Forum LegTux

La couche IPSec de BSD est soupçonnée d'avoir été infectée de backdoors par un développeur assermenté par le FBI.

L'enquête débute ici http://www.pcinpact.com/actu/news/60876 ... -raadt.htm

Et se poursuit ici http://www.pcinpact.com/actu/news/60953 ... kdoors.htm

Gregory Perry semble donc avoir dit vrai. Il était au début de la décennie le directeur technique de la société NETSEC. Cette dernière était impliquée dans le développement du projet BSD, duquel sont issues les célèbres déclinaisons FreeBSD, OpenBSD ou encore NetBSD. Plus exactement, NETSEC participait aux travaux sur la couche IPSec, qui apporte des mécanismes de sécurité au protocole IP. Or, cette même couche IPSec est aujourd’hui reprise dans d’autres systèmes d’exploitation.

La question qui se pose alors : Si BSD est censé être ultra sécur, que peut-il arriver à GNU/Linux ?!

Sommes nous exposés ? Sans doute oui, car ces failles ont été pointées du doigt par un ex employé qui a indiqué avec précision où regarder. Où chercher les autres alors ?

Il est évident que les portions de code incriminées sont intégrées par les mêmes personnes censées vérifier la propreté du code. Dès lors, la question de "taupes" se pose. Est-ce si facile d'entrer dans une Core DevTeam?

Peut être pas. Dans l'histoire de BSD finalement, les deux bugs trouvés ont été corrigés mais ne relevaient pas de failles :

En auditant une partie du code, le développeur Marsh Ray a précisé qu'il a retrouvé la trace d'un bug touchant l'implémentation de IPSEC. Un bug qui a été corrigé en 2002 sans donner lieu à une divulgation. Selon lui, ce bug ne répond pas aux critères pour une backdoor malveillante.

http://www.generation-nt.com/openbsd-ba ... 35011.html

Les backdoors auraient été corrigées comme de simples bugs en 2002.

Parmi les correctifs que nous appliquons chaque jours, un certain lot de failles, volontaire ou non, sont corrigée au vu et à la barbe de tous.

Discrètement, une chasse aux sorcières commence ...

Comment dire que ça ne m'étonne pas ?

En disant que les institutions américaines ne peuvent pas se permettre de laisser au public un outil qu'ils ne peuvent pas infiltrer, détruire, ou surveiller, en bref, compromettre.

Il ne faut pas oublier que ces gens ont fait en sorte que soient signés des textes comme le Homeland Security Act ou antérieurement le Patriot Act.

Enfin bref, ils ne dérogent pas à leurs bonnes habitudes de sales fouineurs machiavéliques.

A la seule différence que contrairement à partout ailleurs, ils n'ont absolument aucun droit là dessus ! Et que si nous trouvons des bugs il suffi de corriger. Alors où est perdue l'aiguille dans la botte de foin, voilà la véritable question.

Ils n'ont aucun droit pour pratiquement tout ce qu'ils font, j'ai l'impression.

Pourtant dans la plupart des communautés libres, on a du mouron à se faire non ?

Oui, mais c'est tout le temps comme ça,