Chema Alonso nous répond exclusivement pour LxA

Cette semaine, nous avons interviewé un autre grand nom du basket, en l'occurrence Chema Alonso, qui était au cœur de nos questions . Il a eu la gentillesse de nous accorder un entretien exclusif, ce que nous apprécions d'autant plus compte tenu de son emploi du temps chargé.

Je pense que Chema Alonso, l'un de nos hackers nationaux les plus connus , n'a plus besoin d'être présenté, et je crois que vous devriez saisir le véritable sens du mot « hacker ». Si vous ne le connaissez pas, vous pouvez en apprendre davantage en faisant une recherche sur Google, et je vous encourage à visiter son blog, où vous trouverez des articles intéressants sur la sécurité. Vous savez, Elladodelmal vous attend. En attendant, vous pouvez lire sa réponse.

Accros à Linux : 1- La première question est incontournable… Pablo Motos, Jordi Évole, Mamen Mendizábal et maintenant moi. Que t’est-il arrivé, Chema ?

Chema Alonso : J'essaie de répondre à tout le monde. Je réponds à tous les courriels et messages que je reçois. C'est vrai que je suis débordée. Je reçois des messages sur Twitter, Facebook, Google+, YouTube, Instagram, le blog, par courriel, etc., et il m'est absolument impossible de trouver le temps de répondre à chacun d'eux, mais je vous assure que j'essaie. Quant aux journalistes, j'ai eu le plaisir de travailler avec d'excellents journalistes à la télévision, mais aussi avec d'excellents journalistes de la presse écrite et en ligne. Si j'en ai le temps, je réponds aux demandes d'interview.

LxA : 2- Je crois savoir que vous avez été professeur de Linux et que vous avez travaillé avec des distributions Linux tout au long de votre carrière. Qu’est-ce qui vous plaît et qu’aimeriez-vous changer ?

CA : Oui, c’est vrai. J’enseigne GNU/Linux depuis de nombreuses années et j’ai animé de nombreux cours sur Red Hat – Red Hat était le leader du marché à la fin des années 90. Ce que j’apprécie avec GNU/Linux, c’est la multitude de possibilités offertes par ces systèmes, leur modularité qui permet une personnalisation poussée et la richesse des outils disponibles. Des distributions comme Kali Linux, CentOS, Ubuntu ou Debian illustrent comment un noyau unique peut s’adapter à de nombreux environnements différents. Je regrette le culte que certains vouent au logiciel libre et le manque d’outils de gestion d’entreprise et d’environnements utilisateurs adaptés. Dans ces domaines, je privilégie toujours Microsoft Windows ou macOS.

LxA : 3- Comme c’est souvent le cas, les logiciels libres suscitent à la fois l’adhésion et la désapprobation. Certains les jugent de moindre qualité ou moins sécurisés que les logiciels propriétaires. Que répondriez-vous à ceux qui partagent cet avis ?

CA : Chacune de ces affirmations, prise individuellement, est erronée. L’important n’est pas de savoir si le code est ouvert ou fermé, mais ce qu’on en fait. Il existe des projets logiciels libres très élaborés et bien développés, et d’autres qui ne le sont pas. Croire qu’un projet, simplement parce qu’il est libre, sera audité par tous est illusoire. Cela exige bien plus. De plus, même avec l’accès au code source, la découverte de failles de sécurité peut n’apparaître que lorsque le code est compilé pour une architecture spécifique et exécuté dans un environnement particulier. C’est pourquoi on utilise des techniques de fuzzing.

D'autre part, publier le code source et les mises à jour de sécurité dans les projets Open Source, ouvre une fenêtre d'opportunité pour les moteurs de recherche 0days lorsqu'il s'agit de générer des exploits avant qu'il n'y ait un patch qui le résout dans le binaire distribuable. Nous l'avons vu dans de nombreux cas. Mon opinion est que, qu'il soit OpenSource ou non, ce qui compte c'est la qualité du logiciel et si le logiciel a été réalisé dans nos entreprises pour notre sécurité, en plus de bien l'auditer, je préfère que le code source reste à la maison}: ).

LxA : 4- Vous êtes propriétaire de 0xWord . Je possède plusieurs de vos ouvrages sur la sécurité et je recommande à tous de visiter votre site web. C'est une librairie assez atypique, car vous offrez des opportunités aux nouveaux auteurs qui souhaitent publier leurs livres sur la sécurité ou d'autres sujets. Les logiciels libres offrent également de nombreuses possibilités et je pense qu'ils sont essentiels à l'éducation. Ne pensez-vous pas que les entreprises qui développent des logiciels propriétaires devraient envisager de rendre leur code source ouvert ?

CA : Beaucoup le font déjà, mais je ne pense pas que cela doive devenir la norme. De nos jours, une quantité considérable de code source est disponible, ce qui est très utile pour l’apprentissage. Je pense qu’une entreprise devrait rendre son code open source dans certains cas, mais ce ne devrait pas être la seule option. Une petite entreprise pourrait rendre son code open source, et une grande entreprise pourrait alors en profiter, l’améliorer et l’exploiter sans que la petite entreprise puisse rivaliser. Je pense que pour un étudiant ou un professionnel, développer des logiciels open source est un excellent moyen de mettre en valeur ses compétences, et pour les entreprises, cela peut être un moyen de fédérer une communauté et de mieux positionner leur produit, mais ce n’est pas la seule solution.

LxA : 5-Y, pour faire suite à la question précédente. Notre blog est consacré aux logiciels libres et à Linux, mais ces derniers temps, nous avons beaucoup écrit sur Microsoft. Ils ont ouvert certains de leurs projets, fait des déclarations surprenantes, publié .NET Core et Visual Studio Code pour Linux, et des rumeurs circulent concernant des discussions internes sur un Windows open source. Souhaiteriez-vous voir un Windows open source ?

