OpenBSD

OpenBSD est un dispositif d'exploitation libre de type Unix, dérivé de 4.4BSD. Créé en 1994 par Theo de Raadt, OpenBSD est issu de la séparation avec NetBSD, le plus ancien des trois autres principaux dispositifs d'exploitation de la famille des BSD actuellement en activité. Le projet OpenBSD est reconnu pour son intransigeance sur la liberté du logiciel et du code source, la qualité de sa documentation, et l'importance accordée à la sécurité et la cryptographie intégrée.

OpenBSD inclut un certain nombre de mesures de sécurité absentes ou optionnelles dans d'autres dispositifs d'exploitation. Ses développeurs ont pour tradition de réaliser des audits de code à la recherche de problèmes de sécurité et de bogues. Le projet suit des politiques strictes sur les licences et préfère la licence open source BSD et ses variantes : dans le passé, ceci a conduit à un audit exhaustif des licences et des remplacements, ou alors des suppressions de codes sous licences reconnues comme moins acceptables.

À l'instar de la majorité des dispositifs d'exploitation basés sur BSD, le noyau d'OpenBSD et ses programmes utilisateurs, tels que le shell et les outils habituels comme cat et ps, sont développés dans un seul et même dépôt CVS. Les logiciels tiers sont offerts en paquets binaires, ou peuvent être compilés depuis leurs sources grâce à la collection des ports.

OpenBSD fonctionne sur 16 plates-formes matérielles différentes, surtout alpha, amd64, armish, hp300 (HP 9000 séries 300 et 400), hppa, i386, luna88k, mac68k, macppc (Power Macintosh), mvme68k, mvme88k, sgi, sparc, sparc64 (machines UltraSPARC), vax, zaurus. L'architecture cats ne sera plus supportée après la version 4.0. OpenBSD supporte aussi l'émulation des binaires SVR4 (Solaris), FreeBSD, Linux, BSD/OS, SunOS et HP-UX.

Le projet est coordonné par Theo de Raadt de sa maison à Calgary, Alberta, Canada, et la mascotte du projet est Puffy, un diodon.

Histoire

Theo de Raadt était le cofondateur de NetBSD, et membre de l'équipe de développement. En 1994, l'équipe lui demanda de démissionner et son accès au CVS fut révoqué. Les raisons de cette éviction restent incertaines à ce jour, mais plusieurs autres membres de l'équipe de NetBSD ont évoqué des problèmes de relations avec de Raadt. Il lui était surtout reproché d'être désagréable avec les utilisateurs en employant un ton agressif sur les listes de discussion de NetBSD.

La personnalité de Theo de Raadt

Aux dires de nombreuses autres personnalités du logiciel libre, dont Linus Torvalds, celle de Theo de Raadt est connue comme étant franche et complexe. Ses prises de positions tranchées sont source de conflits, et sont quelquefois reconnues comme blessantes. De Raadt déclarait ceci à propos du dispositif d'exploitation GNU/Linux dans une interview au journal Forbes : «C'est terrible [... ] N'importe qui l'utilise, et ils ne réalisent pas à quel point il est mauvais. Et les utilisateurs de Linux s'en contenteront et l'étofferont plutôt que de prendre du recul et de dire "C'est n'importe quoi et nous devrions y remédier".» ^[2]

Bien que sa personnalité laisse rarement indifférent, la majorité des commentateurs s'accordent à reconnaître en Theo de Raadt un programmeur talentueux et un gourou de la sécurité. Sa spontanéité, que certains apprécient, s'est illustrée dans ce conflit avec l'équipe de NetBSD, dont la majorité des membres gardent toujours actuellement le silence sur cet épisode. ^[3] À l'inverse, Theo de Raadt répondit à l'ensemble des questions qui lui furent posées, et mit à disposition les courriels échangés et les logs des salons de discussion avec l'équipe de NetBSD.

