditeur informatique de grande envergure avec de grands projets internes, l'UE peut le lancer avec le soutiens des Etats derrière (ce qui revient au même qu'avec els USA qui sont une fédération également).

                                                        Parce qu'actuellement, c'est le conseil des ministres qui est le pouvoir exécutif et législatif de l'UE, et qu'il suffit de quelques états pas d'accord pour que ça ne marche pas. Sans compter que le budget de l'UE est limité et qu'elle ne peut donc pas se permettre d'être garant d'un projet d'envergure.

                                                        On peut dire pareil des USA aussi tu sais.
                                                        Si l'UE manque de sous elle peut demander un budget plus grand. Je signale que le fait d'être une fédération n'inclus pas un budget sans limite non plus et automatique (et étant belge, tu devrais être particulièrement au courant).
                                                        Donc même si l'UE était fédérale, comme les USA et d'autres pays, si trop de pays refusent le projet et le financement ça capotera. La fédération permet des passe droit dans certains domaines mais pas tout.

                                                        • [^] # Re: Bof

                                                          Posté par (page perso) . Évalué à  3 .

                                                          Donc les Etats-Unis arrivent à lancer un projet spatial sans qu'aucun Etat ne soit chaud pour le financer et l'accueillir ?

                                                          Pour l'accueillir, ils sont tous d'accord (en règle général, personne ne refuse des emplois). Pour le financer, ils n'ont pas leur mot à dire, les revenus de l'état fédéral américain ne viennent pas des états mais des impôts levés par le fédéral qui fait ce qu'il veut (en gros) avec son argent, c'est totalement différent de l'UE.

                                                          On peut dire pareil des USA aussi tu sais.

                                                          J'ai un gros doute que les états aient tant de pouvoir sur le fédéral aux USA.

                                                          Si l'UE manque de sous elle peut demander un budget plus grand.

                                                          Non, elle est limité par les traités à 1% du PIB européen (et elle n'en est pas loin, elle ne peut quasiment pas demandé plus).

                                                          Je signale que le fait d'être une fédération n'inclus pas un budget sans limite non plus et automatique (et étant belge, tu devrais être particulièrement au courant).

                                                          Mais justement un état fédéral peut lever des impôts propres, même si les états ne sont pas d'accord (d'ailleurs, ça se fait en Belgique). Évidemment, on ne peut pas lever des impôts à l'infini mais c'est quand même beaucoup plus large comme financement.

                                                          Donc même si l'UE était fédérale, comme les USA et d'autres pays, si trop de pays refusent le projet et le financement ça capotera. La fédération permet des passe droit dans certains domaines mais pas tout.

                                                          Je ne vois pas pourquoi ça capoterait si on était dans une UE fédérale où justement les états auraient beaucoup moins de pouvoirs.

                                                          « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                                    • [^] # Re: Bof

                                                      Posté par . Évalué à  1 .

                                                      Je ne crois pas par exemple que le Minnesota a un programme spatial développé, par contre il est clair que l'Etat de Washington en fait beaucoup.

                                                      Ben en fait aucun etat n'a de programme spatial, c'est gere au niveau federal uniquement ( = NASA). Les etats files des subsides a Boeing, Lockheed Martin, … pour qu'ils implantent leurs usines chez eux, mais c'est tout.

                                                      • [^] # Re: Bof

                                                        Posté par (page perso) . Évalué à  1 .

                                                        Non, mais je suppose que les Etats choisissent ce qu'ils veulent accueillir. je ne pense pas que l'Etat fédéral impose l'implantation d'une entreprise dans un Etat donné sans son aval. Déjà car je crois que c'est hors de ses compétences mais aussi parce qu'il y a sans doute d'autres Etats qui voudraient l'accueillir notamment pour l'emploi derrière.

                                                        En fédération, tout est compromis et le partage du pouvoir est grand entre Etat et Etat fédéral.

                                              • [^] # Re: Bof

                                                Posté par . Évalué à  2 .

                                                et ont des membres qui ne font pas partie de l'UE

                                                Je ne dis pas que tu as tort mais à quels membres penses-tu ?

                                                Citer ça comme exemple de projet à succès issu de l'UE me semble bizarre.

                                                C'est en effet une association d'entreprises privées (ayant quand même des états comme actionnaires) mais aurait-ce été possible sans l'UE ? Je me pose la question.

                                                • [^] # Re: Bof

                                                  Posté par (page perso) . Évalué à  4 .

                                                  Je ne dis pas que tu as tort mais à quels membres penses-tu ?

                                                  Pour l'ESA, il y a le Canada par exemple. Pour Arianeespace, il y a la Suisse.

                                                  « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                                  • [^] # Re: Bof

                                                    Posté par (page perso) . Évalué à  1 .

                                                    En quoi cela contredis ce que je dis ?
                                                    L'objectif est d'avoir une indépendance technologique, que le canada et la Suisse aident l'UE n'est pas un non-sens si l'UE participe (ou une partie de ses membres) activement au programme.

                                                    Le problème est qu'actuellement des pans d'industrie en entier ne se font pas ou plus en Europe, ni totalement, ni partiellement ce qui peut être un problème un jour.

                                                    Que l'UE soit seul ou non dans un programme ne change pas le fait que cela participe à l'indépendance technologique car une grande partie du savoir et savoir faire sera disponible en Europe.

                                                    • [^] # Re: Bof

                                                      Posté par (page perso) . Évalué à  3 .

                                                      En quoi cela contredis ce que je dis ?

                                                      Parce que les programmes que tu cite n'ont pas été initié par l'UE, ni ne sont financé principalement par l'UE mais seulement par une partie de ses membres individuellement.

                                                      Le problème est qu'actuellement des pans d'industrie en entier ne se font pas ou plus en Europe, ni totalement, ni partiellement ce qui peut être un problème un jour.

                                                      Je suis entièrement d'accord avec toi, mais le passé ne donne pas d'exemple que l'UE est capable de le faire.

                                                      « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                                      • [^] # Re: Bof

                                                        Posté par (page perso) . Évalué à  1 .

                                                        Parce que les programmes que tu cite n'ont pas été initié par l'UE, ni ne sont financé principalement par l'UE mais seulement par une partie de ses membres individuellement.

                                                        En soit cela revient au même.
                                                        Demain si la France veut proposer un projet d'un éditeur informatique d'ordre Européen, elle le fera via les différents organes de l'UE et si suffisamment de pays de poids sont intéressés, cela se fera… Un peu comme les autres projets que j'ai cité.
                                                        La seule différence, dans un cas les organes de l'UE ont été utilisés et dans l'autre non… Cela ne change pas grand chose car dans les deux cas il faut un certains nombre d'Etats qui y participent et se mettent d'accord.

                                                        D'autant que l'UE a beaucoup changé en interne depuis le lancement de certains projets, aujourd'hui l'UE est bien plus soudé qu'il n'y a 20-30 ans…

                                                        • [^] # Re: Bof

                                                          Posté par (page perso) . Évalué à  3 .

                                                          En soit cela revient au même.

                                                          Ce n'est pas la même gouvernance du tout.

                                                          « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                                      • [^] # Re: Bof

                                        Posté par . Évalué à  1 .

                                        Que tous les pays aient de mauvaises / discutables raisons est a mon avis sacrament tire par les cheveux…
                                        On a pourtant bien vu ce qu'il en était pour l'adoption de la "norme" OpenXML…

                                        • [^] # Re: Bof

                                          Posté par . Évalué à  -1 .

