A la place de IE ?

Le Sun, 24 Oct 2004 08:58:18 +0000, Christophe Lephay a écrit :

Là tu me surprends un peu. Aurais-tu un exemple concret de tels trous béants
qui ne serait pas lié à un bug(*) ?
(*) Ce que j'appelle du code robuste est du code permettant tant de limiter
l'apparition de bugs que leurs effets.

Des exemples aussi divers que variés...

ARP Cache poisoning : détournement de faiblesses structurelles du
mécanisme de gestion du cache et des différences d'interprétation de la
RFC par les éditeurs/constructeurs. Bug utilisé : aucun.

MacOS X : utilisation d'une fonctionnalité d'affectation du serveur
d'authentification par DHCP et de l'association automatique par défaut
aux réseaux sans fil ouverts pour élever son niveau de privilège
(localement ou à distance selon les services offerts). Bug exploité,
aucun, juste une fonctionnalité dont on a abusé.

WindowsXP : mauvaise restriction du passage d'un profil WiFi à un autre
permet à un AP malicieux d'associer un utilisateur et d'établir des
connexions pour attaquer son poste. Bug exploité, aucun, juste une
mauvaise gestion des profils WiFi.

Applications Web : la plupart des failles présentes sur les applications
Web (SQL injection, directory traversal, command injection, etc.)
n'utilisent pas de bugs, mais une mauvaise compréhension par le
programmeur des spécificités de ce type d'application et des
conséquences des choix d'options et de structures de données qu'il
utilise.

Unix : dès lors qu'un utilisateur est root sur une machine accédant à
des exports NFS, il peut outre-passer les permissions données aux
fichiers. Bug exploité : aucun, il s'agit d'une faille structurelle
inhérente à la spécification du protocole.

IIS : faille en directory traversal par double encodage Unicode (support
de Nimda). Bug exploité : aucun, il s'agit d'une mauvaise gestion des
encodages par le programme, ce qui l'amène à ne pas décoder
complètement l'URL avant le passage par la case vérification.

Il n'y a pas que les failles de programmation dans la vie.

(les termes "exécution de code arbitraire" et "non-vérification des
entrées" impliquent souvent un débordement de tampon).

Que de raccourcis... La quasi-totalité des failles sur des applications
Web dynamiques résultent de mauvaises vérifications des entrées et ne
sont pas pour autant des débordements de tampon (y'a pas que les
débordements de tampon dans la vie).

On y trouve un recensement des bugs repérés mais aucune analyse en
termes de design.

Il y a pas mal d'articles qui traînent sur la manière dont Windows gère
les RPC (ou plutôt gérait, puisque le SP2 apporte des modifications). Il
est communément admis que cette gestion est structurellement faible.

En particulier, il n'était pas rare à l'époque (celle du décollage
de Windows NT Server) qu'un même serveur fasse office de serveur de
domaine en même temps que de serveur Web, FTP ou mail, ce qui en
faisaient des cibles privilégiées.

Parce qu'il n'existe aucun administrateur Unix pas compétent, et aucune
machine Unix sur Terre présentant autant de services...

Je ne dis pas que IIS est bien conçu, pas plus que je ne dis qu'il est
mal conçu. Je dis simplement que le type de failles me semblent du
même ordre que celles qu'on trouve ailleurs, et que leur nombre peut
s'expliquer tout autant par des explications purement humaines ou
sociologiques que par des problèmes de conception non sécurisée.

Si on passe les failles de programmation en tout genre, il me semble
qu'une faille comme celle qui sert de base à Nimda que j'ai citée plus
haut tient beaucoup plus de faille de conception que de la faille de
programmation. Quant à l'administrateur, je ne vois pas ce qu'il peut
bien y faire, à part constater et patcher.

Mais précisément pour cette raison, plus le fait qu'il est impossible
d'auditer le code source, il est impossible d'établir une quelconque
mesure qui soit fiable voire simplement éclairée.

On n'a pas besoin du code source pour étudier le fonctionnement d'un
programme. Voir MISC 14 sur le reverse engineering.

[Nombre de failles vs. utilisation du programme]

Il y a tout de même une assez forte corrélation.

C'est faux, c'est contredit par les faits. IIS vs. Apache en est un
exemple parfait. On pourra citer aussi, dans des mesures moindres, MySQL
vs. SQL Server vs. Oracle, ou même Exchange vs. Sendmail.

Comme je l'ai dit plus haut, ce sont des références sérieuses en
matière de recensement des bugs mais qui n'apporte pas réellement
d'information technique (ceci dit, j'ai profité de l'occasion pour les
mettre dans mes favoris).

