Alors que l'industrie informatique introduit de plus en plus d'outils de sécurité pour les systèmes et les réseaux, les utilisateurs s'intéressent de plus en plus aux logiciels libres pour voir si leurs avantages potentiels dépassent leurs inconvénients potentiels.
Bien que les systèmes de sécurité disponibles gratuitement existent depuis longtemps, ils n'ont jamais été aussi largement utilisés que le système d'exploitation Linux et le serveur Web Apache. John Pescatore, directeur de la recherche sur la sécurité Internet chez Gartner, a noté que les logiciels gratuits représentent désormais 3 à 5 % des déploiements de sécurité, mais que ce chiffre pourrait atteindre 10 à 15 % d'ici 2007.
La principale raison de ce potentiel réside dans la qualité des nombreux packages de sécurité disponibles gratuitement. , a noté Eugene Spafford, directeur du Centre d'éducation et de recherche sur la sécurité de l'information à l'Université Purdy.
Les produits logiciels gratuits comprennent des outils gratuits pouvant être téléchargés sur Internet, des packages pour lesquels les fabricants proposent des services de support commercial et des outils supplémentaires inclus avec les produits commerciaux.
Les outils les plus populaires incluent Netfilter et iptables ; des systèmes de détection d'intrusion tels que Snort, Snare et Tripwire ; des scanners de vulnérabilités de sécurité tels que Kerberos ; pare-feu, notamment T.Rex.
Certaines entreprises ont même commencé à utiliser des systèmes de sécurité disponibles gratuitement pour sécuriser leur infrastructure critique.
Intérêt grandissant
Les professionnels de l’informatique utilisent à des degrés divers des outils de sécurité disponibles gratuitement depuis environ 15 ans. De grandes entreprises, des consultants en sécurité et des prestataires de services s'intéressent désormais de plus en plus à ces outils, capables d'adapter ces logiciels aux besoins d'utilisateurs spécifiques. Par exemple, EDS a commencé à utiliser les outils de sécurité disponibles gratuitement d'Astaro pour sécuriser le composant frontal des sites Web de plusieurs coopératives de crédit offrant des capacités de traitement des transactions.
Les intégrateurs de systèmes de sécurité de l'information reconnaissent que les utilisateurs sont attirés par le faible prix des outils distribués gratuitement. Par exemple, Richard Mayr, directeur général de R2R Informations und Kommunikations, a souligné que son entreprise propose son pare-feu commercial depuis de nombreuses années. Cependant, les données collectées montrent que 75 % des clients de l'entreprise préfèrent les analogues distribués gratuitement. Guardent propose un abonnement de sécurité Internet de 1 500 $ par mois basé sur son Security Defense Appliance. La solution combine des composants commerciaux, tels que le pare-feu PIX de Cisco Systems, avec des composants disponibles gratuitement, notamment iptables, Nessus et Snort. Un service similaire reposant uniquement sur des produits commerciaux peut coûter environ 10 000 dollars.
Dans le même temps, C2Net Software, récemment acquis par Red Hat, a développé son serveur Web commercial Stronghold Secure basé sur Apache et OpenSSL - une boîte à outils distribuée gratuitement qui implémente des protocoles de sécurité au niveau du socket et du transport, et contient également un rendez-vous communs à la bibliothèque cryptographique.
Selon le consultant en sécurité Paul Robichaux de Robichaux & Associates, il est peu probable que les organisations ayant des exigences juridiques spécifiques en matière de sécurité, comme celles des secteurs de la santé et de la finance, utilisent des outils disponibles gratuitement. Au lieu de cela, ils continueront probablement à dépendre des fabricants envers lesquels ils peuvent tenir pour responsables des failles de sécurité. Robichaux estime que les systèmes de sécurité disponibles gratuitement seront plus susceptibles d'être utilisés par des sociétés de conseil et de services qui connaissent déjà ces outils et leur font confiance, ainsi que par des entreprises dont les services informatiques ont déjà essayé de telles solutions.
Outils de sécurité gratuits : avantages et inconvénients
Comparons les outils gratuits et commerciaux en termes de coût, de qualité et de support technique.
Dépenses. L’un des principaux avantages des outils distribués gratuitement est leur coût inférieur à celui des produits commerciaux. De tels systèmes sont distribués gratuitement ou à des prix très bas et, de plus, soit ils ne prévoient aucun paiement de licence, soit ces paiements sont nettement inférieurs à ceux des produits commerciaux. Cependant, certains utilisateurs ont appris de leur propre expérience que cette déclaration est pleinement applicable aux outils distribués gratuitement.
Cependant, Buddy Baxter, responsable technique d'EDS pour les solutions d'infrastructure pour les coopératives de crédit, estime que ce n'est pas parce qu'un produit coûte plus cher qu'il sera plus sécurisé. Selon lui, EDS peut installer un système de sécurité basé sur l'outil logiciel Astaro, qui coûtera quatre fois moins cher qu'un produit commercial de Check Point Software Technologies.
Qualité. Jerry Brady, directeur technologique de Guardent, a confirmé que certains outils de sécurité disponibles gratuitement sont aussi performants, voire meilleurs, que leurs homologues commerciaux. Par exemple, a-t-il déclaré, le scanner de vulnérabilités de sécurité Nessus offre de meilleures capacités de traitement distribué, de déclenchement à distance et de planification que de nombreux produits commerciaux. , a-t-il souligné.
Cependant, Marcus Ranum, expert en sécurité et responsable de NFR Security, s'y oppose : .
Spafford est d'accord avec lui : .
Les partisans des solutions open source soutiennent qu'il y a tellement de gens qui étudient le code open source qu'ils peuvent trouver des problèmes beaucoup plus rapidement que le nombre limité de développeurs qui créent un produit commercial pour une entreprise donnée. , a déclaré Mike Curtis, directeur de recherche chez Redsiren Technologies, société de services de sécurité de l'information.
De plus, comme l'a souligné Curtis, les développeurs de logiciels open source peuvent réagir plus rapidement aux failles de sécurité que les entreprises commerciales simplement parce qu'ils sont moins occupés et moins bureaucratiques. , il pense.
Cependant, Ranum n’est pas d’accord avec lui : « a-t-il déclaré.
De nombreux partisans des sources fermées pensent que la qualité d'un programme, et non le nombre de personnes qui l'étudient, est plus importante pour trouver des bogues dans un programme. Ils soutiennent que les experts en logiciels de l'entreprise travaillant sur leurs propres produits produisent un meilleur travail que ceux qui étudient les packages disponibles gratuitement.