                                          Ah le truc de bas etage ou on mélange un vote emis par quelque personnes avec une decision d'état ayant trait a la securite du pays…

                                          Et a part ca, ce vote n'a pas eu grand chose de scandaleux, au moins compare au fait qu'ODF a ete adopte alors qu'il n'etait pas plus pret qu'OpenXML(qui a dit le mot formule ?).

                                      • [^] # Re: Bof

                                        Posté par . Évalué à  4 .

                                        Est-ce que les pays sont prets a payer pour cela ?

                                        AMHA c'est plus une question de volonté politique que de moyen technique et/ou financier. Si les choix fait pouvoirs publiques étaient uniquement liés à la technique et aux moyens financier ça se saurait. L'indépendance technologique dans le domaine du logiciel n'est pas une priorité, c'est un choix stratégique (et comme tout choix stratégique c'est une part d'analyse de la situation et une part de pif), mais il n'y a pas d'obstacle financier ou technique : construire des rafales, des chars Leclerc, des famas, des portes avions, des lanceurs de missiles etc ne sont probablement pas moins chère.

                                        Bref c'est un choix, c'est donc discutable. On a pas envie de se donner les moyens ça me semble dommage (et dommageable).

                                        Je suis dans ma tour d'ivoire (rien à foutre des autres, dites moi un truc pour moi), si je ne pose pas explicitement une question pour les 99%, les kévin, les Mm Michu alors c'est que je ne parle pas d'eux.

                                        • [^] # Re: Bof

                                          Posté par . Évalué à  -1 .

                                          Ben c'est sur que la France pourrait trouver les milliards necessaires en piochant ailleurs : en construisant moins d'avions, ayant moins de soldats, etc…

                                          Mais clairement, les gens en chargent estiment que c'est pas la bonne priorite. Je les comprends assez personellement.

                                          • [^] # Re: Bof

                                            Posté par . Évalué à  1 . Dernière modification : le 12/07/13 à 12:52

                                            Mais clairement, les gens en chargent estiment que c'est pas la bonne priorité. Je les comprends assez personnellement.

                                            Pas moi, on a investie des millions dans :

                                            • le rafale qui au final est trop chère et que nous n'arrivons pas à rentabiliser (et nous n'y arriverons probablement jamais l'avenir étant aux drones de combat)
                                            • le char Leclerc qui ne sert à rien dans les déploiements contemporains

                                            On peut aussi imaginer renouveler un peu moins fréquemment notre arsenal nucléaire (des lanceurs qui étaient bons il y a 4 ans sont probablement pas si mauvais que ça aujourd'hui¹).

                                            J'ai plus l'impression que plus qu'une vision politique c'est de l'inertie. On a des entreprises qui savent faire des armes de guerre classiques alors que tout reste à construire pour faire du logiciel².

                                            ¹ : Je ne parle pas d'arrêter la R&D juste d'espacer les mises à jour
                                            ² : Je n'ai rien contre les investissements militaires. Par exemple l'A400M est à mon avis une bonne idée qui reste tout à fait pertinente aujourd'hui (même face au C-17 américain)

                                            Bref c'est un peu écarté du sujet initial, mais d'un point de vu militaire il me semble qu'on est tout à fait prêt à gérer la guerre froide sauf que ça fait 23 ans que c'est terminé…

                                            Je suis dans ma tour d'ivoire (rien à foutre des autres, dites moi un truc pour moi), si je ne pose pas explicitement une question pour les 99%, les kévin, les Mm Michu alors c'est que je ne parle pas d'eux.

                        • [^] # Re: Bof

                          Posté par . Évalué à  2 .

                          Ca a un cout enorme. Personne ne s'amuse a forker de distrib et la gerer soi-meme a part la Chine, et encore ils ne l'utilisent que tres peu, ca en dit long.

                          Hahaha. Tu veux dire que Microsoft, qui gère un écosystème logiciel comparable à une distribution à lui tout seul, est aussi riche et puissant que tout l'État chinois ? En retirant, bien sûr, la division XBox et tutti quanti.

                          C'est pas bête, tu penses à retirer tout ce qui n'est pas OS Windows de chez Microsoft. Là où je ne comprends pas un truc, c'est pourquoi tu ne retires pas tout ce qui n'est pas OS de la Chine. À moins que le seul truc que la Chine fasse soit un OS, mais je ne pense pas.

                          Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.

                      • [^] # Re: Bof

                        Posté par . Évalué à  5 .

                        un audit ca trouve toutes les faille
                        Ça trouve facilement les failles logiques, oui, beaucoup moins les failles logicielles (type buffer overflow & co). Pas toutes, mais beaucoup. En crypto par exemple, il est même possible de prouver qu'un protocole d'échange est sûr.

                        • [^] # Re: Bof

                          Posté par . Évalué à  0 .

                          Des failles logiques on en trouve encore aujourd'hui dans des produits sortis il y a des annees (cf. les problemes de serialization/deserialization de Java/.NET par exemple), un audit ne suffit de loin pas, parce qu'il faut d'abord savoir ce qu'on cherche.

              • [^] # Re: Bof

                Posté par . Évalué à  3 .

                Je suis globalement d'accord avec toi. Cependant j'ai eu des échos d'ingénieurs bossant pour des organismes de type « agence dont le nom est un acronyme à 3 lettres » qui me disaient qu'en gros à l'époque où ils avaient tenté d'avoir accès au code source de Windows (Win2k ou WinXP, si je me souviens bien), MS avait réclamé des conditions tellement extravagantes¹ que les mecs se sont finalement tournés vers Linux.

                [1] du genre « le code doit être accessible sur un seul ordinateur seulement, avec une webcam qui permet de vérifier que le mec qui regarde le code ne fait pas de copie illégale » — j'exagère, mais c'était pas si loin de ça dans ce qu'on me racontait.

                • [^] # Re: Bof

                  Posté par (page perso) . Évalué à  2 .

                  ONMADIQUE.

                  Pas convaincu.

                  • [^] # Re: Bof

                    Posté par . Évalué à  2 .

                    C'est vrai que ce sont des oui-dires. La personne qui m'en avait parlé est digne de confiance. Après, libre à toi de lui faire confiance à travers moi. :-)

              • [^] # Re: Bof

                Posté par . Évalué à  0 .

                Et bien sûr ils ont lu les millions de lignes de code de windows tes gouvernements :)

                • [^] # Re: Bof

                  Posté par . Évalué à  -2 .

                  Tout autant que les gens ont lu les lignes de Linux d'un point de vue securite.

                  • [^] # Re: Bof

                    Posté par . Évalué à  0 .

                    Avoir eu les sources sous les yeux depuis le début ça aide grandement plus que de démarrer avec des M à lire…

                    • [^] # Re: Bof

                      Posté par . Évalué à  -1 .

                      Depuis le debut ? Mais tu parles de qui exactement ici ? Il y a qui qui a lu les sources de Linux depuis le debut il y a 20 ans et qui a suivi ? Quasiment personne sur cette planete.

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  8 .

            On est coupable jusqu'a ce qu'on soit prouve innocent ?

            C'est juste une sécurité en plus, souvent utilisée : j'interdis bien aussi les gens de rentrer chez moi (avec une serrure) donc je les considère "coupable"? Non, juste un risque à gérer.
            Et pour le moment, vu ce qu'on sait des autres (encore plus avec PRISM), on peut légitimement (expérience!) se poser des questions : pas coupable, mais à défaut d'être sûr des intentions, je conseillerai à quiconque veut se la jouer Snowden d'éviter Windows, par mesure de précaution (tout comme on ferme à clé chez soit pour la même raison).

