Processus de création d'une distribution et aspects de sécurité

Pause Café
#1

Bonjour

Je précise que ce sujet fait suite à un sujet que j’ai posté sur Debian Facile mais que j’aimerais un point de vue plus pointu sur un des aspects https://debian-facile.org/viewtopic.php?id=36351

Donc dans les qualités que je recherche pour une distribution il y a l’aspect sécurité, vis à vis des intrusions ou des fuites de données.

A ce sujet je me méfie de distributions aux créateurs obscurs qui communiquent peu ou de manière floue.
Je me dis que ce n’est pas une meilleure idée de donner ses données à des inconnus qu’à Microsoft en utilisant windows.

Je me demandais également, quels sont les mécanismes qui sont mis en place pour une distribution sérieuse comme Debian pour prévenir la présence de backdoors, malwares vu la quantité de paquets.

J’ai cru comprendre que les paquets étaient repartis sur les développeurs qui avaient a charge de vérifier l’intégrité du code ?

Y a-t-il d’autres instances de vérification ? Par exemple lors des tests des RC? Est ce que l’on vérifie par exemple que le système ne se connecte pas a des sites non souhaités car il aurait été contaminé ?

Comment est organisé la surveillance des vulnérabilités ?

Je suis très curieux de savoir cela.

Bon été

#2

C’(est un choix que tu fais. Rien n’est forcé coté linux. Tu chois ta distribution avec ce que tu y trouves.

Il y a un suivi sécurité au niveau des CVE. C’est de la responsabilité de chaque mainteneur.
Debian communique sur les mises à jour de sécurité en lien avec les failles qui sont découvertes.

Il y a confusion. Les tests sont fait avec les système tels qu’ils sont développés (et signés).
IL ne peut pas normalement y avoir de contamination. D’autant quel les tests ne sont pas fait en ligne.

Par ailleurs les RC ne sont pas considérées comme des versions stables.

Après pour un peu de lecture:
https://www.debian.org/security/

#3

Merci
C’est la première fois qu’on me répond clairement de manière factuelle sur ce sujet.

Bien sûr mes choix n’engagent que moi

Je fais partie d’un petit groupe professionnel ou nous n’avons pas d’ingénieur IT. Le collègue qui s’y connait le mieux en informatique gère nos postes Windows et je prospecte pour introduire Linux.

Donc pour bien faire les choses je me pose en premier la question d’assurer une sécurité « minimale » qui va également avec le choix de la distribution.

Je commence à lire des documents comme https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-un-systeme-gnulinux
Certains points sont au dessus de mon niveau mais d’autres sont a ma portée

#4

Ben, hors fonctionnalités, le choix de linux à la place de windows est soit une amélioration de la sécurité.

Oui la recommendation de l’ANSSI. Tout n’y est pas simple, même pour des professionnels.