***Avertissement*** : FireFox, SeaMonkey, Mozilla: faille grave de sécurité

Frederic Bezies a écrit :

Non. C'est le meilleur moyen de faire paniquer les personnes.

Tu paniques facilement, toi. Un sentiment d'insécurité? (voir plus bas).
Si on risque de laisser pirater ses comptes Internet ou piller son
compte bancaire, c'est mieux de prévenir.
J'ai donc proposé simplement la désactivation de l'"autocompletion" -
qui n'est quand même pas indispensable. J'utilise des macros clavier
pour tout ce que je tape régulièrement et ça marche pareil partout - non
pas uniquement dans le navigateur.

Et tu proposes quoi pour combler cette "faille" ? Rien.

Si - je propose que l'équipe 'core' des développeurs le prenne enfin au
sérieux.

Donc, il n'est pas secret.

Inconnu de la grande majorité des utilisateurs.

Qui c'est qui a la plus grosse ? ;)

Moi, certainement: car si tu n'en avais pas une trop petite tu ne
ressentirais pas le besoin de t'affirmer contre toute raison comme tu le
fais.

Ce qui crève les yeux est ce que l'on voit le moins.

C'est du chinois?

SeaMonkey ? J'ai du l'utiliser en tout et pour tout 3 mois depuis le
lancement du projet.

Je ne vois pas la pertinence de cette remarque.

En quoi cela aiderait ? Ce qui aiderait, ce serait un patch, même une
préversion.

Dis-le aux développeurs: vote sur BugZilla...
Ça ne fonctionne pas comme ça, à l'exception des 'nightlies' -
généralement réservés à ceux qui ont le temps pour jouer avec.

Et ensuite ? Combien de personnes ont été victime du dit bug ?

Combien en pourraient les devenir?

Libre à toi d'agir comme tu le veux.

Ça doit être chouette de ne pas se sentir responsable pour la sécurité
de ses clients.

Allez, fait ta bonne action.

Bien sûr - ça fait partie du service.

Mais ce que tu décris pour moi est un bug qui n'est pas si grave que
cela au final.

Ha! Tu es vraiment inconscient.

Il y a pire coté sécurité : utiliser un windows sans antivirus par
exemple.

J'ai utilisé Windows depuis 3.11 sans jamais aucun antivirus et je n'en
ai jamais chopé (mais je suis derrière deux pare-feu là).
Par contre je ne fais pas de bêtises...

Je n'ai rien dit. Car dans TON (je ne hurle pas, je précise) cas, il
n'y a pas pas de personnes mortes.

Il y en avait lors de l'attaque Aurore?

J'arrête de pisser contre le vent...

Voilà la première chose logique que tu as dite... mon pauvre, tu dois
certainement être déjà trempé.
En plus ça m'évitera de réveiller ma boitakon qui somnole paisiblement
depuis quelque temps.

Je ne suis pas programmeur contrairement à toi, car je n'ai pas
l'intelligence pour.

C'est clair.

Mais quand je vois que le bug est librement accessible

Si on le cherche et réussit à le trouver: moi j'ai bien cherché ("form
manager password") avant de signaler le problème et ça n'a rien donné en
rapport.
Déjà il faut savoir que le problème (bien dissimulé) existe.

" Importance: -- enhancement with 11 votes (vote)"

11 votes pour; 13 contributeurs sérieusement intéressés. Ça parle.
Mais ce n'est pas exactement grand public.

Signé ? L'imbécile

Au plaisir.

--
bitwyse [PGP KeyID 0xA79C8F2C]
http://www.le-maquis.net
C'est comme au CNRS: des chercheurs qui cherchent on en trouve
mais des chercheurs qui trouvent on en cherche.

On 30/01/2010 20:53, CriCri wrote:

Super, une petite flamewar comme à la grande époque...

Frederic Bezies a écrit :

Non. C'est le meilleur moyen de faire paniquer les personnes.