            Je ferai la même chose pour toute entité américaine ayant plus de 50% de part de marché chez les gens, même en libre tant que personne ne s'amusera à lire le code entier + comparaison des binaires (l'avantage avec le libre est que c'est faisable, contrairement à Windows).

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  10 .

            Mais je vous assure monsieur, vous êtes mon premier client à venir se plaindre d'un parachute qui ne se serait pas ouvert ! Je ne comprends vraiment pas !

          • [^] # Re: Bof

            Posté par . Évalué à  6 .

            a) Et tu crois que tout le monde lit les sources de Linux ?

            N'importe qui a la possibilité de le faire et s'il n'a pas la compétence pour, d'engager quelqu'un de compétent et de confiance. On te l'a déjà dit cent fois. Ce n'est pas le cas de Windows.

            L'argument b) me semble recevable.

            c) "Pas encore" ? C'est quoi cette connerie ? On est coupable jusqu'a ce qu'on soit prouve innocent ?

            Je n'ai pas accusé Windows d'être muni d'une backdoor de la NSA. Je dis que la probabilité d'une telle backdoor, son utilité et sa furtivité potentielles, sont plus importantes sur Windows que sur Linux. C'est juste mon avis et je ne suis pas expert en sécurité informatique.

            • [^] # Re: Bof

              Posté par (page perso) . Évalué à  4 .

              Y'avait pas eu cette histoire de backdoor installé dans les sources de Linux, un remplacement d'un caractère genre "=" au lieu de "==". Il y'a aussi cette histoire de backdoor dans un BSD dévoilé des années après.

              C'est sûr, engager quelqu'un de compétent, ca serait intéressant. Maintenant, qui va le faire ? qui va lire des millions de lignes de codes.

              Je crois même que la sécurité sous Linux, c'est pas la priorité pour Linus (c'est même lui qui le dit), y'a même le petit gars de GrSecurity qui passe de temps à autres mordiller les cuisses de Linus pour lui rappeler que ses travaux sont importants (j'ai cru voir passer un tarball récemment avec une 10ène de backdoor Linux dévoilé par le gars de GrSecurity pour montrer que Linux avait "quelques soucis")

              • [^] # Re: Bof

                Posté par (page perso) . Évalué à  4 .

                Il y'a aussi cette histoire de backdoor dans un BSD dévoilé des années après.

                Qui n'a jamais été prouvée si on pense à la même. Le gars a juste dit qu'il l'avait fait, ça peut très bien être pour se faire mousser.

                « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                • [^] # Re: Bof

                  Posté par (page perso) . Évalué à  3 .

                  Il avait pas bossé des années (2000 à 2001) sur l'implémentation d'IPSec sur les BSD ?
                  Je pense qu'il avait pas trop a se faire mousser à mon avis, vu sur quoi il bossait.
                  Ceci dit, Theo semble approuver ce qu'avait dit Greg (le commiter tipiak) mais suppose que le code a soit disparu à force de refactoring, soit que le code est présent que dans les produits NetSec.

                  • [^] # Re: Bof

                    Posté par . Évalué à  0 . Dernière modification : le 12/07/13 à 00:39

                    euh il y avait eu suite et il me semblait avoir lu que le nom en question n'a même jamais fait partie d'openbsd

                    C'était une sorte d'hoax

              • [^] # Re: Bof

                Posté par . Évalué à  5 .

                Je crois même que la sécurité sous Linux, c'est pas la priorité pour Linus (c'est même lui qui le dit)

                Pour Linus, c'est pas plus prioritaire que les autres types de bugs, nuance.

                "Quand certains râlent contre systemd, d'autres s'attaquent aux vrais problèmes." (merci Sinma !)

                • [^] # Re: Bof

                  Posté par (page perso) . Évalué à  2 .

                  Pour rajouter des éléments dans notre discussion :
                  http://philippe.scoffoni.net/le-kernel-linux-estil-suffisamment-scuris/

                  Brad Spengler développeur chez Grsecurity accuse Linux de parfois centrer ses efforts sur les fonctionnalités au détriment de la sécurité. Il prétend que Linus Torvalds lui aurait dit ne pas être intéressé par l’ajout d’options de sécurité utiles pour éviter des débordements de tampon, car cela ralentirait le chargement des applications.

                  Maintenant, ce ne sont que les dires de Brad. Mais bon, vu qu'en général, quand il dit un truc sur la sécurité, cela se révèle exacte (parfois avec du code et des proof-of-concepts à l'appui)…

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  3 .

            "Pas encore" ? C'est quoi cette connerie ? On est coupable jusqu'a ce qu'on soit prouve innocent ?

            Je mets en gras les mots que tu n'auraient peut-être pas remarqués dans son commentaire :

            " Peut-être que le Snowden du source code ne s'est pas encore manifesté !"

            « I approve of any development that makes it more difficult for governments and criminals to monopolize the use of force. » Eric Raymond

          • [^] # Re: Bof

            Posté par . Évalué à  3 .

            a) Et tu crois que tout le monde lit les sources de Linux ?
            En tout cas, toutes les sources de Linux sont lues et relues avant intégration, publiquement c'est-à-dire avec des gens reconnus qui mettent chacun leur réputation en jeu.

            • [^] # Re: Bof

              Posté par (page perso) . Évalué à  5 .

              Mais cela ne suffit absolument pas. Voir par exemple les bugs SSH qui sont passé malgré les revues de code / commits visibles / …

              • [^] # Re: Bof

                Posté par (page perso) . Évalué à  4 .

                Il y avait des revues de codes pour les patchs des développeur au moment de la faille chez Debian ?

                « Moi, lorsque je n’ai rien à dire, je veux qu’on le sache. » Raymond Devos

                • [^] # Re: Bof

                  Posté par (page perso) . Évalué à  3 .

                  Tu as raison, je ne sais pas si il y avait à proprement parlé une "revue de code". Ce que j'entendais c'est surtout le côté "je commit, c'est visible sur un dépot, sur une mailling list, souvent sur un bug tracker, etc". Et donc en général pas fait en catimini de manière opaque.
                  Après, peut-être que s'il y avait eu une "vrai" revue de code ça ne serait peut-être pas arrivé (mais ce n'est pas certain non plus) et mine de rien c'est aussi ce qui est fait dans le monde proprio ;-)

            • [^] # Re: Bof

              Posté par . Évalué à  2 .

              Leur reputation ? Les bugs securite trouves jusqu'a maintenant on detruit leur reputation ?

              Tu sais si un de ces bugs etait une backdoor ou juste une erreur ? Moi non

          • [^] # Re: Bof

            Posté par . Évalué à  7 .

            On est coupable jusqu'a ce qu'on soit prouve innocent ?
            En matière d'espionnage et de sécurité informatique, oui. Le principe de base de la sécurité est "tout ce qui n'est pas autorisé est interdit".
            En contre-espionnage, c'est "tout ce qui n'est pas explicitement de confiance est potentiellement un espion".
            D'autant qu'on ne se rend compte qu'on a été espionné qu'une fois le mal effectué, et toujours par quelque chose en qui on avait confiance (exemple : http://www.cypherspace.org/adam/hacks/lotus-nsa-key.html )

            Donc la règle est : on ne fait confiance à rien par défaut. Donc oui, coupable jusqu'à être prouvé innocent.