Spafford partage également son opinion. , il a noté.
Soutien. Les partisans des logiciels commerciaux affirment que leurs fournisseurs, contrairement aux fournisseurs de logiciels libres, offrent une assistance et d'autres ressources pour aider les clients à rencontrer des problèmes. Mais cette approche permet également à ceux qui proposent des services d’accompagnement aux utilisateurs de logiciels de sécurité gratuits de renforcer leurs positions.
Brady l'a remarqué.
D'autres questions. Certains partisans du code source fermé estiment que la disponibilité de code gratuit permet aux pirates informatiques de comprendre beaucoup plus facilement comment contourner ces protections. Cependant, les partisans des solutions distribuées gratuitement affirment que ce n'est pas le cas, car les pirates informatiques sont capables de briser la protection organisée à l'aide de produits commerciaux. Dans le même temps, ils notent que les outils de sécurité disponibles gratuitement sont plus faciles à mettre en place car le code source est disponible.
Projets gratuits connus
Examinons quelques outils de sécurité importants disponibles gratuitement.
Kerberos
Technologie d'authentification et de chiffrement Kerberos ( http://www.mit.edu/kerberos/www) a été développé au Massachusetts Institute of Technology en 1987. Depuis lors, cette technologie est devenue une norme, grâce au travail du groupe de travail sur la technologie d'authentification commune, formé au sein de l'Internet Engineering Task Force.
Des versions gratuites de Kerberos sont disponibles pour les plates-formes Macintosh, Unix et Windows. Des implémentations commerciales ont été créées par Microsoft, Oracle, Qualcomm et un certain nombre d'autres sociétés. Microsoft a suscité les critiques des acteurs du marché en intégrant une version de Kerberos dans Windows 2000 qui n'était pas entièrement conforme à la norme.
Renifler
Renifler ( www.snort.org) est considéré comme l’un des outils de sécurité disponibles gratuitement les plus populaires. Selon Marty Reusch, développeur principal de Snort, cette application est utilisée par 250 à 500 000 personnes. Ce logiciel dispose d'un groupe de supporters actifs et d'une documentation très détaillée.
Snort est un système simplifié de détection d'intrusion réseau capable d'effectuer une analyse en temps réel du trafic et des paquets enregistrés sur les réseaux IP. Lancé en 1998, Snort aide à identifier les failles de sécurité potentielles en effectuant une analyse des paquets basée sur le protocole ainsi que des recherches de correspondance de modèles sur le contenu. Ce système est capable de détecter l'activité des sondes et de détecter diverses violations de sécurité telles que les débordements de tampon, les analyses de ports furtives et les attaques d'interface de passerelle commune.
Snort fonctionne sur diverses plates-formes, notamment FreeBSD, Linux, MacOS, Solaris et Windows.
Piège
System Intrusion Analysis and Reporting Environment est un système de détection d'intrusion hébergé conçu pour les systèmes Linux. Alliance InterSect ( www.intersectalliance.com), qui regroupe des consultants spécialisés dans les questions de sécurité, a développé et publié Snare en novembre 2001.
Snare utilise une technologie de module chargé dynamiquement pour interagir avec le noyau Linux au moment de l'exécution. En utilisant uniquement les modules nécessaires pour effectuer une tâche spécifique, Snare réduit la charge sur le système hôte. Et comme Snare se charge dynamiquement, les utilisateurs n'ont pas besoin de redémarrer le système ou de recompiler le noyau, comme c'est le cas avec certaines améliorations Linux.
Fil-piège
Spafford de l'Université Purdy et Gene Kim, alors étudiant, ont développé le système de détection d'intrusion Tripwire Academic Source, qui a été téléchargé par plus d'un million d'utilisateurs depuis sa sortie en 1992. Société Tripwire ( www.tripwire.com), que Kim a fondé, a ensuite complètement repensé le programme, le transformant en un produit commercial à source fermée. Tripwire propose une version gratuite pour Linux, mais vend des versions commerciales pour les plateformes Unix et Windows NT.
Nessos
Nessos ( http://www.nessus.org) est un scanner de failles de sécurité qui vous permet de vérifier à distance la sécurité d'un site Web. Les développeurs de Nessus ont publié cette boîte à outils en avril 1998. Nessus prend en charge les serveurs conformes aux exigences POSIX et fonctionnent avec les clients Java, Win32 et X11.
Saint
Security Administrators Integrated Network Tool est un scanner de vulnérabilités de sécurité (voir Figure 1) qui fonctionne avec la plupart des versions d'Unix, y compris Linux. Le scanner a été créé sur la base des outils distribués gratuitement pour analyser les défauts de sécurité Satan (outil de l'administrateur de sécurité pour l'analyse des réseaux). www.saintcorporation.com) a abandonné les anciennes versions du scanner, mais vend la dernière version, ainsi que SAINTwriter pour générer des rapports personnalisés et SAINTexpress pour mettre à jour automatiquement les signatures de défauts de sécurité.
Riz. 1. Saint - un scanner qui vérifie les vulnérabilités des systèmes. Étant donné une configuration particulière, le mécanisme de contrôle détermine si (et dans quelle mesure) Saint peut analyser un ensemble de nœuds du réseau. Le sous-système de sélection de cible crée une liste d'attaques pour les tests lancés sur les nœuds analysés. Le sous-système d'acquisition de données collecte des informations sur les résultats des sondes. À l'aide d'une base de règles, le moteur d'interaction traite les faits tout en collectant des données et en définissant de nouveaux hôtes, sondes et faits adressables. Le sous-système de résultats affiche les données collectées sous forme d'hyperespace avec lequel les utilisateurs peuvent interagir à l'aide d'un navigateur.
Netfilter et iptables
L'équipe du logiciel libre a préparé Netfilter et iptables pour l'intégration dans le noyau Linux 2.4. Filtre réseau ( www.netwilter.org) permet aux utilisateurs de surveiller les retours associés aux intrusions sur le réseau, leur permettant ainsi de détecter le fait que le système est attaqué. Utiliser iptables ( www.iptables.org) Les utilisateurs peuvent définir les actions que le système doit entreprendre si une attaque est détectée.
T.Rex
T.Rex() est un pare-feu logiciel gratuit publié par Fmont Avenue Software en 2000. Il fonctionne sur les plateformes AIX, Linux et Solaris et est actuellement utilisé par environ 31 000 utilisateurs.
