URL: https://linuxfr.org/news/linux-mint-a-ete-compromise Title: Linux Mint a été compromise Authors: Jehan Benoît Sibaud, M5oul, palm123, BAud, Xavier Teyssier, xunfr et tuiu pol Date: 2016年02月29日T23:23:14+01:00 License: CC By-SA Tags: bruce_schneier, meltdown, linux_mint, firefox et lwn Score: 66 **Message d'intérêt général** : les serveurs de la distribution Linux Mint ont été compromis. * Des images ISO ([images disque](https://fr.wikipedia.org/wiki/ISO_9660#Image_de_disque) utilisées pour l'installation) de [**Linux Mint Cinammon 17.3** ont été remplacées et contenaient une porte dérobée](http://blog.linuxmint.com/?p=2994). À priori cela n'affecte que des images ISO téléchargées les 20 et 21 février 2016. Néanmoins **vous êtes invités à la plus grande prudence si vous utilisez Linux Mint et l'avez installée dernièrement**. * Le [forum a également été compromis](http://blog.linuxmint.com/?p=3001) et la base de données copiée par les attaquants, entre autres avec les adresses de courriel, mots de passes hachés et d'autres informations personnelles. Cette base de données aurait fuité depuis au moins le début de l'année 2016. Il convient d'être très prudent car une ou plusieurs attaques ont donc été jouées sur plusieurs mois, et même si les images ISO vérolées semblent ne l'avoir été que sur deux jours, il est conseillé de : * désinstaller/réinstaller Linux Mint si vous venez de l'installer ; * dans tous les cas de changer vos mots de passe, non seulement sur les forums Linux Mint mais aussi sur tout autre service où vous auriez pu utiliser le même mot de passe ; * Et dans ce genre de situation, il vaut mieux être le plus inclusif possible : si vous avez utilisé d'autres services Mint, il est préférable de considérer vos mots de passe là-bas aussi comme potentiellement compromis. Vous êtes invité à lire la seconde partie de la dépêche pour des informations plus détaillées. ---- [Journal sur LinuxFr au sujet des images ISO compromises](http://linuxfr.org/users/valeryan_24/journaux/attention-si-vous-avez-telecharge-l-iso-linux-mint-17-3-sur-leur-site-depuis-le-20-02) [Journal sur LinuxFr au sujet du forum compromis](http://linuxfr.org/users/scoubidou--2/journaux/piratage-du-forum-de-linux-mint) [Annonce officielle au sujet des images ISO compromises](http://blog.linuxmint.com/?p=2994) [Annonce officielle au sujet du forum compromis](http://blog.linuxmint.com/?p=3001) [Journal officiel sur les premiers changements relatifs à la sécurité de Linux Mint suite à l'attaque](http://blog.linuxmint.com/?p=3007) ---- # Données privées (dont mots de passe) compromis # ## Infos techniques ## D'après un [commentaire du mainteneur et chef de projet](http://blog.linuxmint.com/?p=3001#comment-125715), Clément Lefebvre, les données compromises incluent les adresses de courriel, dates de naissance, les empreintes des mots de passe, dernières IP utilisées par chaque utilisateur avant copie(s), et toute l'activité — potentiellement privée comme des messages privés ou des fils de discussion privés — ou informations de profils, que les utilisateurs ont eu sur le forum, le tout attaché à des pseudonymes d'utilisateur que vous réutilisez peut-être ailleurs. Les informations ont été mises à la vente le 20 février 2016 pour seulement 0,191 bitcoin (~85$): ![Donnée Mint à la vente](http://i1-news.softpedia-static.com/images/news2/linux-mint-website-hack-a-timeline-of-events-500719-2.jpg) La vente inclut la base de données du forum, ainsi que le `shell` et `phpmailer`, bien que je ne sois absolument pas sûr de ce que sont ces deux derniers éléments (peut-être les logs du shell, ainsi que de phpmailer, ce qui donnerait — potentiellement — une liste supplémentaire d'adresses de courriel ?). Néanmoins quelqu'un avait déjà [remarqué le 16 janvier 2016](https://twitter.com/ChunkrGames/status/688346150622081024), plus d'un mois auparavant, que plusieurs bases de données de Mint étaient déjà en vente sur d'autres forums, depuis au moins le 2 janvier 2016: ![Données Mint à la vente 2](https://pbs.twimg.com/media/CY1_LQ9WMAAtIz6.png:large) Cela laisse à penser que cette attaque a en fait duré bien plus longtemps que deux jours. Ou alors, il y a eu plusieurs attaques de plusieurs origines au fil des mois mais seule la dernière a été découverte. ### Les discussions privées le sont-elles vraiment? ### Une première information sensible sont les messages ou discussions privés si jamais vous les avez utilisés pour divulguer des informations que vous ne