Une démission contrainte

Theo de Raadt ne fut pas exclu d'emblée du projet NetBSD. Le dépôt CVS de ce projet nécessite différents niveaux de droits en lecture et en rédigéure. Comme cofondateur et deuxième contributeur le plus actif, de Raadt disposait d'un accès en lecture et rédigéure sur la base du dispositif. L'équipe de NetBSD lui retira alors la possibilité d'envoyer directement des modifications dans le dépôt, et de rendre ces changements permanents. De Raadt était alors contraint d'envoyer chacune de ses contributions par courriel à un membre de l'équipe pour examen.

De Raadt considéra cette mesure comme abusive et essaya vainement de recouvrer un plein accès au dépôt CVS de NetBSD. L'équipe de développement voulant s'assurer que ses contributions seraient «positives», elle proposa à de Raadt plusieurs solutions parmi lesquelles une lettre à signer, résumant les conditions, les droits et les devoirs de de Raadt. Après plusieurs mois de disputes sur les listes de discussion du projet, de Raadt démissionna officiellement et créa en 1994 le dispositif d'exploitation OpenBSD selon la version 1.0 de NetBSD, comme l'en autorisait la licence.

La création d'OpenBSD

Après la création d'OpenBSD, chaque projet essaya d'attirer à lui des développeurs. Deux camps quasi hermétiques se formèrent rapidement, et plusieurs développeurs de NetBSD suivirent de Raadt. Ce dernier s'aperçut qu'un certain nombre de courriels et de lettres publiées sur son site web personnel avaient disparu. Quoiqu'il refusa formellement d'incriminer des membres de l'équipe de NetBSD, Theo de Raadt décida d'examiner la sécurité de NetBSD, qu'il jugea déficiente.

Peu après la création d'OpenBSD, Theo de Raadt fut contacté par Secure Networks inc. (ou SNI), une société locale de logiciels de sécurité qui développait un outil d'audit de la sécurité réseau appelé Ballista (renommé en Cybercop Scanner après le rachat de SNI par Network Associates), conçu pour trouver ainsi qu'à essayer d'exploiter les envisageables failles de sécurité d'un logiciel. Ceci coïncida avec l'intérêt propre de De Raadt dans la sécurité : les deux parties décidèrent ainsi de coopérer, dans une relation spécifiquement bénéfique qui conduisit à la publication d'OpenBSD 2.3.

La sécurité et l'audit du code

Cette coopération permit aussi au projet de se concentrer sur un point précis : les développeurs OpenBSD devraient essayer de faire ce qui est correct, propre et sécurisé, même au détriment de la facilité d'utilisation, de la vitesse ou des fonctionnalités. Les failles d'OpenBSD devenant plus difficilement détectables et exploitables, l'entreprise de sécurité statua que l'audit de code était devenu trop complexe et peu rentable. Après des années de coopération, les deux parties s'accordèrent à penser que leurs objectifs communs avaient été atteints et se séparèrent.

L'argument du faible nombre de failles exploitables à distance

Jusqu'en juin 2002, le site web d'OpenBSD affichait le slogan suivant :

«Cinq ans sans vulnérabilité à distance dans l'installation par défaut !»

En juin 2002, Mark Dow de la société Internet Security Systems découvrit une faille dans le code d'OpenSSH qui implémentait l'authentification par question. Ce fut la première vulnérabilité découverte dans l'installation par défaut d'OpenBSD autorise un attaquant d'accéder à distance au compte superutilisateur. L'usage répandu d'OpenSSH à ce moment était à l'origine de la gravité de la faille, qui affectait un nombre énorme d'autres dispositifs d'exploitation. Ce problème nécessita l'aprécisément du slogan du site web d'OpenBSD :

«Une vulnérabilité à distance dans l'installation par défaut, en 6 ans approximativement !»

Cette affirmation a été critiquée du fait du peu de logiciels activés dans l'installation par défaut d'OpenBSD, et du fait aussi que des failles distantes avaient été découvertes après la publication d'une version. Cependant, le projet insiste sur le fait que le slogan fait référence à l'installation par défaut, et qu'il est par conséquent correct à ce niveau. Une des idées principales sous-jacentes à OpenBSD est de concevoir un dispositif simple, propre et sécurisé par défaut. A titre d'exemple, les réglages minimaux par défaut correspondent à la pratique standard en sécurité informatique qui consiste à activer aussi peu de services que envisageable sur les dispositifs en production, et le projet pratique des audits de codes reconnus comme étant des éléments importants de la sécurité d'un dispositif.