Perspectives
L'utilisation généralisée de systèmes de sécurité distribués gratuitement est entravée par un certain nombre de difficultés et de problèmes.
Peur des textes ouverts
Certaines entreprises hésitent à acheter des logiciels libres car ils ne sont pas développés par une entreprise spécifique et ne sont pas pris en charge par les logiciels qu'elles ont l'habitude d'acheter. Pour cette raison, comme le prédit David Moskowitz, directeur technologique de la société de conseil Productivity Solutions, de nombreux outils distribués gratuitement ne commencent à être utilisés qu'après que les informaticiens les ont essayés de leur propre initiative et les ont progressivement mis en œuvre dans l'entreprise.
Peur
Le code étant open source, certaines entreprises craignent que les pirates informatiques créent des outils disponibles gratuitement qu'ils pourront utiliser pour infiltrer les systèmes. Robichaux a remarqué à ce sujet : , sans aucun package prêt à l'emploi ou téléchargé>.
Attestation
La certification d'un produit par des organismes gouvernementaux autorisés peut donner une impulsion sérieuse à son utilisation généralisée. Le gouvernement américain exige que les systèmes de sécurité et autres produits informatiques soient testés pour répondre à la norme fédérale de traitement de l'information par le National Institute of Standards and Technology (NIST) avant de pouvoir être achetés par les agences gouvernementales américaines.
Le coût des tests de conformité peut varier de plusieurs dizaines à plusieurs centaines de milliers de dollars. Tout cela peut empêcher les organisations qui créent des logiciels libres (et qui disposent généralement d’un budget très modeste) de certifier leur technologie. En fait, comme l'a noté Annabel Lee, directrice du programme de validation des modules cryptographiques du NIST, elle n'a connaissance d'aucun produit disponible gratuitement qui ait été certifié.
Facilité d'utilisation et de gestion
Les éditeurs de logiciels libres ont tendance à donner la priorité aux fonctionnalités plutôt qu’à la facilité d’utilisation et de gestion. De ce fait, ces applications sont parfois difficiles à déployer et à gérer. Par exemple, comme l'a noté Reusch, .
Pescatore a expliqué la situation de cette façon : .
Tout cela crée un marché restreint mais en croissance rapide pour les intégrateurs de systèmes de défense et les fournisseurs de services tels que Guardent, Redsiren et Silico Defense. Ces sociétés peuvent proposer des outils de gestion et ainsi cacher aux utilisateurs la complexité des produits gratuits, tout en fournissant également un niveau de service et de support garanti.
Astaro s'efforce de créer une infrastructure de sécurité complète intégrant de nombreuses technologies disponibles gratuitement dans une interface unique et facile à utiliser. Ernst Kelting, président de la branche américaine d'Astaro, a souligné : .
Conclusion
Simon Perry, vice-président des systèmes de sécurité chez Computer Associates, estime que l'utilisation d'outils de sécurité distribués gratuitement va augmenter, mais pas dans les grandes entreprises. Les organisations qui développent des logiciels open source ne disposent pas des ressources ou des outils de gestion nécessaires pour réaliser l'intégration requise pour assurer la sécurité sur plusieurs plates-formes, comme le font les grandes entreprises, a-t-il déclaré.
Une tendance intéressante sur le marché de la sécurité open source pourrait être le développement de modèles commerciaux combinant l’open source avec du matériel spécialisé, des outils frontaux commerciaux et/ou des garanties de niveau de service. Par exemple, Brady a noté que les fabricants pourraient combiner leurs connaissances en optimisation matérielle avec une technologie disponible gratuitement pour créer des produits tels que des décodeurs réseau prenant en charge des connexions rapides et sécurisées.
Cox l’a souligné.
Cependant, Pescatore estime que la part des revenus de tous les produits de sécurité provenant de la vente de services de support commercial pour les outils open source passera de 1 % à seulement 2 % d'ici 2007. Cela est dû en partie au fait que de nombreuses entreprises utilisent des outils gratuits plutôt que des packages open source commerciaux.
L’un des dangers associés aux outils distribués dans le code source est que les utilisateurs peuvent être bercés par un faux sentiment de sécurité en pensant que le code a été révisé par plusieurs experts. Selon Dan Geer, développeur Kerberos et directeur de la technologie chez la société de services de sécurité @Stake, .
Pour un large éventail de joueurs, de sympathisants ou simplement de curieux, les jeux de rôle sont presque certainement associés à des livres colorés et magnifiquement conçus. Leurs pages brillantes sont richement décorées d’illustrations et leurs couvertures sont des œuvres d’art de l’imprimerie. A la vue de règles colorées, le cœur d'un vrai rôliste tremble, ses yeux brûlent, mais son esprit reste calme. Après tout, ces livres magiques, qui ouvrent la voie au monde des merveilles et des aventures, coûtent une jolie somme.
Bourgeois et pirates
Livres de règles des jeux de rôle les plus populaires, parmi lesquels D&D, GURPS, Vampires : La Mascarade et quelques autres, publiés à l'étranger, en tenant compte des goûts et du portefeuille du joueur de rôle occidental. Et même ses prix sont Les jeux de rôle font parfois rêver. Pour l'amateur russe, qui est souvent un écolier ou un étudiant, achetant uniquement le Guide du Joueur D&D, qui coûte 30 $, peut signifier beaucoup de sacrifices.
Dans le même temps, comme vous le savez, pour les systèmes commerciaux, une situation est typique lorsqu'un seul livre avec les règles ne suffit pas pour démarrer le jeu. En cas de D&D Il s'avère rapidement que deux autres livres sont indispensables pour un jeu à part entière : le DM's Guide et le Monster Manual. Si on y réfléchit, ce n'est pas une mauvaise idée de débourser de l'argent pour un excellent module officiel, puis pour le contexte dans lequel ce jeu est basé. Le module a été écrit.
Avec d’autres systèmes commerciaux, la situation peut différer dans le détail, mais elle est identique dans le fond : « Ne cachez pas votre argent dans les banques et les coins ! » Bien sûr, il existe un autre moyen de s’approprier au moins un semblant de livre de règles : le piratage. Nous n’y penserons même pas, car nous pensons que tous nos lecteurs respectent le droit d’auteur et la propriété intellectuelle. La reproduction de règles sur des photocopieurs ou l'impression de scans de mauvaise qualité sont des réalités d'un passé de jeu de rôle de longue date, alors qu'il n'y avait pratiquement aucun autre moyen d'obtenir le système, et le slogan « Liberté d'information ! pris trop littéralement.