            D'autant plus quand Microsoft n'a aucun intérêt à se fâcher avec le gouvernement américain (déjà, la boîte est obligé de se conformer à certaines décisions de justice non publiées ; de plus, contrairement à la France, les services de renseignement US peuvent donner des informations à leurs industriels), et que les logiciels Microsoft sont potentiellement une source de renseignement prodigieuse pour la NSA. Bref Microsoft + NSA = gagnant, gagnant.

          • [^] # Re: Bof

            Posté par . Évalué à  2 .

            a) Et tu crois que tout le monde lit les sources de Linux ?

            Pas besoin de le lire, il suffit d’écouter : la radio :-p

        • [^] # Re: Bof

          Posté par . Évalué à  7 .

          Pas tout le monde.

          D'un autre cote, tout le monde avait acces au code source d'OpenSSH version debian, et ca a pas empeche une faille monstrueuse de se ballader en liberte pendant plus de 2 ans, donc les revues de code faites par "tout le monde", c'est surtout du grand n'importe quoi…
          Sans compter que la faille a ete trouvee par hasard, pas par une revue de code.

          Linuxfr, le portail francais du logiciel libre et du neo nazisme.

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  6 . Dernière modification : le 10/07/13 à 12:28

            donc les revues de code faites par "tout le monde", c'est surtout du grand n'importe quoi…

            Tu veux dire que la faille a été trouvée et donc, ne se ballade plus mais que l'accès au code source ne sert à rien ? Est-ce que cette faille aurait été trouvée sans l'accès aux sources ? Est-ce que le chercheur se serait plongé dans le code sans le code ?

            Sans compter que la faille a ete trouvee par hasard, pas par une revue de code.

            Tu veux dire que lire du code n'est pas une revue de code ? Il faut absolument un document écrit « revue de code » pour que cela en soit une ? Est-ce que le hasard n'a pas plus de chance de se produire avec le code source ? Est-ce que la potentialité que tout le monde lise code diminue ou augmente la chance ?

            En tous cas, moi, tu m'as convaincu.

            • [^] # Re: Bof

              Posté par . Évalué à  1 .

              Tu veux dire que la faille a été trouvée et donc, ne se ballade plus mais que l'accès au code source ne sert à rien ?

              Ca ne sert pas a rien d'avoir le code (la possibilite de forker et bosser sur son patch de son cote est un enorme plus), mais pretendre qu'un projet est plus sur juste parce qu'on a acces au source, et que donc, des gens competent pourraient lire et auditer le code s'ils en avaient le temps (et l'envie de bosser a l'oeil), chose qu'ils n'ont jamais, est une vaste fumisterie.
              Personne ne le fait, et OpenSSL dans debian en est la preuve flagrante.

              Est-ce que la potentialité que tout le monde lise code diminue ou augmente la chance ?

              Ni l'un ni l'autre, ca affecte tout simplement quasiment pas la decouverte effective de failles.
              Dans le cas de SSL, le chercheur aurait soumit un bug report et le bug aurait ete trouve de la meme facon. Tu vas me dire "moins vite", mais he, le bug etait la depuis deux ans, alors bon.
              Savoir que potentiellement, ca serait mieux si c'etait mieux, on s'en fout honnetement, la question c'est de savoir si, effectivement, les gens competents sur le sujet le font. Et l'experience prouve qu'ils ne le font pas.

              Linuxfr, le portail francais du logiciel libre et du neo nazisme.

      • [^] # Re: Bof

        Posté par . Évalué à  8 .

        "Plein de gens" :

        Des russes, des chinois et même des francais.

        Pendant ce temps là, les DSI des entreprises françaises, choisissent délibérément des solutions full Microsoft (OS mais aussi AD/Messagerie/etc.) …

      • [^] # Re: Bof

        Posté par (page perso) . Évalué à  10 .

        (oui, avec possibilite de recompiler, etc…)

        La question est de savoir si on arrive à avoir exactement le même binaire (même SHA-512) de chaque fichier.
        Si un bit change, tout ce qu'on peut dire c'est que le source filé est bon, mais on ne peut rien dire sur le binaire filé (qui peut s'être pris un .patch dans un coin).

        pas une personne n'a encore senti le besoin de poster en ligne cette soi-disant backdoor

        Personne avant Snowden avait senti le besoin de dire que PRISM existait, sans doute à cause de ce qu'il lui arrive en ce moment (pas forcément agréable de vivre dans une zone internationale d'aéroport russe, tout comme il n'est pas agréable d'être bloqué dans une ambassade), peux-tu dire sans mentir que la personne qui postera une telle démonstration ne se prendra pas les foudres des Etats-Unis avec la même violence juste parce qu'il a osé le dire?

        --> Ce n'est pas une démonstration que la backdoor n'existe pas. Par contre, à la vue de ce qu'il est sorti sur PRISM, on peut légitimement (l'expérience) encore plus de poser la question de son existence (tout comme la même existence pour les distros Linux dont les serveurs principaux sont aux US, pas sûr que quelqu'un s'est amusé à tester la même chaîne de compilation, "confiance" à raison? Je dirai que pour le moment, c'est surtout que les "méchants" sont sous Windows)

        • [^] # Re: Bof

          Posté par . Évalué à  0 .

          La question est de savoir si on arrive à avoir exactement le même binaire (même SHA-512) de chaque fichier.
          Si un bit change, tout ce qu'on peut dire c'est que le source filé est bon, mais on ne peut rien dire sur le binaire filé (qui peut s'être pris un .patch dans un coin).

          Bien qu'en theorie vrai, c'est en fait faux.
          a) Le header par exemple va changer (il y a un timestamp dans le header PE)
          b) Le compilo(meme version du compilo, memes sources) pourrait optimiser de maniere differente le code

          La seule maniere c'est de faire une analyse statique du code binaire entre les 2 fichiers et s'assurer que le code execute a le meme comportement.

          Personne avant Snowden avait senti le besoin de dire que PRISM existait, sans doute à cause de ce qu'il lui arrive en ce moment (pas forcément agréable de vivre dans une zone internationale d'aéroport russe, tout comme il n'est pas agréable d'être bloqué dans une ambassade), peux-tu dire sans mentir que la personne qui postera une telle démonstration ne se prendra pas les foudres des Etats-Unis avec la même violence juste parce qu'il a osé le dire?

          Je bosses pour X(gouvernement, universite, entreprise…), j'ai acces aux sources de Windows. Je decouvres la backdoor. Je prends un binaire officiel (DVD de Windows), et je decris comment trouver la faille a partir du binaire officiel. (= impossible de tracer que j'ai acces aux sources)

          Je me crees un compte sur mail.ru ou mail.cn, je m'installes une VM toute propre, je prends ma voiture et me gare a cote d'un café avec acces Wi-Fi ou autre, je postes la description sur tous les forums que je veux.

          Bonne chance pour me retrouver.

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  3 .

            a) Le header par exemple va changer (il y a un timestamp dans le header PE)

            On peut faire le nécessaire pour ignorer le timestamp dans le hash au pire

            b) Le compilo(meme version du compilo, memes sources) pourrait optimiser de maniere differente le code

            Si même config en entrée --> résultat différent, tu me fais peur. Microsoft met un rand() quelque part?

            et je decris comment trouver la faille a partir du binaire officiel.