voulez surtout pas voir se répandre. Un bon rappel sur le fait que quoi que vous diffusiez, même en privé a priori, il y a toujours un risque. Il ne faut donc jamais se laisser avoir au "discours marketing", même de grosses sociétés, qui vous assurent que toute discussion privée le restera à jamais. La réalité, bien plus technique et froide, rattrape souvent ces mensonges. De nombreux utilisateurs de services de rencontre (sujet très sensible pour certains) en ont d'ailleurs fait les frais au cours des années. Il ne faut enfin jamais oublier que même sans compromission, les [administrateurs de site ont accès à toutes vos données privées](http://www.businessinsider.com/google-engineer-stalked-teens-spied-on-chats-2010-9). La réalité informatique est même que beaucoup d'entreprises ne prennent pas la sécurité des données suffisamment au sérieux et les données sont souvent accessibles à n'importe quel technicien, développeur, voire employé un peu zélé. Ne vous croyez jamais seul sur Internet! ### Autres données privées ### Un autre type de données privées qui ont pu passer inaperçues sont les données de profil, ou votre date de naissance (9% des utilisateurs avaient rempli cette information). Bien sûr, pour beaucoup cela est considéré comme une donnée publique. Et vous avez bien raison! Mais il se trouve que beaucoup de services semblent considérer des données aussi absurdes que les dates de naissance, votre adresse, votre ancienne école, ou le nom de votre chien comme des données hautement sensibles! En effet, qui n'a jamais rempli les fameuses "questions sécurité", avec de tels exemples tous plus ridicules les uns que les autres? Ce sont malheureusement des informations que beaucoup mettent pourtant maintenant sur la page principale de leur blog ou page de réseau social! Alors pour ceux qui avaient un compte, demandez-vous si vous n'avez pas utilisé ces infos comme réponse secrète sur un autre service, permettant aux attaquants de gagner l'accès à votre compte sans même avoir besoin du mot de passe. ### Mots de passe ### Les empreintes par [fonction de hachage](https://fr.wikipedia.org/wiki/Fonction_de_hachage) des mots de passe (et non pas un chiffrage comme annoncé initialement) sont donc dans la nature. Le hachage est une fonction à sens unique; il n'y a pas de clé pour trouver le mot de passe originel à partie de l'empreinte. Cependant il est possible de trouver les mots de passe par force brute, de façon extrêmement simple, coûteuse uniquement en temps. Il s'agit de simplement hacher des suites de texte semi-aléatoirement jusqu'à trouver des correspondances (création d'une [table de hachage](https://fr.wikipedia.org/wiki/Table_de_hachage)). Les mots de passe les plus vulnérables sont donc : les termes des dictionnaires (on peut être sûr qu'ils seront trouvés), les mots de passe "courants" (même s'ils ne sont pas dans un dictionnaire "normal"), et les mots de passe courts. Cela ne signifie absolument pas que les mots de passe longs qui ne sont pas dans un dictionnaire sont saufs. Avec suffisamment de temps, n'importe quel mot de passe est vulnérable. Si vous étiez utilisateur des forums Mint, vous devez considérer votre mot de passe comme compromis et ne plus jamais le réutiliser. Pour les gens friands d'informations encore plus techniques, les empreintes était [salées](https://fr.wikipedia.org/wiki/Salage_%28cryptographie%29), mais les attaquants ont eu accès au sel. Il n'est pas dit explicitement comment, ni où ce sel était sauvegardé. En général, il est sauvegardé dans un fichier texte, c'est à dire accessible seulement par le système de fichier, ce qui en fait une donnée secrète pour un attaquant avec accès seulement à la base de données, rendant la tâche de création d'une table de hachage bien plus difficile (mais pas impossible). Si par contre il avait été aussi sauvé en base, cela le rend beaucoup moins utile pour la sécurité (sauf s'il s'agit d'un sel aléatoire, unique par utilisateur) car un attaquant avec accès à la base a aussi accès au sel. On peut donc supposer que le système de fichier (du forum) a aussi été compromis, c'est-à-dire un accès plus direct au serveur (d'ailleurs le mainteneur parle de *dumps* de base de données sur le serveur, ce qui semble confirmer ce point). La conséquence est que les attaquants ne peuvent probablement pas réutiliser une table de hachage existante et doivent en créer une de zéro. Par contre hormis ce petit contretemps, algorithmiquement, un sel connu n'apporte