Linux a moins de failles de sécurité que Windows

Grosse frayeur dans le monde GNU/Linux. Le 10 février, Canonical (la société qui gère Ubuntu) a annoncé la sortie d'une mise à jour de sécurité pour le noyau des versions suivantes : 6.06 LTS (Dapper Drake), 8.04 LTS (Hardy Heron), 8.10 (Intrepid Ibex), 9.04 (Jaunty Jackalope) and 9.10 (Karmic Koala).

Cette mise à jour concerne également Kubuntu, Edubuntu et Xubuntu (trois versions dérivées d'Ubuntu, elle-même dérivée de Debian...), et elle corrige 10 importantes failles de sécurité découvertes par plusieurs hackers à l'intérieur des paquets du noyau Linux.

Les fans de Windows adorent ce genre d'annonce. Pour eux, c'est un prétexte pour dire que les systèmes d'exploitation de Microsoft sont plus sûrs !

La réalité n'est pas aussi tranchée.

Le noyau Linux et les distributions GNU/Linux présentent des vulnérabilités. C'est un fait. Une des raisons que l'on peut avancer est que de nombreuses distributions GNU/Linux cherchent à sortir de nouvelles versions tous les semestres. Pour des experts en sécurité, c’est le modèle de Microsoft appliqué au libre qui ne va pas.

Selon le cabinet de sécurité Secunia, spécialisé dans les failles, ses statistiques 2010 concernant Linux Kernel 2.6.x affichent 207 "Secunia advisories" (5% ne seraient pas corrigées) et 400 vulnérabilités.

En face, Windows Vista présente, depuis le début de cette année, 87 "Secunia advisories" (6% ne sont pas corrigées) et 161 vulnérabilités.

Windows Seven démarre fort puisque les relevés de Secunia indiquent déjà "11 Secunia advisories" et 17 vulnérabilités. Plus inquiétant, 18% des mises en garde de Secunia ne sont pas encore corrigées !

Quant à Windows XP, il affiche 279 "Secunia advisories" (12% non patchées) et 322 vulnérabilités.

Les comparaisons de statistiques peuvent être interprétées de plusieurs façons.

Mais il est intéressant de noter qu'Ubuntu, distribution GNU/Linux la plus connue du grand public, affiche 33 "Secunia advisories" et 105 vulnérabilités pour 2010. MAIS, toutes les failles sont corrigées !

C'est peut-être la différence essentielle entre Windows et GNU/Linux : la rapidité à combler des failles et à les detecter

"D'un côté, les choses sont gérées rapidement et, en plus, le système étant ouvert, il est audité facilement, régulièrement et rapidement. Quid de Microsoft qui ne publie rien et a une gestion plus qu'opaque des correctifs. Pour simplifier : "acceptez tous les patches le premier mardi du mois et faites nous confiance". En fait, pour quelques failles repérées dans GNU/Linux ou Windows quel est pourcentage de failles existantes pour les deux OS. A mon avis, pour GNU/Linux, nous sommes très probablement proche des 100% alors que pour Windows, je ne ferai aucun pronostic...", déclare Eric Filiol, Directeur du laboratoire de virologie et de cryptologie opérationnelles à l'ESIEA.

Mais au-delà de ce constat, il ne faut pas oublier que le maillon faible reste l'utilisateur. Même s'il travaille sous Ubuntu, Fedora ou Debian, il n'est pas protégé à 100% s'il fait des erreurs : travailler avec le compte administrateur, ne pas mettre à jour sa distribution, installer des logiciels depuis des sites, avoir des mots de passe trop faibles...

Une distribution GNU/Linux semble donc plus sûre. A condition de ne pas faire n'importe quoi !

Un ordinateur est plus sécurisé sous Windows ou sous Linux ?

