S'il est une critique que l'on entend souvent à l'égard de Debian, il s’agit bien de celle des modifications réalisées lors du paquetage de logiciels par Debian qui n'ont pas été validés ou incluses en amont par les auteurs du logiciel. Il y a débat sur le sujet, mais les détracteurs disposent maintenant d'un exemple de poids : la faille publiée le 13 mai 2008 par Debian (CVE-2008-0166), qui impacte aussi les distributions Ubuntu et Knoppix, est sans doute l'une des failles dont les conséquences sur le système d'exploitation cible sont les plus importantes.
Cette faille rend le générateur de nombres aléatoires de la bibliothèque OpenSSL prédictible. À peu de choses près, elle permet de casser tous les dispositifs cryptographiques utilisés par des logiciels dépendants de cette bibliothèque. Ces dispositifs sont utilisés notamment pour les authentifications serveur et client et le chiffrement dans OpenSSH, l'authentification serveur et le chiffrement dans SSL et même l'authentification des certificats si les clés de l'autorité de certification utilisée ont été générées sur une version vulnérable d’OpenSSL. Le site de Debian [ext.2] donne une liste des logiciels impactés.
À notre connaissance, aucune faille n'a jamais eu autant de conséquences sur le système affecté. Cette faille révèle de manière presque artistique, la puissance de la seule ligne de code supprimée (sur les 230 millions que comporte Debian [ext.1]) qui en est à l'origine, tel un projecteur dirigé sur le point de rupture de ce grand...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première