aucune sécurité et la complexité de cryptanalyse est du niveau d'empreintes hachées sans sel. Enfin — sauf erreur — les administrateurs et développeurs de Linux Mint n'ont jamais donné le nom de l'algorithme de hachage utilisé, malgré des demandes en commentaires. Or certains disent que [phpBB](https://fr.wikipedia.org/wiki/PhpBB) utilise la fonction de hachage [MD5](https://fr.wikipedia.org/wiki/MD5) par défaut, ce qui est loin d'être vraiment rassurant car cet algorithme n'est [plus du tout considéré comme sûr](https://fr.wikipedia.org/wiki/MD5#Cryptanalyse). D'autres notent que phpBB est passé en 2014 à [bcrypt](https://tracker.phpbb.com/browse/PHPBB3-11610), plus sûr (même si ce [n'est jamais suffisant](http://www.hackinsight.org/news,451.html)). Mais rien ne dit que les forums de Linux Mint, qui existaient déjà ont fait la transition (puisqu'ils avaient déjà une base d'utilisateur et les empreintes étant non réversibles, la migration peut être complexe). Donc hormis s'il y a un communiqué clair sur le sujet, il est dur de savoir quel algorithme fut vraiment utilisé. ## Comment réagir à la compromission des mots de passe ## Dans tous les cas, considérant l'ampleur de la compromission (base de données, probablement système de fichier, etc.) qui s'est étendue sur au moins deux services (le site web et le forum) depuis plus de deux mois, il faut considérer le pire. C'est le seul conseil valide dans un cas comme celui-ci. C'est le moment de rappeler l'intérêt d'un minimum de paranoïa dans l'utilisation de l'outil informatique. J'ai trouvé personnellement les annonces de Linux Mint un peu trop "rassurantes". Alors je le redis: qu'importe la force (supposée) de votre mot de passe, considérez le cassé à partir de maintenant et ne le réutilisez plus jamais! Voici quelques conseils : * Allez immédiatement changer vos mots de passe sur tous services Mint que vous pouviez utiliser (pas seulement les forums, il faut être le plus inclusif possible en sécurité). * Allez changer vos mots de passe sur tout autre service (hors Mint) où vous utilisiez les mêmes mots de passe que ceux changés précédemment. * Vérifiez que tout a l'air normal sur ces services tiers et que rien ne paraît "différent" ou louche. Si oui, demandez-vous quels informations auraient pu être récupérées (notamment s'il s'agit d'un compte email) et agissez en conséquence. * Demandez-vous si vos questions de sécurité sur divers services utilisent peut-être des informations personnelles qui ont pu être dérobées. Si tel est le cas, changez les dites questions et réponses ainsi que les mots de passe sur ces services. Les développeurs de Linux Mint conseillent ce service qui contient des listes de d'adresses de courriel compromises: https://haveibeenpwned.com/ 1 Néanmoins sachez que même si vous n'êtes pas dans la liste, cela ne signifie pas pour autant que vous n'avez pas été compromis. (1) *Je n'ai pas entièrement confiance dans un quelconque site web qui me demande mon adresse de courriel. Néanmoins ce site semble être géré par un [développeur sécurité de Microsoft](http://www.troyhunt.com/) avec a priori pignon sur rue. Il a donc l'air raisonnablement de confiance.* ## Quelques règles de base pour vos mots de passe ## Profitons en pour rappeler quelques règles de base pour créer un mot de passe fort, défini ainsi:> Un mot de passe fort est un mot de passe qui n'est pas faible Il est difficile de définir ce terme hormis comme l'opposé de ce qui est aisément découvrable, ce qui évolue en permanence. Voici les spécificités d'un mot de passe faible **à ce jour**: * Un mot de passe **court**: de nos jours, un mot de passe devrait faire au moins 10 caractères. * Un mot du **dictionnaire**: même "_anticonstitutionnellement_", mot français le plus long, est un mot de passe faible. * Un mot **répandu**, même si ce n'est dans aucun dictionnaire. * Un mot avec des **substitutions connues**: remplacer 'o' par '0', ou le son */œ̃/* par '1' sont des astuces bien trop répandues. Donc non 'Tr0ub4dour' n'est pas un bon mot de passe. * Un mot dérivé de vos **informations personnelles**: votre nom, nom de votre chien, date de naissance... * Une **expression connue**. * Un mot qui utilise **un seul type de caractère**: mélangez alphabet, majuscules et minuscules, nombres, et même des ponctuations (points, virgules...) ou autres caractères spéciaux (€$%...). En tous cas, ne prenez surtout pas exemple sur les administrateurs de Linux Mint dont [le mot de passe de la base de