À l'étranger
Cependant, arrêtez-vous ! Nous écrivons ici des « jeux de rôle commerciaux ».
| |
Pourquoi une entreprise commerciale créerait-elle quelque chose gratuitement ? Les raisons peuvent être très différentes. Voici l’exemple le plus célèbre : l’entreprise Les sorciers de la côte , qui a créé la troisième édition D&D et bien d'autres jeux, a développé et publié un système de jeu de rôle gratuit sur Internet système d20. Vous pouvez le télécharger gratuitement depuis le site officiel et y jouer. Cadeau d20 représente en quelque sorte le squelette d'une publicité D&D. Ses textes contiennent tout ce dont vous avez besoin pour le jeu.
Ayant libéré d20 avant même le début des ventes D&D, WotC fait d'une pierre deux coups. Premièrement, il servait de « démo » pour les fans de la deuxième édition. AJOUTER, excité par les rumeurs de changements révolutionnaires dans le système indigène. Deuxièmement, d20 a été adopté par un grand nombre d'entreprises indépendantes comme standard, un métasystème unifié, pour lequel elles ont commencé à écrire une myriade de modules, paramètres et autres accessoires. Aujourd'hui, le label « compatible d20 » signifie familier
| |
Un autre exemple de jeu de rôle gratuit créé par des professionnels est le système Fuzion, rédigé conjointement par les sociétés Jeux R.Talsoriens Et Jeux de héros . Il peut également être téléchargé gratuitement sur le site officiel Jeux de héros. Contrairement à d20, qui existe actuellement sous forme de textes simples au format RTF, Fuzion sont des fichiers PDF bien conçus, adaptés à l'impression. La raison de l'apparition Fuzion servi par la même envie de créer une mécanique unifiée de la série jeux de rôle. De plus, ce projet a été un franc succès, même si le cercle des entreprises fabriquant des produits sous Fuzion, nettement plus étroit que dans le cas d20.
Cependant, pour de nombreux fans Fuzion dans tout
| |
Enfin, le système est très connu TRUQUER. Simple, pas surchargé de détails, il est bien adapté pour jouer au niveau « demi-mot », lorsque les règles ne sont utilisées que là où elles sont désespérément nécessaires. Mécanique simple TRUQUER vous permet de modifier considérablement les détails du jeu. Par exemple, l'issue d'une bataille peut être décidée soit par un seul lancer, soit au cours d'un long tour de jeu - à votre choix. Contrairement aux systèmes mentionnés ci-dessus, TRUQUER- développement de l'auteur d'un passionné nommé Stefan O'Sullivan . Et son succès montre qu’un jeu de rôle professionnel et populaire peut très bien être le fruit du travail de designers amateurs.
Nous avons
Tout ce qui précède est gratuit
| |
Si nous sommes ici en retard par rapport à nos confrères étrangers, ce n'est que dans le domaine des jeux commerciaux. Il existe un jeu de rôle national sur RuNet depuis plus de deux ans" Grand monde des dragons" ("Ministre des affaires internes"). Le système a été développé par une équipe de passionnés, ce qui n'est pas surprenant - il y a trois ans, personne dans notre pays n'était impliqué dans le développement professionnel des jeux de rôle. Mais tout a été fait sérieusement, au niveau." Grand monde des dragons"est un livre magnifiquement conçu au format PDF, qui est devenu presque un standard pour les systèmes à but non lucratif. Sur le site officiel, vous pouvez obtenir des "Règles", un "Guide du Leader" et diverses applications, telles que la chasse aux monstres et des descriptions de sorts magiques. Des logiciels (programmes) de jeux de rôle y sont également postés
| |
Commerce contre altruisme
Si vous avez déjà ressenti la possibilité de choisir entre un système commercial et un système gratuit, voyons comment bien faire les choses. Le fait est qu’un acteur expérimenté peut clairement voir fondé sur des principes différence entre les systèmes payants et gratuits. Tout jeu de rôle commercial est avant tout un produit. Par conséquent, leurs principales priorités seront la qualité des produits, l’étendue de la couverture des besoins des clients et le profit. Le profit est l’essentiel, car les gens font des affaires. Le résultat de cette approche est des livres parfaitement conçus et de haute qualité d’impression. Le matériel nécessaire au jeu est divisé en plusieurs livres - plus vous achetez de livres, plus l'entreprise est rentable. N'importe lequel de vos caprices en termes de variété sous la forme du jeu peut être satisfait - avec un livre de plus. D’un autre côté, vos tentatives pour créer quelque chose qui vous est propre au sein du système commercial s’avéreront être une tâche très longue et difficile. Il est plus facile de consacrer les mêmes efforts à gagner de l’argent, que vous pourrez ensuite dépenser pour acheter un autre livre de règles,
| |
La situation est complètement différente avec les systèmes libres. Leur trait commun est Polyvalence. Si tu as joué assez de fantasy D&D et vous voulez du space opera - bienvenue dans le magasin où vous pouvez acheter un livre de règles pour Star Wars avec un système séparé. Les deux systèmes ont la même base ( d20), mais avec seulement le Manuel du Joueur en main D&D, vous ne pourrez pas jouer à l’affrontement entre les Jedi et les Sith.
Dans le même temps Fuzion avec toutes ses applications, il couvre tout le spectre des genres d'aventure. Mais en même temps, il représente un seul système. Et c'est aussi la logique de la vie. Les développeurs de systèmes libres sont souvent motivés par des motivations altruistes et créatives. Mais ils ne veulent pas non plus faire de travail supplémentaire. Et il est plus facile d’écrire un système universel une fois qu’un pour chaque occasion.
Le prix de la polyvalence, bien sûr, est le détail et
| |
Pour un système commercial, il est très important de convenir au plus grand nombre d’acteurs possible. Par conséquent, 80 % de son livre de règles contient quelque chose dont vous n'aurez personnellement jamais besoin, mais sans lequel certains Vasya Pupkin ne peuvent imaginer un jeu normal. Il s'avère que la part du lion de l'argent durement gagné que vous avez payé pour le livre sert à satisfaire les demandes de Vasya Pupkin. En règle générale, dans un système gratuit, vous ne trouverez que ces 20 %, sans lesquels il est fondamentalement impossible de jouer. Ce dont vous, Vasya Pupkin et tout autre joueur de rôle avez besoin. Et s'il manque quelque chose au système, ajoutez-le vous-même, il y a toutes les conditions pour cela.
