Ben dans ce cas la diffèrence est tellement flagrante dans la sécurité des 2 approches que c'est vraiment indéfendable.
Cas Debian (on va assumer qu'ils ont 200 mainteneurs faisant ces builds) :
200 systèmes individuels, dont :
- certains ne sont pas simplement des machines de build mais des systèmes personnels ou plein d'autres softs tournent, genre firefox. Un browser web qui est une énorme surface d'attaque et qui, à part ses nombreuses vulnerabilités, n' pas de défense en profondeur et n'a pas de sandbox.
- Protection réseau ? Probablement pour certains, et pour les autres, dont notamment les systèmes qui servent de workstation personnelle, il n'y a rien à part le iptables standard
- Exposition à des menaces ? Certaines de ces machines se sont probablement promenées sur plein de réseaux diffèrents dans des coffee shops, etc... avec non seulement leur surface réseau exposée, mais ces machines se sont retrouvées en public avec leurs port USB/firewire/bluetooth... exposé en public
- Les mainteneurs de ces machines ne sont pour la plupart pas des experts sécurité et n'ont probablement pas endurci la configuration du système
- 200 mainteneurs diffèrents, on ne sait pas à quelle vitesse ces gens patchent les machines, faut croiser les doigts
Cas Microsoft :
Toutes les machines de build sont des serveurs qui ne font que cela et absolument rien d'autre. Jamais personne n'a lancé un browser web dessus. Il n'y a d'installé et lancé que ce qu'il faut pour générer les builds. La surface d'attaque est incroyablement plus petite qu'une machine personelle.
Les machines sont dans un immeuble sécurisé sur le campus de MS, dans une salle sécurisée. Il faut être employé MS pour avoir accès à l'immeuble, il faut être membre du build team pour entrer dans la pièce, il y a des caméras de sécurité. Impossible d'accéder aux ports USB/Firewire/bluetooth de ces machines, impossible de faire quoi que ce soit à travers leur interface WiFi, ils n'ent ont pas.
Le traffic réseau est filtré pour que seul le traffic nécessaire au démarrage des builds et le stockage des builds/accès lecture seule soit permis. Il n'y a quasiment aucun port ouvert.
Les machines ont une politique de patching stricte évidemment
MS a un département sécurité réseau qui s'occupe de tenir un oeil sur ces machines et sur d'autres machines sensibles. Il y a tout un système d'audit en place.
Cela ne garantit rien évidemment, il n'y a pas de sécurité parfaite. Mais le build centralisé fait proprement, comparé à 200 développeurs sans connaissances sécurité, et sans les moyens pour garder un périmètre isolé souvent, c'est sans comparaison, c'est beaucoup plus sur, et c'est clair.
[^] # Re: Ca veut dire quoi "être prêt pour le desktop" ?
Posté par pasBill pasGates . En réponse au journal ON Y EST ENFIN !. Évalué à 4.
Ben dans ce cas la diffèrence est tellement flagrante dans la sécurité des 2 approches que c'est vraiment indéfendable.
Cas Debian (on va assumer qu'ils ont 200 mainteneurs faisant ces builds) :
200 systèmes individuels, dont :
- certains ne sont pas simplement des machines de build mais des systèmes personnels ou plein d'autres softs tournent, genre firefox. Un browser web qui est une énorme surface d'attaque et qui, à part ses nombreuses vulnerabilités, n' pas de défense en profondeur et n'a pas de sandbox.
- Protection réseau ? Probablement pour certains, et pour les autres, dont notamment les systèmes qui servent de workstation personnelle, il n'y a rien à part le iptables standard
- Exposition à des menaces ? Certaines de ces machines se sont probablement promenées sur plein de réseaux diffèrents dans des coffee shops, etc... avec non seulement leur surface réseau exposée, mais ces machines se sont retrouvées en public avec leurs port USB/firewire/bluetooth... exposé en public
- Les mainteneurs de ces machines ne sont pour la plupart pas des experts sécurité et n'ont probablement pas endurci la configuration du système
- 200 mainteneurs diffèrents, on ne sait pas à quelle vitesse ces gens patchent les machines, faut croiser les doigts
Cas Microsoft :
Toutes les machines de build sont des serveurs qui ne font que cela et absolument rien d'autre. Jamais personne n'a lancé un browser web dessus. Il n'y a d'installé et lancé que ce qu'il faut pour générer les builds. La surface d'attaque est incroyablement plus petite qu'une machine personelle.
Les machines sont dans un immeuble sécurisé sur le campus de MS, dans une salle sécurisée. Il faut être employé MS pour avoir accès à l'immeuble, il faut être membre du build team pour entrer dans la pièce, il y a des caméras de sécurité. Impossible d'accéder aux ports USB/Firewire/bluetooth de ces machines, impossible de faire quoi que ce soit à travers leur interface WiFi, ils n'ent ont pas.
Le traffic réseau est filtré pour que seul le traffic nécessaire au démarrage des builds et le stockage des builds/accès lecture seule soit permis. Il n'y a quasiment aucun port ouvert.
Les machines ont une politique de patching stricte évidemment
MS a un département sécurité réseau qui s'occupe de tenir un oeil sur ces machines et sur d'autres machines sensibles. Il y a tout un système d'audit en place.
Cela ne garantit rien évidemment, il n'y a pas de sécurité parfaite. Mais le build centralisé fait proprement, comparé à 200 développeurs sans connaissances sécurité, et sans les moyens pour garder un périmètre isolé souvent, c'est sans comparaison, c'est beaucoup plus sur, et c'est clair.