![[OpenBSD]](../images/smalltitle.gif){kind=small}
Cet article peut aussi être trouvé en ligne aux Appels Académiques for un meilleur suivis des bogues (uk.builder.com).
"Cependant, afin de traiter la sécurité à l'image de BSD, davantage d'efforts doivent être fait dans l'audit de code à la recherche de failles, une activité bien moins sexy qui attire un autre genre de développeurs," ajouta Zymaris.
Le composants "closed-source" requis pour utiliser ce matériel est complètement indépendant des systèmes d'exploitation associés, et est de ce fait complètement indépendant de l'équipe d'ingénierie, de l'équipe de sécurité, du processus d'audit, et des procédures de contrôle de la qualité qui sont normalement des étapes intégrantes de la mise au point du système d'exploitation...Ceci pourrait être d'autant plus problématique que nous parlons d'un morceau de code dans le système d'exploitation, fonctionnant avec le niveau le plus élevé de privilèges (le noyau), et qui est fournit par le vendeur tiers. Ce code pourrait faire d'autres choses une fois lancé, comme mettre en défaut les clefs WEP actives, collecter des statistiques d'utilisation, sniffer et dévoiler le trafic réseau, et ceci pourrait également introduire une backdoor subtile dans le système d'exploitation lui-même (tout comme n'importe quel driver sur un système d'exploitation fermé).
Bien que certains de ces scénarios soient un peu extrêmes, la possibilité qu'ils existent est bien présente. Ceci devient réellement un problème de confiance, directement adjacent avec une bonne politique de sécurité : comment leurs faire confiance, et à quel degré ?
Et il commente ceci comme étant "tel une rue à sens unique" : les vendeurs désirent que vous leur fassiez confiance, mais ils ne veulent pas vous faire confiance et vous laissez connaitre comment leur matériel fonctionne. Ce manque de confiance est une des raisons pour lesquelles OpenBSD a récemment fait un "reverse-engeneering" complet sur le driver des cartes sans-fil Atheros initialement fournit via un driver binaire.
"... which is more secure - Windows or Linux?Sans surprise, la réponse est négative. Bonne discussion sur les raisons qui font que le système d'exploitation de Microsoft n'est pas encore vraiment sécurisé. L'article s'achève en concluant que si vous devez utiliser MS-Windows, alors faites le mais utilisez une autre machine hébergeant un système d'exploitation "avec un profil de risque plus bas" pour la consultation de votre messagerie, le web et les autres activités en ligne. Cela pourrait être OpenBSD (enregistrement préalable requis).
A snide answer is OpenBSD, which has an exemplary record with respect to security. But let's stick to the two most broadly used platforms in IT today.Microsoft's hired analysts claim that Windows is more secure than Linux. Should we believe them?"
because it takes a "tough love" approach; when it spots a virus on a computer, it automatically blocks that machine, "blackholing" the user, and notifies Grant... "The Airlok has the best firewall I have ever seen," says Grant, who believes the product could even change the Web itself. "Imagine if Comcast or other ISPs started using Airloks. If someone got a virus, the system would just shut that person down before it could spread. This could make hackers obsolete."Ca releve un peu de l'hyperbole, mais le produit semble bon, et sert d'exemple à ce qu'on peut faire avec OpenBSD.
There's lots of open-source software out there that no one has analyzed and is no more secure than all the closed-source products that no one has analyzed. But then there are things like Linux, Apache or OpenBSD that get a lot of analysis. When open-source code is properly analyzed, there's nothing better.
Just as brilliant scientists are capable of making spelling mistakes, brilliant coders can also make fatal mistakes in their software perhaps because writing good software is both a science and an art.Puis il cite Theo :
"Also, more people in the coding community are writing code, while fewer are reading or auditing code."
On peut aussi trouver cet article en ligne à l'adresse suivante :
Cet article peut être également lu à l'adresse suivante :
Cet article peut être également lu à l'adresse suivante :
Une discussion plus détaillée sur les raisons derrière la coupure des fonds du DARPA, pourquoi, par qui et quand. La conclusion est que l'arrêt des fonds "n'est pas aussi dramatique qu'il semble" puisque OpenBSD dispose d'autres sources de financement.
