Informations sur la sécurité sous FreeBSD

Cette page web a été conçue afin d’accompagner les utilisateurs, nouveaux venus ou expérimentés, dans le domaine de la sécurité de FreeBSD. FreeBSD prend la sécurité très au sérieux et travaille sans cesse pour rendre le système d’exploitation aussi sûr que possible.

Vous trouverez ici des informations complémentaires, ou des liens vers d’autres ressources, qui vous aideront à protéger votre système contre différents types d’attaques, sur qui contacter si vous trouvez une éventuelle faille, etc. Les programmeurs systèmes seront heureux de trouver une section traitant des techniques à employer pour éviter avant toute chose de créer soi-même des failles.

Tout problème de sécurité FreeBSD doit être rapporté à l’équipe de sécurité FreeBSD ou, si plus de confidentialité est nécessaire, à l’équipe de l’officier de sécurité. Chaque rapport devrait contenir au moins:

Après que cette information ait été rapportée, l’officier de sécurité ou un membre de l’équipe de sécurité reviendra à vous.

Pour mieux coordonner les échanges avec d’autres personnes dans la communauté de la sécurité, FreeBSD a une personne centrale pour toute communication liée à la sécurité: l’officier de sécurité FreeBSD.

Si vous voulez contacter le projet FreeBSD à propos d’un problème de sécurité possible, vous devez donc envoyez un courrier électronique à l’officier de sécurité avec une description de ce que vous avez trouvé et le type de vulnérabilité qu’il présente.

Pour que le projet FreeBSD réponde plus rapidement aux rapports de vulnérabilité, il y a quatre membres derrière l’alias courrier électronique de l’officier de sécurité: l’officier de sécurité, l’officier de sécurité émérite, l’officier de sécurité adjoint, et un membre de l’équipe de base. En conséquence, les messages envoyés à <security-officer@FreeBSD.org> seront transmis à:

L’Officier de sécurité est supporté par l’équipe de sécurité FreeBSD <secteam@FreeBSD.org>, un petit groupe de participants contrôlé par l’officier de sécurité.

Veuillez utiliser la clé PGP de l’officier de sécurité pour chiffrer vos messages à l’officier de sécurité si approprié.

En général, l’officier de sécurité FreeBSD privilégie la transparence totale sur les vulnérabilités après un delai raisonnable pour permettre d’analyser et de corriger une vulnérabilité, ainsi que de tester de manière appropriée ce correctif, et de se coordonner avec les autres parties affectées.

L’officier de sécurité informera un ou plusieurs administrateurs du cluster FreeBSD de vulnérabilités mettant les ressources du projet FreeBSD en danger immédiat.

L’officier de sécurité peut contacter d’autres développeurs FreeBSD ou des développeurs extérieurs à propos d’une vulnérabilité si leur expertise est nécessaire pour comprendre ou corriger le problème. Une discrétion appropriée permettra de minimiser la fuite d’information non nécessaire sur la vulnérabilité soumise, et tout expert contacté devra suivre la politique de l’officier de sécurité. Dans le passé, des experts ont été contactés à cause de leur expérience importante sur des composants complexes du système d’exploitation, comme FFS, la mémoire virtuelle, et la pile réseau.

Si une nouvelle version de FreeBSD est en préparation, le responsable de la sortie de nouvelles versions peut être informé que la vulnérabilité existe, et de sa sévérité, pour que des décisions soient prises sur le cycle de sortie des versions et sur les bogues présents dans une version sur le point de sortir. Si ceci est demandé, l’officier de sécurité ne partagera pas la nature exacte de la vulnérabilité avec le responsable de la sortie de nouvelles versions, limitant ainsi les informations à l’existence et la sévérité.

L’officier de sécurité travaille étroitement avec de nombreuses autres organisations, comme des vendeurs partageant du code avec FreeBSD (les projets OpenBSD, NetBSD et DragonFlyBSD, Apple, et d’autres vendeurs utilisant des logiciels de FreeBSD, ainsi que la liste sécurité des vendeurs Linux), ainsi que des organisations recensant les vulnérabilités et les incidents de sécurité comme le CERT. Souvent, les vulnérabilités s’étendent au delà de l’implémentation de FreeBSD, et (moins fréquemment) ont de larges implications sur la communauté du réseau global. Dans de telles circonstances, l’officier de sécurité peut souhaiter divulguer cette information à ces autres organisations : si vous ne voulez pas que l’officier de sécurité fasse ceci, veuillez l’indiquer explicitement dans votre soumission.

La personne soumettant une vulnérabilité doit veiller à mentionner explicitement toute gestion spéciale de l’information.

Si la personne soumettant une vulnérabilité est interessée par une divulgation coordonnée avec elle et/ou d’autres vendeurs, ceci doit être indiqué explicitement dans la soumission. En l’absence de demande explicite, l’officier de sécurité FreeBSD choisira un calendrier de divulgation qui reflète à la fois une divulgation rapide et des tests appropriés de toute solution. Il faut savoir que si la vulnérabilité est révélée sur des forums publics (comme bugtraq), et qu’elle est exploitée, l’officier de sécurité peut choisir de ne pas suivre le calendrier proposé pour protéger au maximum la communauté des utilisateurs.

Les soumissions peuvent être protégées avec PGP. Si ceci est désiré, les réponses seront également protégées avec PGP.

L’officier de sécurité FreeBSD publie des avis de sécurité pour différentes branches de FreeBSD. Celles-ci sont les branches -STABLES et les branches de sécurité. (les avis ne sont pas publiés pour la branche -CURRENT.)

Les problèmes touchant le catalogue des logiciels portés FreeBSD sont couverts dans le document FreeBSD VuXML.

Chaque branche est supportée par l’officier de sécurité pour une durée limitée, et a un type parmi `Premiers Utilisateurs', `Normale', ou `Etendue'. Ce type est utilisé pour déterminer la durée de vie de la branche comme suit.

Le type et la durée de vie estimée des branches actuellement supportées sont données ci-dessous. La colonne Fin de vie estimée donne la date minimale lors de laquelle cette branche ne sera plus supportée. Veuillez noter que ces dates peuvent être étendues dans le futur, mais que seules des circonstances exeptionnelles feraient que le support soit arrêté plus tôt que la date prévue.

Les versions plus anciennes ne sont plus maintenues et les utilisateurs sont vivement incités à mettre leur système à jour vers une branche mentionnée ci-dessus.

Quelques statistiques sur les avis de sécurité émis en 2002:

Les avis sont envoyés aux listes de diffusion FreeBSD suivantes:

Les avis sont toujours signés avec la clé PGP de l’officier de sécurité FreeBSD et sont archivés, aux côtés de leurs correctifs, sur notre dépôt FTP CERT. A ce jour, les avis suivants sont disponibles (notez que cette liste a peut-être quelques jours de retard - pour les tout derniers avis, veuillez consulter le site FTP):

&advisories.html.inc;