            J'ose imaginer qu'il y a une clé publique pour vérifier la signature de celui qui se connecte, et donc sans la clé privée, je ne peux rien démontrer du tout de cette manière.
            Raté.

            • [^] # Re: Bof

              Posté par . Évalué à  -1 .

              Si même config en entrée --> résultat différent, tu me fais peur. Microsoft met un rand() quelque part?

              Tu devrais aller demander aux gars de gcc comment fguess-branch-probability fonctionne… tu vas etre surprise

              J'ose imaginer qu'il y a une clé publique W pour vérifier la signature de celui qui se connecte, et donc sans la clé privée, je ne peux rien démontrer du tout de cette manière.
              Raté.

              Tu penses ? Tu crois que demontrer la presence de la cle publique dans le code et le fait que la verification ouvre une porte ne va rien montrer ?

              Si poster les sources prouve quelque chose, alors poster le code assembleur venant du binaire officiel donne EXACTEMENT le meme resultat.

            • [^] # Re: Bof

              Posté par . Évalué à  1 .

              même config en entrée --> résultat différent, tu me fais peur.
              Généralement, un algorithme non-déterministe donne de meilleurs résultats ou es plus efficace qu'un déterministe…

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  4 . Dernière modification : le 10/07/13 à 08:26

            a) Le header par exemple va changer (il y a un timestamp dans le header PE)

            Théoriquement qu'il y ait un timestamp dans le header ou non ne change rien car à la compilation ça ne serait pas un élément utile, sauf si le code le réutilise.

            b) Le compilo(meme version du compilo, memes sources) pourrait optimiser de maniere differente le code

            Ton ordinateur est quantique, doté d'un générateur aléatoire pour générer les binaires ?
            Cet argument me paraît mauvais, avec le même code source et la même version du compilateur je vois mal comment tu pourrais obtenir des binaires différents. Normalement il va optimiser de la même manière car c'est le même code !

            Je veux bien que tu explicites cette partie car je crois que tu nous prends pour du jambon.

            • [^] # Re: Bof

              Posté par . Évalué à  1 .

              Ton ordinateur est quantique, doté d'un générateur aléatoire pour générer les binaires ?
              Cet argument me paraît mauvais, avec le même code source et la même version du compilateur je vois mal comment tu pourrais obtenir des binaires différents. Normalement il va optimiser de la même manière car c'est le même code !

              Gcc le fait, cf. ma reponse a Zenitram. Comme quoi il faudrait penser a reevaluer ces "on-dit" traditionels que tout le monde repete mais que personne ne s'amuse a verifier dans le monde reel.

              • [^] # Re: Bof

                Posté par (page perso) . Évalué à  5 .

                En êtes vous certains ? Il ne m'a jamais été donné d'observer un tel comportement de gcc. Mais juste au cas où je me suis amusé à tester avec quelques codes de calcul personnels (C.-à-d. des codes de qualitay !! Le genre qui ne tombent en marche que sur la bécane de leur créateur.). Ce n'est certainement pas du niveau de complexité d'un noyau, mais il y a tout de même plus de trois cent kilo lignes de sources. Et bien par accident, deux compilations — en utilisant les optimisation classiques — à un mois d'intervalle donnent précisément le même hash sha512. Auriez-vous des exemples précis confirmant vos assertions sur la nom reproductibilité du travail de gcc ?

                • [^] # Re: Bof

                  Posté par . Évalué à  4 .

                  C'etait le cas a l'epoque de gcc 3.x : http://gcc.gnu.org/onlinedocs/gcc-3.2/gcc/Optimize-Options.html

                  -fno-guess-branch-probability Do not guess branch probabilities using a randomized model.
                  Sometimes gcc will opt to use a randomized model to guess branch probabilities, when none are available from either profiling feedback (-fprofile-arcs) or __builtin_expect. This means that different runs of the compiler on the same program may produce different object code.

                  • [^] # Re: Bof

                    Posté par (page perso) . Évalué à  7 .

                    J'ai regardé pour les versions plus récentes et c'est un modèle heuristique qui est utilisé (et donc normalement déterministe).

                    • [^] # Re: Bof

                      Posté par . Évalué à  2 .

                      Possible (j'ai pas regarde dernierement), mais le fait est que pendant longtemps, le principal compilo du monde open source a eu ce comportement. Qu'on ne vienne pas me dire que c'est un truc fantaisiste / bug ou autre.

                      Pour le reste, j'imagines que bcp de gros softs utilisent du profile guided optimization, donc faudrait aussi filer ces fichiers de profile pour arriver au meme resultat.

                      • [^] # Re: Bof

                        Posté par . Évalué à  4 .

                        Ah je regrette, je trouve ça fantaisiste, surtout en tant que développeur si jamais un bug se produit dans ces zones là, et uniquement 1 fois sur 11 compile, je ne te raconte pas la galère à debugger ;)

                        Il ne faut pas décorner les boeufs avant d'avoir semé le vent

                        • [^] # Re: Bof

                          Posté par . Évalué à  1 .

                          Ca n'arriverait pas sauf bug du compilo, car quoi qu'il genere, le resultat du code execute doit etre garanti identique.

                          • [^] # Re: Bof

                            Posté par (page perso) . Évalué à  3 .

                            Euh, pas dans le cas général. Si le code source a un comportement indéterminé, alors le compilateur peut faire un truc qui marche une fois sur deux.

                            On parle de bug (pas dans le compilo, mais dans le code à compiler), là, donc supposer qu'il n'y a pas de comportement indéterminé est optimiste.

                            (pour la prédiction de branchement, c'est presque vrai par contre vu que seules les perfs peuvent changer)

            • [^] # Re: Bof

              Posté par . Évalué à  1 .

              b) Le compilo(meme version du compilo, memes sources) pourrait optimiser de maniere differente le code

              Ton ordinateur est quantique, doté d'un générateur aléatoire pour générer les binaires ?
              Cet argument me paraît mauvais, avec le même code source et la même version du compilateur je vois mal comment tu pourrais obtenir des binaires différents. Normalement il va optimiser de la même manière car c'est le même code !

              Avec du code buggé (variables non-initialisées, dépassement de tampon, …), tu peux obtenir un comportement différent d'une exécution à l'autre …
              Ça t'étonnerai tant que ça que MSVC soit buggé ?

          • [^] # Re: Bof

            Posté par . Évalué à  3 .

            Ceci est vrai si, et seulement si, les sources fournies sont les mêmes que celles utilisées pour compiler; et comme tu viens de le faire remarquer, c'est loin d'être évident de prouver que le binaire correspond aux sources.

            Par contre j'ai du mal a comprendre le compilo de chez MS, avec les même sources, les même options, le même compilo, je m'attends à avoir le même binaire, sauf pour le timestamp évidemment.

            évidemment cela ne protège pas contre le compilo qui ajouterai lui même la backdoor; mais là on frise la paranoïa ;)

            Il ne faut pas décorner les boeufs avant d'avoir semé le vent

            • [^] # Re: Bof

              Posté par (page perso) . Évalué à  2 .

              Tu parles du hack de Ken Thompson ? http://c2.com/cgi/wiki?TheKenThompsonHack

              Mettre du code dans les outils de compilation qui :
              - Si il compile un compilateur => insère ce même code (alors que le source est clean).
              - Si il compile un outil d'analyse de code (gdb) => insère du code qui cache les modifs à l’exécution de cet outil.
              - Si il compile un programme particulier => insère un backdoor.