Tu paniques facilement, toi. Un sentiment d'insécurité? (voir plus bas).

Le titre employé par tes soins est volontairement provocateur.

Si on risque de laisser pirater ses comptes Internet ou piller son
compte bancaire, c'est mieux de prévenir.

Mouais. Je voudrais donc voir un code qui permettent l'exploitation des
données à distance. Ce qui serait alors le vrai risque.

J'ai donc proposé simplement la désactivation de l'"autocompletion" -
qui n'est quand même pas indispensable. J'utilise des macros clavier
pour tout ce que je tape régulièrement et ça marche pareil partout - non
pas uniquement dans le navigateur.

Ton cas est la généralité ?

Et tu proposes quoi pour combler cette "faille" ? Rien.

Si - je propose que l'équipe 'core' des développeurs le prenne enfin au
sérieux.

Donc rien au final.

Donc, il n'est pas secret.

Inconnu de la grande majorité des utilisateurs.

Qui n'est pas versé dans les arcanes insondables du bugzilla.

Qui c'est qui a la plus grosse ? ;)

Moi, certainement: car si tu n'en avais pas une trop petite tu ne

Et dire que j'ai commencé à l'époque de Netscape 3.0 et IE3.0. Bah, passons.

ressentirais pas le besoin de t'affirmer contre toute raison comme tu le
fais.

Ce qui crève les yeux est ce que l'on voit le moins.

C'est du chinois?

Non, du français basée sur ma propre expérience. En clair, plus quelque
chose est voyant, moins il est vu.

SeaMonkey ? J'ai du l'utiliser en tout et pour tout 3 mois depuis le
lancement du projet.

Je ne vois pas la pertinence de cette remarque.

Je ne faisais qu'une remarque basée sur environ 10 ans d'utilisation
presque quotidienne de nightly compilées maisons (Windows 2000, XP,
MacOS-X et Linux)

En quoi cela aiderait ? Ce qui aiderait, ce serait un patch, même une
préversion.

Dis-le aux développeurs: vote sur BugZilla...

Les votes sur bugzilla ne servent pas à grand chose. Ce ne sont que des
indicateurs.

Ça ne fonctionne pas comme ça, à l'exception des 'nightlies' -
généralement réservés à ceux qui ont le temps pour jouer avec.

Il est vrai qu'en tant qu'utilisateur lambda d'une archlinux (qui
demande un autre niveau que le windows de Linux alais Ubuntu), j'ai le
niveau technique requis uniquement pour rapporter des bogues.

Je suis une nullité monstrueuse en terme de programmation, incapable de
faire même un simple hello world en c. Comme quoi, il ne suffit pas
d'être analyste programmeur pour utiliser un unix-like, seul vrai
système potable dans l'absolu.

Et ensuite ? Combien de personnes ont été victime du dit bug ?

Combien en pourraient les devenir?

Déjà qu'un exploit à distance permette l'exploitation des données,
ensuite on verra.

Libre à toi d'agir comme tu le veux.

Ça doit être chouette de ne pas se sentir responsable pour la sécurité
de ses clients.

J'ai juste la responsabilité - avec l'ATIC de ma structure de maintenir
en vie une dizaine de PCs sous diverses versions de Windows (2000, XP et
Vista).

Allez, fait ta bonne action.

Bien sûr - ça fait partie du service.

Mais ce que tu décris pour moi est un bug qui n'est pas si grave que
cela au final.

Ha! Tu es vraiment inconscient.

Inconscient ? Non, juste une personne qui demande une proof-of-concept
d'exploitation à distance du dit bug.

Il y a pire coté sécurité : utiliser un windows sans antivirus par
exemple.

J'ai utilisé Windows depuis 3.11 sans jamais aucun antivirus et je n'en
ai jamais chopé (mais je suis derrière deux pare-feu là).