Et c'est une approche totalement consciente. Par exemple, dans le « Guide du présentateur » pour « Grand monde des dragons« Un chapitre entier est consacré aux moyens d'améliorer le jeu : comment créer une nouvelle race, une nouvelle classe, une nouvelle compétence ou un nouveau type d'arme, et ne pas perturber l'équilibre du système.
Faire un choix
Les systèmes gratuits ne sont le plus souvent pas appréciés par les amateurs de cadeaux, mais par les leaders créatifs qui ont tendance à incarner certaines de leurs propres idées dans les règles. Pour cette raison, une personne, même ayant de l'argent à des fins commerciales
| |
RPG gratuits en anglais :
J20 - www.opengamingfoundation.org
Fuzion - www.herogames.com/fuzion
TRUQUER - www.io.com/~sos/fudge.html
RPG gratuit en russe :
Ministre des affaires internes - www.dragonworld.rolemancer.ru
L'article utilise des illustrations réalisées par Princesse Dragon pour le jeu " Ministre des affaires internes".
| |
- Règles du jeu . Bases du jeu de rôle ; description des caractéristiques des héros, des races, des classes, des compétences. Règles de développement des personnages, règles de combat, effets de la magie.
- Guide du présentateur . Bases de la conduite, création d'un groupe de héros, prise en compte des situations de jeu de base, modification du système, psychologie du jeu.
- la magie . Descriptions de sorts pour magiciens et prêtres, règles supplémentaires.
- Bestiaire . Application au système "Monde du Grand Dragon". Exemples de descriptions de monstres, monstres, animaux.
- Feuille de personnage , conçu pour un enregistrement pratique des caractéristiques des caractères.
- Programme de création de personnages . Vous permet de créer un personnage en totale conformité avec les règles, de stocker des données le concernant et d'exporter la feuille de personnage vers MS Excel.
- "Troll fou" . Scénario (module) avec une intrigue classique pour les présentateurs et joueurs débutants.
Classification des programmes selon leur statut juridique
Les programmes, selon leur statut juridique, peuvent être divisés en trois grands groupes : sous licence, shareware et distribués gratuitement.
Programmes sous licence. Conformément au contrat de licence, les développeurs du programme garantissent son fonctionnement normal dans un système d'exploitation spécifique et en sont responsables.
Les développeurs vendent généralement des programmes sous licence dans des distributions en boîte. La boîte contient les CD à partir desquels le programme est installé sur les ordinateurs des utilisateurs, ainsi qu'un manuel d'utilisation pour utiliser le programme.
Très souvent, les développeurs offrent des remises importantes lors de l'achat de licences permettant d'utiliser le programme sur un grand nombre d'ordinateurs ou d'établissements d'enseignement.
Programmes de shareware. Certaines sociétés de développement de logiciels proposent des programmes shareware aux utilisateurs à des fins de publicité et de promotion commerciale. L'utilisateur dispose d'une version du programme avec une certaine période de validité (après l'expiration de la période de validité spécifiée, le programme cesse de fonctionner si le paiement n'a pas été effectué) ou d'une version du programme avec des fonctionnalités limitées (en cas de paiement, l'utilisateur reçoit un code qui comprend toutes les fonctions du programme).
Les producteurs de logiciels libres s'intéressent à leur large diffusion. Ces outils logiciels sont les suivants :
Logiciel gratuit. De nombreux fabricants de logiciels et de matériel informatique souhaitent une distribution gratuite et généralisée de logiciels. Ces outils logiciels incluent :
· Nouvelles versions inachevées (bêta) des produits logiciels (cela permet de les tester largement).
· Produits logiciels faisant partie de technologies fondamentalement nouvelles (cela permet de conquérir le marché).
· Ajouts aux programmes précédemment publiés qui corrigent les erreurs trouvées ou étendent les capacités.
· Pilotes pour des pilotes nouveaux ou améliorés pour les périphériques existants.
Mais quel que soit le logiciel que vous choisissez, il existe des exigences générales pour tous les groupes de logiciels :
· Pureté de la licence (l'utilisation du logiciel n'est autorisée que dans le cadre du contrat de licence).
· Possibilité de consultation et d'autres formes de soutien.
· Le respect des caractéristiques, de la configuration, de la classe et du type des ordinateurs, ainsi que de l'architecture de la technologie informatique utilisée.
· Fiabilité et performances dans tous les modes de fonctionnement proposés, au moins dans un environnement russophone.
· Disponibilité d'une interface prenant en charge le travail en langue russe. Pour les logiciels système et instrumentaux, il est acceptable d’avoir une interface en anglais.
· Disponibilité de la documentation nécessaire à l'application pratique et au développement du logiciel en russe.
· Possibilité d'utiliser des polices prenant en charge le cyrillique.
La présence d'une spécification qui précise toutes les exigences matérielles et logicielles nécessaires au fonctionnement de ce logiciel.
Bien que les systèmes de sécurité disponibles gratuitement existent depuis longtemps, ils n'ont jamais été aussi largement utilisés que le système d'exploitation Linux et le serveur Web Apache. John Pescatore, directeur de la recherche sur la sécurité Internet chez Gartner, a noté que les logiciels gratuits représentent désormais 3 à 5 % des déploiements de sécurité, mais que ce chiffre pourrait atteindre 10 à 15 % d'ici 2007.
La principale raison de ce potentiel réside dans la qualité des nombreux packages de sécurité disponibles gratuitement. « La prise en charge de certains outils de sécurité couramment utilisés est à un niveau assez élevé, et de nombreux développeurs proposent de nouveaux outils et modèles pour eux. D’une certaine manière, ces solutions entrent en concurrence avec les outils commerciaux », a déclaré Eugene Spafford, directeur du Center for Information Security Education and Research de l’Université Purdy.
Les produits logiciels gratuits comprennent des outils gratuits pouvant être téléchargés sur Internet, des packages pour lesquels les fabricants proposent des services de support commercial et des outils supplémentaires inclus avec les produits commerciaux.
Les outils les plus populaires incluent Netfilter et iptables ; des systèmes de détection d'intrusion tels que Snort, Snare et Tripwire ; des scanners de vulnérabilités de sécurité tels que Kerberos ; pare-feu, notamment T.Rex.