              Matthieu Gautier|irc:starmad

              • [^] # Re: Bof

                Posté par . Évalué à  2 .

                C'est un prof of concept ou ça marche vraiment ce truc ?
                Parce que j'ai vraiment du mal à croire que :

                • Du code de compilateur soit capable de détecter qu'il compile un autre compilateur ou un debogeur. À moins d'avoir les options --compiling-compiler et --compiling-debugger

                • Que quand je vais déboguer mon debogueur qui sera en train de deboguer mon compilateur, je ne vais pas me rendre compte de trucs louches.

                ça parait extrêmement complexe à faire, même si pas impossible, mais au moins hors de portée technique actuellement.

          • [^] # Re: Bof

            Posté par . Évalué à  4 . Dernière modification : le 10/07/13 à 10:54

            La seule maniere c'est de faire une analyse statique du code binaire entre les 2 fichiers et s'assurer que le code execute a le meme comportement.
            Ou plutôt de déployer le programme recompilé par ses soins à partir des sources, et non pas de déployer des binaires étrangers.

            D'autant qu'avec un peu de chance, même l'analyse statique, surtout sur des gros paquets de code, ne prouvera rien du tout : prouver que deux programmes font la même chose est indécidable en général.

            • [^] # Re: Bof

              Posté par . Évalué à  -1 .

              D'autant qu'avec un peu de chance, même l'analyse statique, surtout sur des gros paquets de code, ne prouvera rien du tout : prouver que deux programmes font la même chose est indécidable en général.

              En general oui.
              Quand c'est sense etre le meme soft par contre, avec le meme compilateur, c'est tres different. Tu pars du meme point, tu suis les chemins en parrallele, les differences sont sensees etre minimes (optimisations locales du compilo) et resolvables, quoi que ce soit d'autre est une alerte.

              Au final c'est tres faisable vu que c'est un cas particulier.

              • [^] # Re: Bof

                Posté par . Évalué à  1 .

                Alors là, permets moi de mettre sérieusement en doute tes compétences sur ce sujet.

                Tu pars du meme point, tu suis les chemins en parrallele, les differences sont sensees etre minimes
                Tu veux dire que tu testes le programme sur quelques entrées seulement ??? Donc tu ne passes jamais sur les entrées particulières qui justement activent la branche dont le cas négatif n'est pas testé et qui sert à la faille ?
                Ou alors tu testes exhaustivement le programme sur toutes les entrées ? bon courage, s'il ne prend ne serait-ce qu'un seul entier sur 64 bits…
                Ou alors tu fais une abstraction de l'entrée (genre une représentation par intervalle), et tu suis les conditions les unes à la suite des autres ? Au bout de 64 branches, tu as morcelé ton intervalle en potentiellement 264 sous-intervalles qu'il t'est impossible de suivre exhaustivement, donc il te faut une abstraction de ton abstraction, mais alors es-tu sûr que tu couvriras bien tous les cas ?

                Au final c'est tres faisable vu que c'est un cas particulier.
                Pour un "Hello World ! " c'est faisable bien sûr, mais sur un gros bout de code (ou pire sur un OS entier), c'est totalement irréaliste de l'envisager.

                • [^] # Re: Bof

                  Posté par . Évalué à  3 .

                  Tu veux dire que tu testes le programme sur quelques entrées seulement ??? Donc tu ne passes jamais sur les entrées particulières qui justement activent la branche dont le cas négatif n'est pas testé et qui sert à la faille ?

                  Analyse statique : tu construit une representation abstraite du code, et c'est ca que tu compares. Vu que les differences sont minimes, rarement cross-procedure(si il y en a tu poses une alerte et un humain ira voir car ca devrait etre rare), t'as pas besoin de garder des etats de bouts en bouts et d'avoir une explosion exponentielle des etats. Tu te retrouves frequemment a des points ou tu peux dire "ok tout est identique", et tu peux repartir de la en faisant abstraction de ce qui precede.

                  Si tu prends 2 implementations totalement differentes d'un probleme (disons le moteur HTML de IE et de Firefox), alors il est evident que c'est intraitable, mais ici on parle du meme code source compile par le meme compilateur, t'as au final 2 binaires tres tres proches, et tu utilises cet etat de fait pour mettre des contraintes fortes : un changement "consequent" est automatiquement une erreur, la ou dans le cas IE vs. Firefox ca pourrait etre le meme comportement avec 2 implementations totalement differentes et il faudrait une analyse globale des contraintes, ce qui est trop gros pour etre fait.

                  • [^] # Re: Bof

                    Posté par . Évalué à  1 .

                    Cf ce que je te disais ci-dessous. L'abstraction, quand elle suit le code, est précisée au fur et à mesure et finit toujours par exploser, sinon c'est qu'elle ne suit pas le code.

                    Sinon quand les différences sont minimes, autant en effet ne comparer que ce qui est différent. C'est d'ailleurs comme ça, à l'inverse, que les failles sont trouvées (regarder ce qu'un patch de sécurité corrige, pourquoi et comment, et comment on peut le contourner).

                    • [^] # Re: Bof

                      Posté par . Évalué à  2 .

                      De ce que je comprends, il ne s'agit pas d'abstraire les fils d’exécutions possibles mais les instructions à la manière d'un Abstract_syntax_tree. Une fois les programmes représentés sous une telle forme, la comparaison des deux graphes pour voir les différences me semble théoriquement faisable.

      • [^] # Re: Bof

        Posté par . Évalué à  10 . Dernière modification : le 10/07/13 à 08:21

        Plein de gens ont acces aux source de Windows depuis des annees

        Quand bien même tout un chacun pourrait recompiler Windows pour son usage personnel après avoir lu le code source pour vérifier qu’il n’y a pas de backdoor, si Windows ne se compile qu’avec un compilateur de Microsoft, alors cet argument est le plus pourri que l’histoire de la sécurité n’ai jamais donné, comme l’a bien montré Ken Thompson.

        Donc soit tu peux nous démontrer que Windows compile effectivement avec d’autres compilos, soit ton argument est fallacieux (pour ne pas dire : de la grosse merde).

        • [^] # Re: Bof

          Posté par . Évalué à  -4 .

          Mon argument n'est certainement pas plus fallacieux que cette connerie du compilo de Ken Thompson qui fait rire tout le monde dans le monde de la securite.

          Le kernel Linux, avec les drivers, c'est des millions de lignes de code. L'OS entier encore plus. Idem pour Windows.

          Faudrait vraiment etre con pour s'emmerder a inserer une backdoor dans le compilo alors qu'il suffit d'inserer un petit integer overflow qui ressemble a une erreur quelque part dans ces millions de lignes.

          • [^] # Re: Bof

            Posté par (page perso) . Évalué à  5 .

            Faudrait vraiment etre con pour s'emmerder a inserer une backdoor dans le compilo alors qu'il suffit (…)

            La sécurité (son manque) est remplie de gens ne protégeant pas partout car pensant qu'il faut être con pour passer par la. Est qu'est-e qui arrive dans ce cas?

            Faut être con pour s'emmerder à passer par la cave de la maison, sauf quand les portes et fenêtres sont blindées.

            • [^] # Re: Bof

              Posté par . Évalué à  -1 .

              Le jour ou il sera possible de blinder 30 millions de lignes de code C/C++ tu me fais signe, j'ai un poste pour toi chez MS paye 10 millions par an(au moins). Et probablement un prix Nobel aussi.

