Fondation Gentoo
Un groupe de développeurs Gentoo équipés de médias sociaux a organisé aujourd'hui une session AMA sur Reddit, et ils n'ont pas hésité à répondre à des questions difficiles. Beaucoup d'entre eux étaient liés à des problèmes de sécurité, il convient de noter que Gentoo Linux a déjà la réputation d'être en avance sur les mises à jour de sécurité.
La distribution comprend un calendrier de publication hebdomadaire qui garantit qu'une écrasante majorité d'utilisateurs utilisent des packages à jour à tout moment. Un problème qui a été soulevé était ce qui pourrait arriver si le code source d'un paquet populaire contenait une sorte de cheval de Troie. Les utilisateurs Linux de longue date pourraient se rappeler que le code source du serveur UnrealIRCd contenait une porte dérobée à un moment donné, bien que les développeurs aient corrigé le problème dès qu'ils l'ont détecté.
Puisque Gentoo compile le code source localement selon les préférences de l'utilisateur, il ne serait normalement pas compromis à la suite d'un binaire fissuré. Cependant, il peut y avoir un problème si les paquets sources ont été compromis d'une manière ou d'une autre.
Selon les experts en sécurité de Gentoo, il n’existe que quelques moyens pour que cela se produise. Si le référentiel en amont pour un morceau de code source contenait un cheval de Troie, alors il serait difficile de l'attraper en aval. Ce type de problème de sécurité Linux influencerait de nombreuses distributions et pas seulement Gentoo.
Si un fichier tar était échangé quelque part en bas de la ligne, peu importe si la source en amont était propre. Cependant, utiliser OpenPGP pour signer la version avant qu'elle ne soit ajoutée au référentiel ebuild de Gentoo avec l'inspection des sommes de contrôle permet de s'assurer que cela ne devrait pas être un problème dans la plupart des situations.
Les commentaires de l'AMA ont également aidé à clarifier certaines autres méthodes utilisées pour empêcher ce genre de chose de se produire. Lorsque des push ou des validations sont ajoutés à un référentiel, ils sont signés par les développeurs. En implémentant une zone de staging rsync principale pour épaissir les commits puis les ajouter à un MetaManifest qui est également signé, la rotation des clés est devenue plutôt simple pour les développeurs.
Un accent renouvelé sur les problèmes de sécurité Linux est présent dans presque toutes les distributions majeures, mais il ressort certainement de ces commentaires que Gentoo a fait un effort supplémentaire pour assurer la sécurité de leur implémentation.
Mots clés Sécurité Linux
