Backdoor du FBI dans OpenBSD.. :-/

Le
Yannix
Salut,

http://www.generation-nt.com/openbsd-fbi-backdoor-actualite-1130421.html

Souvent mis en avant pour son aspect sécurité, le système d'exploitation
OpenBSD embarquerait dans son code des portes dérobées mises en place
sous la houlette du FBI il y a une dizaine d'années.
Des rumeurs ont longtemps été relayées à propos de la présence d'une
backdoor gouvernementale dans le système d'exploitation Windows.
Stupeur, c'est aujourd'hui un système d'exploitation Open Source qui
fait l'objet de tels soupçons, et en l'occurrence OpenBSD loué pour être
un OS très sécurisé avec cryptographie intégrée.

Le créateur du système d'exploitation libre de type UNIX, Theo de Raadt,
a rendu public un e-mail qui lui a adressé Gregory Perry, une vieille
connaissance. Actuellement PDG de la société GoVirtual Education,
Gregory Perry a été auparavant le directeur technique de NETSEC et a
contribué au framework cryptographique d'OpenBSD.

C'est au sein de NETSEC que l'homme a effectué un travail de consultant
pour le compte d'une branche du FBI ( Federal Bureau of Investigations
). Il affirme qu'il y a maintenant dix ans, le FBI a rémunéré des
développeurs afin qu'ils installent des backdoors dans la pile réseau
IPSEC d'OpenBSD. Ces portes dérobées et autres mécanismes auraient pour
but de surveiller le système de chiffrement lors de connexions VPN entre
des sites.

Il avance que c'est pourquoi des personnes proches du FBI sont
aujourd'hui devenues des avocats de l'utilisation d'OpenBSD dans des
environnements virtualisés pour des implémentations VPN. Ces soudaines
révélations paraissent étranges, mais si Gregory Perry a attendu près de
dix ans avant de " passer aux aveux ", c'est parce qu'il précise que
son accord de non-divulgation avec le FBI vient d'expirer.

Theo de Raadt refuse de souscrire à une théorie du complot mais fait
preuve d'une grande transparence en rendant public le message de Gregory
Perry. Il pousse ainsi à un audit du code concerné par les personnes qui
l'utilisent. Un audit qui ne sera pas une mince affaire. Par ailleurs,
il donne l'opportunité aux développeurs OpenBSD cités par Gregory Perry
de se défendre.

Pour Theo de Raadt, même si les backdoors existent, le code de IPSEC a
beaucoup évolué depuis dix ans. Difficile donc selon lui d'évaluer
l'impact des allégations de Gregory Perry. Il souligne néanmoins que la
pile IPSEC était gratuite et qu'une large partie de son code se retrouve
dans beaucoup d'autres projets et produits qu'OpenBSD.


X.
Vidéos High-Tech et Jeu Vidéo
Téléchargements
Vos réponses Page 1 / 3
Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Yannix
Le #23108751
Hé ho !

On ronfle ici ??

Copie pour Mulder et Scully à fr.soc.complots...

X.


Le 03/02/2011 11:21, Yannix a écrit :
Salut,

http://www.generation-nt.com/openbsd-fbi-backdoor-actualite-1130421.html

Souvent mis en avant pour son aspect sécurité, le système d'exploitation
OpenBSD embarquerait dans son code des portes dérobées mises en place
sous la houlette du FBI il y a une dizaine d'années.
Des rumeurs ont longtemps été relayées à propos de la présence d'une
backdoor gouvernementale dans le système d'exploitation Windows.
Stupeur, c'est aujourd'hui un système d'exploitation Open Source qui
fait l'objet de tels soupçons, et en l'occurrence OpenBSD loué pour être
un OS très sécurisé avec cryptographie intégrée.

Le créateur du système d'exploitation libre de type UNIX, Theo de Raadt,
a rendu public un e-mail qui lui a adressé Gregory Perry, une vieille
connaissance. Actuellement PDG de la société GoVirtual Education,
Gregory Perry a été auparavant le directeur technique de NETSEC et a
contribué au framework cryptographique d'OpenBSD.

C'est au sein de NETSEC que l'homme a effectué un travail de consultant
pour le compte d'une branche du FBI ( Federal Bureau of Investigations
). Il affirme qu'il y a maintenant dix ans, le FBI a rémunéré des
développeurs afin qu'ils installent des backdoors dans la pile réseau
IPSEC d'OpenBSD. Ces portes dérobées et autres mécanismes auraient pour
but de surveiller le système de chiffrement lors de connexions VPN entre
des sites.

Il avance que c'est pourquoi des personnes proches du FBI sont
aujourd'hui devenues des avocats de l'utilisation d'OpenBSD dans des
environnements virtualisés pour des implémentations VPN. Ces soudaines
révélations paraissent étranges, mais si Gregory Perry a attendu près de
dix ans avant de " passer aux aveux ", c'est parce qu'il précise que
son accord de non-divulgation avec le FBI vient d'expirer.

