Même si le libre est digne de confiance, vérifiez le code source

Même si le libre est digne de confiance, vérifiez le code source !
La Mozilla Foundation invite les utilisateurs à réaliser un audit régulier du code de FireFox

« Tous les navigateurs majeurs disponibles sur le marché sont distribués par des organisations sujettes aux lois sur la surveillance. La conséquence fâcheuse de cette réalité est que les utilisateurs ne doivent plus avoir une confiance aveugle en les éditeurs de logiciels », lit-on sur le blog officiel de la Mozilla Foundation.

Des propos forts, en relation avec le fil de l’actualité sur l’affaire Edward Snowden et le projet PRISM, qui a fait l’objet d’un dossier complet de la rédaction.

Il existe désormais un climat de méfiance perceptible entre les utilisateurs et certains éditeurs de logiciels. Une méfiance certes justifiée, mais les éditeurs comme Google, Apple ou Microsoft ne devrait être blâmés sous aucun prétexte. De fait, ils ont tous simplement les mains liées. Et s’il arrivait par malheur que les codes de leurs logiciels contiennent des « backdoor » imposées par les organismes gouvernementaux, ils sont tenus de garder le silence.

The Guardian reporte les déboires d’un « dissident » qui a fait les frais de son entêtement. Ladar Levison (fondateur de Lavabit) s’est opposé à un ordre direct de la cour de remettre au FBI la totalité des clés de chiffrement de sa plateforme de courriel (opposition compréhensible, puisque cela constitue une violation de la vie privée de ses clients, sans compter que l’image de marque du service en prend un sacré coup). La demande n’était pas anodine puisque le service Lavabit hébergeait le compte de Snowden.

Levison a résisté vaillamment. Mais malgré sa ténacité, il a finalement capitulé. La cour l’a sommé de payer une amende de 5000 dollars par jour, à compter du 06 août jusqu’à ce que le FBI entre en possession de l’ensemble des clés de chiffrement du service. Deux jours plus tard, Levison accédait à la requête du FBI.

Dans une pareille situation, à quel saint doit-on se vouer ? Brendan Eich et Andreas Gal, de Mozilla, présentent le libre comme la « solution par excellence ». En prenant exemple sur Firefox et sur le mode de fonctionnement du libre, ils démontrent comment il est difficile voire impossible pour une agence gouvernementale d’insérer un backdoor dans Firefox. Torvalds lui-même n’a-t-il pas été approché pour insérer un backdoor dans Linux ?

Par ailleurs, Brendan et Andreas lancent un appel aux utilisateurs à faire un audit régulier du code source de Mozilla et des binaires proposés sur le site officiel, afin de lever une alerte lorsqu’une anomalie est découverte.

Sources : Mozilla, The Guardian

Et vous ?

:fleche: Voyez-vous aussi dans le libre la solution au problème de protection de la vie privée des utilisateurs sur internet ?

c'est parcequ'on est sur un forum IT que n'est pas évoqué la solution politique ?

nous vivons dans des démocraties qui devraient nous permettre de décider si de telles pratiques gouvernementales sont acceptables ou non sans avoir à trouver des alternatives technologiques pour nous en prémunir.

Citation:

---

Envoyé par Paul TOTH

nous vivons dans des démocraties qui devraient nous permettre de décider si de telles pratiques gouvernementales sont acceptables ou non

---

L'emploi du conditionnel est tristement révélateur. Je pense qu'il faut savoir rester réaliste et que les alternatives technologiques totalement transparentes sont les seules fiables, car les dirigeants ne seront jamais totalement transparents eux.

Citation:

---

Envoyé par Paul TOTH

c'est parcequ'on est sur un forum IT que n'est pas évoqué la solution politique ?

nous vivons dans des démocraties qui devraient nous permettre de décider si de telles pratiques gouvernementales sont acceptables ou non sans avoir à trouver des alternatives technologiques pour nous en prémunir.

---

Le système représentatif est une illusion de démocratie, et ça se remarque de plus en plus...

