Jean-Philippe Garcia Ballester a écrit 1170 commentaires

Merci pour cette réponse détaillée.

Juste un détail, qui n'enlève rien à la pertinence de ta réponse, on peut installer un CA dans firefox sur son propre compte sans être root.

Donc un attaquant qui peut executer du code en user peut faire un mitm sans accès root.

Mais comme tu le dis ce sera beaucoup plus dur à détecter si fait en root.

Merci, je commençais à me sentir vraiment seul et ridicule, j'en ai failli supprimer mon compte linuxfr…

Si un attaquant a pu me voler tout mon /home, mettre un keylogger, etc, qu'il puisse supprimer mon /, c'est le cadet de mes soucis !

Si tu utilises un compte utilisateur séparé à chaque fois que tu executes un bout de code non-inspecté par toi ou un tiers de confiance je suis d'accord, mais c'est une pratique peu répandue ?

Si le mono-utilisateur peut, à condition de montrer patte blanche (par exemple avec su et les credentials idoines), faire ce qui lui chante avec sa machine, ce n’est pas le cas des programmes qu’il installe sans savoir vraiment ce qu’ils font et qui s’exécutent en son nom.

Les programmes qui s'executent en son nom peuvent logger son clavier et son écran, c'est suffisant pour donner accès à l'attaquant aux données sensibles, pas besoin de copy fail.

Je veux bien que tu m'expliques comment cups par exemple peut keylogguer ce que tu tapes sous Firefox sans droits root.

Donc on est d'accord, c'est ce que je dis depuis un moment :

Sauf si ton ordi fait déja parti d'un botnet, c'est-à-dire qu'il y a déjà une faille béante permettant le remote exec sur un compte autre que ton compte utilisateur, il n'y a pas un gros risque à très court terme.

Un cups qui peut exploiter la faille peut déjà transformer ton ordi en botnet, non ?

Essaie plus fort. Ce sera mon dernier conseil.

Je fais aussi des efforts pour être agréable avec toi mais ton méprisant commence à me tendre un peu.

par exemple une fois root, faire un keylogger c'est trivial. là c'est tes mots de passe qui peuvent fuiter.

Qui est aussi trivial à faire si tu as accès au compte utilisateur ?

un jour le RAID va débouler chez toi à 6h du mat
- vous hébergez un site pédophile
- ah non
- oh si ! on l'a découvert en enquêtant sur la dernière attaque DDOS sur les sites gouvernementaux

Ce qui est faisable tout aussi bien si tu peux exécuter du code arbitraire sans être root ?

J'essaie vraiment très fort mais pour l'instant je n'arrive toujours pas à changer d'avis. La surface d'attaque, c'est une faille dans systemd-timesyncd, dbus, polkit, rtkit ou d'une de leur dépendance.

Tu veux dire, si quelqu'un a déjà réussi à un introduire une faille dans un processus qui ne tourne pas en root ni user, alors il a désormais accès aux données sensibles.

C'est bien ça ?

Par ailleurs, mais ça n'invalide pas tes arguments, il y a quatre processus qui tournent sur mon ordi en ni root ni user : timesyncd, dbus, polkit, rtkit.

Je fais une dernière tentative de reformulation.

Sur un système multi-utilisateur, cette faille est directement exploitable par n'importe qui pour avoir un accès à l'intégralité du système.

Sur un système mono-utilisateur, cette faille ne peut être utilisée que en combinaison avec une autre faille.

S'il y a déjà une faille de remote code execution sur un processus utilisateur, ça ne change rien car l'attaquant a déjà les informations importantes.

S'il y a déjà une faille de l'execution de code à distance (donc permettant de transformer ton ordinateur en botnet), alors l'attaquant peut en plus des ressources de l'ordinateur accéder aux informations à protéger.

Lesquelles de ces affirmations sont fausses et pourquoi ?

Encore une les questions que je pose ne sont pas rhétorique, ce sont de vraies questions.

soit tu es convaincu mais la prochaine fois, avec une faille différente, il va encore falloir donner des exemples

C'est pas normal d'expliquer comment une faille peut être exploitée ?

Je ne comprends pas où tu veux en venir avec ce message.

Quel message cherche-tu à faire passer ?

Qu'il faut patcher au plus vite ? J'ai déjà dit que j'étais d'accord.

Que la faille est critique ? J'ai déjà dit que j'étais d'accord.

