Les mainteneurs du noyau Linux explorent un prototype appelé « Linux ID » visant à moderniser l’authentification des contributeurs et la signature du code, en remplaçant progressivement la traditionnelle web of trust PGP par des standards d’identité décentralisée.
Contexte
Depuis des décennies, le développement du noyau Linux s’appuie sur PGP et la « web of trust » : des clés PGP signées lors de rencontres (key‑signing parties) ou d’échanges directs, utilisées pour vérifier commits et tags Git. Ce mécanisme a toutefois montré ses limites — notamment après la compromission de kernel.org en 2011 et la tentative d’introduction d’une backdoor via la bibliothèque xz — et il est devenu lourd à gérer (clés expirées, processus manuel, risques de social engineering).
Ce qui est proposé
Les responsables du projet, via la Linux Foundation Decentralized Trust et des partenaires (Affinidi, etc.), présentent un prototype appelé ici « Linux ID ». Plutôt qu’une web of trust monolithique, Linux ID repose sur des standards modernes d’identité décentralisée :
- DIDs (identifiants décentralisés) et DID documents (ex.
did:web) pour associer identifiants et clés publiques ; - Verifiable Credentials (attestations vérifiables) pour prouver des éléments comme « cet individu est bien réel », « est employé par X » ou « est reconnu par ce mainteneur » ;
- Protocoles de messagerie décentralisée (REST, DIDComm…) et DIDs pairwise éphémères pour limiter la corrélation et protéger la vie privée.
Principes clefs
- Issuer‑agnostic et composable : différentes autorités (gouvernements, employeurs, la Linux Foundation, prestataires tiers) peuvent émettre des attestations ; les chemins de confiance peuvent se croiser.
- Attestations courtes et révoquables : préférence pour des credentials à durée limitée (jours/semaines) et registres de révocation, pour limiter l’impact d’une compromission.
- Transparence et audit : intégration possible avec des transparency logs / registres d’audit pour tracer et contester des attestations ou actions.
- Support pour délégation : possibilité de donner des pouvoirs limités à des agents (ex. agents IA ou services CI) via des credentials distincts, révoquables si besoin.
Avantages attendus
- Hausse du coût pour un attaquant : il faudra accumuler et entretenir plusieurs attestations éphémères et éviter d’être dénoncé par des registres et logs publics.
- Meilleure granularité de confiance : contrôles adaptatifs selon le rôle (commit, merge, publication), et choix locaux des émetteurs de confiance par différentes communautés.
- Respect de la vie privée : utilisation de DIDs éphémères et séparation des relations limite la cartographie sociale des développeurs.
Limites et points d’attention
- Ce n’est pas une panacée : Linux ID n’empêchera pas automatiquement tous les types d’attaques de la chaîne d’approvisionnement.
- Adoption et gouvernance : il faudra définir quelles autorités émettre, quels niveaux de preuve exiger, et comment migrer l’existant (importer la web of trust PGP).
- Complexité opérationnelle : déploiement, intégration dans les flux Git existants, formation des mainteneurs et interopérabilité entre émetteurs demanderont du temps.
- Vie privée vs. transparence : équilibre entre traçabilité utile et protection des informations personnelles.
Calendrier et suite
Le projet est au stade exploratoire/prototype. Les discussions doivent passer par Linux Plumbers et le Kernel Summit ; une migration progressive est évoquée (importer la web of trust actuelle pour faciliter la transition). L’auteur de l’article estime qu’un déploiement concret pourrait intervenir dans l’année qui suit la présentation, mais cela dépendra des essais et du consensus de la communauté.
Pourquoi c’est important (impact)
Au‑delà du noyau Linux, cette approche peut servir de modèle pour d’autres projets open source et écosystèmes (notamment les projets sensibles à la sécurité ou intégrant de l’IA). En rendant l’authentification des contributeurs plus flexible et révoquable, elle offre une piste réaliste pour renforcer la résilience des chaînes d’approvisionnement logicielles.
Appel à l’action
- Si vous travaillez sur des projets open source : commencez à vous informer sur DIDs et Verifiable Credentials.
- Pour les mainteneurs : suivez les discussions aux prochains Linux Plumbers / Kernel Summit et testez les outils prototypes.
- Pour les entreprises : envisagez d’expérimenter des émetteurs d’attestations internes (employeur → credential) pour accélérer l’adoption.
Source
Article source : ZDNet — “Linux explores new way of authenticating developers and their code — here’s how” (Steven Vaughan‑Nichols) : https://www.zdnet.com/article/linux-kernel-maintainers-new-way-of-authenticating-developers-and-code/
Si vous le souhaitez, je peux générer une version HTML optimisée pour l’éditeur WordPress (avec balises prêtes à coller), une version courte (300–400 mots) ou un brief pour une image.