L'article décrit Theo de Raadt comme un "programmeur canadien respecté... le fondateur de 35 ans d'un projet logiciel de collaboration internationale connu sous le nom d'OpenBSD" et le cite au sujet du Hackathon qui aura lieu quoi qu'il arrive : "nous sommes des individus libres, et nous le faisons pour notre propre plaisir" indique-t- il. "Nous le faisons par amusement".
Cet article peut être également lu à l'adresse suivante :
Cet article peut être également lu à l'adresse suivante :
Cet article peut être également lu à l'adresse suivante :
Puis sur quelques sites, l'histoire se modifie. Un porte-parole du DARPA est cité : "Nous sommes désolés que ce changement de position apparaisse ainsi sur plusieurs sites d'information et qu'il soit interprété comme un effort pour supprimer l'effort de développement" (si ce n'est pas une annulation, alors pourquoi Mark West de l'UPENN a téléphoné à Hyatt Calgary pour annuler toutes les réservations, avant même qu'OpenBSD ne soit informé de cette décision par Jonathan Smith dont le courrier électronique indique que "Penn a été contacté par l'Air Force et QU'AUCUN COUT SUPPLEMENTAIRE NE SERA DESORMAIS COUVERT, effectif aujourd'hui, 17 avril 2003" et "tous les sous-contrats sont annulés, A COMPTER D'AUJOURD'HUI" et que "Penn doit mettre un terme immédiat aux contrats et obligations tels que le réservations aux Hyatt et les frais de déplacements. Mark, veuillez suivre ces instructions aussi tôt que possible afin de satisfaire nos engagements vis-à-vis du gouvernement". Les articles qui suivent ont repris les "informations" propagées, d'autres continuant sur l'ancienne histoire :
Note: les matériaux en relation avec le projet POSSE sont en miroir ici
"Smith et les membres de Penn, l'équipe de développement du consortium OpenBSD, la fondation Apache Software et le groupe OpenSSL proposent d'utiliser le modèle du développement open source où les programmeurs partagent leurs avancées de manière ouverte afin de développer de meilleures fonctionalités de sécurité au sein des ordinateurs, et pas seulement ceux développés pour les militaires ou les organisations recherchant un haut niveau de sécurité. Le gouvernement pourra alors en bénéficier en utilisant des machines de meilleur prix, standardisées tout en conservant un bon niveau de sécurité".
"La principale conclusion de l'analyse est que les logiciels FOSS jouent un rôle critique au sein du département de la défense, et ce bien plus qu'on ne le reconnaît. Ces applications sont très importantes dans quatre zones d'ensemble : le support et l'infrastructure, le développement logiciel et la recherche. Un résultat innatendu est le degré auquel la sécurité des systèmes d'information dépend des logiciels libres. Interdire les logiciels libres dans l'infrastructure (comme par exemple OpenBSD) aurait de graves conséquences sur la sécurité des réseaux. Le département de la défense serait également limité dans ses accès, sans compter la réduction du degré d'analyse et de détection requis pour détecter et contrer à temps les attaques. Enfin, le département de la défense a montré que la vitesse de réaction pratiquement immédiate aux trous de sécurité est vitale dans leur usage de l'outil informatique, car les attaques les plus évoluées et récentes sont souvent utilisées contre leurs systèmes.
Espérons donc que les responsables des politiques de sécurité liront ce rapport.
En voici le MP3.
La partie sur OpenBSD souligne la sécurité du système d'exploitation et ses mécanismes cryptographiques intégrés comme OpenSSH, IPsec ou Kerberos.
Ce n'est pas mauvais pour une campagne de marketing, bien que tout le monde sache que Microsoft n'a aucune crédibilité dans le domaine de la sécurité, de par son histoire, alors qu'OpenBSD... a prouvé de longue date que son niveau de sécurité est sans aucune comparaison.
Somme toute, un excellent article qui explique pourquoi un fournisseur de services et d'accès à Internet expérimenté adopte OpenBSD comme système d'exploitation de facto.
Les détails de leur implémentaion sont disponibles dans ce document.
Et bien nous devrons vivre avec cela, et au lieu d'avoir un système totalement sécurisé se contenter d'être le système le plus sécurisé disponible à ce jour.