Certaines entreprises ont même commencé à utiliser des systèmes de sécurité disponibles gratuitement pour sécuriser leur infrastructure critique.
Intérêt grandissant
Les professionnels de l’informatique utilisent à des degrés divers des outils de sécurité disponibles gratuitement depuis environ 15 ans. De grandes entreprises, des consultants en sécurité et des prestataires de services s'intéressent désormais de plus en plus à ces outils, capables d'adapter ces logiciels aux besoins d'utilisateurs spécifiques. Par exemple, EDS a commencé à utiliser les outils de sécurité disponibles gratuitement d'Astaro pour sécuriser le composant frontal des sites Web de plusieurs coopératives de crédit offrant des capacités de traitement des transactions.
Les intégrateurs de systèmes de sécurité de l'information reconnaissent que les utilisateurs sont attirés par le faible prix des outils distribués gratuitement. Par exemple, Richard Mayr, directeur général de R2R Informations und Kommunikations, a souligné que son entreprise propose son pare-feu commercial depuis de nombreuses années. Cependant, les données collectées montrent que 75 % des clients de l'entreprise préfèrent les analogues distribués gratuitement. Guardent propose un abonnement de sécurité Internet de 1 500 $ par mois basé sur son Security Defense Appliance. La solution combine des composants commerciaux, tels que le pare-feu PIX de Cisco Systems, avec des composants disponibles gratuitement, notamment iptables, Nessus et Snort. Un service similaire reposant uniquement sur des produits commerciaux peut coûter environ 10 000 dollars.
Dans le même temps, C2Net Software, récemment acquis par Red Hat, a développé son serveur Web commercial Stronghold Secure basé sur Apache et OpenSSL - une boîte à outils distribuée gratuitement qui implémente des protocoles de sécurité au niveau du socket et du transport, et contient également un rendez-vous communs à la bibliothèque cryptographique.
Selon le consultant en sécurité Paul Robichaux de Robichaux & Associates, il est peu probable que les organisations ayant des exigences juridiques spécifiques en matière de sécurité, comme celles des secteurs de la santé et de la finance, utilisent des outils disponibles gratuitement. Au lieu de cela, ils continueront probablement à dépendre des fabricants envers lesquels ils peuvent tenir pour responsables des failles de sécurité. Robichaux estime que les systèmes de sécurité disponibles gratuitement seront plus susceptibles d'être utilisés par des sociétés de conseil et de services qui connaissent déjà ces outils et leur font confiance, ainsi que par des entreprises dont les services informatiques ont déjà essayé de telles solutions.
Outils de sécurité gratuits : avantages et inconvénients
Comparons les outils gratuits et commerciaux en termes de coût, de qualité et de support technique.
Dépenses. L’un des principaux avantages des outils distribués gratuitement est leur coût inférieur à celui des produits commerciaux. De tels systèmes sont distribués gratuitement ou à des prix très bas et, de plus, soit ils ne prévoient aucun paiement de licence, soit ces paiements sont nettement inférieurs à ceux des produits commerciaux. Cependant, certains utilisateurs ont appris de leur propre expérience que l’affirmation « vous en avez pour votre argent » est pleinement applicable aux outils distribués gratuitement.
Cependant, Buddy Baxter, responsable technique d'EDS pour les solutions d'infrastructure pour les coopératives de crédit, estime que ce n'est pas parce qu'un produit coûte plus cher qu'il sera plus sécurisé. Selon lui, EDS peut installer un système de sécurité basé sur l'outil logiciel Astaro, qui coûtera quatre fois moins cher qu'un produit commercial de Check Point Software Technologies.
Qualité. Jerry Brady, directeur technologique de Guardent, a confirmé que certains outils de sécurité disponibles gratuitement sont aussi performants, voire meilleurs, que leurs homologues commerciaux. Par exemple, a-t-il déclaré, le scanner de vulnérabilités de sécurité Nessus offre de meilleures capacités de traitement distribué, de déclenchement à distance et de planification que de nombreux produits commerciaux. « En utilisant une méthodologie disponible gratuitement, vous pouvez vous concentrer davantage sur les choses qui comptent vraiment. Pour Nessus, les problèmes de distribution sont bien moins prioritaires que les problèmes de qualité du code », a-t-il souligné.
Cependant, Marcus Ranum, expert en sécurité et responsable de NFR Security, affirme : « Je ne pense pas que les programmes soient de haute qualité simplement parce qu’ils sont distribués gratuitement. En fait, ce qui fait la qualité d'un produit, c'est son développement ciblé. Mais l’ouverture ne garantit pas cela.»
Spafford est d'accord : « La fiabilité d'un produit est déterminée principalement par sa qualité et son support. Était-il bien conçu ? Ses développeurs ont-ils été disciplinés et n'y ont-ils pas ajouté trop de fonctionnalités ? De nombreux logiciels libres sont créés par des personnes qui n'ont pas l'expertise, les outils, le temps ou les ressources nécessaires pour les réaliser aussi minutieusement que l'exige un environnement véritablement hautement fiable. »
Les partisans des solutions open source soutiennent qu'il y a tellement de gens qui étudient le code open source qu'ils peuvent trouver des problèmes beaucoup plus rapidement que le nombre limité de développeurs qui créent un produit commercial pour une entreprise donnée. "Il pourrait y avoir beaucoup plus de personnes travaillant à la recherche et à la correction des bogues dans les logiciels accessibles au public", a déclaré Mike Curtis, directeur de recherche chez Redsiren Technologies, société de services de sécurité de l'information.
De plus, comme l'a souligné Curtis, les développeurs de logiciels open source peuvent réagir plus rapidement aux failles de sécurité que les entreprises commerciales simplement parce qu'ils sont moins occupés et moins bureaucratiques. « Les développeurs de solutions open source sont plus intéressés par la correction des bugs que par l'ajout de nouvelles fonctionnalités pour la prochaine version », dit-il.
Cependant, Ranum n'est pas d'accord : « D'après ma propre expérience, je peux confirmer que très peu de spécialistes étudient réellement le code attentivement. Ils se contentent généralement de consulter les fichiers de description. La première boîte à outils de pare-feu open source que j'ai créée a été utilisée dans une certaine mesure par environ 2 000 sites, mais seulement dix personnes ont donné leur avis ou envoyé des correctifs pour corriger les bogues. Je ne compte donc pas sur les logiciels ouverts", a-t-il déclaré.
