la NSA a dit: Vista est sûr, on ya travaillé :)

Par Olivier, jeudi 11 janvier 2007 à 00:00 :: LinuxFR :: #370 :: rss

Texte initialement publié sur LinuxFR

For the first time, the giant software maker is acknowledging the help of the secretive agency [...] The agency said it has helped in the development of the security of Microsoft's new operating system [...] to protect it from worms, Trojan horses and other insidious computer attackers.

Et une traduction approximative:

Pour la première fois, l'éditeur géant admet avoir bénéficié de l'aide de la discrète agence [...] L'agence a dit qu'elle a aidé dans le développement de la sécurité du nouveau logiciel d'exploitation de Microsoft [...] pour le protéger contre les vers, chevaux de Troie et autres attaques d'ordinateur insidieuses

Je sais pas pour vous, mais je me sens vraiment rassuré ... de ne plus avoir de Windows...

à lire en entier (ça vaut le clic) sur:
http://www.washingtonpost.com/wp-dyn/content/article/2007/01(...)
et merci à:
http://www.reseaux-telecoms.net/actualites/lire-du-code-nsa-(...)
Pour l'info.

Trackbacks

Aucun trackback.

Les trackbacks pour ce billet sont fermés.

Commentaires

1. Le jeudi 11 janvier 2007 à 14:37, par neriki

Ils ont recyclés SELinux?

Si oui, vous croyez qu'on pourra attaquer Microsoft pour violation de GPL? :o)

2. Le jeudi 11 janvier 2007 à 15:28, par marseillais

recherche public

Je vais certainement dire une connerie mais il me semblait que les recherches faites avec des fonds public devaient étre libre d'accés et donc "open-source" dans le cas des logiciels.

Donc si je ne me trompe pas n'importe qu'elle américain devrait pouvoir taper a la porte de chez microsoft et dire :

"bonjour je voudrais voir le travail de la nasa dans votre code source. Vous embétez pas a l'imprimer mettez moi ca sur mon disque dur portable je regarderais a la maison!"

Je suppose donc que je me trompe. Mais ou?

Ensuite pour le journal je vois pas en quoi c'est plus effrayant que d'avoir microsoft tout seul. C'est fermé on sait pas ce qu'il y a dedans dans tout les cas. Donc de toute façon si la NSA voulait des info récupérée par windows vista je pense qu'elle aurait pas besoin d'avoir son propre code mais juste a demander.

3. Le jeudi 11 janvier 2007 à 15:30, par slubman

mmmh

Je sais pas pour vous, mais je me sens vraiment rassuré ... de ne plus avoir de Windows...

La NSA, n'est ce pas cette agence qui est à l'origine de SELinux (qui intégré entre autre à Fedora) ?
Il ne semble pas (à l'heure actuelle) y avoir de soucis (accès cachés) dans ce qu'ils ont publié, pourquoi en serait-il autrement avec Windows ?

4. Le jeudi 11 janvier 2007 à 15:30, par galactikboulay

Re: Ils ont recyclés SELinux?

C'est celui qui a le copyright qui peut attaquer ... ;)

5. Le jeudi 11 janvier 2007 à 15:31, par galactikboulay

Re: mmmh

Parce que le code est fermé et donc pas auditable facilement ?

6. Le jeudi 11 janvier 2007 à 15:39, par marseillais

Re: mmmh

En meme temps quand on voit XV du code peut étre ouvert sans forcément auditable. Et je sais pas toi mais moi je connais personne dans mon entourage qui soit allé regarder le code de SELinux et qui m'ait affirmé qu'il n'y a rien de problématique a l'intérieur.

7. Le jeudi 11 janvier 2007 à 15:53, par Aurélien Bompard

Re: mmmh

> Et je sais pas toi mais moi je connais personne dans mon entourage qui soit allé regarder le code de SELinux et qui m'ait affirmé qu'il n'y a rien de problématique a l'intérieur.