              • [^] # Re: Bof

                Posté par . Évalué à  5 .

                Ah bon ! Le prix Nobel de quoi ?

                • [^] # Re: Bof

                  Posté par . Évalué à  4 .

                  de mathématique

                  • [^] # Re: Bof

                    Posté par . Évalué à  4 .

                    Ah ouais. Non seulement pBpG me file le prix Nobel mais en plus il en crée un spécialement pour moi.

          • [^] # Re: Bof

            Posté par . Évalué à  2 .

            que cette connerie du compilo de Ken Thompson qui fait rire tout le monde dans le monde de la securite.

            Oui, enfin Thompson ne fait que donner une discussion et une implémentation d’un sujet qui intéressait déjà le gouvernement américain il y a 40 ans, comme il l’indique sa référence au rapport technique (qui a aussi implémenté d’autres trap doors) de l´ Electronic Systems Division (une agence avec un petit budget de 3 milliards de dollars par an).

      • [^] # Re: Bof

        Posté par . Évalué à  4 .

        Un bug subtile à la openbsd (de mémoire) a peu de chance d'être détecté. De plus, comment être sûr que le binaire qui tourne est le même que celui compilé ? Il est possible de faire des diff telquel ? Une backdoor ajouté par un compilateur, cela a été aussi déjà fait il y a longtemps. Et avec les méthodes de mise à jour en ligne, comment être sûr qu'une backdoor n'est pas ajouté en même temps ?

        "La liberté de tout dire, n'a d'ennemis, que ceux qui veulent se réserver, le droit de tout faire"

        • [^] # Re: Bof

          Posté par . Évalué à  3 .

          La SEULE methode qui est valide, c'est une analyse statique du binaire compile pour s'assurer que son comportement est identique au binaire de reference.

          C'est quelque chose qui se fait dans le monde de la securite pour diverses raisons (analyse de nos patchs pour y trouver la faille qu'on a patche par exemple…)

          Ensuite, comme tu l'as dit, cacher un bug subtil est extremement simple. Et ca, tout le monde y est sujet, nous, openbsd, Linux, Chrome, Firefox…
          Il est assez simple pour la NSA de regarder nos offres d'emploi, proposer un gars fort qui se fera engager et voila. Idem pour les projets open-sources ou ils prennent un gars qui envoient de bons patchs pendant un petit moment histoire de mettre la confiance, et hop un jour il insere un petit bug…

          • [^] # Re: Bof

            Posté par . Évalué à  4 .

            La SEULE methode qui est valide, c'est une analyse statique du binaire compile pour s'assurer que son comportement est identique au binaire de reference.
            Non. Le problème de l'identité de programme est indécidable. Ce n'est résoluble que dans les cas les plus simples, et certainement pas sur un "gros" binaire.

            La seule méthode valide pour s'assurer que le binaire correspond aux sources est de le générer par un compilateur de confiance.

      • [^] # Re: Bof

        Posté par . Évalué à  3 .

        Juste pour t’embêter un peu, est-ce que pour obtenir le même binaire de Windows que celui que Microsoft fourni il faut compiler les sources avec un compilateur fourni par Microsoft sous Windows ? Et si oui, pour obtenir le même binaire de compilateur, faut-il le compiler avec lui même sous un OS fourni par Microsoft ?

        Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.

        • [^] # Re: Bof

          Posté par . Évalué à  -1 .

          Tu peux probablement faire tourner le compilo sur Wine / ReactOS… C'est le compilo de Visual Studio.

  • # 0 day

    Posté par . Évalué à  7 .

    En même temps, que ce soit sous windows ou linux, avec ou sans backdoor, ça m'étonnerai que la NSA n'ai pas accès à quelques 0days. Tout comme les renseignements de la plupart des états.

    • [^] # Re: 0 day

      Posté par . Évalué à  9 .

      Très juste.

      Mais un 0day sous Windows va potentiellement être plus efficace car il y a nettement moins de versions de Windows différentes qu'il n'y a de systèmes GNU/Linux (ou BSD) différents (version du noyau, de la libc et de toutes les briques en général).

      Bon c'est sûr que si on a plus que de l'Ubuntu cet argument ne tient plus :)

      • [^] # Re: 0 day

        Posté par . Évalué à  3 .

        Les gouvernements d'habitude ne s'interessent pas a employer un exploit sur 3 millions de machines, c'est pour des attaques tres ciblees (un activiste chinois, un terroriste X, etc…) et ils savent d'habitude tres bien quel systeme cibler. Bref, c'est pas un probleme pour eux.

        Pour le spammer qui veut se faire un botnet c'est different.

  • # Windows backdoor

    Posté par (page perso) . Évalué à  3 .

    Salut,

    Est-ce qu'il y a une backdoor ou pas, je n'en sais rien car je ne suis pas du tout expert en la matière.

    Quand on voit que généralement toutes les machines Windows se trouvent derrière un routeur local (bbox, etc. souvent du Linux), qui bloque toutes les connexions entrantes. Je me dis déjà que ça ne doit pas être si ouvert que ça.

    Ensuite, si vraiment, il y a une backdoor, je suppose qu'il doit être possible de placer un routeur qui ne ferait que loguer toutes les IPs qui passent par là. Après analyse, on aurait déjà un bon aperçu de ce qui entre ou sort. Et l'analyse peut aller plus loin si nécessaire. Et tout ça, sans avoir besoin du code source de Windows.

    Enfin, si après tout ça, il existe effectivement une NSA-backdoor et que la NSA cible les machines qui les intéresse, là en effet c'est plus difficile à détecter mais on n'est alors plus dans le modèle du "on écoute tout le monde".

    • [^] # Re: Windows backdoor

      Posté par (page perso) . Évalué à  1 .

      Quelques petites précisions/corrections …

      Quand on voit que généralement toutes les machines Windows se trouvent derrière un routeur local (bbox, etc. souvent du Linux), qui bloque toutes les connexions entrantes. Je me dis déjà que ça ne doit pas être si ouvert que ça.

      Beaucoup de codes d'exploitation de vulnérabilités (plus brièvement nommés exploit) utilisent ce qu'on appelle un "shell connect-back": c'est la machine vulnérable qui se connecte au serveur du pirate. Ainsi, plus besoin de ports ouverts sur le routeur de l'exploité…

      Ensuite, si vraiment, il y a une backdoor, je suppose qu'il doit être possible de placer un routeur qui ne ferait que loguer toutes les IPs qui passent par là. Après analyse, on aurait déjà un bon aperçu de ce qui entre ou sort. Et l'analyse peut aller plus loin si nécessaire. Et tout ça, sans avoir besoin du code source de Windows.

      Le problème est qu'Internet est déjà pourri par de nombreux bots en tout genre: bruteforceur SSH/IMAP/POP, scanneur de port, scanneur de Proxy, bot qui tente d'exploiter des vulns web à la chaine, etc…
      Au milieu de tout ses flux illégitimes, comment repérer celui qui t'intéresse?
      Ce serait plus simple dans le cas d'un flux sortant (connect-back donc) même si, au final, Windows et autres logiciels tiers ont tendance à générer pas mal de trafic "légitime" (recherche de mise à jour, toussa …).
      Encore une fois, il est donc difficile de dissocier les flux légitimes des flux des vilains pirates …

      • [^] # Re: Windows backdoor

        Posté par . Évalué à  2 .

