Réflexions à partir d’un article sur Ars Technica
Q: What does almost every piece of software with an update mechanism, including every popular operating system, have in common?
A: Secure golden keys, cryptographic single-points-of-failure which can be used to enable total system compromise via targeted malicious software updates.
Mine de rien, la plupart de nos appareils modernes ont un système de mise à jour, souvent automatique. Celui qui détient les clefs peut injecter ce qu’il veut, ou simplement attendre que vous le fassiez vous-même en croyant mettre à jour.
On parle de Google, Samsung, Apple, Nokia, Microsoft et les autres. Des gens parfois recommandables, toujours avec leurs propres intérêts.
On parle aussi des États qui, officiellement ou non, auraient pu avoir accès à ces clefs. Maintenant qu’on connait un peu PRISM et l’étendue des griffes USA, et l’envie de la plupart des pays de les imiter, par la force ou par la loi, ce n’est pas rien.
On parle ensuite de tous les individus qui ont pu avoir accès à ces clefs et les faire fuiter, volontairement ou non.
This problem exists in almost every update system in wide use today. Even my favorite operating system, Debian, has this problem. If you use Debian or a Debian derivative like Ubuntu, you can see how many single points of failure you have in your update authenticity mechanism with this command:
sudo apt-key list | grep pub | wc -l
For the computer I’m writing this on, the answer is nine. When I run the apt-get update command, anyone with any one of those nine keys who is sitting between me and any of the webservers I retrieve updates from could send me malicious software and I will run it as root.
Et si je fais relativement confiance à la PKI de Apple, Google et Microsoft, c’est bien moins vrai pour la plupart des individus isolés derrière les logiciels open source.
Personnellement mon Debian perso fait confiance à 14 clefs, certaines probablement mal sécurisées, d’autres partagées par plusieurs acteurs, et probablement toutes sans le niveau de sécurité d’un Apple face aux incursions des États.
La sécurité c’est définitivement trop compliqué pour le monde réel dès qu’il s’agit de se protéger contre les très gros acteurs.
Je ne suis même pas certain que ces très gros acteurs le puissent entre eux. La France utilise des postes sous Microsoft Windows pour l’armée. Même les postes sous Debian, à ma connaissance la France n’a pas son armée de développeur pour faire une revue de tout le code source et le compiler eux-même (et même là, on tombe sous le problème du compilateur qui a lui-même une porte dérobée qu’il reproduit dans ce qu’il compile, ça s’est déjà vu dans l’histoire). En cas de vrai conflit, nous sommes totalement à genoux.
