La NSA vous offre du code. Aurez-vous confiance ?

Je ne sais pas si c’est un coup de comm ou si c’est une démarche sincère de participer au monde de l’open source, mais la NSA vient d’ouvrir son Github et propose du code pour un premier outil baptisé SIMP.

SIMP pour Systems Integrity Management est un framework destiné à aider les gouvernements et les entreprises à sécuriser au mieux leur réseau contre les attaques en ligne. Ce truc s’installe pour le moment uniquement sur Red Hat et CentOS et respecte des standards de sécurité.

Maintenant la question qui nous brule tous les lèvres c’est : “Est-ce qu’il y a une backdoor dans ce code ?”

Ahaha, pas simple ! Après tout ce qu’on a appris ces dernières années sur les pratiques détestables de la NSA, vous iriez, vous, installer du code made in NSA sur vos serveurs, au coeur de votre réseau ?

Moi non… Ce sont quand même les mêmes qui pensent que les grandes sociétés américaines comme Google, Apple, Microsoft…etc. devraient volontairement leur laisser un accès pour accéder en clair aux données chiffrées des utilisateurs. Vive le patriotisme !

Toutefois, la NSA joue aussi un rôle d’information et de prévention auprès des entreprises américaines. Ils avaient même publié des recommandations pour bien sécuriser un serveur. Mais cette double casquette defensive / offensive soulève beaucoup de questions.

Ce qui est sûr, c’est que si un jour, un type découvre une backdoor dans ce code, on va bien rigoler. L’histoire ne dit pas si des entreprises sérieuses utilisent SIMP.

En tout cas c’est assez amusant de voir la NSA publier de l’open source comme ça, l’air de rien, demandant même aux développeurs de contribuer. Après, peut être que c’est clean et que les mecs veulent se refaire une image auprès des développeurs et des hackers / libristes.

Vivement que la NSA propose son fork d’OpenSSL.

Source