Firmware / Backdoor / Debian

Pause Café
#1

Bonjour à tous,

Je souhaiterais solliciter vos avis concernant les propos que Jérémie Zimmermann (connu pour son rôle dans la quadrature du net avec laquelle il a pris ses distances depuis peu) a tenu lors d’une interview très récente. Ces propos n’ont à mon sens rien de très surprenant pour peu que l’on soit même superficiellement renseigné, mais nécessitent au moins une clarification en ce qui me concerne.

« La façon de comprendre ses questions là a évolué au fil du temps, et on aurait peut-être raté un ou deux wagons, voir même un train, parce que la question du logiciel s’est déportée vers le matériel. […] Richard Stallman a commencé à en parler il y a quinze ans en disant qu’il y avait là un vrai problème. […] Aujourd’hui, il n’y a plus vraiment de limites entre ce qui est logiciel et ce qui est matériel. Allumer un matériel, c’est charger un bout de logiciel en son sein afin que celui-ci en appelle un autre, etc, et qu’in fine, on est complètement largué. Si l’on essaie d’utiliser GNU/Linux Debian sans logiciel propriétaire, il y a 99,9% de chance qu’on le fasse sur un matériel dont on a perdu le contrôle parce qu’il contient dans ses puces du logiciel qui est propriétaire et qui la plupart du temps est là pour espionner. Le paroxysme de ça, ce sont les architectures d’intel […] c’est un ordinateur dans l’ordinateur. Ca, c’est depuis quelque chose comme 2005 ou 2006 que tout les ordinateurs équipés de processeur intel contiennent [l’OS] sur lequel on va travailler et un ordinateur dans l’ordinateur qui peut être activé à distance. C’est la backdoor universel. C’est beau, c’est plutôt pas mal fait, on sait depuis quelques temps qu’il y a le système d’exploitation minix à l’intérieur, ce qui est drôle si l’on considère qu’il a été écrit par Andrew Tanenbaum qui était le mentor de Linus Torvald. »
(https://www.youtube.com/watch?v=Xmy3_QIGOe4 - 51:00 à 56:00)

Rien de surprenant comme je le disais, une simple visite de la page wikipédia de LENOVO nous rappelle comment cette boite a été plusieurs fois controversée pour espionnage, et il ne s’agit que d’un exemple : « De octobre 2014 à juin 2015, le firmware UEFI de certains modèles Lenovo ont contenu le programme « Lenovo Service Engine » (LSE). Selon la firme chinoise, le programme leur envoie automatiquement des informations systèmes non-identifiables la première fois que la machine se connecte à Internet et installe automatiquement le programme « Lenovo OneKey Optimizer » sur les ordinateurs portables, qui est considéré comme un bloatware. »

Je suis moi-même sur du matériel Apple, je ne me sais pas trop d’illusion, mais je croyais vraiment qu’installer un OS non complice comme Linux sur ce genre de machine (Apple, Lenovo, architecture Intel, etc.) permettait à minima d’échapper aux programmes espions (ou si le terme vous choque, disons “programmes discrets”) contenu dans les firmwares du matériel. Alors dites-moi : quel peut être le niveau de pénétration de ce genre de programme en utilisation courante lorsqu’on a installé Debian (ou Linux plus généralement) sur sa machine ? Y en a-t-il parmi vous qui on acheté spécifiquement du matériel dont ils savent la sûreté au moins sur ce point ?

#2

Bonne question, à laquelle je n’apporte pas de réponse mais une question complémentaire.
Comment pourrait-on tester ce point?
En installant un "package de testsé et filtrant les échanges avec un proxy qui limiterait à une liste blanche d’adresses (yc bien sûr dns, moteur de recherche, …) associées à ce package ? Et en générant une alerte sur des envois hors cette liste?

#3

salut
Il me semble qu’il y a un distinguo à faire entre espionnage “collecter des données personnelles sans l’accord du propriétaire” et maintenance à distance “collecter des données de fonctionnement d’un matériel en vue d’amélioration”

Le logiciel inclus dans le matériel a t il accès à toutes les données de tous les disques de l’installation?

les dispositifs de confinement ( apparmor, selinux) ne sont ils pas un début de sécurisation?

