Le kernel Linux est-il suffisamment sécurisé ?

Cet article a été publié il y a 15 ans 3 mois 5 jours, il est donc possible qu’il ne soit plus à jour. Les informations proposées sont donc peut-être expirées.

Voici une interview qui va probablement faire grincer de dents les inconditionnels du noyau Linux. Elle est parue aujourd’hui sur le Journal du Net Solutions. Qu’en est-il réellement et que reproche-t-on à Linux ?

Chaouki Bekrar expert en failles de sécurité travaillant pour la société VUPEN Security déclare : « Le plus mauvais élève est incontestablement l’organisation Linux Kernel qui corrige les vulnérabilités du noyau Linux sans en indiquer la criticité ou les conséquences, et sans publier de bulletin dédié. »

Ce n’est pas la première fois que le travail et les choix de Linus Torvald en matière de sécurité sont mises en causes. Selon Wikipédia :

Brad Spengler développeur chez Grsecurity accuse Linux de parfois centrer ses efforts sur les fonctionnalités au détriment de la sécurité. Il prétend que Linus Torvalds lui aurait dit ne pas être intéressé par l’ajout d’options de sécurité utiles pour éviter des débordements de tampon, car cela ralentirait le chargement des applications.

Il reproche l’absence d’une personne chargée officiellement de la sécurité, avec qui il serait possible de communiquer en privé en toute sécurité. À la place la seule solution est d’envoyer un e-mail sur une liste de diffusion relative aux questions de sécurité où les failles découvertes sont parfois utilisées à des fins malveillantes avant qu’une mise à jour de sécurité ne soit diffusée, alors que les usagers de Linux ne sont pas au courant de l’existence de cette faille.

Enfin il remet en cause l’implantation du système LSM depuis la version 2.6 du noyau qui aurait été implanté par laxisme et qui faciliterait l’insertion de rootkits invisibles au sein du système en les faisant passer pour des modules de sécurité, mais cela est devenu impossible depuis la version 2.6.24. D’autres développeurs du noyau reprochent à ce système de consommer des ressources non négligeables et de permettre le détournement de la licence GPL du noyau en y ajoutant des composantes propriétaires.

Qu’en est-il dans les faits ? Difficile de le savoir sans se lancer dans une bataille de chiffres.

Reste l’expérience sur le terrain. Si je me base sur mon expérience personnelle, les risques liés à la sécurité augmentent souvent avec la diffusion du système concerné. On l’a vu avec les premières versions de Firefox qui était peu concernées par des failles de sécurité. Au fur et à mesure de l’augmentation du nombre d’utilisateurs, ces failles sont devenues plus nombreuses car il y avait pour les hacker une nouvelle cible qui valait la peine que l’on s’intéresse à elle.

Linux aujourd’hui est peu diffusé au niveau des postes de travail (malheureusement). J’avoue ne pas avoir eu à ce jour connaissance de quelqu’un dont le poste Linux ait été infesté par un virus ou autre troyen.

Les serveurs exploitant un noyau Linux sont nombreux sur internet. Si Linux était aussi peu sécurisé, il me semble que cette plateforme aurait été abandonnée ou en tout cas serait beaucoup moins présente. Ce n’est pas une preuve dans l’absolue, les problèmes existent.

Mais le plus grand « trou » de sécurité n’est-il pas souvent l’administrateur du serveur et son éventuel manque de vigilance ou de rigueur. Qui plus est, ce n’est pas un problème spécifique à Linux.

Le débat est donc ouvert !