Théo de Raadt, leader du projet OpenBSD, invite les utilisateurs et utilisateurs potentiels de contrôleurs RAID Adaptec "FSA" à témoigner du besoin de spécifications techniques auprès du constructeur.

L'objectif est de permettre l'écriture de logiciels libres de gestion des contrôleurs RAID (reconstruction à chaud, activation et désactivation de l'alarme ...).

Un appel similaire a été lancé hier au sujet des fabricants de contrôleurs wifi peu coopératifs.

Cette démarche, si elle est fructueuse, sera profitable à tous (utilisateurs de GNU/Linux, FreeBSD et NetBSD compris) comme elle l'a été pour les contrôleurs wifi.

Richard Stallman a remis, lors du FOSDEM 2005, le FSF Award à Theo de Raadt, fondateur du projet OpenBSD. Il lui a été attribué « en reconnaissance comme fondateur et meneur des projets OpenBSD et OpenSSH. Le travail de Theo de Raadt a également apporté des contributions significatives à GNU/Linux et les autres distributions BSD ». Le comité récompense également l'implication de Theo de Raadt dans les logiciels libres et les avancées en sécurité de réseaux.

NdM : les deux autres finalistes étaient Andrew Tridgell (Samba) et Cesar Brod (logiciels libres au Brésil). Les années précédentes ont été récompensés Alan Cox (2003), Lawrence Lessig (2002), Guido van Rossum (2001), Brian Paul (2000), Miguel de Icaza (1999) et Larry Wall (1998).

Comme tous les 6 mois, le numéro de version d'OpenBSD est incrémenté, des nouveaux CD sont vendus et une nouvelle chanson est disponible. Les CD sont disponibles depuis le 1er octobre et la nouvelle version pourra être téléchargée par FTP à partir du 1er novembre. Pour les impatients il est déjà possible d'obtenir cette nouvelle version depuis le CVS.

Parmi les changements depuis la 3.5, on trouve le support SMP pour i386 et amd64, l'intégration du nouveau ntpd et d'OpenSSH 3.9 qui supporte le multiplexage de sessions SSH, l'apparition de hotplugd, de nouvelles fonctionnalités pour bgpd, toujours plus de séparation de privilèges, une nouvelle architecture supportée,...

Le rythme d'apparition (« releases ») des grands projets libres est extrêmement variable et ne semble pas obéir à un schéma commun identifiable.
Il est peut-être intéressant de tenter une revue globale (avec les citations issues des sites web officiels) afin de d'analyser les diverses solutions adoptées et d'en présenter les forces et les faiblesses.

Regardons plus en détails les politiques de sortie de divers noyaux et systèmes (Linux, OpenBSD, FreeBSD, NetBSD), distributions GNU/Linux (Gentoo, Debian, Mandrake, Fedora, Slackware), gestionnaires de bureau et autres (GNOME, KDE, Mozilla).

On se souvient tous des inquiétudes suscitées par la nouvelle licence Apache à l'automne ; un gros travail sur le texte avait permis de rassurer la plupart des acteurs du logiciel libre, bien qu'elle reste incompatible avec la GPL (comme la version 1.1). On se souvient également de Mandrake, Debian, RedHat et OpenBSD annonçant leur refus d'intégrer XFree86 4.4 à leurs distributions pour d'autres problèmes de licence.

C'est aujourd'hui au tour de Theo de Raadt, leader et fondateur d'OpenBSD, d'annoncer qu'il n'intégrera pas de code sous licence Apache 2.0 dans OpenBSD. Ce qui signifie que la version d'Apache fournie par OpenBSD sera désormais un fork basé sur les versions sous licence Apache 1.1. Theo ne donne pas plus d'explications quant aux raisons pour lesquelles il juge la nouvelle licence inacceptable, mais se dit lassé des licences libres de plus en plus complexes et contenant de plus en plus de clauses restrictives.

Oreilly Net propose une interview de plusieurs développeurs OpenBSD (Theo de Raadt, Daniel Hartmeier, Jason L. Wright, le français Miod Vallat et Dale Rahn).

On y apprend comment ils ont intégré le projet qui a la réputation d'être assez fermé, sur quelles parties ils travaillent principalement et quels sont leurs objectifs pour les développements futurs.

Enfin une bonne interview qui éclaire un peu mieux le projet OpenBSD, qui peut paraître pour beaucoup moins transparent que les 2 autres (Free et NetBSD).

Ce 1er mai est sorti une nouvelle version d'OpenBSD, le BSD orienté sécurité de Theo de Raadt (NdM: et son équipe).

Au programme de cette nouvelle version, l'intégration de la technologie de protection de pile ProPolice au compilateur (activée par défaut), l'intégration de W^X (prononcer W xor X pour ceux qui ne parlent pas C couramment) interdisant les pages mémoires à la fois modifiables et exécutables pour limiter les exploitations de débordement de tampon (malheureusement pas encore disponible sur x86, mais ce sera au programme de la prochaine version), et plein d'autres choses.

DARPA, une branche du DoD américain qui subventionne la recherche et le développement et connue pour avoir subventionné le projet qui a donné naissance à Internet, vient de supprimer une subvention au projet OpenBSD qu'elle avait accordée en 2001.

Aucune raison officielle n'a été donnée pour justifier cette suppression. Mais il semblerait que cette action ferait suite à la position anti-guerre de Theo de Raadt, leader du projet OpenBSD.

GlobeTechnology publie une Interview de Theo de Raadt (NdM : leader du projet OpenBSD), avec des explications sur le financement du DARPA, la philosophie d'OpenBSD vis à vis de cette somme d'argent conséquente.

Il exprime aussi sans hypocrisie son point de vue sur la guerre en cours, et la place d'OpenBSD dans le contexte actuel des systèmes « opensource ».

ISS, peu après avoir dévoilé le problème sur Apache, avait annoncé qu'ils travaillaient sur une faille d'un autre logiciel libre (en annonçant cette fois-ci que la démarche serait un peu différente !).
Encore Bind ? Sendmail ? Squid ?
Et bien non, OpenSSH... :-(

Les détails sur la faille ne sont pas encore connus mais on sait d'ors et déjà de la bouche de Théo de Raadt lui-même qu'elle sera exploitable à distance, sauf si la séparation de privilège récemment apparue est activée (« UsePrivilegeSeparation yes » dans sshd_config). Peu de distributions Linux proposent cette option pour le moment mais j'espère sincèrement qu'ils vont tous s'atteler pour que ce soit le cas avant la semaine prochaine, date fatidique à laquelle seront dévoilés les détails de l'exploit (et je pense qu'un exploit pas forcèment de Gobbles ne tardera pas à suivre...)

Plus de détails sur LinuxSecurity.com

Note d'un autre modérateur : voir sur debianplanet.org la source apt Debian pour avoir les paquets ssh et apache corrigés pour Woody, ainsi que Mozilla 1.0