Sécurité des logiciels libres : mythes et réalités

Autrefois réservés aux "pros" de l'informatique, les logiciels libres deviennent de plus en plus populaires. Mais ils sont aussi les cibles des attaques de virus et des pirates.

Ils sont gratuits, offrent une alternative aux produits de Microsoft et ont la réputation d'être plus sûrs : de plus en plus de particuliers, entreprises ou administrations préfèrent pour ces raisons les logiciels libres. Souvent gratuits, mais aussi disponibles en version payante avec des services à valeur ajoutée, ces programmes sont le fruit d'un esprit "communautaire" : les utilisateurs ont la possibilité de les installer, de les copier, de les distribuer et de les modifier librement. Tout ceci sans avoir à demander l'autorisation de l'auteur. Une telle liberté permet certes de faire des économies, mais surtout d'adapter le produit à ses propres besoins et de développer de nouvelles applications. Le système d'exploitation Linux et son pingouin sont devenus le symbole des logiciels libres. Mais il existe plusieurs autres applications libres, comme le serveur web Apache, le logiciel de création numérique Gimp ou l'outil de cryptage PGP.

On recensait 10 millions d'utilisateurs de Linux dans le monde en 2000. Selon le cabinet d'étude IDC ce chiffre ne cesse d'augmenter. La part du "libre" dans le marché des logiciels augmenterait de 30 % par an. Dans un récent rapport, le Commissariat général du plan a même suggéré que "chaque fois que l'administration a le choix entre deux fonctions équivalentes, préférence devrait être donnée à des solutions libres". Or, cette popularité a un prix : les pirates et créateurs de virus les prennent de plus en plus comme cible. Voici quelques "mythes" et réalités sur la sécurité des logiciels libres.

Mythe n°1 : il n'y a pas de virus pour les logiciels libres
Faux. S'il est vrai que la plupart des virus ciblent les ordinateurs sous Windows, certains ont depuis peu commencé à attaquer les logiciels libres. Les éditeurs d'antivirus recensent aujourd'hui 170 virus et chevaux de Troie pour Linux, et une trentaine pour Unix. Le nombre croissant des utilisateurs de logiciels libres attire l'attention des pirates et les incite à créer des codes pour attaquer ces systèmes.
Certes, les virus pour Linux restent encore minoritaires, mais leurs dégâts sont bien réels : le virus Ramen, qui a attaqué en 2001 les serveurs utilisant Red Hat Linux, a modifié les pages d'accueil d'une centaine de sites web. Toujours l'année dernière, le virus Lion a fait des ravages dans des entreprises et universités américaines utilisant le système Linux : le virus avait récupéré les mots de passe administrateur pour ouvrir des portes dérobées dans le système. L'arrivée des virus multiplates-formes (capables d'infecter différents systèmes d'exploitation comme Winux pour Windows et Linux et Nimda pour Solaris et AS/400), a également changé la donne. Désormais, les utilisateurs de logiciels libres sont aussi concernés par les virus créés pour Windows.

Mythe n°2 : les logiciels libres empêchent la propagation des virus
Vrai et faux à la fois : les fichiers systèmes sous Linux et Unix (comme sous Windows NT) sont effectivement protégés contre l'écriture. Un utilisateur qui n'a pas les droits d'administrateur ne peut pas les modifier, ni accéder à l'espace mémoire d'un autre utilisateur. Or, pour se propager, les virus ont besoin de circuler librement de machine en machine ou sur le même réseau. Linux et Unix rendent cette circulation impossible, car le virus aura besoin du mot de passe administrateur pour accéder aux applications. Mais rien ne garantit que le virus ne peut pas infecter la machine lorsque celle-ci est démarrée avec le profil "administrateur".

Mythe n°3 : les logiciels libres n'ont pas de faille de sécurité
Faux. La société américaine Security Systems a recensé cette année 202 bugs pour les logiciels Microsoft et 485 pour Linux. En mars dernier, une vulnérabilité a été découverte dans le logiciel Netfilter, un pare-feu pour Linux. Le programme wu-Ftpd, utilisé par la majorité de serveurs Linux pour le téléchargement des fichiers, a également été touché par une faille importante l'année dernière. En juin dernier, c'était le tour du serveur web Apache d'être l'objet d'une vulnérabilité. La faille représentait un grand risque car 63 % des sites hébergés dans le monde le sont sur des serveurs Apache. Un correctif a été rapidement publié, mais le scénario risque de se répéter dans l'avenir : les pirates développent de multiples techniques pour attaquer cette technologie de plus en plus répandue.

Burçin Gerçek