données](https://news.ycombinator.com/item?id=11143162) semble avoir été "_upMint_": 6 caractères sans caractère spécial ni nombre, et comprenant le nom du projet! Pour le reste, il existe deux types de mots de passe : ceux dont on se souvient, et les autres. ### Mots de passe dont on se souvient ### Les mots de passe les plus communs. Ils ont cependant un double problème : * S'il n'est sauvé nulle part, alors il y a risque de l'oublier (surtout si on ne l'utilise pas souvent). * Si on s'en souvient facilement, c'est peut-être qu'il est faible. Ce second problème n'est pas forcément vrai. Il existe des moyens mnémotechniques pour se souvenir de mots de passes forts. Par exemple, un exemple classique est d'utiliser une phrase entière: `Vas-tuchezmonp0teM4xime?`. Notez que je mélange certains des concepts faibles (utilisation de substitutions...), et que je ne me complique même pas énormément avec les positions des majuscules et ponctuation. C'est toutefois un mot de passe plutôt fort, long avec plusieurs types de caractères et dont on se souvient bien. Par contre, n'utilisez pas de phrases connus. Par exemple, ceci n'est pas bon: `Iwillbeb4ck!` (réplique de Terminator) À ce sujet, riez un coup avec la fameuse BD [XKCD](https://xkcd.com/936/) (vous reconnaîtrez l'exemple du troubadour). ### Mots de passe dont on ne se souvient pas ### Il existe une autre manière de gérer les mots de passe, de plus en plus courante dans notre société numérique qui requiert de plus en plus de mots de passe : la génération automatique de mots de passe (par exemple un plugin dans le navigateur qui génère des suites de caractères aléatoires). Bien sûr, cela est rarement dans un but de mémorisation et la plupart des gens vont donc utiliser en plus un logiciel de portefeuille de mots de passe pour les mémoriser, comme [[GNOME_Keyring]] ou [KWallet](https://en.wikipedia.org/wiki/KWallet) sous les bureaux libres respectifs GNOME et KDE. Certains experts en sécurité vous conseillent même de les [écrire sur des bouts de papier](https://www.schneier.com/blog/archives/2005/06/write_down_your.html) (un carnet toujours dans votre poche par exemple). Bien que cela puisse paraître farfelu, le fait est qu'il est toujours bon de séparer vos données sur plusieurs supports: le jour où votre ordinateur se fait compromettre, au moins vous n'aviez pas tout vos mots de passe (même chiffrés, le risque existe) dessus. À l'opposé, il est plutôt rare que quelqu'un vous vole un carnet de notes et s'amuse à comprendre les gribouillis que vous y avez faits! Même si on vole votre sac, on va plutôt s'emparer des billets dans le portefeuille à côté et jeter le carnet. ### Ne pas réutilisez vos mots de passe ### Enfin un conseil important s'il en est: quel que soit la force de vos mots de passe, ne pas les réutiliser!> 1 mot de passe == 1 service. Car le jour où ce dernier est déchiffré, qu'importe sa force, les attaquants peuvent simplement le réessayer sur de multiples services connus, en association avec votre login ou votre email. Cela est d'autant plus vrai pour les services importants, comme votre compte en banque, mais même votre email. Votre compte sur un réseau social est aussi un compte majeur si vous l'utilisez pour vous connecter sur d'autres sites. ### Soyez original ### Vous remarquerez que XKCD proposait une méthode différente de la mienne car mes phrases ont un sens. Je ne pense pas que cela fragilise les mots de passe tant que ce ne sont pas des phrases connues (une méthode avancée de force brute essayera des combinaisons de mots, mais je doute qu'on y ajouterait du traitement grammatical, car cela a aussi un coût non négligeable) et je trouve ces mots plus simples à mémoriser. Au final il vaut mieux ne pas avoir tous le même algorithme personnel de création de mots de passe forts, tout simplement car le jour où cela arriverait, ces mots de passe ne seraient plus forts. Il convient donc d'adapter et de trouver votre propre technique pour créer vos mots de passe longs et complexes. # Installation compromise # ## Infos techniques ## Par une faille de Wordpress, les attaquants ont eu accès au serveur, et ont escaladé les privilèges jusqu'à avoir contrôle de l'utilisateur `www-data`. Cela leur a permis de modifier les pages HTML pour le téléchargement, et en particulier de changer les liens sur le site officiel pour pointer à la place vers des images ISO vérolées hébergées à l'IP `5.104.175.212`, mais aussi les empreintes `MD5` de vérification