Linux et la sécurité

Article connexe : Liste des malwares Linux.

 

Linux permet une stricte séparation des privilèges. Une des conséquences est que, sauf faille de sécurité permettant une élévation des privilèges61, un ver ou un virus informatique ne peut accéder qu’à une partie des ressources et fonctionnalités d’un système Linux, mais ni aux données importantes du système, ni aux données d’éventuels autres utilisateurs62.

 

Dans le domaine des serveurs, le degré de sécurité dépend, par comparaison, avant tout du degré d’expérience qu’a l’administrateur systèmes. Là, Linux marque des points grâce à sa liberté d’utilisation, qui permet sans risque et sans surcoût de tester abondamment divers scénarios sur d’autres ordinateurs, et d’y acquérir ainsi une expérience utile.

 

Il existe une série de distributions spécifiquement axées sur la sécurité, et des initiatives telles que SELinux de la National Security Agency. Mais il existe également une série de distributions axée sur l’anti-sécurité, comme Damn Vulnerable Linux ou BackTrack, pour sensibiliser les experts aux problématiques de sécurité sur ce système d’exploitation.

 

Linux supporte une grande variété de plates-formes matérielles, ainsi que de solutions logicielles. Une faille de sécurité touchant le plus populaire client de messagerie ne touchera qu’une fraction des utilisateurs de logiciels libres ; en revanche, une faille touchant Outlook Express pouvait toucher d’un coup une proportion énorme des utilisateurs de Windows. Cette thèse est développée dans un rapport écrit par des sommités du domaine comme Bruce Schneier pour le compte de la CIA et reprise par la société Gartner dans un document63. Ce rapport énonce que puisque la plupart des ordinateurs tournent sous un système d'exploitation de Microsoft, la plupart des ordinateurs du monde sont vulnérables aux mêmes virus et aux mêmes vers au même moment. Il propose pour éviter cela d’éviter la monoculture logicielle dans le domaine des systèmes d’exploitation.

 

Enfin, le fait que Linux et nombre de logiciels tournant sous Linux soient des logiciels libres permet que son code source soit étudié d’un œil critique par quiconque désirant le faire, que ce soit pour effectuer des adaptations, dans un cadre éducatif, pour répondre aux intérêts privés d’une entreprise ou une institution ou par simple intérêt personnel (pour en rechercher les vulnérabilités par exemple, la plupart du temps dévoilée et corrigée extrêmement vite). En relation avec cela, on entend souvent l’argument que les failles de sécurité sont corrigées plus rapidement, affirmation approuvée et réfutée par diverses études, en fonction généralement de leur source de financement. Enfin, la liberté des logiciels rend inutile le recours au piratage des logiciels, aux cracks ou autres sites de warez très populaires parmi les adeptes des autres systèmes d’exploitation, et qui constituent un vecteur d’infection des ordinateurs.

 

Reste que Linux n’est pas totalement insensible aux problèmes de sécurité, comme l’a montré le ver Slapper en septembre 2002, premier du genre à toucher un nombre notable d’ordinateurs sous Linux, avant tout des serveurs web tournant sous Apache (6 000 à l’apogée du ver64).

 

De plus, Linux reste un système d’exploitation vulnérable65, ainsi, près de 4 900 vulnérabilités ont été recensées entre 2003 et 2008, celles-ci sont réparties sur les différentes distributions disponibles66. Celles-ci ont été, pour la plupart, corrigées assez rapidement.

 

En revanche, le nombre de failles découvertes durant une période précise n’est pas une mesure fiable pour déterminer la sécurité d’un système d’exploitation, il faut déterminer :

 

  • leur impact sur le système ;
  • et le temps de vulnérabilité du système

 

Aller au haut