Moi non plus, mais mon entourage est petit, et non-informaticien. Cela dit je suis totalement convaincu que les gens de chez Red Hat au moins on jeté un coup d'oeil dedans, vu qu'ils participent au développement et qu'ils ont basé un gros morceau de la sécurité de leur produit phare dessus.
Je sais qu'il y a des gens assez actifs sur SELinux chez Gentoo, et dans une moindre mesure chez Debian auss (Erich Schubert)

L'ouverture du code fait TOUTE la différence par rapport à ce qui est annoncé dans ce journal. Ce n'est plus une question de "leur fais-je confiance ou pas".

8. Le jeudi 11 janvier 2007 à 16:11, par galactikboulay

Re: mmmh

Peu importe. Au moins tu peux le faire ou trouver quelqu'un qui peut le faire (éventuellement en le payant). La possibilité fait toute la différence.

9. Le jeudi 11 janvier 2007 à 16:11, par z a

Re: mmmh

je ne connais pas l'histoire avec xv, j'ai vu (http://home.swipnet.se/~w-10694/html/xv-readme.html ) qu'on pouvait avoir le source mais qu'il fallait payer pour un usage non-personnel. Il n'est pas libre mais en quoi on n'a pas le droit de l'"auditer" ?

10. Le jeudi 11 janvier 2007 à 16:14, par André Rodier

Voila qui va alimenter la théorie du complot

Peut être que la NSA a intérêt à ce que les autre gouvernements utilisent Windows Vista ?
C'est bien l'un des organismes qui a participé a la mise en place d'Echelon, non ?
Enfin, que va-t-il se passer, lorsque votre PC sous vista va envoyer des données, cryptées bien sur, vers la firme de Redmond, a des seules fins de débogage ?
Microsoft va les renvoyer à la NSA, a des seules fins de sécurité intérieure ?

Echelon : http://fr.wikipedia.org/wiki/Echelon

11. Le jeudi 11 janvier 2007 à 16:24, par alice_liddell

c'est pas neuf

For about four years, Microsoft has tapped the spy agency for security expertise in reviewing its operating systems, including the Windows XP consumer version and the Windows Server 2003 for corporate customers.

12. Le jeudi 11 janvier 2007 à 16:25, par tiot

Re: Voila qui va alimenter la théorie du complot

Pour crypter des rapports de bug ? Non non tu peux faire passer dans une communication client/server pour vérifier les droits d'auteur d'un fichier et dans le même temps envoie d'autres infos croustillantes. Et pour ne pas que méchants pirate la musique on est obligé de crypter...

ENFIN une utilité aux DRM !

13. Le jeudi 11 janvier 2007 à 16:37, par marseillais

Re: mmmh

Euh. Que je clarifie : je suis bien d'accord qu'il est plus sûr d'avoir un code de la NSA ouvert plutôt que fermé. Je n'ai même pas regardé ce code et n'en connais rien. Je me demande juste si un jour quelqu'un s'est déjà penché sur ce code qui doit être plutôt complexe et l'a décortiqué a fond pour dire non il n'y a pas de problèmes de sécurité avec ça.

Sinon pour XV j'ai confondu avec NV le driver Nvidia ou l'on peut lire ici qu'il est libre (on a accès au code) mais qu'il est fait de telle manière a être incompréhensible pour qui que ce soit (nom de variable tordu, aucun commentaire, fonctions emmêlées). Et je me demandais si SELinux avait été codé de cette manière si il n'aurait pas été possible que certaines distrib l'intègre quand même.

14. Le jeudi 11 janvier 2007 à 16:50, par marseillais

Re: mmmh

pour le ici c'est par la : https://linuxfr.org/2006/10/17/21491.html

15. Le jeudi 11 janvier 2007 à 16:58, par Benjamin G. ( Prae )

Re: mmmh

Sauf erreur de ma part, mais à une certaine époque, les patchs SELinux n'avait pas intégré au kernel Linux car des parties semblaient obscures.
C'était lié à des algos non vérifiable.
Après, je connais pas la suite de l'histoire: clean des algos ou bien la coreteam a fermé les yeux ?

