Mark Shuttleworth, actuel patron de Canonical, vient de lancer un appel à l’ensemble des constructeurs de matériels électroniques en vue d’abandonner les firmwares propriétaires, ces derniers représenteraient, selon lui, une véritable menace pour la sécurité informatique.Pour l’homme fort de Canonical, cette situation serait due à la grande incompétence des manufacturiers, à l’inverse des attaquants (y compris les agences gouvernementales) qui seraient très compétents, ce qui laisse peu de place pour la sécurité par l'obscurité du code du firmware.
Toujours selon Shuttleworth : «Tout code de firmware s’exécutant sur un téléphone, tablette, PC, TV, routeur wifi, machine à laver, serveur, ou le serveur exécutant le Cloud sur lequel tourne un SaaS est une menace».
Pour appuyer encore plus cette idée, Shuttleworth évoque les révélations faites par Edward Snowden : «si vous lisez le catalogue d’outils d’espionnage et d’armes numériques fournit par Edward Snowden, vous verrez que le firmware de votre équipement est le meilleur allié de la NSA», avant de rajouter que «votre plus grande erreur serait de penser que la NSA est l’unique institution qui abuse de cette position de confiance».
«Penser que les ACPI [N.D.L.R : Advanced Configuration and Power Interface] sont le prochain saut générationnel pour vos équipements cela revient à laisser un cheval de Troie de proportion monumentale s’installer dans votre salon ou sur votre data center», conclut Shuttleworth.
Certes cet appel peut sembler alarmiste, mais, dans les faits, beaucoup d’évènements abondent dans ce sens comme les vulnérabilités découvertes sur de nombreux firmwares (routeurs Linksys, imprimantes HP, mots de passe écrits en durs sur SCADA).
Une des solutions évoquées par Shuttleworth serait alors de se tourner vers des firmwares n’incluant pas de code exécutable, cette dernière partie serait incluse alors dans les noyaux de l’OS. «Les firmwares déclaratifs qui décrivent les liens matériels et les dépendances, mais n’incluent pas de codes exécutables représentent la meilleure solution pour améliorer la sécurité», conseille celui-ci, avant de conclure que «les noyaux de l’OS sont le meilleur emplacement pour délivrer la partie logicielle de l’innovation qui est commercialisée».
Source : Blog de Mark Shuttleworth
Et vous ?
Qu’en pensez-vous ? 
Envoyé par Traroth2