d'intégrité. Quand vous installiez la distribution avec ces ISO, vous mettiez en place une porte dérobée dans votre système qui se connectait à l'URL `absentvodka.com`, située ~~en Bulgarie~~ [au Belize](http://blog.linuxmint.com/?p=2994#comment-125011) (tout comme l'IP). Certains serveurs miroirs ont apparemment aussi [diffusé l'ISO](http://blog.linuxmint.com/?p=2994#comment-124899), ce qui paraît étrange. Habituellement un serveur miroir devrait se synchroniser avec un serveur upstream (en général avec `rsync`) et n'aurait pas dû être infecté par une page HTML pointant sur la mauvaise adresse. Cette porte dérobée prend la forme d'un fichier `/var/lib/man.cy` (dont le contenu a été [copié sur le web](https://gist.github.com/Oweoqi/31239851e5b84dbba894), bien que je n'ai pas réussi à vérifier la véracité de l'origine), qui serait un malware connu sous les noms de [kaiten](https://packetstormsecurity.com/files/25575/kaiten.c.html) ou [tsunami](http://blog.malwaremustdie.org/2013/05/story-of-unix-trojan-tsunami-ircbot-w.html) et utiliserait une méthode d'auto-compilation sur les machines des victimes. Ce malware se connecte sur un canal IRC (ici le canal `#mint` sur le serveur `updates.absentvodka.com`), rejoignant ainsi un botnet, transformant l'ordinateur de la victime en zombie attendant silencieusement des ordres. Le but principal serait de pouvoir utiliser le botnet pour effectuer des [[DDOS]] d'envergure sur commande, mais la lecture du code montre que cela permet aussi de lancer des téléchargements sur les ordinateurs zombies, et surtout d'exécuter des commandes shell quelconques. Il s'agit donc bien d'un accès shell sur l'ensemble du botnet. Plusieurs sites ont étayé les informations, dont [Softpedia](http://news.softpedia.com/news/linux-mint-website-hack-a-timeline-of-events-500719.shtml), mais surtout [ZDNet](http://www.zdnet.com/article/hacker-hundreds-were-tricked-into-installing-linux-mint-backdoor/) qui aurait été en contact avec l'attaquant (pseudonyme "Peace", assez ironiquement). Celui-ci aurait affirmé avoir plusieurs centaines d'installations Mint dans son botnet et avoir 2 copies de la base (28 janvier et 18 février, ce qui confirmerait que l'attaque ait été en cours depuis un mois, mais indiquerait que les ventes précédentes de la base de données auraient été faites par d'autres attaquants). Apparemment l'attaquant avait bien découvert une faille sur le site web, et se trouvait être déjà en possession d'un accès en temps qu'admin sur le site web. A priori rien n'indique si d'autres portes dérobées auraient pu être introduites dans cet ISO vérolé. `Tsunami` pourrait n'avoir été que la partie visible de l'iceberg qui cache d'autres portes. Je n'ai pas vu cependant d'information filtrer sur la découverte d'aucune autre porte d'accès. ## Vérifier si on a été compromis ## Il est conseillé de: - Couper internet sur la machine. - Vérifier le nom de domaine du téléchargement (Firefox montre cette info dans la fenêtre de téléchargement). Si c'est `5.104.175.212`, vous êtes compromis. - Vérifier l'ISO avec laquelle on a installé (si on l'a encore). Son empreinte MD5 doit correspondre à l'une de [celles-ci](http://blog.linuxmint.com/?p=2994):> 6e7f7e03500747c6c3bfece2c9c8394f linuxmint-17.3-cinnamon-32bit.iso> e71a2aad8b58605e906dbea444dc4983 linuxmint-17.3-cinnamon-64bit.iso> 30fef1aa1134c5f3778c77c4417f7238 linuxmint-17.3-cinnamon-nocodecs-32bit.iso> 3406350a87c201cdca0927b1bc7c2ccd linuxmint-17.3-cinnamon-nocodecs-64bit.iso> df38af96e99726bb0a1ef3e5cd47563d linuxmint-17.3-cinnamon-oem-64bit.iso En particulier, vous ne devez pas obtenir l'[empreinte présente sur le commentaire en lien](http://blog.linuxmint.com/?p=2994#comment-126402) (je ne la copie pas pour éviter qu'un lecteur inattentif croit qu'il s'agit d'une empreinte valide). - Vérifier l'existence de `/var/lib/man.cy` (*note*: certains s'inquiètent de `/var/lib/man-db` , mais ce fichier [n'est pas un problème](http://blog.linuxmint.com/?p=2994#comment-125984)). - Vérifier les connexions sortantes (en rétablissant internet). Il est à noter que l'existence ou absence de `/var/lib/man.cy` n'est pas suffisant comme information. Les commentaires sur le site linuxmint sont clairs dessus et surtout le malware *Tsunami* a une commande pour s'auto-supprimer afin d'effacer toute trace, ce qui ne signifie pas qu'il n'aurait pas au préalable exécuté d'autres commandes pour se préparer des portes dérobées alternatives (ou simplement s'il n'y avait pas une autre