16. Le jeudi 11 janvier 2007 à 17:14, par Olivier Guerrier

Re: c'est pas neuf

Ce qui est nouveau, c'est que Microsoft (et la NSA) se soient décidé à communiquer sur ce que beaucoup de gens supposaient depuis plus longtemps que ça. Combien de rumeurs, toutes formellements démenties par Microsoft, ont circulées jusqu'ici ? la plus ancienne qu'une rapide recherche sur le net me donne est celle là: http://www.01net.com/article/96244.html (Microsoft à la solde des services secrets américains ? Un rapport commandé par le ministère français de la Défense fait état de liens entre Microsoft et les renseignements américains) mais il y a peut-être plus ancien.

Après, même si c'était vrai, ils ne diront évidemment jamais que leur collaboration a pour but de créer des backdoors dans Windows. Mais il y a quand même quelque chose qui me choque dans la démarche, c'est un peu comme aller chez le boucher pour lui demander des conseils pour une épicondylite (aka tennis elbow). Même si les bouchers savent mieux que d'autres à quoi ressemblent des tendons...

17. Le jeudi 11 janvier 2007 à 17:49, par cxente

Re: recherche public

> Je suppose donc que je me trompe. Mais ou?

entre autre là : NSA != Nasa
http://fr.wikipedia.org/wiki/National_Security_Agency

18. Le jeudi 11 janvier 2007 à 18:09, par marseillais

Re: recherche public

La NSA/CSS (National Security Agency/Central Security Service, ou Agence de sécurité nationale / Service central de sécurité) sont des organismes gouvernementaux des États-Unis

c'est donc bien gouvernementale et je reste sur mon interrogation.

19. Le jeudi 11 janvier 2007 à 18:28, par briaeros007

Re: recherche public

La NSA est un organisme tout a fait spécifique, et tu ne trouveras trés trés peu de publication de la NSA.
Leur budget suis un trajet spécifique et surtout, ils ont la capacité de déposer à l'upsto (l'office américains des brevets) des brevets...
Non rendu public et n'espirant jamais.
Si une personne arrive à trouver cela par ses propres moyens , alors le brevet est rendu public, et la nsa, a compter de cette date , bénéficie du brevet.

En clair, meme si il y a violation de la gpl, il n'y aura pas violation de la gpl parce que le gouvernement sortira 'défense nationale' ou autre.

20. Le jeudi 11 janvier 2007 à 23:09, par imbolcus

Re: c'est pas neuf

l'analogie la plus drole que j'ai lue sur ce sujet est celle ci :

"c'est comme si une entreprise de pompes funebres participait a la réalisation d'un airbag"
(jromang - commentaire sur cette news pcinpact : http://www.pcinpact.com/actu/news/33900-vista-microsoft-nsa.(...) )

desole -> []

21. Le jeudi 11 janvier 2007 à 23:51, par John Doe

Re: recherche public

de plus l'obligation que tu cites sur l'usage des fonds par une organisation gouvernementale ce serait plutot valable en france.

aux etats-unis cela reste à confirmer.

22. Le jeudi 11 janvier 2007 à 23:52, par pasBill pasGates

Re: c'est pas neuf

Le truc c'est que ca n'a evidemment rien a voir.

La NSA s'occupe entre autres de securite informatique pour le gouvernement.

De la, ils auditent a peu pres tous les OS que le gouvernement utilise : Mac OS X, Solaris, Windows, ... afin d'auditer les parties sensibles histoire de s'assurer que le govt US lui-meme n'est pas en train d'installer un trou beant dans ses systemes informatiques.

Mais personne n'a jamais insinue que la NSA ecrivait du code dans ces OS, ils font la meme chose que le dept de la defense francais fait : ils auditent ce code afin de s'assurer qu'il ne va pas subitement leur exploser entre les pattes, et c'est valide pour MS, Sun, Redhat, Apple, ...

23. Le jeudi 11 janvier 2007 à 23:54, par pasBill pasGates

Re: Voila qui va alimenter la théorie du complot

Il est tellement simple d'intercepter et decrypter tout ce qui sort de la machine si tu es admin que l'idiot a la NSA qui aurait pense a un systeme pareil se ferait virer au bout de 5 minutes.

N'importe quel gouvernement avec qqe informaticiens competents trouvera en moins de 2h quelles sont les infos envoyees, bref c'est une theorie idiote et irrealisable.