De nombreux partisans des sources fermées pensent que la qualité d'un programme, et non le nombre de personnes qui l'étudient, est plus importante pour trouver des bogues dans un programme. Ils soutiennent que les experts en logiciels de l'entreprise travaillant sur leurs propres produits produisent un meilleur travail que ceux qui étudient les packages disponibles gratuitement.
Spafford partage également son opinion. « De nombreux composants de logiciels libres se sont révélés présenter des bogues après des années d'utilisation et d'études des centaines de milliers de fois. Les bugs n'ont pas été détectés simplement parce que ceux qui révisaient le code n'avaient pas les compétences nécessaires pour le faire. Dans de nombreux cas, les utilisateurs étudient le code pour l’adapter à leurs besoins, plutôt que pour l’analyser en détail », a-t-il souligné.
Soutien. Les partisans des logiciels commerciaux affirment que leurs fournisseurs, contrairement aux fournisseurs de logiciels libres, offrent une assistance et d'autres ressources pour aider les clients à rencontrer des problèmes. Mais cette approche permet également à ceux qui proposent des services d’accompagnement aux utilisateurs de logiciels de sécurité gratuits de renforcer leur position.
« Le service d'assistance donne des garanties plus fiables au client et nous permet de lui apporter une assistance. Vous pouvez définir un accord de niveau de service et donner au fournisseur la possibilité de choisir les outils dont il a besoin et aider les clients à s'adapter aux évolutions technologiques », a noté Brady.
D'autres questions. Certains partisans du code source fermé estiment que la disponibilité de code gratuit permet aux pirates informatiques de comprendre beaucoup plus facilement comment contourner ces protections. Cependant, les partisans des solutions distribuées gratuitement affirment que ce n'est pas le cas, puisque les pirates informatiques sont capables de pirater la protection organisée à l'aide de produits commerciaux. Dans le même temps, ils notent que les outils de sécurité disponibles gratuitement sont plus faciles à mettre en place car le code source est disponible.
Projets gratuits connus
Examinons quelques outils de sécurité importants disponibles gratuitement.
Kerberos
Technologie d'authentification et de chiffrement Kerberos ( http://www.mit.edu/kerberos/www) a été développé au Massachusetts Institute of Technology et « publié » en 1987. Depuis lors, cette technologie est devenue une norme, grâce au travail du groupe de travail sur la technologie d'authentification commune, formé au sein de l'Internet Engineering Task Force.
Des versions gratuites de Kerberos sont disponibles pour les plates-formes Macintosh, Unix et Windows. Des implémentations commerciales ont été créées par Microsoft, Oracle, Qualcomm et un certain nombre d'autres sociétés. Microsoft a suscité les critiques des acteurs du marché en intégrant une version de Kerberos dans Windows 2000 qui n'était pas entièrement conforme à la norme.
Renifler
Renifler ( www.snort.org) est considéré comme l’un des outils de sécurité disponibles gratuitement les plus populaires. Selon Marty Reusch, développeur principal de Snort, cette application est utilisée par 250 à 500 000 personnes. Ce logiciel dispose d'un groupe de supporters actifs et d'une documentation très détaillée.
Snort est un système simplifié de détection d'intrusion réseau capable d'effectuer une analyse en temps réel du trafic et des paquets enregistrés sur les réseaux IP. Lancé en 1998, Snort aide à identifier les failles de sécurité potentielles en effectuant une analyse des paquets basée sur le protocole ainsi que des recherches de correspondance de modèles sur le contenu. Ce système est capable de détecter l'activité des sondes et de détecter diverses violations de sécurité telles que les débordements de tampon, les analyses de ports furtives et les attaques d'interface de passerelle commune.
Snort fonctionne sur diverses plates-formes, notamment FreeBSD, Linux, MacOS, Solaris et Windows.
Piège
System Intrusion Analysis and Reporting Environment est un système de détection d'intrusion hébergé conçu pour les systèmes Linux. Alliance InterSect ( www.intersectalliance.com), qui regroupe des consultants spécialisés dans les questions de sécurité, a développé et publié Snare en novembre 2001.
Snare utilise une technologie de module chargé dynamiquement pour interagir avec le noyau Linux au moment de l'exécution. En utilisant uniquement les modules nécessaires pour effectuer une tâche spécifique, Snare réduit la charge sur le système hôte. Et comme Snare se charge dynamiquement, les utilisateurs n'ont pas besoin de redémarrer le système ou de recompiler le noyau, comme c'est le cas avec certaines améliorations Linux.
Fil-piège
Spafford de l'Université Purdy et Gene Kim, alors étudiant, ont développé le système de détection d'intrusion Tripwire Academic Source, qui a été téléchargé par plus d'un million d'utilisateurs depuis sa sortie en 1992. Société Tripwire ( www.tripwire.com), que Kim a fondé, a ensuite complètement repensé le programme, le transformant en un produit commercial à source fermée. Tripwire propose une version gratuite pour Linux, mais vend des versions commerciales pour les plateformes Unix et Windows NT.
Nessos
Nessos ( http://www.nessus.org) est un scanner de failles de sécurité qui vous permet de vérifier à distance la sécurité d'un site Web. Les développeurs de Nessus ont publié cette boîte à outils en avril 1998. Nessus prend en charge les serveurs conformes aux exigences POSIX et fonctionnent avec les clients Java, Win32 et X11.
Saint
Security Administrators Integrated Network Tool est un scanner de vulnérabilités de sécurité (voir Figure 1) qui fonctionne avec la plupart des versions d'Unix, y compris Linux. Le scanner est basé sur l'outil distribué gratuitement pour analyser les défauts de sécurité Satan (Security Administrator's Tool for Analyzing Networks). Sainte Compagnie ( www.saintcorporation.com) a abandonné les anciennes versions du scanner, mais vend la dernière version, ainsi que SAINTwriter pour générer des rapports personnalisés et SAINTexpress pour mettre à jour automatiquement les signatures de défauts de sécurité.
Netfilter et iptables
L'équipe du logiciel libre a préparé Netfilter et iptables pour l'intégration dans le noyau Linux 2.4. Filtre réseau ( www.netwilter.org) permet aux utilisateurs de surveiller les retours associés aux intrusions sur le réseau, leur permettant ainsi de détecter le fait que le système est attaqué. Utiliser iptables ( www.iptables.org) Les utilisateurs peuvent définir les actions que le système doit entreprendre si une attaque est détectée.
