mardi 13 juillet 2010

Sécurité de Linux et de MacOS : halte aux mensonges !

Régulièrement, on peut lire dans la presse et dans des blogs, des commentaires affirmant qu'être sous Linux ou MacOS c'est être en sécurité.

Le discours est toujours le même : il n'y a pas de virus comme sous Windows ! Divers arguments sont avancés comme la structure du noyau et la part de marché des distributions GNU/Linux.

Sans entrer dans le détail car il faudrait plusieurs billets, la situation n'est pas aussi tranchée.

Le rapport semestriel de Secunia montre justement un rapport entre part de marché et vulnérabilités : Depuis 2005, Secunia note qu'Apple, Oracle et Microsoft sont responsables de 38 % du total des vulnérabilités, ce qui représente également 16 % des avis de sécurité annuels de Secunia. Pour Secunia, c'est aussi la preuve que des parts de marché importantes impliquent un nombre élevé de vulnérabilités

Le concours d'antivirus organisé par l'ESIEA montre que justement que les OS sont faillibles à cause d'applications tierces (un des participants a d'ailleurs utilisé une faille d'OpenOffice pour leurrer les AV).

D'ailleurs le rapport de Secunia confirme en effet que ce sont bien les appli tierces qui présentent le plus de risques pour les OS.


Secunia prend l'exemple du PC Windows typique d'un utilisateur final avec 50 programmes installés. Ce PC devra faire face à 3,5 fois plus de bugs de sécurité dans les 24 programmes tiers fonctionnant dessus le système d'exploitation que dans les 26 programmes Microsoft installés. Un ratio qui devrait augmenter de 4,4 en 2010.

En fait, la sécurité des distrib' linux vient surtout (principalement ?) de la gestion des paquets. A la différence de Windows où l'on peut télécharger un soft depuis n'importe quel site, avec les distrib' GNU/Linux, le plus recommandé est de passer par le gestionnaire ad hoc, même si on peut aussi installer depuis un autre site.
D'ailleurs, cette facilité d'installer et de télécharger des appli depuis n'importe quel site est une menace : la preuve avec Google qui a décidé de faire le ménage des extensions. Avec Apple c'est peut-être fermé (app store) mais les risques sont plus faibles. Mais pas nuls bien sûr.

Tout cela pour dire que la sécurité n'est pas une affaire de logiciels (contrairement au discours marketing des éditeurs d'AV) et d'OS; c'est une affaire humaine. L'utilisateur doit être vigilant.

Pour ceux qui veulent approfondir sur sujet (délicat et... sujet à polémiques), je les invite à lire les références suivantes
:

- HS n°32 de Linux magazine consacré aux virus sous GNU/Linux

- "Les virus informatiques : théorie, pratique et applications" d'Eric Filiol. Ed. Springer. Un excellent livre (même si certains passages sont hors de portée de mes connaissances...) qui est la référence ultime et objective.