Je pense qu'il faudrait penser à remettre un peu de rationalité dans ce
discours en s'appuyant sur des faits concrets et pas sur des impressions.
Par exemple, établir une relation entre le nombre de failles et la
visibilité des logiciels est un lieu commun largement mis à mal par les
faits. C'est la bonne excuse pour ne pas avouer qu'on a du code mal foutu
lorsqu'on est un éditeur important, que Microsoft n'est d'ailleurs pas le
seul à utiliser d'ailleurs (on pensera à Oracle par exemple).


--
BOFH excuse #189:

SCSI's too wide.

Cedric Blancher wrote:

Il n'y a pas que les failles de programmation dans la vie.

Je n'ai jamais prétendu le contraire...

(les termes "exécution de code arbitraire" et "non-vérification des
entrées" impliquent souvent un débordement de tampon).

Que de raccourcis... La quasi-totalité des failles sur des
applications Web dynamiques résultent de mauvaises vérifications des
entrées et ne sont pas pour autant des débordements de tampon (y'a
pas que les débordements de tampon dans la vie).

Je n'ai jamais dit que toutes les failles étaient associées à des
débordements de tampon...

On y trouve un recensement des bugs repérés mais aucune analyse en
termes de design.

Il y a pas mal d'articles qui traînent sur la manière dont Windows
gère les RPC (ou plutôt gérait, puisque le SP2 apporte des
modifications). Il est communément admis que cette gestion est
structurellement faible.

Ce qui me gène d'une manière générale, c'est que les propos des experts sont
noyés par le bruit de ceux qui ne font que suivre la mode. C'est la mode de
critiquer Microsoft. Parfois pour des raisons techniques, parfois pour des
raisons politiques, idéologiques ou commerciales. Parfois justifiées,
parfois non. Ce qui m'intéresse, ce sont des faits précis et analysables
rationnellement plutôt que de suivre la mode aveuglément.

En particulier, il n'était pas rare à l'époque (celle du décollage
de Windows NT Server) qu'un même serveur fasse office de serveur de
domaine en même temps que de serveur Web, FTP ou mail, ce qui en
faisaient des cibles privilégiées.

Parce qu'il n'existe aucun administrateur Unix pas compétent, et
aucune machine Unix sur Terre présentant autant de services...

Mon propos consistait à rechercher des hypothèses plausibles en me faisant
l'avocat du diable. Je ne pense pas à aucun moment être entré dans la
caricature.

Mais précisément pour cette raison, plus le fait qu'il est impossible
d'auditer le code source, il est impossible d'établir une quelconque
mesure qui soit fiable voire simplement éclairée.

On n'a pas besoin du code source pour étudier le fonctionnement d'un
programme. Voir MISC 14 sur le reverse engineering.

Malgré tout, ça aide pas mal, et la tâche n'est pas nécessairement si aisée
que ça même avec le code source...

[Nombre de failles vs. utilisation du programme]

Il y a tout de même une assez forte corrélation.

C'est faux, c'est contredit par les faits. IIS vs. Apache en est un
exemple parfait. On pourra citer aussi, dans des mesures moindres,
MySQL vs. SQL Server vs. Oracle, ou même Exchange vs. Sendmail.

Je prends note...

Je pense qu'il faudrait penser à remettre un peu de rationalité dans
ce discours en s'appuyant sur des faits concrets et pas sur des
impressions.

Je pense que c'est ce que je me suis efforcé de réclamer...

Par exemple, établir une relation entre le nombre de
failles et la visibilité des logiciels est un lieu commun largement
mis à mal par les faits.

Pourtant, lieu commun ou pas, il me semble logique qu'un logiciel soit
d'autant plus étudié qu'il est répandu. Mais c'est vrai qu'entre la théorie
et la pratique...

C'est la bonne excuse pour ne pas avouer
qu'on a du code mal foutu lorsqu'on est un éditeur important, que
Microsoft n'est d'ailleurs pas le seul à utiliser d'ailleurs (on
pensera à Oracle par exemple).

Personnellement, je n'ai pas de parti pris. Je n'ai pas à m'excuser pour
telle ou telle erreur de la part de microsoft. Le but de tout ce que j'ai pu
dire dans ce thread consistait précisément à essayer d'obtenir des faits
réels et détaillés si possible pour bien distinguer l'information pertinente
du simple cliché. Mais visiblement, il y a des sujets qui fachent et il
semble impossible de les aborder sans passer pour un trolleur.

Fin de la discussion pour ce qui me concerne...

