Discussion :

[adriencreulant]

Bonjour,

J'aimerai savoir quels sont les dangers potentiels des outils de compilations et pourquoi les supprimer des machines de production, dans mon entreprise ont me répond, "c'est comme ça".

Est il réellement dangereux de laisser Make, gcc, ld ... et si oui pourquoi.

Pour Oracle par exemple pour faire une MAJ on a besoin me semble t'il de ld make et gcc.

Lorsque tu a 300 serveurs a mettre a jour la prod te répond ça coute trop cher d'installer puis de désinstaller les outils de compilations, donc est il réellement dangereux de les laisser sur le serveur.

Merci par avances pour vos réponses

[Mandraxx]

Bonjour,

La cause de cette interdiction est assez simple bien que le motif invoqué soit discutable : le code binaire n'est pas portable par nature.

En conséquence, un hacker qui veut introduire une backdoor dans un système va y déposer un code source qu'il va compiler sur place pour s'assurer que cet exécutable soit pleinement compatible avec la plate-forme.
L'objectif à ce stade est de gagner l'accès root. Donc, il n'est pas encore root et ne peut donc pas installer les outils de compilation s'ils n'y sont pas.

Là où je trouve que cette approche est discutable, c'est qu'elle me paraît quelque peu obsolète pour plusieurs raisons :

1. avec l'uniformisation des plate-formes modernes, le binaire est de plus en plus portable (on compile en statique ANSI x86_64 et on touche 80% du parc sans problème)
2. la puissance actuelle des systèmes ne nécessite plus une optimisation de niveau assembleur pour le hacking : une backdoor doit être invisible donc optimisée au maximum (options de compilation très proches du hardware) pour ne pas introduire de latence sans quoi elle est vite détectée. Mais aujourd'hui, on a tellement de puissance qu'on ne fait plus attention à la latence...
3. enfin, et c'est une continuité du point 2, on tellement de puissance que le hacker peut aujourd'hui se permettre d'utiliser un langage interprété évolué pour introduire ses méfaits.

Cette mesure de sécurité est donc à mon avis nécessaire (car il existe toujours des attaques basées sur d'anciens procédés qui nécessitent la présence de compilateurs) mais malheureusement pas suffisante.

@+