24. Le jeudi 11 janvier 2007 à 23:56, par pasBill pasGates

Re: mmmh

Idem avec le code de Windows vu qu'il est accessible a des milliers de gens hors-MS, y compris gouvernements, ecoles, ...

25. Le vendredi 12 janvier 2007 à 00:12, par imbolcus

Re: c'est pas neuf

ouais mais la, ils font un peu plus qu'un simple audit...

26. Le vendredi 12 janvier 2007 à 01:35, par pasBill pasGates

Re: c'est pas neuf

Justement non, ils font un audit + tests de penetration comme sur les autres OS

27. Le vendredi 12 janvier 2007 à 10:26, par briaeros007

Re: Voila qui va alimenter la théorie du complot

AHAHAAH MDR
après expert en marketing , en génie logiciel, etc...
voila pbpg expert en sécurité informatique.

intercepter à l'extrême rigueur (et encore on peut faire en sorte que vu le peu de paquet qui sorte, sur des services habituellement autorisé (sur le réseau : cad adaptation dynamique, et donc que si l'ordi n'est pas connecté au net, il peut essayer de le détecter), qu'a moins de surveiller absolument tous les paquets) tu ne détecte pas facilement ce comportement.
Autant 'décrypter' est totalement irréalisable (bon tu connais pe des machines qui font 2^128 cycles en moins de 2 heures, mais moi non) avec les technologie habituelles.

28. Le vendredi 12 janvier 2007 à 10:41, par tiot

Re: c'est pas neuf

Bah non ce n'est pas un bon exemple.

Si toute une famille meurt dans un accident de voiture, qui pourra payer les obsèques ? Alors qu'avec les airbags tu as des chances d'avoir des survivants.

29. Le vendredi 12 janvier 2007 à 18:01, par :(){ :|:&};:

Re: recherche public

Euh pas vraiment, c'est même plutôt le contraire : on trouve pleins de publications des agences gouvernentales américaines : code source, images (on ne compte plus les featured pictures de wikipedia venant de la nasa ou de l'armée), alors qu'en France ça reste plus rare.

30. Le vendredi 12 janvier 2007 à 18:37, par pasBill pasGates

Re: Voila qui va alimenter la théorie du complot

Si *tu* savais de quoi tu parles plutot que passer pour un idiot juste la maintenant, tu aurais su qu'il suffit d'injecter un thread dans l'appli (tu peux le faire dans le kernel aussi note) qui redirige l'appel d'encryption, resultat tu as les donnees avant qu'elles soient encryptees et tu peux voir ce qu'elles contiennent, c'est tellement simple a faire que c'en est risible.

Quand a savoir ou mettre la redirection, c'est a ca que sert un debugger, suivre le flot des infos jusqu'a trouver la source, c'est pas complexe, ca prend juste un peu de temps.

Une fois que t'as compris ca, tu as compris comment les protections(mal foutues) de jeux sont eliminees d'habitude...

Quand au net et detecter que t'es dessus, tu viens de decouvrir ce a quoi peut servir un honeypot, merci d'avoir joue.

Mais visiblement tu es plus expert que moi, alors que je bosse sur des problemes de securite(patchs toussa...) depuis 7 ans.

31. Le vendredi 12 janvier 2007 à 20:12, par briaeros007

Re: Voila qui va alimenter la théorie du complot

Si *tu* savais de quoi tu parles plutot que passer pour un idiot juste la maintenant, tu aurais su qu'il suffit d'injecter un thread dans l'appli (tu peux le faire dans le kernel aussi note) qui redirige l'appel d'encryption, resultat tu as les donnees avant qu'elles soient encryptees et tu peux voir ce qu'elles contiennent, c'est tellement simple a faire que c'en est risible.
AHAHA.
moi maintenant je suis SUR que tu ne sais pas de quoi tu parle.