CA : Microsoft a déjà rendu une grande partie de son code open source, et il est probable qu'ils en rendront davantage à l'avenir. Ils le publieront peut-être en open source plus tard, mais je ne pense pas que ce soit pour bientôt – je peux me tromper. À ce jour, le système d'exploitation Windows se vend toujours très bien par rapport à ses concurrents, notamment grâce à son architecture au niveau du noyau et de la couche système. C'est un avantage concurrentiel qu'ils souhaitent exploiter pour rivaliser avec d'autres systèmes comme Android, iOS ou macOS, qui possèdent des atouts différents.

LxA : 6- Vous êtes à l’origine d’Eleven Paths, une entreprise de sécurité numérique issue de la fusion d’Informatica 64 et de Telefónica. Cette dernière, avec laquelle vous entretenez des relations, a investi dans le système d’exploitation Firefox OS pour appareils mobiles. Que pensez-vous de Firefox OS et quels avantages présente-t-il selon vous par rapport à iOS, Android, Tizen, etc. ?

CA : Je n’ai pas seulement une relation avec Telefónica, j’y travaille. L’entreprise est engagée depuis longtemps en faveur de la liberté de choix des utilisateurs et de la neutralité du Net. Et tandis que certaines entreprises parlent de neutralité du Net pour créer des services offrant les mêmes opportunités, elles rendent leurs systèmes de moins en moins interopérables. Passer d’iOS à Android ou d’Android à Windows Phone est un véritable calvaire. Ces systèmes ne sont absolument pas interopérables. L’engagement de Telefónica est de soutenir un écosystème plus large et moins fermé, raison pour laquelle l’entreprise a investi dans Firefox OS et continue de le soutenir. L’avantage, c’est que la Fondation Mozilla est derrière ce système, créant ainsi un écosystème d’applications web compatibles avec tous les systèmes. C’est cet avantage que les « fous » de Mozilla veulent mettre en avant.

LxA : 7- Parlons maintenant de FOCA. C'est un excellent logiciel, mais il présente un bug non corrigé : il n'est pas disponible pour Linux ! On peut l'exécuter avec Wine, utiliser d'autres outils ou MetaShield Analyzer, mais il nous manque. De nombreux outils de test d'intrusion, d'analyse forensique, etc., existent pour Linux. Il existe également de nombreuses distributions comme Kali, Parrot OS, Santoku, DEFT, et bien d'autres. Linux est incontestablement très important dans ce domaine. Pourquoi avoir décidé de ne pas porter FOCA ?

CA : Nous n'avons jamais porté FOCA faute de ressources. Nous envisageons maintenant de publier le code en .NET et de laisser le choix aux utilisateurs de le compiler pour Linux suite à la récente annonce de Microsoft, ou de l'améliorer progressivement. Il faudra patienter encore un peu.

LxA : 8-NeXT a décidé de créer un système d'exploitation Unix, qui allait devenir la base de Mac OS X après le rachat de l'entreprise par Apple. Unix est incontestablement un excellent système, et Microsoft s'en est inspiré avec Xenix. Mais finalement, c'est Windows NT (OS/2) qui a vu le jour. Pensez-vous que si Windows était un système *nix aujourd'hui, il serait meilleur ?

CA : Non, pas du tout. Microsoft n’a pas flirté avec UNIX ; Microsoft a développé XENIX, vendu à Santa Cruz Operations, et SCO UNIX est devenu le système UNIX le plus répandu au monde. Le noyau Windows est une merveille, comme en témoignent les performances et l’expérience utilisateur des noyaux 6.x.

Quoi qu'il en soit, penser que le noyau Windows et le noyau UNIX diffèrent grandement ... est une erreur. Il y a une excellente conférence de Mark Russinovich intitulée "Une histoire de deux noyaux" où il regarde ce que les noyaux Windows NT et Linux ont, et il est surprenant de voir à quel point ils sont précis.

En fait, j'aime une phrase que Linux Torvalds a dite il y a des années lors d'une conférence lui demandant pourquoi les développeurs de noyau étaient une communauté qui changeait si peu de visage et incorporait peu de nouvelles personnes. Il a dit qu'en plus de ne pas être la communauté la plus amicale, le temps des solutions simples à des problèmes simples lors de la création de noyaux monolithiques est passé des années.

LxA : 9- J’entends souvent dire que vous recommandez l’utilisation d’un antivirus, non seulement sous Windows, mais aussi sur d’autres plateformes comme macOS. Beaucoup affirment que sous Linux, les antivirus ralentissent l’ordinateur. Quels conseils donnez-vous aux utilisateurs de Linux à ce sujet, et quel antivirus recommandez-vous ?

CA : Si le problème est un ralentissement du système, il faudrait désactiver le pare-feu, toutes les protections du système d’exploitation… et tout simplement le lancer ! :)

LxA : 10 – Et la dernière, la plus difficile de toutes. Était-ce le pire entretien de votre vie ? 😉

CA : Non, pas du tout. On m’a posé tellement de questions idiotes… Une fois, j’ai dit à un journaliste radio : « S’il vous plaît, ne me posez pas cette question, c’est absurde. » Parfois, je note les questions qu’ils vont me poser pour pouvoir expliquer correctement l’actualité. Si je vous disais…

C’est un plaisir d’accueillir Chema Alonso dans notre série d’entretiens, et il nous apporte aujourd’hui une bonne nouvelle pour l’avenir : nous pourrions avoir FOCA pour GNU/Linux…