Citation:

---

La cour l’a sommé de payer une amende de 5000 dollars par jour, à compter du 06 août jusqu’à ce que le FBI entre en possession de l’ensemble des clés de chiffrement du service.

---

Vous trouvez pas ça proprement intolérable ? de l'abus de pouvoir ? du chantage ? Le service d'état du pays qui porte atteinte à la vie privée de milliers de personnes en passant par le pouvoir juridique.
Il n'y a plus de limite, les seuls moyens que je trouve encore serait une ligue des autres pays contre l’Amérique. Plus ça va, plus on en apprends, et plus ça me révulse... Ce qui était au début un simple "ils peuvent bien m'espionner, m'en fou" devient un "c'est révoltant, ils portent atteinte à la vie privée du monde entier, se porte en dieu omniscient au sens propre sur le réseau mondial"

Concernant le sujet principal : malheureusement je ne peux moi même que faire confiance à la communauté pour assurer la qualité et la sécurité des solutions open source que j'utilise ...

Citation:

---

Envoyé par Uranne-jimmy

Vous trouvez pas ça proprement intolérable ? de l'abus de pouvoir ? du chantage ? Le service d'état du pays qui porte atteinte à la vie privée de milliers de personnes en passant par le pouvoir juridique.

---

Entièrement d'accord avec toi ! Ce que je trouve dommage c'est l'abandon de ses principes au bout de deux jours.. Je pense qu'il aurait pu bien s'en sortir s'il avait payé l'amende jusqu'à avoir une dette incommensurable et du coup, générer un mouvement populaire qui aurait pu faire taire le gouvernement sur ce problème...

Citation:

---

Envoyé par ZenZiTone

Ce que je trouve dommage c'est l'abandon de ses principes au bout de deux jours..

---

Ouais mais non, il aura fallu qu'il se médiatise, il aurait fallu qu'il est une position maîtresse, que la population (notament américaine) le suive en masse. C'est des paris risqués, qui peuvent lui faire perdre beaucoup plus que "quelques" milliers d'euros. Je comprends sa position, il faut pas taper ce côté là de la force ;)

Citation:

---

Envoyé par ZenZiTone

Entièrement d'accord avec toi ! Ce que je trouve dommage c'est l'abandon de ses principes au bout de deux jours.. Je pense qu'il aurait pu bien s'en sortir s'il avait payé l'amende jusqu'à avoir une dette incommensurable et du coup, générer un mouvement populaire qui aurait pu faire taire le gouvernement sur ce problème...

---

Aux USA, tu rigoles pas avec la dette... c'est un suicide personnel si tu fais ca, tu peux même plus avoir un téléphone portable normal avec une mauvaise situation financière.

Par contre, je trouve étonnant qu'il n'ait pas migré tous ses clients dans un autre pays, vu que la loi l'oblige uniquement pour les serveurs présent sur le sol américain.

Bonjour à tous!

Citation:

---

faire un audit régulier du code source

---

Tout à fait d'accord sur le principe, mais, en pratique, comment faire?
Jean-Marc Blanc

Citation:

---

Envoyé par Cedric Chevalier

Même si le libre est digne de confiance, vérifiez le code source !

---

Ou comment recruter des devs pour l'open-source :)


Sinon, je viens de regarder, pour voir, pour telecharger les sources... C'est un parcours du combatant qui demande deja un peu de debrouille, alors qu'il aurait ete si simple de mettre un lien dans l'article du blog...

bon, soit. Je telecharge donc le truc, je le desarchive, et je regarde 2 secondes ce que ca contient :

• 5 967 repertoires
• 87 407 fichiers

Ils fournissent le point d'entree, ou bien je dois me debrouiller tout seul ?

@gangsoleil : étrangement, il ne m'a fallu que quelques secondes pour trouver les sources de Firefox, contrairement à ce que tu dis.

-J'ai tapé "source code firefox" dans Google
-J'ai cliqué sur le premier lien
-J'ai suivi les instructions : lien vers le site FTP, chemin, download et voila...

