Dans le vaste monde de la bidouille informatique, certains estiment que les méthodes traditionnelles manquent cruellement de panache. Pourquoi se contenter de simples variables d'environnement quand on peut carrément manipuler les entrailles du système d'exploitation ? C'est le pari relevé par un projet open source récent qui propose de marier les namespaces de Linux avec l'écosystème Tor. L'idée : offrir à n'importe quelle application récalcitrante une capsule de survie réseau parfaitement étanche.

Baptisé avec beaucoup de sobriété, l'outil en question utilise des mécanismes d'isolation du noyau introduits au début des années 2000 pour Docker et consorts. Au lieu de se reposer sur de gentils préchargements de bibliothèques dynamiques qui finissent toujours par fuiter à la moindre ligne de code un peu trop audacieuse, notre programme crée carrément un monde miniature. Dans cette réalité alternative, les interfaces réseau classiques n'existent pas, remplacées par une interface virtuelle dédiée et un gestionnaire de trafic sur mesure.

Le résultat est un petit chef-d'œuvre de paranoïa technique où le processus fils se démène comme un beau diable pour monter ses propres systèmes de fichiers virtuels, configurer ses résolveurs DNS et transmettre des descripteurs de fichiers avant de s'effeuiller de tous ses privilèges comme une star de music-hall. Bien que l'outil en soit encore à ses premiers balais et ne rivalise pas encore avec l'ancienneté vénérable de certains ancêtres en C, il démontre une ambition réjouissante.

Évidemment, les auteurs préviennent avec honnêteté que l'immunité n'est jamais totale si l'on s'amuse à faire dialoguer des instances logicielles en dehors de leur bocal. Mais saluons l'effort : voilà une magnifique manière de compliquer joliment des tâches simples, simplement parce qu'on le peut et que c'est tout de même beaucoup plus rigolo.