porte dérobée non découverte, depuis le début). Mon conseil est de ne pas se poser trop de question et de simplement supprimer Linux Mint si vous l'avez installé récemment, pour le réinstaller (ou quelque chose d'autre). Il vaut mieux n'avoir aucun doute. Le mainteneur semble avoir [le même conseil que moi](http://blog.linuxmint.com/?p=2994#comment-125106). ## Que faire ensuite ? * Si vous trouvez le fichier `/var/lib/man.cy`, sauvez vos données et désinstallez Linux Mint. * Si vous avez installé *récemment*, sauvez vos données et désinstallez Linux Mint. Pour les développeurs de Linux Mint, la définition de "récemment" semble tabler autour du 20 février 2016 (on sait de source sûre que les ISO ont été à nouveau compromises le 21, même s'il n'y a pas eu d'annonce officielle, hormis un [commentaire perdu sous l'annonce](http://blog.linuxmint.com/?p=2994#comment-124881), laquelle ne donne toujours que le 20 comme date), mais considérant la compromission sur au moins 2 mois du forum, et le manque d'information, je serais bien plus paranoïaque et donnerait une marge de 3 mois au moins, juste pour être sûr. Il y a pu y avoir d'autres compromissions plus subtiles qui n'ont pas encore été découvertes. Dans le doute: désinstallez et réinstallez avec une distribution fraiche de Linux Mint, voire une autre distribution. ## Dans le futur ? * Toujours vérifier au minimum les empreintes des ISO téléchargées. Bien sûr, ce n'est pas suffisant, et ce cas en est la preuve car l'attaquant avait aussi modifié ces empreintes sur le site web. Cela n'aurait donc servi à rien sur cette attaque. Mais cela peut servir lors d'une attaque où par exemple le serveur de téléchargement est compromis, mais pas le site web. * Utilisez https sur la page de téléchargement si disponible et vérifiez le nom de domaine. Refusez un téléchargement sur une page https si une alerte du navigateur intervient. Si vous téléchargez Linux Mint, et que le nom de domaine est autre chose que `linuxmint.com` ou `*.linuxmint.com`, fuyez. Par exemple sur ce coup, le nom de domaine était une adresse IP, ce qui aurait dû mettre la puce à l'oreille à tout le monde. Il n'y avait aucune raison pour le projet Mint de ne pas utiliser leur nom de domaine. * Il y a peu de solutions à ce type de problème à l'heure actuelle en fait en tant qu'utilisateur (en tant que développeurs, il y a beaucoup plus). Il convient néanmoins de rester conscient de sa vulnérabilité et de réagir si des évènements louches se produisent. Par exemple si vous constatez des connexions étranges sortantes de votre machine, ou des processus qui prennent beaucoup de mémoire ou de processeur. Il ne faut jamais hésiter à ouvrir des rapports de bugs pour relever des comportements anormaux. * Tenez-vous au courant si possible des nouvelles de votre distribution ou logiciel. Ici des dizaines voire centaines de personnes n'ont probablement toujours pas entendu parler de cette attaque et restent compromis. * Installez les mises-à-jour. Linux Mint a ainsi rapidement [mis en ligne une mise-à-jour](http://blog.linuxmint.com/?p=2994#comment-125950) pour prévenir les utilisateurs et tenter de détecter la présence du malware. Bien sûr, ce conseil peut être à double tranchant. Si l'attaquant avait modifié la source des paquets de la distribution, il pourrait générer de fausses mises-à-jour à installer sur les ordinateurs cible. Cela ne semble heureusement pas avoir été le cas sur ces attaques. # Oh mon dieu ! C’est vraiment une preuve de la faiblesse du Libre ! ## Cela arrive tout le temps, même chez les gros services propriétaires Après toute la paranoïa, je pense qu'il convient de remettre certaines pendules à l'heure. Oui, les développeurs et administrateurs de Mint n'ont pas été très bons sur ce coup. Y a clairement eu faille sur faille et manque de clairvoyance. Cependant, ce type d'attaques arrive tout le temps, et à de très gros services propriétaires également. Le site "*have i been pwned?