Ah, ce bon vieil environnement graphique 16 bits qu'était 3.1x... Pas
mieux que les surcouches 32 bits à MS-Dos qu'ont été la série des
Windows 9x/ME.

Simple question : depuis quand un pare-feu empèche les véroles d'entrer
sur un PC hand... fonctionnant sous Windows ?

Par contre je ne fais pas de bêtises...

Utiliser Windows, c'est quoi ?

Je n'ai rien dit. Car dans TON (je ne hurle pas, je précise) cas, il
n'y a pas pas de personnes mortes.

Il y en avait lors de l'attaque Aurore?

J'arrête de pisser contre le vent...

Voilà la première chose logique que tu as dite... mon pauvre, tu dois
certainement être déjà trempé.

Simplement j'affirme que tu joues le FUD, n'apportant aucune preuve
comme quoi le bug peut-être exploité à distance, ce qui est le vrai
danger dans ce cas.

En plus ça m'évitera de réveiller ma boitakon qui somnole paisiblement
depuis quelque temps.

Ah, ta boite à toi ! Utilises donc un VRAI système d'exploitation, comme
un unix ou un BSD. Déjà, tu seras plus crédible comme analyste programmeur.

Je ne suis pas programmeur contrairement à toi, car je n'ai pas
l'intelligence pour.

C'est clair.

Traduction : je suis un con ?

Mais quand je vois que le bug est librement accessible

Si on le cherche et réussit à le trouver: moi j'ai bien cherché ("form
manager password") avant de signaler le problème et ça n'a rien donné en
rapport.

Mauvais mots clés, changer mot clés.

Déjà il faut savoir que le problème (bien dissimulé) existe.

" Importance: -- enhancement with 11 votes (vote)"

11 votes pour; 13 contributeurs sérieusement intéressés. Ça parle.
Mais ce n'est pas exactement grand public.

Depuis quand le grand public s'intéresse à ce genre de détails ? Je vois
hebdomadairement à mon travail une trentaine ou une quarantaine
d'utilisateurs lambda. Et ce dont tu parles, ils s'en contrefoutent
royalement.

Signé ? L'imbécile

Au plaisir.

De lire un analyste programmeur qui utilise Windows ? ;)

Y a pas à dire, linux, c'est pas un système pour programmeur, mais pour
imbécile qui ne savent pas programmer.... Merde, c'est l'inverse en
réalité ?
--
Frederic Bezies - fredbezies@gmail.com
Weblog : http://frederic.bezies.free.fr/blog/

Le samedi 30 janvier 2010 à 14:31, Sergio a écrit :

CriCri a écrit :

Le problème est que si la première n'est pas désactive, c'est elle qui
peut stocker des mots de passe en clair; à l'opposé du gestionnaire des
mots de passe.

Ce serait peut-être un bug s'il n'y avait aucune possibilité de
modifier ce comportement, comme c'était peut-être le cas en 2004.

Le bug - qui n'en est pas un: c'est une erreur de conception - n'a
jamais été résolu.

Notons que les concurrents font la même chose...

Lesquels ?
J'ai essayé avec IE8, Chrome et Safari et Opera sur une site https qui
demande un n° de carte bleue et tout le bazar
Seuls Chrome et Firefox ont permis de retrouver le contenu de tous les
champs, Safari aussi mais moins et IE/Opera n'ont rien retenu.
Chrome ne serait que le seul concurrent de Firefox ?

@+
--
rm

Frederic Bezies a écrit :

Le titre employé par tes soins est volontairement provocateur.

Je vais voir si je peux le faire en rouge et clignotant.

Mouais. Je voudrais donc voir un code qui permettent l'exploitation
des données à distance.

Qui a parlé d'exploitation à distance??? - jamais moi.
J'ai causé de "données stockées localement... en clair".

Car dans ce cas je peux m'asseoir devant n'importe quel ordinateur sous
Windows, me logger comme admin root (super-user) sans que l'utilisateur
non-averti le remarque après et dans moins de 10 minutes j'aurai recopié
son fichier qui peut contenir ses mots de passe et numéros de CB et je
serai reparti avec.