#4

À-priori, de ce qu’il a été marqué sur ce sujet : oui. Ce serait tellement bas niveau au niveau de l’OS, que cela donnerait les accès à tout le FS présent - avec toutes les conséquences et les dérives possibles.
(est-ce de la “légende urbaine” ???)

Et, apparemment, le fait d’avoir un FS chiffré ne changerait pas trop la donne. Ce qui ce comprend, pour la simple raison, qu’une fois la machine démarré, l’OS démarre et monte le(s) périphériques, FS nécessaires, de fait l’accès aux données est “facilité”. Après, on peut envisager que l’OS ne démarre que si clé USB chiffrée de démarrage, permettant au FS de monter, etc… mais dès que le FS est monté, (donc les partitions, donc les données)… quid réellement ?!

Ce qui est sûr, c’est que les histoires de novlangue, où on te dit qu’on fait cela, cache bien souvent la réalité des choses. Sous le propos “collecte des données de fonctionnement”, on peut tout y mettre.

#5

Un des réponses à ce type de problème est le projet de boot opensource, coreboot qui possède encore les blob non libre et libreboot qui comme son nom l’indique ne possède aucun blob propriétaire.

Si vous faites fonctionner ça sur du matériel dit “opensource” vous êtes émancipé de tous ce qui est propriétaire, mais quid alors de vos habitudes (consommation de jeux vidéo, prix relativement bas, etc).

Je n’arrive plus a retrouver l’article de l’année dernière relatant les avancées du projet de bios libre (un linux minimale servant finalement à lancer le système sur des serveurs).
Il y a aussi quelques projets de serveurs basé sur du hardware non propriétaire mais cela reste très rare.

La vrai interrogation c’est est-ce que les gens ont vraiment envie de cacher leur vie privée au grands groupes industriels, les trois quarts des gens dans mon entourage qui CONSOMME de la ressource informatique ont le même discours que madame michu (tant que ça marche !!!).

Rien que pour un téléphone (l’IOT en générale d’ailleurs) je n’ose imaginé la télémétrie qui exporte de la data …

Je file enfiler mon casque fais maison avec du papier aluminium, manquerais plus que les réptilien m’injecte des idées et déforme ma réalité.

Blague à part la seule chose qui change c’est la systématisation de la mise en place de télémétrie et le volume toujours plus grand de donnée traité qui pousse les gens à en parlé, ça et le fait que de pus en plus de gens en parle, mais rien n’a changé et ne changera je pense malheureusement.

#6

Peu après les propos que j’ai cité, Jérémie expose de façon incomplète (il préfère ne pas tout dévoiler) la liste de ce que lui utilise comme outils de protection, plus par éthique que par véritablement foi en la protection apportée : VPN privé en permanence, Coreboot justement, aucun logiciel propriétaire, sur son GSM le fork d’Androïd “Replicant” donc ni GPU, ni Wifi, ni Bluetooth, ni caméra frontale, etc.

Aucun logiciel propriétaire signifie notamment absence de Wifi : moi je n’ai que des cartes Broadcom sur mes machines qui sont, si je le cite à peu près : « Non pas une backdoor, mais une arche de triomphe de backdoor. » La question de ce que l’on fait du matériel est centrale, bien sûr… Lui n’a du coup aucun wifi sur son laptop.

C’est également ce qu’il m’a semblé comprendre. Je ne peux évidemment pas répondre à cette interrogation, mais Benjamin Bayard va également dans ce sens.

A la limite, je mets de côté la façon dont ces donnés sont utilisés et lesquels sont utilisés. C’est une question d’ordre générale. Si ce qui est dit est vrai, la totalité de mon disque dur est en réalité accessible par une gigantesque porte ouverte : je cumule de nombreux handicap (apple, architecture intel, firmware Broadcom et même le pilote propriétaire NVIDIA sur Jessie pour ma machine principale. Nouveau a pris le relais avec Stretch). Attention : Rien de bouleversant dans cette révélation, mais je n’imaginais vraiment une telle capacité des firmwares amorcés avant les OS.

Les idées n’ont pas l’air mauvaise mais je ne peux rien en dire d’autre.