URL: https://linuxfr.org/users/patrick_g/journaux/intrusion-sur-les-serveurs-fedorared-hat
Title: Intrusion sur les serveurs Fedora/Red Hat
Authors: patrick_g
Date: 2008年08月23日T11:23:21+02:00
Tags: fedora et lwn
Score: 5
Le 14 août les administrateurs des serveurs de Fedora ont envoyé un message indiquant qu'ils avaient détecté un problème sérieux et qu'ils étaient en cours d'investigation à ce sujet : [http://lwn.net/Articles/294188/](http://lwn.net/Articles/294188/)
Dans l'intervalle ils conseillaient de ne pas télécharger le moindre paquet : "_as a precaution, we recommend you not download or update any additional packages on your Fedora systems_".
Evidemment une telle annonce fait immédiatement penser à un grave problème de sécurité et les utilisateurs de Fedora se sont senti inquiets. L'attente a donc commencé pour avoir des détails sur ce problème.
Le 16 août nouveau mail de Fedora indiquant que les administrateurs étaient toujours au travail et demandant aux utilisateurs de prendre leur mal en patience : [http://lwn.net/Articles/294324/](http://lwn.net/Articles/294324/)
"The Fedora Infrastructure team continues to work on the issues we discovered earlier this week (...) Please be patient as we continue to work the problem".
A partir de là les spéculations les plus folles ont commencé à courir. Si cela prenait autant de temps c'est qu'il s'agissait vraisemblablement d'un souci très grave et le pire était à envisager. L'exaspération a commencé à monter chez certains utilisateurs qui voulaient avoir plus d'informations pour évaluer la vulnérabilité de leurs systèmes. Le fait de savoir qu'une grosse merde à du arriver et de ne pas avoir le moindre détail à ce sujet est particulièrement frustrant.
Le 19 août encore un mail des admins de Fedora : [http://lwn.net/Articles/294547/](http://lwn.net/Articles/294547/)
Toujours pas le moindre détail et le "conseil" de ne pas télécharger de paquets est toujours valable.
Le mail demande à la communauté des utilisateurs d'attendre que tout soit revenu à la normale : "_Please give the infrastructure team the time they need to do this demanding work (...) We know the community is awaiting more detail on the past week's activities and their causes. We're preparing a timeline and details and will make them available in the near future. We appreciate the community's patience, and will continue to post updates to the fedora-announce-list as soon as possible_".
Les commentaires continuent de fuser au sujet de la probable compromission des serveurs. Si les admins mettent autant de temps c'est que la faille doit être importante. Est-ce spécifique à Fedora ou est-ce que les autres distributions sont touchées ? Des paquets trojanés ont-ils été distribués par un pirate ? Peut-être est-ce juste un problème matériel sur les serveurs et pas une brèche de sécurité ? Ou alors une invasion d'extra-terrestres ?
Enfin le 22 août un mail sur la liste de diffusion Fedora-annonce donne les détails et met fin à cette interminable attente : [http://lwn.net/Articles/295134/](http://lwn.net/Articles/295134/)
Une intrusion a bien eu lieu sur les serveurs de Fedora **et aussi sur ceux de Red Hat** !
Le pirate a pu signer des paquets et Red Hat a sorti un bulletin d'alerte de niveau "Critical" : [http://rhn.redhat.com/errata/RHSA-2008-0855.html](http://rhn.redhat.com/errata/RHSA-2008-0855.html)
Dans cette alerte on lit la phrase suivante qui fait froid dans le dos : "_In connection with the incident, the intruder was able to sign a small number of OpenSSH packages_".
Il semble toutefois que ces paquets ont seulement pu être signés mais n'ont pas été distribués aux utilisateurs du canal de distribution officiel Red Hat.
En ce qui concerne Fedora l'un des serveurs compromis contenait la clé de signature des paquets de la distributions mais les investigations n'ont pas pu mettre en évidence de compromission de cette clé de signature : "_we have high confidence that the intruder was not able to capture the passphrase used to secure the Fedora package signing key_".
Par mesure de sécurité la clé a été changée et les paquets ont été vérifiés sans que le moindre cheval de Troie ne soit détecté. Les utilisateurs peuvent maintenant reprendre leurs mises à jour et leurs téléchargements : "_At this time we are confident there is little risk to Fedora users who wish to install or upgrade signed Fedora packages_".
Bien entendu CentOS, qui est basé sur Red Hat, a investigué de son coté : [http://lwn.net/Articles/295221/](http://lwn.net/Articles/295221/)
D'après les administrateurs il n'y a pas eu de problème : "_We can now assure everyone that no compromise has taken place anywhere within the CentOS infrastructure_".
Donc au bilan qu'avons nous ?
1) Une intrusion sur les serveurs de Fedora et Red Hat. C'est horriblement inquiétant et il faut absolument savoir comment cela a pu se produire. Pour l'instant aucune info n'est disponible à ce sujet. Est-ce une erreur humaine ou une faille technique ? Si c'est un bug est-il générique à Linux ou spécifique aux serveurs compromis ?
2) Le pirate a réussi a signer le paquet OpenSSH de Red Hat mais, à priori, il n'a rien pu faire de plus. Ni compromettre le paquet, ni le distribuer. A noter que cette absence de distribution ne vaut que pour le canal officiel Red Hat et pas pour des dépôts tiers. Il faudra là aussi attendre pour avoir plus de détails.
3) La rétention de l'information a été parfaite de la part de Fedora/Red Hat. Aucune info n'a fuité avant l'annonce officielle et les admins de la distribution ont pu enquêter sans qu'il y ait une folie médiatique autour d'eux. La contrepartie étant le bouillonnement des spéculations pendant plus d'une semaine et l'incertitude des utilisateurs sur la sécurité de leurs systèmes.
Au final je pense que cette chaude alerte pourrait être bénéfique dans la mesure ou elle incitera sans doute les distributions Linux à renforcer leurs mesures de sécurité. La facilité d'installation des logiciels sous Linux, du fait de l'existence des dépôts centralisés, à une contrepartie : Les serveurs hébergeant ces dépôts doivent être des forteresses !