*" donne une [liste de sites](https://haveibeenpwned.com/PwnedWebsites) dont des fuites de données ont été divulguées (beaucoup de sites ne sont peut-être pas dans cette liste, mais cela ne signifie pas qu'ils n'ont jamais subi la même chose. Le pire peut être caché). Les plus gros services fuités sont essentiellement des services purement propriétaires, et la plus grosse compromission connue à ce jour reste celle d'[Adobe en 2013](https://helpx.adobe.com/x-productkb/policy-pricing/customer-alert.html), avec 153 millions de comptes dans la nature, des emails, mots de passes faiblement chiffrés et des "indices" de mots de passe (je crois qu'il s'agit des fameuses questions du type "le nom de votre chien?" ou autre pour récupérer un accès au compte) en clair. Ou encore le site de rencontre [Ashley Madison](http://www.nextinpact.com/news/96497-ashley-madison-mots-passe-navrants-banalite.htm) qui a fait beaucoup parler de lui l'an dernier (notamment car comme il s'agissait d'un site de rencontre spécialisé "extra conjugal" et qu'il y a eu des suicides suite à la révélation des données). ## Vous êtes responsables aussi ## De plus, il convient de rappeler qu'il ne faut jamais faire une confiance aveugle à un étranger qui vous donne des bonbons. Au final, vous êtes toujours responsables de vos actes. Vous choisissez à qui vous faites confiance, et il ne faut s'en prendre qu'à soi-même si vous n'avez pas protégé vos arrières. Ce qu'on a dit plus haut aussi bien pour le choix des mots de passe ou les vérifications de base lors du téléchargement d'un logiciel (ou n'importe quel fichier) est toujours valable, où que ce soit. Il faut toujours faire jouer son cerveau avant d'accepter quelque chose, que ce soit un contrat, un téléchargement ou un message d'alerte. Le but n'est pas de culpabiliser l'utilisateur mais bien de le rendre acteur et responsable. Il est toujours facile d'accuser autrui, mais il ne faut jamais oublier que chacun a sa part de responsabilité. ## La transparence du service ## Linux Mint aurait dû donner plus d'informations selon moi, mais ils ont tout de même fait preuve d'un minimum de transparence qu'on n'aurait sûrement pas dans la plupart des services typiques et propriétaires. En fait la plupart ne feraient même pas d'alertes aux utilisateurs tant que la compromission ne fait pas la une des journaux. Le dernier gros en date, Hashley Madison< en est un bon exemple puisque les représentants du site ont [nié la réussite du *vol* de données](http://www.theguardian.com/technology/2015/jul/21/ashley-madison-customer-service-meltdown-hack-fallout) (voir aussi une [annonce officielle](http://www.prnewswire.com/news-releases/statement-from-avid-life-media-inc-300115394.html)) pour finalement l'[admettre un mois plus tard](http://www.theguardian.com/technology/2015/aug/19/ashley-madisons-hacked-customer-files-posted-online-as-threatened-say-reports). Quant à Adobe, à l'époque, ils avaient essayé de minimiser l'attaque en prétendant que 3 millions de compte avaient fui, quand il s'agissait en fait de [38 millions](http://www.theregister.co.uk/2013/10/30/adobe_data_breach_millions_of_accounts/)... ah non en fait [plus de 150 millions](http://www.theguardian.com/technology/2013/nov/07/adobe-password-leak-can-check). Quand on compare, Linux Mint a réagi en 1 heure pour couper le téléchargement, quelques heures pour publier une alerte par blog post, des réponses multiples en commentaires sous ledit post, et une mise à jour avec une alerte et recherche du malware 2 jours plus tard. Ce n'est pas si mal. Alors oui, ils auraient pu faire mieux au niveau information. J'aurais notamment préféré de nouveaux blog posts ou une édition du post initial avec les informations essentielles supplémentaires (plutôt que chercher dans les commentaires), plus de chiffres et de détails techniques (je ne sais toujours pas quel fut la fonction de hachage utilisée par exemple: MD5, bcrypt, une autre?). Mais ils ont tout de même donné le minimum d'information et fait preuve de rapidité de réaction pour un service qualifiable de transparent et à qui on peut accorder un début de confiance. # Les premières réactions de Mint # Linux Mint a publié le premier mars ses [nouvelles mensuelles](http://blog.linuxmint.com/?p=3007). Bien entendu, les attaques étaient le cœur des nouvelles. Ils annoncent avoir eu le soutien de phpBB, ainsi que d'Automattic (entreprise derrière Wordpress). Ils ont aussi obtenu l'aide d'Avast qui a analysé l'ISO et a produit une analyse, permettant à Linux Mint de créer la mise-à-jour pour contrer le malware, à Avast de faire une mise-à-jour pour leurs propres utilisateurs, et surtout Avast aurait bloqué l'accès au serveur malveillant. Je n'ai malheureusement pas trouvé de lien avec l'analyse détaillée d'Avast ni ne trouve ce que signifie exactement de "bloquer l'accès au serveur". Je doute qu'ils aient fait fermé le serveur en rentrant en contact avec la police locale (ce ne serait pas si rapide et ils n'auraient pas parlé de "bloquer" les