        Beaucoup de codes d'exploitation de vulnérabilités (plus brièvement nommés exploit) utilisent ce qu'on appelle un "shell connect-back": c'est la machine vulnérable qui se connecte au serveur du pirate. Ainsi, plus besoin de ports ouverts sur le routeur de l'exploité…

        Je pense qu’il pensait aux trucs genre Blaster, qui scannent des plages d’adresses IP, en essayant différents exploits. Les machine derrière un routeur (et un NAT) sont grosso modo à l'abri.

        Si la machine en est à se connecter au serveur du pirate, c’est qu’elle a déjà été compromise, soit en abusant son utilisateur, soit en exploitant une faille.

        Depending on the time of day, the French go either way.

      • [^] # Re: Windows backdoor

        Posté par . Évalué à  1 .

        Au milieu de tout ses flux illégitimes, comment repérer celui qui t'intéresse?

        C'est assez simple en fait, c'est celui auquel ta machine repond… Parce que si ta machine se met a repondre aux scanners, t'as de sacres problemes…

        Si tu veux vraiment etre serieux, tu repands une vingtaine/centaine de machines sur la planete, et tu fais ton analyse sur toutes ces machines. La probabilite d'avoir le meme genre d'acces a travers toute la plenete est tres, tres, faible, ca te permet d'isoler ce qui est vraiment suspect.

        Inutile de dire evidemment que les entites ayant un interet la dedans n'ont pas attendu mon post sur linuxfr pour ausculter ce qui passe sur le reseau avec une machine de base.

        • [^] # Re: Windows backdoor

          Posté par (page perso) . Évalué à  6 .

          A moitié d'accord avec toi …
          Si j'étais un ingé de chez microsoft, en charge de la backdoor pour le gouvernement je m'arrangerai pour réutiliser les adresses IP voir même les ports TCP de windows update pour faire passer mon flux.
          Dès lors, à moins de connaître le protocole de cette merde de windows update, pas moyen de dissocier la backdoor du reste….

          Tu me rétorqueras que Windows Update ne fait que des connexions sortantes.

          Je répondrai alors que cela me suffit, à moi l'ingé méchant de chez M$: lorsque les chinois du FBI me demandent de leurs donner de l'infos sur l'ip de pasBillpasGates, j'attendrai simplement que son windows update se mette en route pour lui passer mes instructions de méchant espion au milieu des mises à jour du démineur et de IE.
          On pourrait même envisager que Windows Update ai un petit process malicieux qui scanne le disque et envoie ce qu'il estime "intéressant" en mode pro-actif à la bande de chinois du FBI.

          Moralité, si m$ veut vraiment fournir une backdoor invisible à un gouvernement, le fait que la majorité de l'écosystème m$ soit absolument propriétaire et non documenté lui en donne les moyens.

          • [^] # Re: Windows backdoor

            Posté par . Évalué à  -1 .

            Si j'étais un ingé de chez microsoft, en charge de la backdoor pour le gouvernement je m'arrangerai pour réutiliser les adresses IP voir même les ports TCP de windows update pour faire passer mon flux.
            Dès lors, à moins de connaître le protocole de cette merde de windows update, pas moyen de dissocier la backdoor du reste….

            Mouarf…

            http://msdn.microsoft.com/en-us/library/cc251937.aspx

            Le protocole est documente publiquement.

            On pourrait même envisager que Windows Update ai un petit process malicieux qui scanne le disque et envoie ce qu'il estime "intéressant" en mode pro-actif à la bande de chinois du FBI.

            Et bien sur ce process ne serait pas detecte… Indice : ca serait la pire des methodes, il y a bien mieux pour faire ca, suffit de regarder comment les rootkits font.

            • [^] # Re: Windows backdoor

              Posté par . Évalué à  2 .

              Le protocole est documente publiquement.
              Toute spec contient un point obscur que chacun interprète comme ça l'arrange.
              Et dans tout point obscur peut se nicher une faille de sécurité discrète mais majeure.

              • [^] # Re: Windows backdoor

                Posté par . Évalué à  -1 .

                Lol, rien a voir, mais alors rien du tout.

                Le protocole est defini par la spec, partant de la tu as une base, tu mets un sniffer qui regarde le protocole, quand tu as une deviation -> alerte. Bonne chance pour faire passer des donnees sans declencher une alarme lorsque le protocole est connu et qu'il n'a qu'un ensemble tres limite de donnees qu'il renvoie.

            • [^] # Re: Windows backdoor

              Posté par (page perso) . Évalué à  1 .

              Et bien sur ce process ne serait pas detecte… Indice : ca serait la pire des methodes, il y a bien mieux pour faire ca, suffit de regarder comment les rootkits font.

              Euh … t'es un gros malin toi ;)
              Je sais pas ce que font les rootkits sous les OS de Redmond, mais sous GNU/Linux, l'objectif est justement de cacher des processus malicieux (IRC bouncer, mass mailer, etc…).
              Donc l'un n'empêche pas l'autre … excuse moi de ne pas rentrer dans les détails non plus, juste donner un début de raisonnement pour "prouver" que ce genre de backdoor est tout à fait envisageable.

              Sinon, OK pour le proto de windows update, mais voilà ça reste un canal en permanence ouvert vers les serveurs de microsoft… et tu peux très bien y faire transiter une mise à jour d'un type un peu particulier déclenchant des actions un peu particulière, ne crois tu pas ?

              • [^] # Re: Windows backdoor

                Posté par . Évalué à  -2 .

                a) Non ce canal n'est pas en permanence ouvert
                b) Tu peux tout a fait utiliser ton propre serveur et empecher les communications vers les serveurs MS, c'est ce que font quasiment toutes les societies
                c) Tu peux certainement y faire transiter une mise a jour, tu peux aussi faire du reverse engineering de la mise a jour et voir ce qu'elle fait. Les gars du monde de la securite d'habitude mettent 24-36h a le faire quand on sort nos patchs
                d) Si tu veux cacher un processus malicieux, il te faut du code dans le kernel (filtrer les appels du FS, certaines structures de processus, …). Si t'es dans le kernel ben… autant y rester, moins de trucs a cacher, voire meme poser un hyperviseur

    • [^] # Re: Windows backdoor

      Posté par . Évalué à  1 .

      Donc apparemment, en plus de la possibilité d'utiliser des failles 0-day, il y avait en 1999, des backdoors dans plusieurs produits de Microsoft:

      http://www.washingtonsblog.com/2013/06/microsoft-programmed-in-nsa-backdoor-in-windows-by-1999.html

      Maintenant, je ne pourrais dire si c'était légal ou pas aux USA, ou même si c'était pas une obligation imposée aux entreprises par l'Etat.

      Un gros avantage du 0-day, c'est la "plausible deniability" (déni plausible ?), que ce soit sur Windows ou Linux, faut pas se faire d'illusions…

  • # Espionnage sous Linux ou délire paranoïaque ?

    Posté par . Évalué à  1 .

    Bonsoir à tous,
    Quoi qu'il en soit Merçi à tous pour vos contributions.

  • # Comment Microsoft facilite la tâche de la NSA

    Posté par (page perso) . Évalué à  4 .

    Le titre de ce journal traite de l’espionnage sous Linux, mais comme les commentaires ont largement débordé sur MS-Windows, je me permets de pointer un article du Guardian (en british, désolé…) : Revealed: how Microsoft handed the NSA access to encrypted messages.

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.