Faille HeartBleed, une chance qu'OpenSSL soit un logiciel libre

La faille dans OpenSSL est-elle une ombre au tableau du logiciel libre ? Pour l’April, une association de promotion du logiciel libre, cette conclusion ne pourrait déboucher que d’une « analyse trop rapide ».

Pas question ici pour l’April d’éclipser les risques découlant de cette vulnérabilité. « L’impact de cette faille peut potentiellement être énorme » reconnaît ainsi l’association, qui ajoute aussi : « personne n'a jamais dit que le logiciel libre était infaillible ! ».

Le libre a démontré ses atouts sur le logiciel "privatif"

Mais pour l’April, la nature ouverte du code est justement ce qui a « permis de réduire considérablement l'impact de cette faille. »

« Dans le cas de HeartBleed, c'est même l'analyse du code lui-même, en voulant y ajouter de nouvelles fonctionnalités, qui a permis la détection de l'erreur. Ensuite, la correction a pu être immédiatement proposée par et à la communauté, le code-source étant une nouvelle fois disponible » argue l’association sur son site.

Et pour elle, le cas HeartBleed est même une nouvelle illustration de ce qui fait la force du libre sur le logiciel propriétaire, qualifié ici de « privateur ». Il « est fort probable que des failles de ce type existent dans du logiciel privateur… Et que personne n'en soit au courant parce que ça ne sort pas de l'entreprise en question » considère l’April.

La sécurité ? C'est l'affaire des autres

Au contraire, dans le cas du logiciel libre « on peut tous participer à trouver de telles failles, qu'on peut tous les corriger immédiatement pour son propre usage et qu'on peut tous en faire profiter le reste de la communauté. »

C’est le principe. Mais en est-il concrètement ainsi ? Des moyens sont-ils effectivement alloués pour identifier et corriger les bugs, en particulier dans des briques critiques et très largement déployées comme OpenSSL ?

Pour James Lyne, directeur de la recherche pour Sophos, la sécurité en vient souvent être abordée de la manière suivante : « c’est le problème d’autres personnes ». Il critique la « perception », trop communément admise selon laquelle « c’est Open Source, par conséquent, comme une boîte noire, c’est sécurisé car d’autres personnes l’analysent pour moi ».

OpenSSL : une "infrastructure critique" mais sous-financée

Or, regrette James Lyne, si OpenSSL est critique, le projet ne dispose paradoxalement que d’un financement réduit. « Nous en sommes tous très, très fortement dépendants, attendant d’eux qu’ils fassent un excellent travail, et pourtant en réalité ils sont désespérément sous-financés » insiste-t-il.

Pour l’expert en sécurité, le fait que le code soit ouvert et donc potentiellement soumis à la vigilance de tous ne se suffit pas à lui-même et n’apporte pas la garantie que du temps et des moyens sont effectivement alloués à la sécurisation du code.

Et des moyens, malgré sa criticité, OpenSSL en manque justement, y compris au cours de cette semaine où il a pourtant été au cœur de l’actualité. Cette semaine, le projet n’a ainsi reçu que 841 dollars de dons, témoigne Lyne. « C’est triste » lâche-t-il.