mercredi 24 janvier 2018    || Inscription
BanniereDossier
 
 

Jean-Christophe Monnard, professeur de Physique, propose quelques axes de réflexion pour se protéger des malwares. Radicalement à l´opposé du discours des éditeurs de logiciels, il prêche pour une informatique hétérogène, basée sur une multitude de produits libres pour s´assurer que les attaques feront le moins de dégâts possibles.

Les fournisseurs de solutions commerciales mettent en général en avant la complexité d´une telle approche par le besoin de compétences plus nombreuses et le poids de la maintenance interne d´un tel système. Jean-Christophe Monnard ne s´en inquiète pas et propose une plaidoirie mettant en avant de nombreux arguments en faveur de l´open-source diversifié et hétérogène : transparence, sécurité, indépendance et absence de codes génériques contre l´ensemble des logiciels libres.


Un site modifié

Un informaticien a fait un site Internet. Il souhaite regarder l´aspect de son site sous Internet Explorer. Après avoir démarré son ordinateur sous XP, il examine son site et, surpris, voit apparaître des liens, qu´il n´avait jamais installés, vers une page de publicité pour système de base de donnée propriétaire très connu. Comble d´ironie, notre développeur est un fervent amateur de logiciels libres.

Il relance sa machine sous Linux, et là, le site est de nouveau comme il l´avait écrit ! La version d´Internet Explorer qu´il avait installé sur sa machine était infectée par un code malicieux. Un logiciel anti-spam lui permet de l´éradiquer.

L´infection était bénigne. Il s´agissait juste de faire de la publicité. L´infection était évitable en utilisant un autre navigateur, même en conservant le système d´exploitation de Microsoft : par exemple, en utilisant Firefox.

Un réseau scolaire

Dans un collège où deux ordinateurs neufs viennent d´être installés avec Windows XP, les enseignants surfent sur Internet avec Internet Explorer. Le responsable informatique, un simple enseignant bénévole, venait d´installer un antivirus, et ces ordinateurs sont connectés à Internet par le réseau de l´établissement, comportant un pare-feu. Pour gérer les notes des élèves, un logiciel spécial a été acheté. Malheureusement, celui ci ne gère pas les droits administrateur. Toutes les machines sont donc en mode administrateur1. Toute personne, mais aussi tout programme a accès à toutes les ressources de la machine. Cette pratique va à l´encontre de toute sécurité.

Par ailleurs, ce logiciel de note contient en clair toutes les adresses personnelles des élèves. Et, après quelques jours de fonctionnement, virus et spywares apparaissent malgré des mises à jours réguliers de l´antivirus. Certains d´entre eux ouvrent des ports, des portes dérobées (backdoors), mettant « à nu » les deux machines sous XP, mais aussi une partie du réseau administratif.
On se retrouve devant un cas fréquent d´absence de véritable responsable de la sécurité, et de choix de logiciels sans souci de sécurité. Les données personnelles sont susceptibles d´êtres envoyées à l´extérieur. Par la suite les infections deviennent fréquentes, le système étant manifestement repéré et fragilisé.

Quelles leçons en déduire ?

Les logiciels malveillants doivent être légers tout en contenant les fonctions ftp et smtp ou des mécanismes équivalents. Ils ne peuvent donc contenir de multiples autres fonctions pour s´adapter à des configurations différentes, et encore moins à des systèmes différents.

On distingue deux types de spywares : le « sur mesure » et le « prêt à porter ».

Le « sur mesure » est spécialement conçu pour un système donné, il est probablement réalisé par un professionnel.

Le « prêt à porter » est fait pour la grande diffusion. Il infecte l´ordinateur de « Monsieur ou Madame tout le monde », pour voler des informations à des fins commerciales, voire changer le comportement du navigateur. Un réseau d´entreprise peut néanmoins en être affecté. Malgré le déploiement d´outils de sécurité, pare-feu, antivirus, etc., le risque de contamination par un ordinateur personnel, ou une clé USB, n´est pas nul. Sans oublier aussi les installations de logiciels suspects réalisées de façon plus où moins anarchique.