De plus, j'ai trouvé facilement (il suffit de remonter d'un niveau sur le fil d'ariane de la page citée ci-dessus) cette page qui permet de commencer à travailler avec le source : https://developer.mozilla.org/fr/doc...de/Source_Code

Citation:

---

Par ailleurs, Brendan et Andreas lancent un appel aux utilisateurs à faire un audit régulier du code source de Mozilla et des binaires proposés sur le site officiel, afin de lever une alerte lorsqu’une anomalie est découverte.

---

Encore faudrait-il être capable de lire ce code... Ce qui n'est pas donné à tout le monde, loin de là !

En fait, il y a une approximation dans le présent article. L'article sur le site de Mozilla ne dit pas que les utilisateurs, au sens d'utilisateurs lambda, pas informaticiens, devraient auditer le code. Version anglaise :

"To ensure that no one can inject undetected surveillance code into Firefox, security researchers and organizations should:

-regularly audit Mozilla source and verified builds by all effective means;
-establish automated systems to verify official Mozilla builds from source; and
-raise an alert if the verified bits differ from official bits"

On parle donc de chercheurs et d'organisations en sécurité C'est très différent.

Citation:

---

Envoyé par Traroth2

On parle donc de chercheurs et d'organisations en sécurité C'est très différent.

---

En gros, face à une nébuleuse opaque ( NSA + ... + Google + Facebook ), il faudrait créer différents groupes entreprise + université + ..., qui vérifieraient le code source de manière indépendante.

C'est plutôt malin, en effet.

Salut,

Citation:

---

Envoyé par Paul TOTH

c'est parcequ'on est sur un forum IT que n'est pas évoqué la solution politique ?

nous vivons dans des démocraties qui devraient nous permettre de décider si de telles pratiques gouvernementales sont acceptables ou non sans avoir à trouver des alternatives technologiques pour nous en prémunir.

---

Le problème, c'est que les états unis n'ont aucune loi proche de la loi "informatique et liberté".

Personne aux états unis ne s'étonne que NY ait un cloud dans lequel toutes les informations personnelles issues des différents services sont regroupées et auquel les différents services (le controleur pompier, par exemple) font appel pour savoir qui aller contrôler "en priorité".

Pire encore, ils ont maintenant le patriot act qui fait qu'il suffit que le FBI aille dire au juge que "je crains qu'il n'y ai des terroristes qui passent par ses serveurs" pour que le juge estime, au regard de la loi, que le FBI a raison!

Je suis entièrement d'accord avec toi, et je trouve qu'il est honteux qu'un pays qui a introduit la liberté individuelle dans sa constitution depuis les débuts, qui se prévaut d'être le pays de la liberté et qui a autant de puissance au niveau mondial puisse bafouer ainsi les droits élémentaires sensément garantis en démocratie.

Le problème, c'est qu'il est encore valable jusqu'en 2015, et, comme les gens semblent ne pas s'en émouvoir beaucoup plus que cela aux états unis, je ne vois pas ce qui pourrait empêcher un nouveau vote de reconduction... définitive (:question:).

Ceci dit, dans quelle mesure les habitants américains ne se sentent ils pas, pour certains en tout cas, beaucoup plus en sécurité grace à lui (wouu, le méchant terroriste étranger, qu'on fasse ce qu'il faut pour l'arrêter, meme si cela veut dire que vous lisez les lettres de ma maîtresse!) :question:

Citation:

---

Envoyé par koala01

Salut,Le problème, c'est que les états unis n'ont aucune loi proche de la loi "informatique et liberté".

Personne aux états unis ne s'étonne que NY ait un cloud dans lequel toutes les informations personnelles issues des différents services sont regroupées et auquel les différents services (le controleur pompier, par exemple) font appel pour savoir qui aller contrôler "en priorité".

Pire encore, ils ont maintenant le patriot act qui fait qu'il suffit que le FBI aille dire au juge que "je crains qu'il n'y ai des terroristes qui passent par ses serveurs" pour que le juge estime, au regard de la loi, que le FBI a raison!