Qu'il ne faut pas se poser la question de quelle est la surface d'attaque ? Dans ce cas je ne serai pas d'accord.

Ne pars surtout pas du principe qu'il n'existe pas de code malicieux actuellement dans ton ordi.

À quel moment ai-je dit ça ?

J'ai l'impression que tu me prêtes beaucoup de propos que je n'ai pas tenu. Je fais pourtant beaucoup d'efforts pour être le plus clair possible.

Un de mes enfants pourrait profiter d'une absence pour se créer un accès permanent à mon ordi ?

Oui, ils peuvent aussi accéder à ton home, tes mails, etc.

Mais si ton disque dur n'est pas chiffré (y a-t-il une distribution qui le fait par défaut ?), ils peuvent déjà le faire, relativement facilement (démarrer sur un live usb).

Et même si on disque dur est chiffré, ils peuvent déjà le faire, avec des câbles modifiés (mais c'est nettement plus difficile).

J'avoue que je prends assez mal le ton de ta réponse. Tu noteras que les deux messages auxquels tu réponds posent des questions et n'affirment rien.

Me dire que je reproche aux autres mon manque d'imagination et mon manque de compétences me semble faux, dénigrant, et vexant.

Comment faut-il formuler les choses si ce n'est pas en posant des questions ?

Si tu veux que j'explicite mon avis, le voici.

La faille est évidemment critique et il faut évidemment patcher dès que possible.

La question était de départ du fil était, quelle est la surface d'attaque sur un poste ou la seule chose important est le home de l'utilisateur.

Il me semble que la réponse est, comme dit par quelqu'un d'autre, quasi nulle.

Sauf si ton ordi fait déja parti d'un botnet, c'est-à-dire qu'il y a déjà une faille béante permettant le remote exec sur un compte autre que ton compte utilisateur, il n'y a pas un gros risque à très court terme.

Dans le lien que tu as donné, à la question "should you patch first", il est indiqué "lower" en vert pour ce cas d'usage.

À aucun moment je ne dis qu'il ne faut pas patcher ou qu'on peut faire tout tourner en root sans souci.

Je dis juste que pour un système mono-utilisateur, les failles permettant d'executer du code à distance sont bien plus grave que des failles permettant l'escalation locale de privilège.

Maintenant, si tu peux me partager ton imagination et tes compétences, j'en serai ravi. Et c'était d'ailleurs ma question de départ.

Peux-tu me donner un cas concret ou cette faille permet de faire quelque chose d'utile pour un attaquant sur un système mono-utilisateur ?

Je suis remonté le fil, tu as écrit :

N'importe quel programme exécuté en tant que utilisateur peut choper les droits root. Ton Firefox par exemple, ou ton LibreOffice. C'est 10 lignes de script, ça marche partout. Le font-ils ? Je te laisse faire l'audit du code, mais perso je préfère avoir un kernel sans trou aussi béant, ça évite ce style de questionnement.

Si ton firefox peut exécuter du code arbitraire, ça sert à quoi qu'il devienne root ?

Il a déjà accès à ton compte en banque, tes mails, etc.

Tu dis aussi que la séparation root/user est la principale sécurité, je ne suis pas d'accord, pour moi la principale sécurité c'est la sandbox du navigateur…

Au temps pour moi, j'ai lu trop vite, j'ai cru qu'il parlait de code exécuté par l'utilisateur.

Évidemment il faut patcher partout, je ne remets pas ça en question.

Mais comme dit par quelqu'un d'autre, la surface d'attaque est quasi-nulle sur un ordinateur mono-utilisateur.

Pour l'exploiter il faut déjà pouvoir exécuter du code arbitraire.

Quelle quantité de code est utilisé par tes 64 utilisateurs système et quelle quantité est utilisé par ton compte utilisateur humain ?

Si tu as une faille de remote-exec sur ton ordi, il y a quand même de bonnes chances qu'elle soit sur les logiciels que tu fais tourner avec ton compte, non ?

tu peux déjà prendre le contrôle si tu peux exécuter du code arbitraire en compte utilisateur, non ?

homebrew ?

Pas vraiment, une pull request malveillante sur un projet peu attentif à la sécurité (ou faisant relire celles-ci par une IA 😀) peut suffire pour qu’un attaquant puisse accéder au compte admin du PC même sans niveau technique incroyable.