Theo de Raadt refuse de souscrire à une théorie du complot mais fait
preuve d'une grande transparence en rendant public le message de Gregory
Perry. Il pousse ainsi à un audit du code concerné par les personnes qui
l'utilisent. Un audit qui ne sera pas une mince affaire. Par ailleurs,
il donne l'opportunité aux développeurs OpenBSD cités par Gregory Perry
de se défendre.

Pour Theo de Raadt, même si les backdoors existent, le code de IPSEC a
beaucoup évolué depuis dix ans. Difficile donc selon lui d'évaluer
l'impact des allégations de Gregory Perry. Il souligne néanmoins que la
pile IPSEC était gratuite et qu'une large partie de son code se retrouve
dans beaucoup d'autres projets et produits qu'OpenBSD.


X.


Xavier Roche
Le #23108741
On 02/10/2011 09:37 AM, Yannix wrote:
On ronfle ici ??



Non, mais c'est une vieille info qui a fait depuis "pshiit".
Yannix
Le #23138991
Le 10/02/2011 09:46, Xavier Roche a écrit :
On 02/10/2011 09:37 AM, Yannix wrote:
On ronfle ici ??



Non, mais c'est une vieille info qui a fait depuis "pshiit".



Cette "vieille info" ne date juste que de mi-décembre 2010, soit 2 mois
maintenant. Je remarque que jusqu'à maintenant, dans ce haut lieu des
parlotes entre experts es-sécurité qu'est fcs, personne n'a abordé
sérieusement ce sujet depuis (hormis le pauvre Xavier Roche qui m'a
répondu juste pour botter en touche).

J'en conclue donc qu'il y a bien "anguille sous roche" dans cette
affaire.. Merci aux "experts" de fr.comp.securite de l'avoir confirmé.

A+

X.
Erwan David
Le #23139051
Yannix
Le 10/02/2011 09:46, Xavier Roche a écrit :
On 02/10/2011 09:37 AM, Yannix wrote:
On ronfle ici ??



Non, mais c'est une vieille info qui a fait depuis "pshiit".



Cette "vieille info" ne date juste que de mi-décembre 2010, soit 2 mois
maintenant. Je remarque que jusqu'à maintenant, dans ce haut lieu des
parlotes entre experts es-sécurité qu'est fcs, personne n'a abordé
sérieusement ce sujet depuis (hormis le pauvre Xavier Roche qui m'a
répondu juste pour botter en touche).

J'en conclue donc qu'il y a bien "anguille sous roche" dans cette
affaire.. Merci aux "experts" de fr.comp.securite de l'avoir confirmé.



Tu as oublié le suivi sur fr.soc.complots

--
Le travail n'est pas une bonne chose. Si ça l'était,
les riches l'auraient accaparé
Nicolas George
Le #23139131
Yannix , dans le message
J'en conclue donc qu'il y a bien "anguille sous roche" dans cette
affaire..



Ah, le fait que personne n'en parle est signe que ça existe...?
Erwan David
Le #23139121
Nicolas George
Yannix , dans le message
J'en conclue donc qu'il y a bien "anguille sous roche" dans cette
affaire..



Ah, le fait que personne n'en parle est signe que ça existe...?



Et si on en parlait ça serait aussi le cas...
d'où la suggestion de continuer sur fr.soc.complots

--
Le travail n'est pas une bonne chose. Si ça l'était,
les riches l'auraient accaparé
Cornelia Schneider
Le #23142371
Erwan David news::

d'où la suggestion de continuer sur fr.soc.complots



Z'auriez pas plutôt un psy à recommander à Yannix ? Parce que là ça devient
du troll no-life maladif...

Cornelia

--
Be out and be proud - today is the first day of the rest of your life
Support Transgenre Strasbourg : www.sts67.org
Creative stuff : www.bownbend.com
GPG key ID 83FF7452
Bruno Treguier
Le #23151431
Bonjour,

Le 18/02/2011 à 21:18, Yannix a écrit :
Le 10/02/2011 09:46, Xavier Roche a écrit :
On 02/10/2011 09:37 AM, Yannix wrote:
On ronfle ici ??



Non, mais c'est une vieille info qui a fait depuis "pshiit".



Cette "vieille info" ne date juste que de mi-décembre 2010, soit 2 mois
maintenant.



Pour une info potentiellement aussi explosive que celle-là, c'est vieux,
2 mois...


Je remarque que jusqu'à maintenant, dans ce haut lieu des
parlotes entre experts es-sécurité qu'est fcs, personne n'a abordé
sérieusement ce sujet depuis (hormis le pauvre Xavier Roche qui m'a
répondu juste pour botter en touche).



Pas la peine: tout a déjà été dit ailleurs. Google est votre ami.


J'en conclue donc qu'il y a bien "anguille sous roche" dans cette
affaire.. Merci aux "experts" de fr.comp.securite de l'avoir confirmé.



Drôle de conclusion...

