Tristan Nitot, Mozilla Europe: ‘Firefox, un rempart de sécurité’

Le fer de lance de Firefox est la sécurité. Comment avez vous abordé cette problématique lors de vos développements ? Firefox est issu de la génération de navigateurs qui a suivi Internet Explorer (version 4 à 6) et Netscape 4. C’était vraiment une autre époque. Dans les années 95 à 99, c’était la bataille des navigateurs, et chacun (Netscape et Microsoft) cherchait à gagner des parts de marché en rajoutant, à la va-vite, de nouvelles fonctionnalités et en copiant (via du reverse engineering) celles du concurrent. C’est d’ailleurs ce qui a donné deux navigateurs incompatibles. Bien évidemment, dans un tel contexte, les considérations liées à la sécurité n’ont pas été vraiment prises en compte. C’est ainsi que Microsoft a choisi la technologie ActiveX, avec les résultats que l’on connaît. Quand Netscape a libéré son code source en mars 1998 via mozilla.org, on pensait repartir de là. Mais quelques mois plus tard, il a été décidé de tout reprendre à zéro, en partie parce que le code était vieillissant, et en partie pour la sécurité. Partir sur une base saine, tout en appliquant des méthodes rigoureuses de développement, a permis de faire de Firefox un produit intrinsèquement bon en termes de sécurité, même si aucun produit n’est jamais parfaitement sécurisé. Peut-être faudrait-il que je détaille un peu plus ce processus : Chaque morceau de code est scruté par un « reviewer » (un autre développeur, souvent le responsable du module où doit aller le code) pour approbation. Faute d’approbation, le développeur doit revoir son code ; On passe ensuite à l’étape de la « super-review », où un développeur reconnu comme particulièrement compétent et ayant une vue d’ensemble de produit en entier relis le code et fait des remarques, qui peuvent pousser le développeur à retravailler son code ; Il y a, pour certaines parties du code particulièrement sensibles, la possibilité d’avoir une «security review», par des experts en sécurité. Tout ce processus se fait de façon transparente via une application Web que nous avons développée, Bugzilla. Le code est traçable, et si son insertion provoque une baisse de performance ou pire, des erreurs à la compilation, alors on sait retrouver qui l’a inséré. Cela aussi est librement accessible sur le Web. Enfin, et ça n’est pas la moindre des choses, des dizaines de milliers de personnes testent les versions successives (les « nightlies ») et peuvent faire part des problèmes qu’ils rencontrent, toujours via ‘bugzilla’. C’est un outil formidable d’assurance qualité, qui est lié au développement collaboratif. De plus en plus d’entreprises adoptent Firefox et le déploient à grande échelle. L’insécurité d’IE est-il le premier argument avancé par ces sociétés pour motiver la migration vers Firefox ? Quels sont les retours et cas « utilisateurs » dont vous disposez ? La sécurité est indéniablement une préoccupation, mais ça n’est pas la seule. Ils sont aussi très sensibles aux fonctionnalités (navigation par onglets, mécanisme d’extensions, support de la technologie RSS) et aussi, surtout chez les grands comptes, par l’aspect multi plate-forme. En effet, il est important, aussi bien pour le navigateur que pour le client de messagerie, de disposer d’applications homogènes sur toutes les versions de Windows, sur Mac OSX et sur Linux. N’oublions pas non plus que Firefox et Thunderbird sont des projets très vivants, qui progressent très rapidement, à la différence de certains de leurs concurrents. Avec Thunderbird, les utilisateurs pourront se passer de Outlook ou Outlook Express. Prévoyez-vous un support de la messagerie Microsoft Exchange ? Je ne saurai pas répondre à votre question dans l’état actuel des choses. Mais il faut savoir que des composants libres offrent déjà ce support, du moins en théorie. Reste à savoir s’il est prévu de les adapter sur Thunderbird. Nous le ferons si nos clients le désirent. Il n’en reste pas moins que Thunderbird est un remplaçant d’Outlook Express (offrant en particulier l’anti-spam) plutôt que d’Outlook. En effet, Thunderbird n’a pas de fonctionnalité d’agenda partagé, pour l’instant. Bien que tous vos efforts se portent sur la sécurité, il arrive qu’une faille soit découverte. Comment gérez-vous ces incidents ? Quels « process » avez vous mis en place pour assurer une correction rapide et pérenne du problème ? Une adresse email, security@mozilla.org, est disponible. C’est le moyen le plus rapide de signaler une faille, éventuellement en complément d’un rapport de bogue sur Bugzilla. Ensuite, il y a un système de mise à jour automatique dans Firefox pour déployer le correctif. L’exploitation massive de vulnérabilités, grâce à un « ver » par exemple, est bien souvent conditionnée par la publication et la diffusion d’un exploit. Vous qui oeuvrez dans le monde de l’open source, que pensez vous du « full-disclosure » ? Nous considérons qu’il est plus raisonnable de donner l’information à l’éditeur (qu’il soit Libre ou propriétaire) avec une période raisonnable de silence, pour lui donner le temps de corriger la faille. Pour encourager ce comportement, nous avons mis en place un programme de « bug Bounty », qui permet à ceux qui respectent les règles du jeu de toucher une prime de 500 dollars. Quelles sont les ambitions de Mozilla ? Allez-vous garder ce « focus » sur la sécurité dans vos prochains développements ? Quels sont vos prochains développements ? La sécurité n’est pas une fin en soi. Tous les produits devraient être sécurisés, en particulier quand il s’agit de produits se connectant à Internet. Nous avons dans nos cartons un client d’agenda partagé, « Sunbird », qui complétera Thunderbird. Il faut aussi savoir que Mozilla, pour ses propres besoins, a développé une technologie, XUL, basée sur XML, qui permet d’écrire des applications riches multi-plate-formes. Un peu ce que promet XAML dans le futur Longhorn de Microsoft, mais pour Windows uniquement. L’intérêt de XUL, c’est que c’est une plate-forme Libre (donc pas d’éditeur pour verrouiller les utilisateurs) et qu’elle est disponible dès aujourd’hui : les 15 millions d’utilisateurs de Firefox utilisent XUL tous les jours sans le savoir ! XUL est indéniablement à surveiller de près. Et votre mot de conclusion ? Puisque nous parlons de sécurité, je voudrais réaffirmer qu’aucun produit n’est 100% infaillible. Mais nous espérons, grâce à notre réactivité, nos processus de développement, la qualité de notre base de code et l’excellent contrôle qualité effectué avec la communauté, que les produits Mozilla seront bien placés dans ce domaine. (*) pour Vulnerabilite.com