Qubes OS Security in the Public Record
Cet article présente une analyse longitudinale de 109 bulletins de sécurité de Qubes et des données de vulnérabilité associées de 2011 à 2025, révélant que si le registre des avis publics s'est stabilisé à un niveau de divulgation plus élevé depuis 2015, la charge de sécurité reste principalement concentrée dans les composants en amont tels que Xen et les architectures CPU plutôt que dans la logique de base de Qubes.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
La surveillance de quartier numérique
Imaginez l'internet comme une ville géante et bouillonnante où chaque ordinateur est une maison. Dans la plupart des quartiers, le « garde de sécurité » (le système d'exploitation) vit directement à l'intérieur de la maison, surveillant la porte d'entrée, les fenêtres et le jardin en même temps. Si le garde se fatigue ou commet une erreur, toute la maison est en danger. Mais il existe un type spécial de maison dans cette ville appelée Qubes OS. Au lieu d'un seul grand garde, elle engage une équipe de petits gardes de sécurité distincts, chacun enfermé dans sa propre cabine de verre (appelée « quobe »). Si un garde se fait tromper par un cambrioleur, les autres gardes restent en sécurité dans leurs cabines. C'est ce qu'on appelle la « compartimentation ».
Pour savoir si ce système fonctionne réellement, les chercheurs en sécurité agissent comme des capitaines de la surveillance de quartier. Ils tiennent un registre public appelé Bulletin de Sécurité. Chaque fois qu'un bug est trouvé ou qu'un correctif est nécessaire, ils le consignent. La grande question de ce document est : Où les bugs se cachent-ils réellement ? Sont-ils dans les petites cabines de verre construites par l'équipe de Qubes (le « cœur »), ou sont-ils dans les fondations du bâtiment, le réseau électrique de la ville, ou les matériaux utilisés pour construire les murs (les éléments « amont » comme la puce informatique et le logiciel de virtualisation) ? Si les cabines de verre sont parfaites mais que les fondations se fissurent, toute la maison est quand même à risque. Cette étude est une plongée profonde dans quatorze années de ces registres pour voir qui fait réellement le gros du travail en matière de sécurité.
Le travail de détective : Qui a brisé la vitre ?
Dans cette étude, l'auteur, Alfonso De Gregorio, agit comme un expert-comptable médico-légal pour la sécurité informatique. Il ne s'est pas contenté de deviner ; il a parcouru chaque bulletin de sécurité public de Qubes OS de 2011 à 2025. Cela représente un total de 109 bulletins, plus un suivi de 464 problèmes liés au logiciel sous-jacent (Xen) sur lequel Qubes repose. Il voulait voir si les « cabines de verre » (Qubes-core) étaient la source principale de problèmes, ou si les problèmes venaient de la « fondation » (Xen, le processeur de l'ordinateur et d'autres parties amont).
La grande révélation : Ce ne sont pas les cabines, c'est la fondation
Les résultats étaient étonnamment clairs. Lorsque l'auteur a examiné les 109 bulletins, il a découvert que 79,8 % d'entre eux (soit 87 sur 109) étaient causés par des problèmes dans les parties amont — comme l'hyperviseur Xen, le processeur de l'ordinateur ou d'autres logiciels que Qubes n'a pas écrits lui-même. Seulement environ 20 % des problèmes étaient réellement du fait de la propre logique de l'équipe Qubes. Même lorsqu'il a pondéré les problèmes en fonction du nombre de problèmes spécifiques mentionnés dans un bulletin, les parties amont dominaient toujours, représentant plus de 80 % de la charge.
Pensez à une voiture. Si vous achetez une voiture personnalisée dont le moteur est construit par une entreprise célèbre (Xen) et dont la carrosserie est construite par un petit atelier de personnalisation (Qubes), et que vous constatez que 80 % des problèmes concernent le moteur ou les conditions de la route, vous ne pouvez pas blâmer l'atelier de personnalisation pour les problèmes du moteur. L'étude montre que Qubes fait un excellent travail pour garder sa propre partie du code propre, mais qu'il dépend fortement de la sécurité de la machinerie massive et complexe située en dessous.
La chronologie : Quand les choses ont-elles changé ?
L'auteur a également examiné quand ces problèmes ont été signalés. Il a constaté un changement majeur au début de 2015. Avant cela, le nombre de bulletins de sécurité était faible et sporadique. Après le premier trimestre 2015, le nombre de rapports a bondi et s'est maintenu à un niveau élevé et constant. Cela n'a pas continué à grimper indéfiniment ; cela s'est simplement stabilisé.
Ensuite, en regardant les années après 2018, les données ont montré quelque chose d'intéressant : le taux de nouveaux problèmes est devenu « statistiquement plat ». Cela ne signifie pas que de nouveaux bugs n'ont pas été trouvés ; cela signifie que le nombre de nouveaux bugs trouvés par an a cessé de croître ou de diminuer de manière significative. Il est devenu un rythme stable et prévisible. L'auteur a également remarqué qu'après 2018, beaucoup de nouveaux problèmes étaient liés à l'« exécution transitoire » (un terme sophistiqué pour la façon dont les puces informatiques devinent ce qu'elles doivent faire ensuite, ce qui peut parfois divulguer des secrets). Cela suggère que la nature des menaces a changé, passant de simples bugs logiciels à des ruses complexes au niveau du matériel, mais que la quantité de problèmes est restée stable.
Le test de la boule de cristal : Peut-on prédire l'avenir ?
Enfin, l'auteur a tenté d'utiliser des modèles mathématiques (appelés Modèles de Découverte de Vulnérabilités ou VDM) pour prédire combien de bugs seraient trouvés à l'avenir. Ces modèles suivent souvent une « courbe en S », suggérant que nous trouvons beaucoup de bugs au début, puis que le taux ralentit à mesure que nous trouvons tous les plus faciles, et qu'en fin de compte, nous manquons de bugs.
L'étude a révélé que bien que ces courbes en forme de S décrivent assez bien les données passées, elles sont très mauvaises pour prédire l'avenir. Lorsque l'auteur a comparé ces modèles complexes à une simple « moyenne mobile » (en gros, deviner que l'année prochaine ressemblera à la moyenne des trois dernières années), le simple calcul a gagné. Les modèles complexes n'ont pas donné de meilleure prévision. En fait, les données suggèrent que tenter de prédire exactement quand le « dernier bug » sera trouvé est une tâche vaine ; le système semble s'être installé dans un état stable où de nouveaux problèmes apparaissent à un rythme régulier et gérable, plutôt que de s'épuiser.
Ce que cela signifie pour vous
Le document ne prétend pas que Qubes OS est « parfait » ou « résolu ». Il précise explicitement que nous ne pouvons pas mesurer les bugs cachés qui n'ont pas encore été trouvés. Cependant, il prouve que le registre public des problèmes de sécurité est dominé par la technologie sous-jacente (Xen et le processeur) plutôt que par le code de l'équipe Qubes.
Pour quiconque utilise ce système, la leçon est pratique : ne surveillez pas seulement l'équipe Qubes, surveillez l'équipe Xen et les fabricants de puces informatiques. Les « cabines de verre » sont robustes, mais c'est la « fondation » qui est le véritable champ d'action. L'étude confirme que la sécurité de ce système est un effort d'équipe, et que les risques les plus importants proviennent des parties du système que Qubes ne contrôle pas directement. Les auteurs sont confiants dans ces chiffres car ils les ont vérifiés de multiples façons, mais ils sont également prudents en disant qu'il s'agit d'un regard sur le registre public, et non d'une garantie qu'aucun bug secret n'existe dans l'ombre.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.