Forum

Suite au sujet magiea VS rosa,


A votre avis, y a t il des logiciels espions dans notre distribution linux ?
A tout les contributeurs, y a t il possibilité que quelqu'un en glisse un ?
Le fait que le code soit ouvert nous met il à l'abris ?
Si le kernel est clair, toutes les distributions le sont-elles ?
et Mageia ?



http://www.journaldunet.com/solutions/dsi/linus-torvalds-backdoor-et-nsa-a-linuxcon-0913.shtml


un autre article plus détaillé
http://www.numerama.com/magazine/27033-linus-torvalds-avoue-des-pressions-pour-mettre-un-backdoor-dans-linux-maj.html

Édité par Ami age Le 25/10/2015 à 09h01

Le jour où il y aura un PC entièrement "libre" ( == diffusion du code VHDL des puces), en plus de Linux, alors on pourra être plus rassuré. Car qui dit que ma carte réseau "propriétaire" n'attende pas un "ordre" pour sniffer mes paquets et les envoyer à l'ordonnateur ?

D'autre part, Linux utilise des logiciels qui se connectent tout seul à des serveurs, ceux-ci pouvant très bien faire exécuter du code "à la demande" sans qu'il ne soit publié dans les sources. J'en veux pour preuve : pourquoi Firefox a-t-il besoin de se connecter à tant de machines au démarrage ? ( http://www.mageialinux-online.org/forum/topic-21153+firefox-et-vie-privee.php ). Alors que Rekonq ne se connecte à rien ! Même s'il est écrit que c'est libre, peut-on avoir totalement confiance ? ... ...

Et pour rester libre, encore faut-il savoir lire et comprendre le code ... pas une mince affaire ... ou faire confiance à ceux qui ont cette capacité ... "Ayez confiance ... ", qu'ils disaient ...

Pour ceux qui n'ont plus confiance ni en MS, Apple, Android ... et bien il reste Mageia ... pourvu que ça dure !

Oui.

C'est d'ailleurs la justification du projet Linux Libre qui élimine tous les BLOBs du kernel. Un BLOB, Binary Long OBject, par définition n'est pas un code source, donc pas lisible, pas ouvert, pas public.

Si Torvalds soutient qu'il n'y a pas de backdoor dans le kernel, il ne peut lui, ni personne d'autre, soutenir qu'il en est de même dans les parties masquées.

D'où l'importance de ce projet Linux Libre qui entraîne dans son sillon la notion de hardware libre pour se débarasser de tous ces drivers notamment dont on ne peut jurer de l'innocuité.

Mais nmrk.n en parlera certainement mieux que moi...

Tu m'as tué la





Une question en appelle une autre : Qu'est ce qui se cache derrière le mot "Linux" ? Juste le noyau, ou y est inclus d'autres éléments comme l'ensemble KDE, l'ensemble GNOME, systemd, ... ?

oui, c'est ce qu'ai j'ai voulud ire avec "Si le kernel est clair, toutes les distributions le sont-elles ?"

Et bien là ma réponse est NON.

Toute distribution "patch" le kernel, donc il se peut que la distrib patch son kernel avec une backdoor

Oui, soyons précis. si on peut admettre que le débutant se contente du terme Linux pour tout englober, ceux qui y sont depuis un bout de temps doivent distinguer Linux qui n'est que le noyau pour architectures PC du système d'exploitation GNU, des environnements graphiques, des différentes applications.



Je ne suis pas certain de cette affirmation. Car théoriquement un logiciel diffusé avec la Gnu Public Licence ce qui est la cas de Linux peut être modifié et diffusé à condition de publier ses modifications. (C'est la puissance de ce paradoxe qu'est la "contrainte libertaire" de la Gnu Public Licence).Ceci dit, il est diffusé avec des drivers qui ne le sont pas. Il faut se souvenir de la faille Heartbleed de OpenSSL bien diffusé sous GPL, OpenSSL truandé depuis des lustres malgré le code source ouvert sous les yeux de la communauté.