Je suis entièrement d'accord avec toi, et je trouve qu'il est honteux qu'un pays qui a introduit la liberté individuelle dans sa constitution depuis les débuts, qui se prévaut d'être le pays de la liberté et qui a autant de puissance au niveau mondial puisse bafouer ainsi les droits élémentaires sensément garantis en démocratie.

Le problème, c'est qu'il est encore valable jusqu'en 2015, et, comme les gens semblent ne pas s'en émouvoir beaucoup plus que cela aux états unis, je ne vois pas ce qui pourrait empêcher un nouveau vote de reconduction... définitive (:question:).

Ceci dit, dans quelle mesure les habitants américains ne se sentent ils pas, pour certains en tout cas, beaucoup plus en sécurité grace à lui (wouu, le méchant terroriste étranger, qu'on fasse ce qu'il faut pour l'arrêter, meme si cela veut dire que vous lisez les lettres de ma maîtresse!) :question:

---

ah mais je suis tout à fait d'avis que la démocratie va mal. Les révélations de Snowden, loin de faire bondir le monde démocratique n'a fait que légitimé ces pratiques..."oui on fait un peu ça, mais c'est pour votre bien...pis d'ailleurs on est pas les seuls, on fait tous un peu ça et on s'espionne les uns les autres, mais bon c'est juste qu'on utilise les technologies modernes quoi, où est le mal ?!". Et les réactions ne sont pas l'indignation mais les "pff moi je m'en fous je fais mes recherches sur duckduckgo, et pis toute façon Facebook c'est pourri, c'est juste bon pour les utilisateurs de Window$"

La presse nous aide bcp d'ailleurs en faisait la une sur les quenelles de dieudonné, en fait si Valls avait voulu occuper les médias il aurait du faire interdire son spectacle...ah ben tient c'est ce qu'il a fait. Mais bon il devait pas savoir que les escapades de Hollande allaient lui ravir la une.

Premièrement la démocratie, ça n'a jamais existé en France. La révolution a été initié par des riches pour avoir le pouvoir. Ensuite la démocratie au vrai sens du terme suppose que chaque citoyen français à tour de rôle aille voté discuté des lois (impossible).

Personnellement, je pense que comme les jeux vidéos. C'est pas le jeux qui fait le skill mais la personne entre le clavier, la chaise et sa souris. Si t'es con dans la vrai vie alors t'es con dans le monde virtuel aussi.

Quand je vois le nombre de gens peu éduqué sur internet, qui se cache derrière leur pseudo (oui je sais, j'ai un pseudo) et qui font n'importe quoi sur internet. Les gens d'aujourd'hui qui sont né avec un Ipad dans le cul pensent que trouver des renseignements tout de suite, des médias tout de suite, qui ne doivent rien à personne est la normalité. Et qu'internet, c'est gratuit, on doit rien à personne, tout doit être gratuit. Je fais ce que je veux quand je veux. On ne vaut pas mieux que les connards qui ont fait la conquête de l'Amérique.

En plus, ils parlent d'Open Source, je vois les gens au dessus parler de plus 20000 répertoire (déjà quand je fais plus 4 répertoires dans mon code source, les autres développeurs flippent). Personnellement, je n'ai ni le temps, ni l'argent pour entrer dans n'importe code open source. Quels sont les conséquences ? Ben c'est simple, tu prends l'exécutable (.exe ou .msi) et tu installe sans te poser de questions. Donc déjà connaissez-vous un utilisateur lambda qui vérifie à chaque fois le code MD5 ou SHA-256 générer par le site officiel quand il télécharge l'installateur (même moi je le fais presque pas). Donc en gros, je peux très bien mettre de la merde dans mon installateur personne ne verra la différence, alors parler d'Open source pour parler de liberté sert strictement à rien.

DuckDuckgo est une philosophie, pas un service qui fournie, un mail, un blog ou un réseau social ou un drive. Tant que les gens sont peu éduqué, il y a rien à faire, on va créer de plus en plus de lois débiles. Travaillons déjà l'éducation avant de faire des lois pourris. Mais l'Open Source c'est pour les initiés, pas pour ma grand-mère.

