{"id":15,"date":"2008-08-30T15:56:22","date_gmt":"2008-08-30T14:56:22","guid":{"rendered":"http:\/\/vdeffontaines.free.fr\/newblog\/?p=15"},"modified":"2008-08-30T16:02:00","modified_gmt":"2008-08-30T15:02:00","slug":"securite-du-modele-de-developpement-des-logiciels-libres-2eme-partie-quelques-attaques","status":"publish","type":"post","link":"https:\/\/blog.gryzor.com\/index.php\/2008\/08\/30\/securite-du-modele-de-developpement-des-logiciels-libres-2eme-partie-quelques-attaques\/","title":{"rendered":"S\u00e9curit\u00e9 du mod\u00e8le de d\u00e9veloppement des Logiciels Libres (2\u00e8me partie : quelques attaques)"},"content":{"rendered":"<p>La plupart des projets d\u00e9velopp\u00e9s en Logiciels Libres s&#8217;appuient sur des communaut\u00e9s de d\u00e9veloppeurs, qui se cr\u00e9ent et \u00e9voluent au fil du temps selon les int\u00e9r\u00eats et talents de chacun. La m\u00e9ritocratie \u00e0 la base de la constitution de ces communaut\u00e9s est-elle bien suffisante pour garantir l&#8217;int\u00e9grit\u00e9 des d\u00e9veloppeurs qui rejoignent un projet ?<\/p>\n<p>Il semble que les projets LL disposent de peu de crit\u00e8res objectifs et stricts pour d\u00e9cider d&#8217;accorder \u00e0 un contributeur des droits d&#8217;\u00e9criture sur tout ou partie du code. Les syst\u00e8me simplement bas\u00e9s sur le vote des membres en place sont attaquables, par exemple par des attaques sociales. Un attaquant peut t\u00e2cher de devenir sympathique aux yeux de quelques membres cl\u00e9s, et cela peut suffire, en manifestant sa pr\u00e9sence sur un salon IRC, et en envoyant les bons patches au bon moment&#8230;<\/p>\n<p>Mettons nous \u00e0 la place de vendeurs de Logiciels propri\u00e9taires\/privatifs, qui n&#8217;ont pour certains eu de cesse ces derniers temps que de d\u00e9crier les Logiciels Libres pour d\u00e9fendre leur bifsteak. Les moyens mis en oeuvre par ces acteurs sont parfois douteux, comme on le voit plus ou moins couramment lors de certaines campagnes de lobbying aupr\u00e8s d&#8217;institutions politiques. Ces vendeurs\/\u00e9diteurs disposent de moyens colossaux, et peuvent vouloir nuire \u00e0 tel ou tel projet, voire vouloir discr\u00e9diter le Logiciel libre dans son ensemble. Si j&#8217;\u00e9tais \u00e0 leur place, je consid\u00e9rerais que payer des &#8220;taupes&#8221; pour infiltrer des projets et y semer du code dormant sur la dur\u00e9e pourrait \u00eatre un moyen relativement efficace de parvenir \u00e0 mes fins.<\/p>\n<p>\u00c0 la place, notamment, des distributions Linux, je me m\u00e9fierais.<\/p>\n<p>Suggestions :<\/p>\n<ul>\n<li>Formaliser un d\u00e9lai minimum et incompressible entre les premiers contacts avec un d\u00e9veloppeur et son admission au titre de commiteur<\/li>\n<li>Formaliser une politique sur le volume de code envoy\u00e9 avant de gagner le moindre droit de commit<\/li>\n<li>Formaliser une proc\u00e9dure de parrainage<\/li>\n<li>Exiger une preuve d&#8217;identit\u00e9 de chaque d\u00e9veloppeur (et pourquoi pas un jour mettre en place une liste noire centralis\u00e9e d&#8217;ind\u00e9sirables ?)<\/li>\n<\/ul>\n<p>Aucun de ces moyens ne suffit \u00e0 garantir l&#8217;int\u00e9grit\u00e9 d&#8217;un d\u00e9veloppeur, mais leur application conjointe pourrait ralentir consid\u00e9rablement les agissements d&#8217;un attaquant.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>La plupart des projets d\u00e9velopp\u00e9s en Logiciels Libres s&#8217;appuient sur des communaut\u00e9s de d\u00e9veloppeurs, qui se cr\u00e9ent et \u00e9voluent au fil du temps selon les int\u00e9r\u00eats et talents de chacun. La m\u00e9ritocratie \u00e0 la base de la constitution de ces communaut\u00e9s est-elle bien suffisante pour garantir l&#8217;int\u00e9grit\u00e9 des d\u00e9veloppeurs qui rejoignent un projet ? Il [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[3],"tags":[],"_links":{"self":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts\/15"}],"collection":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/comments?post=15"}],"version-history":[{"count":5,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts\/15\/revisions"}],"predecessor-version":[{"id":19,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/posts\/15\/revisions\/19"}],"wp:attachment":[{"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/media?parent=15"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/categories?post=15"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.gryzor.com\/index.php\/wp-json\/wp\/v2\/tags?post=15"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}