Par souci de légèreté, les spywares sont donc généralement adaptés au trinôme MS Windows, Internet Explorer et Outlook. Les failles de ce trinôme sont bien connues. Et si des correctifs sont été publiés, ils ne sont pas systématiquement appliqués.

Ne pas mettre tous ses ?ufs dans un même panier

Pour rendre les installations intrinsèquement moins fragiles aux codes malveillants, les logiciels de protection et de décontamination sont utiles, mais peuvent aussi êtres contournés. Ils peuvent laisser passer des codes malveillants ou devenir à leur tour source d´infection. Un premier principe est donc de profiter de la "techno-diversité" qui nous est offerte actuellement. Il existe d´autres systèmes que Windows, d´autres navigateurs que Internet Explorer, etc.

Un code malveillant conçu pour la configuration la plus répandue ne fonctionnera pas sur une autre architecture. On peut donc varier sa population d´OS et d´applications, et au passage éviter d´avoir les logiciels les moins résistants.

Plusieurs distributions de GNU/linux sont actuellement mûres pour les applications bureautique, et l´échange de données. Mandriva (ex-Mandrake), Novell-Suse, ou Ubuntu sont aussi faciles à installer et à configurer que Windows.

Bien sûr, un administrateur réseau cherchera à mettre des configurations similaires sur tous ses postes pour se faciliter la tâche, et ne pas dérouter ses utilisateurs. Il craindra aussi la difficulté d´apprendre à exploiter plusieurs systèmes. Mais les désinfections, les réinstallations des postes compromis génèrent également une perte importante de temps. Les pertes de données, ou leur compromission ont un coût réel.

L´adaptation d´un système à l´autre est facilitée parce que beaucoup de notions sont communes à tous les systèmes. L´apprentissage d´un minimum de GNU / Linux, par exemple, permet de mieux comprendre certains paramétrages de Windows.

La « Techno-diversité »

Aucun système d´exploitation, ni aucune application n´est à l´abri d´une faille de sécurité. Même OpenBSD, Unix libre conçu de manière scrupuleuse, à la limite de la paranoïa, peut avoir une faille.

Un réseau ayant un serveur de courrier sera sous NetBSD, le routeur-par-feu sous OpenBSD, le serveur de fichier sous Mandriva ou Red-Hat, les postes utilisateurs équipés de Mandriva, Suse, Mac OS, et de Windows un peu reconfigurés aurait évidement plus de chances de survivre qu´un système totalement homogène, monoculture.

L´apparition du format de documents standard et les capacités de suites libres, comme Open office et koffice, à gérer les formats de MS-Office permettent l´échange de documents.

Il est conseillé de varier les systèmes et les applications. Les besoins sont d´échanger du courrier électronique, de faire du traitement de texte, pas d´utiliser obligatoirement Outlook, Thunderbird, ou MS-Word, StarOfficewriter.

Ainsi même un éventuel spyware adapté à une distribution de GNU/Linux qui cherchera à extraire le carnet d´adresse de kmail ne saura que faire de celui d´évolution des logiciels de courrier électronique Thunderbird ou Sylpheed.

La formation

Une telle solution est elle difficile à mette en oeuvre par l´administrateur et ses utilisateurs ?

Il ne s´agit pas de tout recoder. Les attaques sont le fruit d´une intelligence humaine, qui profite des défauts d´autres humains, plus que des systèmes. La formation permanente de l´administrateur système comme des usagers est donc la base de la sécurité informatique. Cette formation n´est pas forcément contraignante. Le passage à KDE ou GNOME (interfaces graphiques de linux ou des BSD) n´est pas plus difficile que le passage d´une version de Windows à une autre. Beaucoup d´informations sont disponibles sur le net, dans des livres, etc. De nombreuses entreprises proposent aujourd´hui des formations ou des services de maintenance et de sécurité.
Il est possible de réaliser ces formations en interne. Chaque employé peut avoir une expérience à partager. Les logiciels libres se sont construits sur la mutualisation des ressources. Leur documentation fonctionne encore sur ce principe.