Mais peu importe, cette notion de confiance est très importante et très difficile à cerner. C'est très intéressant d'y réfléchir et bien difficile à appliquer. Car si GNU/Linux est quand même relativement sûr, les problèmes sont nettement plus circonscrits que sur Mac et W$. Mais il n'en va pas de même vers le bas, le matériel et ses drivers cachotiers. Et c'est encore pire vers le haut, internet et sa captation par les puissances du commerce et de la police.

Édité par magnux77 Le 25/10/2015 à 12h37

Honnêtement, je ne pense pas qu'il y ait de logiciel espion dans les principales distributions Linux. Pas que ça soit impossible d'en introduire, mais simplement je pense que les équipes, associations et/ou entreprises qui développent des distributions n'en ont pas l'intérêt, bien au contraire. À quoi servirait aux développeurs de Mageia, Debian, openSUSE, FreeBSD ou autres d'introduire des logiciels malveillants dans leur distribution ?

Pour ce qui est du matériel et de l'internet, par contre… c'est une autre histoire.

Réponse de Linus ! Comment l'interpreter

http://www.dailymotion.com/video/x14w9jn_le-gouvernement-americain-a-t-il-tente-de-mettre-un-acces-secret-dans-linux_news


http://www.lemonde.fr/technologies/article/2013/09/19/le-gouvernement-americain-a-t-il-tente-de-mettre-un-acces-secret-dans-linux_3481314_651865.html

Édité par BlackHawk Le 25/10/2015 à 17h52

Justement,

pour commencer et "faire le ménage", sauriez-vous m'indiquer un moyen d'installer les softs "non libres" (Skype, par exemple) afin qu'il n'est pas accès à mes répertoires de documents. Car je vois qu'il créé un répertoire .Skype dans mon $home, donc qu'il a accès à tous les répertoires là dedans . Et justement j'aimerais qu'il soit traité "à part"

Comment faire ?

Bonjour,
Peut-être dédier un compte (user) pour skype uniquement. Affecter à cet utilisateur le minimum de droits et l’appartenance au minimum de groupes.

Hello,

Skype ben voilà un bel espion


http://o.nouvelobs.com/high-tech/20130621.OBS4085/comment-skype-a-aide-la-nsa-et-le-fbi-a-espionner-ses-clients.html

Il est sans doute exact que les equipes qui s'occupent de ces distributions, pour la plupars, ne souhaitent pas introduire de logiciel espion. En revanche, il existe d'autres gens pour qui la présence d'un logiciel espion serait très interessante: services secrets, societés marketing et autres escrocs en tout genres.



La question que l'on peut se poser est donc la suivante: qu'en est il de la sécurité de l'infrastructure de developement de ces distributions Linux ? Serait il possible de s'introduire sur les machines qui servent au developement d'une de ces distributions afin d'introduire un logiciel espion dans les programmes distribués aux utilisateurs ? Et si c'était le cas, serait il possible de reperer le problème ?

OK. J'ai créé un nouveau compte "tainted/tained". Mais:

- sur un PC multiutilisateur, ça n'est pas pratique, car il faut aller sur la session KDE de tainted, et éxécuter Skype. A moins que: Existe-t-il une commande (genre sudo) qui permet de lancer un exécutable en se faisant passer pour un autre utilisateur (ici "tainted") sans avoir à ouvrir la session KDE correspondance ? Comme ça je pourrai créer un raccourci .desktop et le tour serait joué !


- par défaut, les $home ont comme droit "drwxr-xr-x", idem pour les répertoires "Documents". Ainsi même l'utilisateur tainted (==other, si j'ai bien compris ) a le droit d'aller voir là dedans . Est-ce normal d'avoir ça par défaut ? Sur ce répertoire, si je change les droits others en ---, est-ce que ça va poser des problèmes ? (car si ça n'est pas comme ça par défaut, c'est qu'il doit y avoir une bonne raison ... ... )

Ça date de l'époque où l'on considérait, que tous ceux qui étaient admis sur la machine (log in) avaient tout intérêt à partager tout ce qui s'y trouvait. Effectivement quand l'autre c'est Skype c'est différent.