En matière de sécurité informatique, c'est le sujet le plus polémique. Dès qu'on évoque la multiplication des codes malveillants qui attaquent les différents systèmes d'exploitation de Windows (dont XP et Vista), il y a une réaction automatique qui apparaît dans les forums : « passez sous Linux et vous n'aurez plus de soucis avec ces virus ».
La lecture du hors-série n°32 de Linux Magazine (sept-oct 2007) démontre que les virus, vers et rootkits existent sous GNU/Linux. On y apprend notamment que le premier virus « officiel » a été écrit sous Unix en 1983 par Fred Cohen (de l'Université de Californie), considéré comme l'un des pères-fondateurs de la virologie informatique. Depuis 1995, « avec les virus de documents (les plus connus étant les fameux macro-virus), le risque viral concerne la couche applicative liée au traitement de documents bureautiques... A ce titre, tous les systèmes d'exploitation sont concernés », écrit Eric Filiol (Directeur du laboratoire de virologie et de cryptologie opérationnelles - ESIEA  Ouest) dans ce hors-série, page 5.

Un code malveillant exploitant une faille d'OpenOffice peut donc contaminer une distribution GNU/Linux. C'est une première raison montrant que Windows n'est pas le seul système vulnérable.

« Dans l'absolu, GNU/Linux est plus sûr mais si on l'utilise correctement c'est-à-dire pas en mode « administrateur » (Root) et si on met à jour régulièrement son système. Ce n'est pas toujours évident pour les personnes découvrant Linux. Mais sous Windows, la situation est identique car de nombreuses personnes utilisent le compte administrateur et ne téléchargent pas toujours les mises à jour recommandées », constate Eric Filiol.

De là à penser qu'il faille installer un antivirus sur un ordinateur fonctionnant sous Ubuntu, Mandriva ou Fedora et c'est le flot d'injures ou de commentaires mettant en doute les compétences de certains experts reconnus et ne travaillant pas pour des éditeurs d'antivirus.

La publication de ce billet devrait d'ailleurs donner lieu à pas mal de réactions plus ou moins constructives. Mais le but est d'informer le grand public, pas de prôner la bonne parole pour une chapelle en particulier.

Voici donc un exemple concret tendant à démontrer l'intérêt d'installer un antivirus sous Ubuntu ou une autre distribution GNU/Linux.

Le postulat est le suivant et ne peut pas être remis en cause : Windows étant le système d'exploitation le plus répandu, il est logique que la majorité des codes malveillants visent cette solution.

Alors pourquoi utiliser un antivirus sous Linux ?

Il y a un cas précis et qui commence à se multiplier au fur et à mesure de l'hétérogénéité des systèmes d'exploitation présents dans un foyer grand public :

Si un PC sous Linux reçoit un code malveillant écrit pour Windows (par exemple via une pièce jointe), il ne sera pas infecté. Mais si la personne sous Linux renvoie cette pièce jointe infectée vers un correspondant qui est, lui, sous Windows, ce dernier sera infecté. Installer un antivirus sous Linux peut donc être utile pour limiter la propagation d'un code malveillant.

Pour éviter des risques de propagation, il peut donc être utile d'installer un antivirus sur son ordinateur fonctionnant sous Ubuntu ou une autre distribution GNU/Linux.

Mais quel antivirus ? Il en existe quelques uns comme ClamAV et Avast. Deux logiciels gratuits que l'on peut installer facilement. A noter que ClamAV permet une analyse en temps réel. Ce n'est pas le cas d'Avast. Résultat, en cas d'infection via une pièce jointe ou une faille dans OpenOffice, cet antivirus ne sonnerait pas l'alarme. Ce n'est que lorsque vous lancerez manuellement une analyse du PC qu'Avast pourra repérer l'infection.
La solution pourrait venir de Doctor Web. Cet éditeur russe s'apprête à sortir un antivirus pour poste de travail permettant une analyse en temps réel.

Mais ce sera un plus mais pas la panacée.

«Un scan en temps réel ne sera pas efficace, que l'on soit d'ailleurs sous Windows ou sous GNU/Linux, face à des attaques véritablement inconnues », prévient Eric Filiol.

Quel que soit le système d'exploitation installé sur un ordinateur, l'une des meilleures protections reste le comportement de l'utilisateur : ne pas cliquer sur n'importe quelle pièce jointe ou lien internet. Il doit aussi utiliser différents mots de passe "forts" (composés de lettres en majuscule, minuscule, de chiffres et de symboles) et mettre à jour en permanence son système d'exploitation et ses différents logiciels… et ne pas utiliser de versions piratées de logiciels.

Pour certains, cela peut paraître comme des évidences. Hélas, cela n'est pas partagé par tous les nouveaux utilisateurs d'Ubuntu ou d'une autre distribution.

A suivre...