Ben tu me le sors ton programme qui permet 'injecter un thread' dans un processus ... qui n'existe pas !
(il n'est pas listé par le systeme vu qu'il est caché par ce dernier).
Tu me le sors l'appel de chiffrement (euh juste comme ca, monsieur pbpg qui sais mieux que tout le monde, encryption ca existe pas, on parle de chiffrement ... mais n'importe qui qui a fait un MINIMUM de sécu le sait) alors que tu ne peux pas savoir où il est.

Ah oui si c'était si simple, je pense que n'importe qui pourrais éviter le chiffrement du hdcp et autres drm, et que tous les experts dans ce domaine, y compris les chercheurs à la pointe de ce domaine, aurais alors aucun probleme pour trouver une faille dans n'importe quel lecteur ... Mais tu dois être sans doute plus fort que tous les experts du monde entier, hein mr pbpg ...

Quand a savoir ou mettre la redirection, c'est a ca que sert un debugger, suivre le flot des infos jusqu'a trouver la source, c'est pas complexe, ca prend juste un peu de temps.
Maintenant je suis aussi SUR que tu n'as jamais débugger.
Et je suis a peu pres sur que tu sais pas ca veux dire quoi 'obfusquer'.

Une fois que t'as compris ca, tu as compris comment les protections(mal foutues) de jeux sont eliminees d'habitude...
Ben sors moi un programme qui annule les protections AACS, HDCP, etc ... pour tous les programmes, si c'est si simple.
Et enleve toutes les protections de windows, alors meme que microsoft assurent aux majors qu'elles sont 'inviolables'.

Quand au net et detecter que t'es dessus, tu viens de decouvrir ce a quoi peut servir un honeypot, merci d'avoir joue.
amha tu as meme pas compris ce que j'ai dis. Mais je t'en veux pas, apres tout j'ai l'habitude que tu me prenne pour un idiot alors que tu es meme pas foutu de comprendre ce que j'ai dit.

Mais visiblement tu es plus expert que moi, alors que je bosse sur des problemes de securite(patchs toussa...) depuis 7 ans.
Je comprend beaucoup mieux pourquoi windows a des problemes de sécurité alors.

32. Le vendredi 12 janvier 2007 à 20:30, par pasBill pasGates

Re: Voila qui va alimenter la théorie du complot

Ben tu me le sors ton programme qui permet 'injecter un thread' dans un processus ... qui n'existe pas !
(il n'est pas listé par le systeme vu qu'il est caché par ce dernier).

Il y en a plein il suffit de chercher, MSR en a un appele detour par exemple

(il n'est pas listé par le systeme vu qu'il est caché par ce dernier).

C'est bien, tu viens de decouvrire l'utilite d'un kernel debugger

Tu me le sors l'appel de chiffrement (euh juste comme ca, monsieur pbpg qui sais mieux que tout le monde, encryption ca existe pas, on parle de chiffrement ... mais n'importe qui qui a fait un MINIMUM de sécu le sait) alors que tu ne peux pas savoir où il est.

Justement que tu peux le savoir vu que tu peux suivre le code depuis la stack reseau vers le haut jusqu'au processus grace au kernel debugger.

Ah oui si c'était si simple, je pense que n'importe qui pourrais éviter le chiffrement du hdcp et autres drm, et que tous les experts dans ce domaine, y compris les chercheurs à la pointe de ce domaine, aurais alors aucun probleme pour trouver une faille dans n'importe quel lecteur ...

Oh mais rassures-toi, tu peux, le probleme c'est qu'il faut connecter un kernel debugger a la machine pour faire ca(ce qui demande une deuxieme machine), c'est comme ca que les developpeurs de drivers comprennent ce que fait leur driver cote kernel, y compris les devs de drivers pour HW DRM.

Mais tu dois être sans doute plus fort que tous les experts du monde entier, hein mr pbpg ...

Non, simplement moi a la difference de toi, je sais :
a) Comment Windows fonctionne
b) Comment debugger un kernel

Ni a) ni b) ne requierent d'etre employe par MS tu remarqueras, tout cela est dispo sur le web, et n'importe quel developpeur de drivers pour Windows decent connait a) et b), toi par contre tu n'y connais fichtrement rien mais tu te permets de parler comme si tu etais un expert

Et je suis a peu pres sur que tu sais pas ca veux dire quoi 'obfusquer'.

