Tu crois que distribuer le code source va empecher l'insertion
d'une backdoor ?
Si tu veux faire une backdoor, tu as 2 choix. Soit tu fait un truc générique pour tout le monde, et je pense que oui, certains clients vont voir que le code fait pas la même chose que le binaire. Soit tu fait un rpm pour un client spécifique et tu lui donnes, mais du coup, ça implique de mettre vachement plus de gens au courant ( genre l'équipe QA qui va devoir tester la backdoor, l'équipe support qui va devoir savoir quoi répondre, les gens qui gèrent les miroirs, etc ). Et ils sont pas tous aux USA, loin de la pour des questions évidentes de support 24/7.
Donc le risque est de mettre au courant plein de gens qui sont pas forcément sous ta juridiction ( voir potentiellement des agents ennemis ). Autant dire qu'aucune agence de renseignement ne va prendre ce risque, et on le voit via l'unité qui rajoute les firmwares customs dans les routeurs.
Et il reste donc le fait de demander de rajouter une backdoor générique pour tous. Et la, c'est pareil. Si la NSA demande un patch difficile à justifier à ajouter par une ou deux personnes, ça change rien au fait que tout le monde peut voir, à commencer par les concurrents qui se feront un plaisir de leaker la chose pour pourrir la boite. Ce qui implique donc de griller un agent et/ou une personne, ce qu'ils veulent visiblement éviter.
On noteras aussi que pour le moment, la majorité des méthodes sont soit via les moyens légaux ( ie, des écoutes légales ), soit via du parasitisme ( ie, l'ajout de sonde au niveau réseau ). Il n'y a que des suppositions non fondés sur la présence d'agent dormant, pas le moindre document publié que je sache.
Justement si. Tous les fournisseurs de services sont dans le
même panier, tous les fournisseurs d'OS sont dans le même
panier aussi
Je ne doute pas que ça arrangerais bien Microsoft, surtout vu la nouvelle direction visant à se positionner autrement, et je veux bien laisser le bénéfice du doute à Microsoft. Mais tu peux dire ce que tu veux, le fait de publier le code pour tous change radicalement les choses et complexifie grandement la tache de rajouter une backdoor.
Tout comme le fait d'avoir des signatures sur les rpms pour vérifier la provenance ( car par exemple, je ne pense pas qu'une installation Windows soit vérifiable vis à vis d'une base signé des hashs des fichiers pour voir que personne n'a modifié l'OS avant de le donner ).
[^] # Re: 1994
Posté par Misc (site web personnel) . En réponse au journal TrueCrypt, la fin ?. Évalué à 3.
Si tu veux faire une backdoor, tu as 2 choix. Soit tu fait un truc générique pour tout le monde, et je pense que oui, certains clients vont voir que le code fait pas la même chose que le binaire. Soit tu fait un rpm pour un client spécifique et tu lui donnes, mais du coup, ça implique de mettre vachement plus de gens au courant ( genre l'équipe QA qui va devoir tester la backdoor, l'équipe support qui va devoir savoir quoi répondre, les gens qui gèrent les miroirs, etc ). Et ils sont pas tous aux USA, loin de la pour des questions évidentes de support 24/7.
Donc le risque est de mettre au courant plein de gens qui sont pas forcément sous ta juridiction ( voir potentiellement des agents ennemis ). Autant dire qu'aucune agence de renseignement ne va prendre ce risque, et on le voit via l'unité qui rajoute les firmwares customs dans les routeurs.
Et il reste donc le fait de demander de rajouter une backdoor générique pour tous. Et la, c'est pareil. Si la NSA demande un patch difficile à justifier à ajouter par une ou deux personnes, ça change rien au fait que tout le monde peut voir, à commencer par les concurrents qui se feront un plaisir de leaker la chose pour pourrir la boite. Ce qui implique donc de griller un agent et/ou une personne, ce qu'ils veulent visiblement éviter.
On noteras aussi que pour le moment, la majorité des méthodes sont soit via les moyens légaux ( ie, des écoutes légales ), soit via du parasitisme ( ie, l'ajout de sonde au niveau réseau ). Il n'y a que des suppositions non fondés sur la présence d'agent dormant, pas le moindre document publié que je sache.
Je ne doute pas que ça arrangerais bien Microsoft, surtout vu la nouvelle direction visant à se positionner autrement, et je veux bien laisser le bénéfice du doute à Microsoft. Mais tu peux dire ce que tu veux, le fait de publier le code pour tous change radicalement les choses et complexifie grandement la tache de rajouter une backdoor.
Tout comme le fait d'avoir des signatures sur les rpms pour vérifier la provenance ( car par exemple, je ne pense pas qu'une installation Windows soit vérifiable vis à vis d'une base signé des hashs des fichiers pour voir que personne n'a modifié l'OS avant de le donner ).