En mars 2007, la découverte d'une nouvelle faille dans OpenBSD^[4], se situant dans la pile IPV6, nécessita le remplacement du slogan par :

«Seulement deux vulnérabilités à distance dans l'installation par défaut, en plus de 10 ans !»

Les principales fonctionnalités de sécurité

OpenBSD inclut la plupart de fonctionnalités spécifiques conçues pour perfectionner la sécurité, surtout :

des modifications des API et des toolchains, tels que les fonctions strlcpy et strlcat, et une vérification des static bounds ;
des techniques de protection de la mémoire pour empêcher les accès invalides, tels que ProPolice, StackGhost, et des fonctionnalités de protection des pages mémoires WˆX (W xor X), et des modifications de malloc ;
des fonctionnalités de cryptographie et de génération de nombres aléatoires, surtout par des améliorations de la couche réseau et l'ajout de l'algorithme Blowfish pour le chiffrage des mots de passe.

La gestion des privilèges

Pour diminuer le risque d'une vulnérabilité ou d'une mauvaise configuration donnant la possibilité l'usurpation de privilèges, certains programmes ont été rédigés ou adaptés pour utiliser la séparation des privilèges, la révocation des privilèges ou la mise en cage.

La séparation des privilèges est une technique, pionnière sur OpenBSD et inspirée du principe du moindre privilège, dans lequel un programme est divisé en deux ou plusieurs parties, dont l'une effectue les opérations privilégiées, et l'autre — presque toujours le reste du code — fonctionne sans privilège. La révocation des privilèges est identique et implique qu'un programme réalise l'ensemble des opérations nécessaires avec les privilèges avec lesquels il a été lancé, puis qu'il abandonne ces privilèges. La mise en cage implique de restreindre l'environnement d'exécution d'un programme à une partie du dispositif de fichiers, l'interdisant ainsi d'accéder à des zones qui contiennent des fichiers dispositifs ou privés.

Les développeurs ont appliqué ces fonctionnalités aux versions OpenBSD des applications communes, surtout tcpdump et le serveur web Apache, lequel n'est qu'une version 1.3 lourdement modifiée à cause de problèmes de licences avec la série Apache 2.

Audits de code

Le projet suit une politique d'audit permanent du code à la recherche de problèmes de sécurité, un travail que le développeur Marc Espie décrit comme «jamais terminé […] plus une question de processus que de recherche d'un bogue spécifique.» Ce dernier a d'ailleurs produit une liste de plusieurs étapes typiques à suivre quand un bogue est détecté, surtout l'examen complet des sources à la recherche de problèmes semblables et identiques, «[en] essayant de déterminer si la documentation nécessite d'être amendée», et en enquêtant pour savoir «s'il est envisageable de perfectionner le compilateur pour produire des avertissements sur ce problème spécifique.» À l'instar de DragonFly BSD, OpenBSD fait partie des deux dispositifs d'exploitation libres dont la politique est de rechercher du code C au format classique pre-ANSI, et de le convertir en son équivalent moderne ANSI. Ceci ne doit pas impliquer des changements de fonctionnalités et n'est réalisé qu'à des fins de lisibilité et de cohérence. Un standard de style, le Kernel Normal Form, qui dicte quelle doit être la forme du code pour favoriser sa maintenance et sa compréhension, doit être appliqué à tout code avant qu'il ne puisse être inclus dans le dispositif d'exploitation de base. Le code existant est sans cesse mis à jour pour correspondre à ces conventions de style.

Le nom

Le nom d'OpenBSD vient de l'aventure NetBSD de Theo de Raadt, en effet le CVS de NetBSD n'était pas accessible aux non-développeurs officiels (seul les releases étaient diffusées), pour son fork, Theo de Raadt mit en place un serveur CVS public (n'importe qui pouvait accéder aux dernières sources du projet).