D'ailleurs, n'est-ce pas vous qui, au début de cette année, disiez qu'au
niveau des VPN, en dehors d'IPSec, point de salut ? Il vaudrait
peut-être mieux basculer sous PPTP en fin de compte, non ? ;-) Je plaisante.

Cordialement,

B. Tréguier
Yannix
Le #23156481
Le 23/02/2011 20:27, Bruno Treguier a écrit :
Bonjour,



Salut,


Le 18/02/2011 à 21:18, Yannix a écrit :

Je remarque que jusqu'à maintenant, dans ce haut lieu des
parlotes entre experts es-sécurité qu'est fcs, personne n'a abordé
sérieusement ce sujet depuis (hormis le pauvre Xavier Roche qui m'a
répondu juste pour botter en touche).



Pas la peine: tout a déjà été dit ailleurs. Google est votre ami.


^^^^^^^^
Donc, on se demande à quoi peut bien servir ce NG, n'est-ce pas ?

J'en conclue donc qu'il y a bien "anguille sous roche" dans cette
affaire.. Merci aux "experts" de fr.comp.securite de l'avoir confirmé.



Drôle de conclusion...

D'ailleurs, n'est-ce pas vous qui, au début de cette année, disiez qu'au
niveau des VPN, en dehors d'IPSec, point de salut ?



Heu, je m'en rappelle pas, mais c'est très possible. Si IPSec est
compromis, vous voyez quoi comme solution alternative ?

Il vaudrait
peut-être mieux basculer sous PPTP en fin de compte, non ? ;-) Je
plaisante.



MDR !

A+

X.
Bruno Treguier
Le #23158001
Bonjour,

Le 25/02/2011 à 15:30, Yannix a écrit :
Pas la peine: tout a déjà été dit ailleurs. Google est votre ami.


^^^^^^^^
Donc, on se demande à quoi peut bien servir ce NG, n'est-ce pas ?



Bah, ce n'est pas spécifique à ce groupe, je pense... Usenet est en
perte de vitesse, il ne faut pas se le cacher... Je viens de "remonter"
mon serveur ici, suite à quelques demandes d'utilisateurs, mais s'il
n'avait tenu qu'à moi (malgré un peu de nostalgie)... Il était arrêté
depuis plus de 6 mois suite à l'arrêt quasi-simultané de nos 2 feeds.
J'en ai trouvé un autre, merci à l'UBO. ;-)

Beaucoup de choses se passent désormais sur les listes de diffusion, et
je peux vous dire que cette "nouvelle" a été abondamment commentée dans
plusieurs d'entre elles.

Cela dit, ce groupe peut avoir son utilité également, bien sûr, mais
dans le cas de ce "scoop", il s'est dégonflé très rapidement par la suite...


D'ailleurs, n'est-ce pas vous qui, au début de cette année, disiez qu'au
niveau des VPN, en dehors d'IPSec, point de salut ?



Heu, je m'en rappelle pas, mais c'est très possible. Si IPSec est
compromis, vous voyez quoi comme solution alternative ?



Hmm. Je sens venir la guerre de religion, là. ;-)

Il y en a plusieurs (en dehors de PPTP ;-) ) (liste non exhaustive):

1) OpenVPN: dans la discussion animée de début janvier (le fil
concernait la LOPPSI 2) vous n'aviez pas l'air convaincu par ce
logiciel, que vous avez même qualifié, je crois, de "vaporware". Je peux
vous dire que c'est très loin d'en être... Ce logiciel fonctionne
excellemment, est d'une stabilité remarquable. Il utilise du SSL
(OpenSSL), dans une implémentation qui fonctionne également sur UDP
(afin d'éviter le fameux problème de l'empilement des couches de
correction d'erreur: 2 couches TCP encapsulées l'une dans l'autre, c'est
une source potentielle de problèmes, chacune essayant de corriger le tir
en faisant des retransmissions, ce qui peut écrouler le lien). Ce n'est
cependant pas du DTLS, mais une solution alternative, qui a consisté à
re-coder la couche de fiabilité ordinairement apportée par TCP. Vous
pouvez utiliser une authentification par clef partagée ou par
certificats. Je connais bien cette solution pour l'employer depuis des
années (tunnels en fonction depuis 2004).

2) stunnel: jamais utilisé pour ma part en tant que VPN, juste pour
établir à la mimine des connexions SSL vers des serveurs web HTTPS, mais
il paraît que ça marche bien.

3) OpenSSH: tout à fait utilisable pour établir des tunnels VPN
également. Solution de secours que j'ai déjà mise en oeuvre également.

Les solutions 1 (OpenVPN) et 3 (OpenSSH) sont également utilisables en
couche mode VPN couche 2 (à partir de la version 4.3 pour OpenSSH). Pour
stunnel, je ne pense pas, mais comme je ne l'ai pas utilisé dans ce
mode, je n'ai aucune certitude.

Voilà... Maintenant, vous avez parfaitement le droit de ne pas être
d'accord, bien entendu.

Cordialement,

Bruno Tréguier
Publicité
Poster une réponse
Anonyme