T.Rex
T.Rex() est un pare-feu logiciel gratuit publié par Fmont Avenue Software en 2000. Il fonctionne sur les plateformes AIX, Linux et Solaris et est actuellement utilisé par environ 31 000 utilisateurs.
Perspectives
L'utilisation généralisée de systèmes de sécurité distribués gratuitement est entravée par un certain nombre de difficultés et de problèmes.
Peur des textes ouverts
Certaines entreprises hésitent à acheter des logiciels libres car ils ne sont pas développés par une entreprise spécifique et ne sont pas pris en charge par les logiciels qu'elles ont l'habitude d'acheter. Pour cette raison, comme le prédit David Moskowitz, directeur technologique de la société de conseil Productivity Solutions, de nombreux outils distribués gratuitement ne commencent à être utilisés qu'après que les informaticiens les ont essayés de leur propre initiative et les ont progressivement mis en œuvre dans l'entreprise.
Peur de la porte arrière
Le code étant open source, certaines entreprises craignent que les pirates ne créent des portes dérobées dans les outils distribués gratuitement par lesquelles ils pourraient pénétrer dans les systèmes. Robichaux a noté : « C'est l'un des obstacles les plus sérieux à l'adoption généralisée des logiciels open source. Cependant, cela ne signifie pas du tout qu’une telle crainte soit justifiée et ait un fondement réel. Cependant, certaines entreprises exigent que tous les logiciels gratuits utilisés dans leurs services soient créés à partir de zéro, sans aucun package pré-construit ou téléchargé. »
Attestation
La certification d'un produit par des organismes gouvernementaux autorisés peut donner une impulsion sérieuse à son utilisation généralisée. Le gouvernement américain exige que les systèmes de sécurité et autres produits informatiques soient testés pour répondre à la norme fédérale de traitement de l'information par le National Institute of Standards and Technology (NIST) avant de pouvoir être achetés par les agences gouvernementales américaines.
Le coût des tests de conformité peut varier de plusieurs dizaines à plusieurs centaines de milliers de dollars. Tout cela peut empêcher les organisations qui créent des logiciels libres (et qui disposent généralement d’un budget très modeste) de certifier leur technologie. En fait, comme l'a noté Annabel Lee, directrice du programme de validation des modules cryptographiques du NIST, elle n'a connaissance d'aucun produit disponible gratuitement qui ait été certifié.
Facilité d'utilisation et de gestion
Les éditeurs de logiciels libres ont tendance à donner la priorité aux fonctionnalités plutôt qu’à la facilité d’utilisation et de gestion. De ce fait, ces applications sont parfois difficiles à déployer et à gérer. Par exemple, comme l'a noté Reusch, "l'installation et la gestion de Snort peuvent être assez difficiles, surtout si vous n'avez pas beaucoup d'expérience dans l'écriture d'outils Unix".
Pescatore a expliqué la situation ainsi : « Avec les outils disponibles gratuitement, la plupart des connaissances s'accumulent dans la tête de ceux qui les utilisent, tandis que les fabricants de solutions commerciales sont obligés d'intégrer ces connaissances dans le produit. Je ne pense pas que les outils de sécurité disponibles gratuitement se généraliseront un jour. La plupart des gens préfèrent une approche plus simple. »
Tout cela crée un marché restreint mais en croissance rapide pour les intégrateurs de systèmes de défense et les fournisseurs de services tels que Guardent, Redsiren et Silico Defense. Ces sociétés peuvent proposer des outils de gestion et ainsi cacher aux utilisateurs la complexité des produits gratuits, tout en fournissant également un niveau de service et de support garanti.
Astaro s'efforce de créer une infrastructure de sécurité complète intégrant de nombreuses technologies disponibles gratuitement dans une interface unique et facile à utiliser. Ernst Kelting, président d'Astaro Americas, a déclaré : « Les utilisateurs ne veulent pas travailler avec des logiciels qui n'offrent pas de services de support. Nous assumons ce fardeau et soulageons les clients d’éventuelles difficultés.
Conclusion
Simon Perry, vice-président des systèmes de sécurité chez Computer Associates, estime que l'utilisation d'outils de sécurité distribués gratuitement va augmenter, mais pas dans les grandes entreprises. Les organisations qui développent des logiciels open source ne disposent pas des ressources ou des outils de gestion nécessaires pour réaliser l'intégration requise pour assurer la sécurité sur plusieurs plates-formes, comme le font les grandes entreprises, a-t-il déclaré.
Une tendance intéressante sur le marché de la sécurité open source pourrait être le développement de modèles commerciaux combinant l’open source avec du matériel spécialisé, des outils frontaux commerciaux et/ou des garanties de niveau de service. Par exemple, Brady a noté que les fabricants pourraient combiner leurs connaissances en optimisation matérielle avec une technologie disponible gratuitement pour créer des produits tels que des décodeurs réseau prenant en charge des connexions rapides et sécurisées.
Cox a souligné que « le rythme de l'adoption de l'open source va s'accélérer à mesure que le modèle de développement prend en charge l'évolution rapide de l'Internet et de l'architecture de sécurité. La réactivité aux exigences de fonctionnalités, aux nouvelles attaques et aux corrections de bugs est difficile à atteindre dans un environnement source fermé.
Cependant, Pescatore estime que la part des revenus de tous les produits de sécurité provenant de la vente de services de support commercial pour les outils open source passera de 1 % à seulement 2 % d'ici 2007. Cela est dû en partie au fait que de nombreuses entreprises utilisent des outils gratuits plutôt que des packages open source commerciaux.
L’un des dangers associés aux outils distribués dans le code source est que les utilisateurs peuvent être bercés par un faux sentiment de sécurité en pensant que le code a été révisé par plusieurs experts. Selon Dan Geer, développeur Kerberos et directeur de la technologie chez la société de services de sécurité @Stake, « Fournir un produit dans le code source ne signifie pas qu'il est exempt de bogues, mais simplement qu'il est un peu moins susceptible d'en contenir. Mais ce n'est pas une panacée. »
Georges Lawton ( [email protégé]) - journaliste indépendant.
Georges Lawton. Sécurité Open Source : opportunité ou oxymore ? IEEE Computer, mars 2002. IEEE Computer Society, 2002, Tous droits réservés. Reproduit avec autorisation.