Mascotte

Comme les autres BSD (FreeBSD et NetBSD), OpenBSD a pour mascotte le BSD Dæmon (alias Beastie). Il a aussi comme mascotte propre le Blowfish, alias Puffy. Cette dernière est une référence à l'algorithme cryptographique de Bruce Schneier du même nom (utilisé entre autres par OpenSSH) : son graphisme attrayant associé à l'aspect défensif impressionnant du diodon hérissé de pointes l'ont rendue particulièrement populaire. Chaque version d'OpenBSD est accompagnée d'un morceau de musique mais aussi d'une planche de bande dessinée mettant le plus souvent en scène Puffy. Il existe depuis peu des dérivés du Blowfish dessinés façon manga, Sushi Fugu et Harisenbon.

État du projet

OpenBSD est aujourd'hui en version 4.4 (depuis le 1^er novembre 2008).

L'équipe réalise une version l'ensemble des 6 mois.

L'équipe de développement met en avant le fait que le dispositif n'a été victime que de 2 failles de sécurité exploitables à distance dans l'installation par défaut en plus de dix ans.

Note : selon le site undeadly. org, le projet OpenBSD subirait des pertes financières de l'ordre de 20 000 par an depuis 2004, soit un déficit s'élevant à près de 40 000 .

Autres projets

L'équipe d'OpenBSD travaille aussi sur d'autres projets qui deviennent des pièces à part entière de l'OS et qui sont aussi portés (ou portables) sur d'autres dispositifs d'exploitation. Parmi ces projets en cours, on peut citer :

OpenSSH : implémentation de SSH, le protocole de communication sécurisée. C'est le projet le plus connu du groupe.
OpenBGPD : implémentation sécurisée du service de routage BGP.
OpenNTPD : implémentation simplifiée et sécurisée du service de synchronisation horaire NTP.
OpenCVS : implémentation simplifiée et sécurisée du protocole CVS.
Le pare-feu et la suite logicielle Packet Filter, qui sont désormais intégrés dans la majorité des dispositifs BSD.

En outre, diverses Interface de programmation sécurisées, comme strlcat (3), strlcpy (3), strtonum (3) ou encore arc4random (3) sont apportées. Ces API sont fréquemment reprises dans d'autres logiciels ou dispositifs d'exploitation.

Notes et références

↑ Liste des plates-formes supportées par OpenBSD.
↑ De Raadt Theo in «Is Linux For Losers?», Forbes, 2005.
↑ Wayner Peter, «18.3 Flames, fights, and the birth of OpenBSD» in Free for all, 2000.
↑ OpenBSD's IPv6 mbuf's remote kernel buffer overflow (13 mars 2007)

Liens externes

(fr) Site officiel
(fr) OpenBSD-France. org : Site francophone des utilisateurs d'OpenBSD
Galerie d'art OpenBSD
Entrevue : Theo de Raadt sur l'industrie et le logiciel libre. Matthew Hildebrand. 5 octobre 2005.
Le créateur d'OpenBSD n'aime pas Linux
(en) Undeadly. org, site d'informations concernant OpenBSD
(en) Courriels échangés entre Theo de Raadt et la «core team» de NetBSD avant la création d'OpenBSD
(en) Cours d'instruction d'OpenBSD

Recherche sur Google Images :

"Foire Aux Questions OpenBSD"
L'image ci-contre est extraite du site www.openbsd.org

Il est possible que cette image soit réduite par rapport à l'originale. Elle est peut-être protégée par des droits d'auteur.

Voir l'image en taille réelle (950 x 508 - 85 ko - jpg)

Refaire la recherche sur Google Images

Recherche sur Amazone (livres) :

Ce texte est issu de l'encyclopédie Wikipedia. Vous pouvez consulter sa version originale dans cette encyclopédie à l'adresse http://fr.wikipedia.org/wiki/OpenBSD.
Voir la liste des contributeurs.
La version présentée ici à été extraite depuis cette source le 23/03/2009.
Ce texte est disponible sous les termes de la licence de documentation libre GNU (GFDL).
La liste des définitions proposées en tête de page est une sélection parmi les résultats obtenus à l'aide de la commande "define:" de Google.
Cette page fait partie du projet Wikibis.