Mises à jours système

La sécurité d´un système et d´un parc de machines tient aux mises à jours. Cette démarche est aussi vraie pour les systèmes libres apparentés aux Unix comme GNU/Linux ou les BSD pour lesquels les utilisateurs n´ont pas de logiciels anti-virus. Il est en effet difficile de :

- obtenir une base complète de signature d´attaques,
- avoir une base à jour des derniers virus,
- ne pas perdre de temps de calcul pour l´examen de chaque fichier,
- maîtriser les coûts.

Il est préférable de se demander pourquoi le virus est passé? Quelle faille a-t-il, éventuellement, utilisé ? Et surtout il est préférable de corriger la faille en question. Cela passe soit par des précautions d´utilisation, de paramétrage, soit par des mises à jours des rustines, ou patches, à appliquer au système.
Cela veut dire se tenir au courant des failles, des vulnérabilités, et des correctifs publiés, sur les forums, les listes, ou les sites des logiciels.

Si le réseau, ou le parc de machine contient trop de systèmes opérationnels différents, de logiciels d´applications différents cela peut être plus difficile. La veille technologique n´est pas facilitée.
Il y a donc un équilibre à trouver entre « techno-diversité » et facilité des mises à jours.
Cet équilibre passe par deux principes simples :

- technodiversité par rapport à l´extérieur. Ne pas faire comme tout le monde au même moment. Ne pas être « esclave de la mode ».
- équilibre intérieur. Il faut trouver un équilibre entre le supplément de travail du à l´usage de plusieurs technologies, et le gain en temps et en sécurité.
Le simple bon sens dit par exemple qu´il faut éviter d´avoir un seul système pour les sauvegardes et le serveur de fichiers. Une bonne échelle est d´avoir 2 ou 3 OS différents, et autant de navigateurs, et de logiciels de courrier puisque c´est souvent par ces logiciels que l´on récupère les codes malveillants.

Exemple 1 :

- Routeur - pare feu en BSD (OpenBSD, NetBSD)
- Serveur de fichiers sous GNU/Linux Debian, une machine pour les sauvegardes sous Mandriva avec un contrat de maintenance pour les mises à jours, et des postes de travail sous macOS ou stations de travail SUN.

Exemple 2 :

- Serveur Red Hat et postes de travail sous Windows, mais équipé de Mozilla, StarOffice et même de l´interface graphique libre personalisable au design de l´entreprise Litestep, plus une machine Bull pour les sauvegardes.

Une politique de transparence
Non seulement les codes sources des logiciels libres sont publiés, mais aussi les failles dès qu´elles sont découvertes. On peut être surpris de ce manque apparent de protection. La publication permet à de nombreux contributeurs de travailler à la correction de la faille. En général, les patches et les mises à jours sont rapidement publiés. Le délai est de 2 à 4 jours. Des solutions de sécurité par paramétrage, ou de contournement, le sont encore plus vite. Le nombre de publications de failles est élevé, mais beaucoup de ces failles ne sont pas facilement exploitables et demandent un savoir faire et des circonstances particulières.
Cacher les failles ne sert pas les utilisateurs honnêtes. Les pirates informatiques ne se soucient des lois que pour les contourner et se communiqueront rapidement entre eux les failles et la manière de les exploiter.
La transparence des logiciels libres permet d´aller aussi vite qu´eux.

Une philosophie différente dans la conception des systèmes

Cette transparence permet de ne pas utiliser une base de registre centralisée et obscure. Chaque logiciel utilise un fichier de configuration en mode texte, explicite, modifiable avec n´importe quel éditeur, si on a les droits pour le faire. Les informations pour modifier, si besoin est, ces fichiers de configuration sont publiques et très souvent traduites en français. On sait donc plus facilement ce que fait la machine, et on est plus à même de la piloter.