Oh je le sais parfaitement, et je sais tout aussi bien que le seul resultat est de ralentir l'avancement, ca ne l'empeche pas.
cf. PatchGuard par exemple.

Ben sors moi un programme qui annule les protections AACS, HDCP, etc ... pour tous les programmes, si c'est si simple.
Et enleve toutes les protections de windows, alors meme que microsoft assurent aux majors qu'elles sont 'inviolables'.

Pas possible vu qu'il faut un kernel debugger et une 2eme machine.

Serieusement, arretes de parler d'un sujet que tu ne connais visiblement pas du tout, tu t'enfonces a vitesse grand V

33. Le vendredi 12 janvier 2007 à 21:22, par briaeros007

Re: Voila qui va alimenter la théorie du complot

Oh mais rassures-toi, tu peux, le probleme c'est qu'il faut connecter un kernel debugger a la machine pour faire ca(ce qui demande une deuxieme machine), c'est comme ca que les developpeurs de drivers comprennent ce que fait leur driver cote kernel, y compris les devs de drivers pour HW DRM

'le probleme c'est que {...} ca demande une deuxieme machine'
Ah oui c'est sur que c'est vraiment un probleme pour eux (les autres experts) ... surtout quand ils ont accés à plusieurs quadriproc, ils vont jamais réussir a trouver deux machines ...
Tiens je me rapelle que dans ma fac, ils avait réussis a trouvé des machines suffisantes pour prouver la faille de sha0 quand elle est sortis . Mais tu as raison, ce genre de personnes sont totalement incapable (que ce soit d'un point de vue physique ou d'expertise) d'essayer de casser les autres algos ou implémentations .

Bref c'est bien ce que je disais, tu essaie de noyer le poisson, tu réponds soit pas du tout , soit complétement à coté de la plaque. Disserte sur un domaine, alors que c'est pas du tout la question, en essayant de descendre ton interlocuteur pour prouver que tu es plus fort que lui.

Bref rien d'interessant, aucune réponse aux questions que j'ai posé.
Par contre de l'insulte ca y vas.
Rien que du tres classique pour toi. Le reste du message ne vaut meme pas que j'en parle.

Ps : oublie pas de délacer tes chaussures, tu vas avoir mal sinon.

34. Le vendredi 12 janvier 2007 à 22:08, par pasBill pasGates

Re: Voila qui va alimenter la théorie du complot

Ah oui c'est sur que c'est vraiment un probleme pour eux (les autres experts) ... surtout quand ils ont accés à plusieurs quadriproc, ils vont jamais réussir a trouver deux machines ...

Tu ne comprends rien ou tu fais expres ? J'ai dit ou que ca serait un probleme pour des experts ? Tes problemes de comprehension du francais refont surface ?

Qq'un qui veut acceder aux donnees decompressees si il le veut reellement, il peut, et sauver les donnees d'un DVD entier de cette maniere, j'oses pas imaginer le temps que ca prendrait vu la vitesse de la connection debugger<->debuggee.

Ta grand-mere par contre, elle ne pourra pas le faire avec un simple soft, et c'est tout le but de la chose.

Bref c'est bien ce que je disais, tu essaie de noyer le poisson, tu réponds soit pas du tout , soit complétement à coté de la plaque. Disserte sur un domaine, alors que c'est pas du tout la question, en essayant de descendre ton interlocuteur pour prouver que tu es plus fort que lui.

Moi je donnes des infos claires et precises sur comment faire les choses, toi tu sors des aneries sans rien y connaitre(impossibilite de rediriger les appels, les trouver, ...), et maintenant que tu le realises, hop tu essaies de te sauver de la discussion, comme c'est original.

La est la difference entre toi et moi.

35. Le vendredi 12 janvier 2007 à 22:58, par Mickaël L

Re: recherche public

Mais comme je pense que ce système avec les brevets ne correspond pas à l'usage international des brevets, un tel brevet ne sera valabla qu'aux etats-unis, non?
Suis-je trop naïf?

Ajouter un commentaire

Les commentaires pour ce billet sont fermés.

Olivier Guerrier