Ton cas est la généralité ?

C'est simple, facile et pas réservé aux geeks.

Et dire que j'ai commencé à l'époque de Netscape 3.0 et IE3.0

T'es tout jeunet, alors. Mais je ne suis pas jaloux.

Non, du français basée sur ma propre expérience. En clair, plus
quelque chose est voyant, moins il est vu.

"Je ne vois pas la pertinence de cette remarque."
Les données en question sont stockées dans un fichier que l'utilisateur
moyen n'ouvrirait jamais (déjà il ne saurait même pas où il est
enregistré ni à quoi il sert).

Je ne faisais qu'une remarque basée sur environ 10 ans d'utilisation
presque quotidienne de nightly compilées maisons (Windows 2000, XP,
MacOS-X et Linux)

Dis donc, t'as du temps à perdre...
Y'a des postes à pourvoir dans ta boîte?

Les votes sur bugzilla ne servent pas à grand chose. Ce ne sont que
des indicateurs.

C'est toi qui en a parlé comme si l'indicateur était important...

Je suis une nullité monstrueuse en terme de programmation, incapable
de faire même un simple hello world en c.

Mais tu sais le faire dans Thunderbird - c'est déjà beaucoup.

Déjà qu'un exploit à distance permette l'exploitation des données,
ensuite on verra.

Déjà on en voit des cas régulièrement - grâce surtout à IE.

J'ai juste la responsabilité - avec l'ATIC de ma structure de
maintenir en vie une dizaine de PCs sous diverses versions de Windows
(2000, XP et Vista).

Je ne suis jamais resté longtemps travailler pour un patron plus con que
moi (ce n'est pas toi qui dit qu'utiliser Windows est une connerie?).

Simple question : depuis quand un pare-feu empèche les véroles
d'entrer sur un PC hand... fonctionnant sous Windows ?

Rien de nouveau (càd pas déjà autorisé) ne peut s'exécuter sur mon
réseau sans que je sois prévenu, et aucun programme ne peut accéder à
l'extérieur sans autorisation.
Les pare-feu firmware du modem-routeur et logiciels sur chaque
ordinateur sont soigneusement paramétrés et je mets quiconque au défi
d'y pénétrer, installer ou exécuter un programme, ou modifier un
programme existant, à mon insu. Tous les ports exploitables sont
contrôlés ou carrément fermés (vérifié sur des sites de scans qui les
chatouillent).

Ah, ta boite à toi ! Utilises donc un VRAI système d'exploitation,
comme un unix ou un BSD. Déjà, tu seras plus crédible comme analyste
programmeur.

J'utilise le système employé par 99% de mes clients afin de pouvoir
satisfaire à leurs besoins et résoudre leurs problèmes.
(Qu'est-ce que tu disais que tu fais au boulot, toi?)

Traduction : je suis un con ?

Aucune traduction nécessaire.

Mauvais mots clés, changer mot clés.

Tu proposerais quoi alors?

Depuis quand le grand public s'intéresse à ce genre de détails ?

Précisément. C'est bien la raison pour laquelle il faut s'occuper d'eux.

De lire un analyste programmeur qui utilise Windows ? ;)

Curieusement ça fait travailler énormément de programmeurs.

Y a pas à dire, linux, c'est pas un système pour programmeur, mais
pour imbécile qui ne savent pas programmer...

Heu... programmer en 'C' sous Unix, c'est natif. On ne peut guère faire
plus simple - bon, BASIC - mais ce n'est pas très sérieux: même toi, tu
pourrais faire afficher "hello world" ;-)

--
bitwyse [PGP KeyID 0xA79C8F2C]
http://www.le-maquis.net
C'est comme au CNRS: des chercheurs qui cherchent on en trouve
mais des chercheurs qui trouvent on en cherche.