accès). Je doute également qu'ils aient pu agir au niveau des DNS. Alors est-ce une sorte de règle pour les utilisateurs d'Avast seulement? Quoi d'autre? En dehors de cela, Linux Mint a annoncé des changements à venir au niveau de la sécurité, mais peu de détails furent données pour savoir desquels il s'agit, hormis: * passer les sites en HTTPS (comme expliqué, cela n'aurait pas changé grand chose à cette attaque précise, mais c'est quand même un bon début), faire des empreintes SHA256 plutôt que MD5 (pareil), ajouter des signatures GPG (cela est mieux mais seulement pour ceux qui comprennent comment marche GPG et ont récupéré les clés publiques de Linux Mint par un moyen sûr, c'est donc limité). * ajouter [Gufw](https://doc.ubuntu-fr.org/gufw) dans les logiciels installés par défaut, qui est une interface graphique au pare-feu UFW. Ceci est probablement une bonne idée d'avoir un pare-feu par défaut, mais sa configuration reste importante, et surtout si un ISO est vérolé, un attaquant pourrait simplement désactiver le dit parefeu. Aucun détail n'est donné sur l'amélioration de sécurité des serveurs, la partie la plus importante en vue de ces attaques, bien que le sujet est abordé. Enfin Linux Mint termine sa revue en remerciant les donateurs et sponsors. # Le mot de la fin # Je conseille personnellement de mettre un peu Mint de côté pour l'instant. Ce n'est pas contre Mint. Je l'ai utilisé moi-même pendant quelques années et ai apprécié l'expérience même si je n'utilise plus depuis déjà plusieurs mois. C'était aussi la distribution que je continuais à conseiller si on me demandait (j'en ai installé un sur l'ordi d'un ami, il y a peut-être 6 mois). Néanmoins le manque d'information et le doute fait que je ne peux affirmer (et j'ai l'impression que personne ne le peut à l'heure actuelle, pas même les admins de leur infrastructure) si tout est rentré en ordre, même à ce jour, ni l'étendue de la compromission ou encore "depuis quand". Il semblerait que cela ait duré depuis plus longtemps qu'ils n'aimeraient l'avouer (cf. les révélations sur la base de données fuitant depuis début 2016), et aussi donc que ce soit plus étendu qu'on ne le croit (cf. leur [trop rapide remise en route des téléchargements](https://lwn.net/Articles/676662/) et la découverte le 21 — soit le lendemain — que les ISO étaient à nouveau corrompues alors qu'ils pensaient avoir réglé le problème). Je ne pense pas que ce soit entièrement leur faute. Ils sont probablement une plus petite équipe que les utilisateurs ne le pensent, et entièrement bénévoles (sauf erreur). En outre, ils ne sont pas experts en sécurité mais développeurs de logiciels, de leurs [propres dires](http://blog.linuxmint.com/?p=2994#comment-125070), et soyons clair, je ne doute pas une seule seconde qu'une telle chose pourrait aussi m'arriver et que je puisse me faire avoir de la même façon (car je ne suis pas expert en sécurité non plus). Ce n'est donc pas une critique, c'est souvent le cas dans le libre; et la réalité est que bien souvent des bénévoles peuvent produire du travail de meilleure qualité que certaines entreprises (comme l'a démontré la liste des sites compromis avec de grosses entreprises en tête). Mais parfois ce n'est pas suffisant. C'est pourquoi il faut se rendre à l'évidence, l'aspect sécurité est une part trop importante pour le système d'exploitation que vous installerez sur votre ordinateur pour votre utilisation quotidienne. Donc s'ils ne sont pas experts en sécurité, je préconise d'attendre que certains joignent l'équipe et viennent sécuriser Linux Mint. Je ne doute pas qu'après cet évènement, ils obtiennent de l'aide sur le sujet (j'ai pu remarquer plusieurs propositions dans les commentaires de leurs posts d'ailleurs). Je pense donc qu'il faut attendre au moins quelques mois et voir comment cela évolue, comment ils réagissent, quels changements ils afficheront, etc. avant de faire à nouveau confiance à, et conseiller, Mint. Dans tous les cas, il faut toujours garder la tête froide et ne jamais oublier qu'au final, le dernier maillon faible ou fort, c'est nous. Cet évènement nous rappelle de toujours tout vérifier et sécuriser ce qu'on peut "de notre côté". Sur ce, je souhaite aux développeurs et admins de Linux Mint une bonne continuation et beaucoup de courage pour tout sécuriser, tout vérifier et enquêter sur les origines du problème, car je sens que ça va être une épreuve longue et loin d'être finie pour eux.

AltStyle によって変換されたページ (->オリジナル) /