Méfions-nous de l’angélisme linuxien

“Ce n’est pas parce qu’un “source” est offert aux yeux de la communauté qu’il en est plus sur pour autant” dit en substance ce livre blanc édité par Green Hills. Ce genre de déclaration n’est pas franchement révolutionnaire, la communauté Linuxienne ou BSDiste étant parfaitement consciente qu’une porte dérobée pourrait se cacher dans n’importe quel source « touffu ». Ce qui change ici, c’est le développement du propos, une somme d’arguments clairement expliqués, une approche détaillée et didactique du problème. Tout y passe, y compris l’outsourcing des logiciels auprès de développeurs « pauvres mais honnêtes » des pays de l’ex bloc de l’Est –l’ombre de la Lubianka flotte toujours au dessus de Moscou-. En quelques mots, le message de Green Hills insiste sur le fait que ce n’est pas parce que les troyens ne pouvaient pas voir Ulysse et ses soldats qu’ils ne se sont pas méfié du cheval, mais parce qu’ils on choisi d’ignorer ce qu’il pouvait y avoir dedans. S’ajoute à ceci le nombre de sources de distribution, autant de « points de vulnérabilité » qui augmentent les risques. « The chance of someone infiltrating a back door into Linux is close to 100% »insistent les auteurs, qui enchaînent, après un légitime passage publicitaire, sur le problème des bugs de conception et de codage« Removing the majority of the bugs by source code inspection is pure fantasy ». Voilà qui est clairement envoyé. Et de citer le papier Ken Thompson que tout bon codeur et dévermineur doit avoir lu au moins 10 fois. Les techniciens de Green Hills sont, c’est incontestable, excessivement partiaux. Mais, sous ce prétexte, ne pas tenir compte de leurs arguments semble tout aussi inconséquent.

Source : les cahiers réseaux