En contexte particuler, ça sert à quoi d'accéder au compte admin quand tu as déjà accès à toutes les données sensibles qui sont dans le compte utilisateur ?

Peut-être ça vaudrait le coup de se rapprocher de Rezine et/ou Gresille ?

Ça ne serait pas du clé en main mais difficile de faire plus local !

C'est aussi de l'opensource as a demo

https://www.odoo.com/fr_FR/page/editions

Merci, j'ai beau ri 😂

Par contre je n'ai pas compris quelle était la cruelle blague de ton poème.

Mince, je suis une IA !

Je me pose très sérieusement aussi la question de remplacer Fedora.

Pourquoi pas NixOS ?

Je n'ai pas été clair : ce chiffre est incohérent. Cela ressemble à un truc sorti d'une moulinette en feuille excel. Il parle d'une méthode d'évaluation qu'ils ont du appliqué pour se comparer. Mais le chiffre brute semble trop élevé.

donc même mistral n'est pas une source fiable sur mistral.

L'avantage est que pendant que l'on tape sur le numérique, le gaz et le pétrole se porte à merveille.

Ceux qui tapent sur le numérique tapent bien plus fort sur le reste.

Encore une fois tu fais une fausse dichotomie.

L'Ademe comme source sérieuse ?

Peux-tu nous citer une source sérieuse ? Parce que pour l'instant tu n'as rien donné.

si on freine la construction de datacenter en France, oui, forcément. Mais on n'est pas si con, si ?

Tu as mal compris, ils parlent de production d'électricité. Si l'électricité qui fournit les datacenters français n'est plus française, le bilan carbone du datacenter augmente.

Donc le chiffre 20.4ktCO2 pour un seul modèle me parait énorme.

C'est sur le site de mistral, qui n'a aucun intérêt à tricher pour grossir le chiffre (ils ont même intérêt à l'inverse).

Merci donc d'avoir confirmé que les émissions de l'ia sont énormes.

10 TWh pour les datacenters
500 TWh pour le transport. (avec x10 en CO2 produit en thermique)

Et le problème concerne les datacenters ? lol.

Tu confonds "un problème" et "le problème". Dire que l'IA est un problème ne veut pas dire que c'est le seul ni qu'il ne faut pas s'occuper des autres problèmes.

De très nombreuses sources indiquent que l'ia est un réel problème.

Sur le site de l'ademe, on peut lire :

Scénario tendanciel : si on ne change rien
Dans ce scénario, les tendances observées aujourd’hui se prolongent. Le nombre de data centers augmente fortement, tout comme leur consommation électrique. L’intelligence artificielle, le cloud et la multiplication des services numériques constituent les principaux facteurs de cette croissance. Cette trajectoire se traduit par une hausse rapide des émissions de gaz à effet de serre et par des tensions accrues sur les ressources énergétiques, hydriques et foncières. À court terme, ce développement peut s’envisager sans contrainte majeure sur le système électrique français, qui est largement exportateur d’électricité depuis plusieurs années. Mais il apparaît difficilement compatible avec les objectifs climatiques. En effet, dans ce scénario la consommation d’électricité induite par les usages français pourrait être multipliée par 3,7 d’ici 2035. Et près des deux tiers de cette consommation auraient lieu à l’étranger, dans des pays dans lesquels les mix électriques sont en moyenne beaucoup plus carbonés qu’en France.

Une source supplémentaire https://theshiftproject.org/publications/intelligence-artificielle-centres-de-donnees-rapport-final/

Source ?

Parce que sur le site de mistral ai, on lit ça :

l'empreinte environnementale de l'entraînement de Mistral Large 2 : en janvier 2025, et après 18 mois d'utilisation, Large 2 a généré les impacts suivants :

    20,4 ktCO₂e, 

    281 000 m3 d'eau consommée, et 

    660 kg Sb eq (unité standard pour l'épuisement des ressources).

les impacts marginaux de l'inférence, plus précisément l'utilisation de notre assistant IA Le Chat pour une réponse de 400 tokens:

    1,14 gCO₂e, 

    45 mL d'eau, et 

    0,16 mg de Sb eq. 

Sachant que les parts de marchés de marché de mistral ai sont faibles par rapport à chatgpt ou claude.

Il faut aussi prendre en compte les projets de construction de datacenter.

L'IA est clairement un problème écologique, parce que cela complètement à l'encontre de la sobriété, qui est apsolument nécessaire.