Chris

Cedric Blancher wrote:

On est parti de la difficulté de pirater une machine sans connaissance
préalable, et maintenant on arrive à une machine X dont on connaît
tout

Je parlais d'une machine X dont on ne connait rien initialement.

Ce thread devient suffisamment
trollesque comme ça pour qu'on ne commence pas à en rajouter en plus
avec des "c'est pas ce que je voulais dire" ou "tu m'as mal compris".

Personnellement, j'ai tenu à corriger une phrase d'un de mes posts car je la
trouvais ambigue. Mon but n'était pas de me justifier (particulièrement dans
la mesure où j'ai fait cette rectification avant que quiconque n'y réponde).

Si tu reproches à ce thread de partir dans tous les sens, tu y as pourtant
largement ta responsabilité dans la mesure où j'ai juste corrigé une phrase
et que tu en as profité pour partir dans une diatribe s'écartant largement
du sujet initial.

Personnellement, tant qu'il y a des infos utiles, je n'y vois pas
d'inconvénient. Par contre, je trouve étrange de me reprocher précisément ce
que toi tu y as apporté.

Chris

Le Sun, 24 Oct 2004 18:06:47 +0000, Christophe Lephay a écrit :

Personnellement, je n'ai pas de parti pris. Je n'ai pas à m'excuser pour
telle ou telle erreur de la part de microsoft. Le but de tout ce que j'ai pu
dire dans ce thread consistait précisément à essayer d'obtenir des faits
réels et détaillés si possible pour bien distinguer l'information pertinente
du simple cliché.

Les faits sont très difficiles à isoler des bruits, en particulier
lorsque les gens qui les colportent n'ont pas la moindre idée des notions
techniques sous-jacentes.
Mon point de vue, c'est qu'il n'y a pas de logiciel sûr quand on parle de
sécurité. Maintenant, il y en a de mieux construit que les autres, et
ça ne tient pas forcément du fait qu'ils soient libres, répandus ou je
ne sais quoi. Par contre, il est clair que certains softs sont mal
conçus. Qu'un navigateur charge automatiquement un script lorsque celui
est passé par un tag IMG est une erreur flagrante de conception. Et
franchement, je trouve que le navigateur dont il est question dans ce
thread en collectionne une bonne tripotée (en plus des failles de
programmation plus classiques).


--

Je n'arrive pas à lancer refexion x de mon poste windows sur mon serveur
Linux. Y a t'il qqe chose de particulier à configurer coté Linux
T'arrives pas à lancer Reflexion X ? Quelle bite !

-+- MK in Guide du Fmblien Assassin : "X ? C'est classé !" -+-

la principale raison pour la qu'elle je n'utilise pas IE c'est pas la
sécurité c'est que 1 ca plante assez svt et ca me gave
2 IE n'est pas un vrai navugateur au norme ! il y a plein de fonction qu'il
n'affiche pas et qui font que de bo site programmer par de bon programmeur
paraisse moche ou sans attraits ! exemple le changement de fond d'un
paragraphe au passage de la souris n'est pas supporter ! donc moi j'utilise
netscape ou mozilla qui on en plus plein de fonctionalité. Mais IE reste
indispensable car certain site ne marche pas ou pas bien sous les autres (
mais rassurer vous j'en ai rencontrer peut être 10 sur des centaines que
j'ai visiter)

Le 03 Nov 2004 19:45:50 GMT, VaN <abaq@free.fr> a ecrit:

...Mais IE reste
indispensable car certain site ne marche pas ou pas bien sous les autres (
mais rassurer vous j'en ai rencontrer peut être 10 sur des centaines que
j'ai visiter)
Et certaines applications qui requierent ie pour s'installer, Autocad

LT2000, Kaspersky 4.5.0.xx par ex.. Ou encore Giant antispyware
1.0.xxx qui réclame carrément ie6, mais comme, amha, il est plus
performant que Spysweeper 3.0.xxx, qui lui même est mieux que
PestPatrol 4.3.xx, alors j'ai cédé à ses caprices.
J'utilise FireFox depuis 0.82, parce qu'il est moins connu, des
plugins efficaces, et moins sujet à être troué comme ie.

A ajouter GHOST (2003 il me semble) qui m'avait jeté car PC
ne disposant pas de IE6 egalement...

Je n'utilise plus IE pour ma part, mais Mozilla, maintenant,
comme je le dis sur ma page, je deconseille fortement
de desinstaller IE de son PC...

Il peut parfois etre utile dans certains cas...
A+
Ludovic
http://inforadio.free.fr/protect_virus.htm