Citation:

---

Envoyé par koyosama

Mais l'Open Source c'est pour les initiés, pas pour ma grand-mère.

---

Ce que dit le billet de blog, c'est que des chercheurs et des institutions devraient verifier le code source, et mettre en place des outils de verification, pour que justement tout un chacun puisse utiliser ledit logiciel sans devoir faire la verification.

Si c'etait le cas, tu serais a peu pres certain que le logiciel ne contient pas de malware ni de backdoor, et que l'executable en telechargement est le bon. Bien sur, il reste la possibilite que j'intercepte toutes les connexions sortantes de ta machine, et que lorsque tu telecharges le logiciel je t'en envoie une copie verolee, mais avoue que si j'ai deja cette possibilite, je n'ai pas vraiment besoin de te refiler une copie pourrie...

Citation:

---

Envoyé par koyosama

Mais l'Open Source c'est pour les initiés, pas pour ma grand-mère.

---

Ah bon ? Et pourquoi ça ?

Citation:

---

Envoyé par gangsoleil

Ce que dit le billet de blog, c'est que des chercheurs et des institutions devraient verifier le code source, et mettre en place des outils de verification, pour que justement tout un chacun puisse utiliser ledit logiciel sans devoir faire la verification.

Si c'etait le cas, tu serais a peu pres certain que le logiciel ne contient pas de malware ni de backdoor, et que l'executable en telechargement est le bon. Bien sur, il reste la possibilite que j'intercepte toutes les connexions sortantes de ta machine, et que lorsque tu telecharges le logiciel je t'en envoie une copie verolee, mais avoue que si j'ai deja cette possibilite, je n'ai pas vraiment besoin de te refiler une copie pourrie...

---

Ben après logiquement oui. Mais la question est de savoir si les institutions et les chercheurs vont jouer le jeu. On peut prendre le cas des algorithmes de chiffrement qui ont été validé alors qu'il y avait des backdoor mais que la NSA a demandé explicitement.

C'est plus dure de vérifier l'état d'un installateur pour une personne lambda et même parfois pour un expert en informatique que de vérifier son compte en banque.

Citation:

---

Envoyé par koyosama

On peut prendre le cas des algorithmes de chiffrement qui ont été validé alors qu'il y avait des backdoor mais que la NSA a demandé explicitement.

---

Tu parles de quoi exactement ? Si tu evoques le cas de DES, c'est le contraire : IBM voulait que les S-Box soient generees aleatoirement, et la NSA leur a demande de les fixer. On peut lire un article de B. Schneier la dessus.
Ce que la NSA a demande, c'est de ne pas reveler ce qu'ils avaient trouve concernant la cryptanalyse differentielle. Cela a pu retarder les recherches en analyse cryptographique, mais c'est tout.

Citation:

---

Envoyé par gangsoleil

Tu parles de quoi exactement ? Si tu evoques le cas de DES, c'est le contraire : IBM voulait que les S-Box soient generees aleatoirement, et la NSA leur a demande de les fixer. On peut lire un article de B. Schneier la dessus.
Ce que la NSA a demande, c'est de ne pas reveler ce qu'ils avaient trouve concernant la cryptanalyse differentielle. Cela a pu retarder les recherches en analyse cryptographique, mais c'est tout.

---

L'article que tu démontre me montre seulement pour le chiffrement AES, mais pas celles des autres chiffrements.

Après c'est peut être que des rumeurs, voici un des articles qui explique mon propos. Lien

D'ailleurs sur cette article du blog du même auteur. Il citera cette phrase : "We no longer know whom to trust. This is the greatest damage the NSA has done to the Internet, and will be the hardest to fix."

Il n'y a certes pas de preuve tangible sur le sujet. Mais comme un billet de banque, il faut une sacré dose de confiance. Je connais très peu d'entreprise qui peuvent dire non à un gouvernement. Si telle est le cas, il y aurait moins de censure en Chine.