failles Mozilla et le panda rouge

Chmurtz

10/02/2005 à 08:12

JacK [MVP] a écrit :

Chmurtz a émis l'idée suivante :
[...]

Il est probable en effet que Firefox devienne une cible: ce sera la
rançon de la gloire et c'est presque ce que l'on peut lui souhaiter ;)

Quant aux technologies sous-jacentes de IE et FF et leur sensibilité
au phishing et autres joyeusetés, je n'y connais rien là-dessus et me
borne à me fier aux experts qui tous condamnent IE (je sais ça va
encore faire polémique mais il suffit de lire la presse qui s'en donne
à coeur joie).

Ne t'en déplaise, en l'état actuel, FF est bcp plus sensible à de
nouvelles formes de phishing qu'IE.

Concernant le phishing, c'est ce que dit la presse effectivement sur la
base d'une failel récemment découverte. D'une manière générale au
contraire la presse prétend que le niveau de sécurité de FF est
supérieur à IE. Encore une fois, je n'ai pas compétence là-dessus.
En revanche, je sais une chose qui relève du principe de sécurité à
savoir que l'usage de technologies libres et publiques doit être
systématiquement préféré à celui de technologies propriétaires dont la
robustesse repose sur le secret. Ce principe qui n'est pas de mon
invention confère au "libre" un atout de principe indéniable. Pour se
référer à la cryptographie, domaine où la sécurité est centrale, les
algorithmes sont publics (c'est une illustration). Le seul fait de
savoir quelle technologie est utilisée par FF et par voie de conséquence
quelles sont ses faiblesses est à mon sens un facteur de sécurité:
connaître ses propres failles permet de les corriger.

[...]

Pour ma part, je n'ai pas lançé le post sur la sécurité (!) et ce
n'est pas ce qui motive mon choix de FF mais plutôt son ergonomie, son
faible taux de plantage et son peu "d'adhérence" à l'OS... sans
compter le caractère "frais" et "neuf" de ce produit et des passionés
qui l'animent.

IE est très stable mais ce n'est pas mon browser préféré.

Si IE était indépendant de Windows, disposait d'onglets et
d'extensions faciles à créer, je n'aurais eu que peu de raisons de
migrer.

A l'aide de quelles dll crois-tu que FF interprète les images ? :-)

L'indépendance vis à vis Windows est à mon sens un faux débat : si tu
veux être indépendant de Windows, utilise une distrib LINUX ;o)
Quant aux onglets, il existe une volée de surcouches qui font ça très
bien et ont l'aval de MS (voir marketplace) .

Je n'ai rien contre Windows qui pour l'utilisateur lambda (et même
l'utilisateur avancé) reste de loin ce qui se fait de mieux donc pas de
Linux à la maison. L'indépendance à Windows relève donc comme tu
l'indiques du mythe. Par indépendance je voulais dire simplement que IE
devrait être un logiciel aussi indépendant de Windows que tout autre
produit non Microsoft à commencer par être installable/désisntallable
sans bidouilles.

Ce que je lui reproche principalement : l'accès compliqué à des
préférences là où d'autres browsers ont des préférences rapides :
activation/désactivation depuis un menu contextuel de java, javascript,
cookies, proxy, active scripting et activeX, pas de possibilité de
filtrer nativement les referrers. Heureusement, il existe des logiciels
tiers qui peuvent s'en charger.

Ne pas perdre de vue non plus que la principale source d'ennuis liés à
IE sont l'obstination des utilisateurs à utiliser un compte Admin plutôt
qu'un compte limité. Il semblerait que MS envisage la possibilité de
créer une fonctionnalité permettant de se loger en Admin tout en
accordant des droits limités à IE/OE comme le fait DropMyRights par
exemple.

Ce que tu indiques ici en conclusion montre assez bien l'intrication
OS/IE: quelle couche est "coupable "? C'est là une illustration du fait
que l'indépendance vis à vis de Windows n'est pas forcément un "faux débat"

JacK [MVP] a écrit :

Chmurtz a émis l'idée suivante :
[...]

Il est probable en effet que Firefox devienne une cible: ce sera la
rançon de la gloire et c'est presque ce que l'on peut lui souhaiter ;)

Quant aux technologies sous-jacentes de IE et FF et leur sensibilité
au phishing et autres joyeusetés, je n'y connais rien là-dessus et me
borne à me fier aux experts qui tous condamnent IE (je sais ça va
encore faire polémique mais il suffit de lire la presse qui s'en donne
à coeur joie).

Ne t'en déplaise, en l'état actuel, FF est bcp plus sensible à de
nouvelles formes de phishing qu'IE.

Concernant le phishing, c'est ce que dit la presse effectivement sur la
base d'une failel récemment découverte. D'une manière générale au
contraire la presse prétend que le niveau de sécurité de FF est
supérieur à IE. Encore une fois, je n'ai pas compétence là-dessus.
En revanche, je sais une chose qui relève du principe de sécurité à
savoir que l'usage de technologies libres et publiques doit être
systématiquement préféré à celui de technologies propriétaires dont la
robustesse repose sur le secret. Ce principe qui n'est pas de mon
invention confère au "libre" un atout de principe indéniable. Pour se
référer à la cryptographie, domaine où la sécurité est centrale, les
algorithmes sont publics (c'est une illustration). Le seul fait de
savoir quelle technologie est utilisée par FF et par voie de conséquence
quelles sont ses faiblesses est à mon sens un facteur de sécurité:
connaître ses propres failles permet de les corriger.

[...]

Pour ma part, je n'ai pas lançé le post sur la sécurité (!) et ce
n'est pas ce qui motive mon choix de FF mais plutôt son ergonomie, son
faible taux de plantage et son peu "d'adhérence" à l'OS... sans
compter le caractère "frais" et "neuf" de ce produit et des passionés
qui l'animent.

IE est très stable mais ce n'est pas mon browser préféré.

Si IE était indépendant de Windows, disposait d'onglets et
d'extensions faciles à créer, je n'aurais eu que peu de raisons de
migrer.

A l'aide de quelles dll crois-tu que FF interprète les images ? :-)

L'indépendance vis à vis Windows est à mon sens un faux débat : si tu
veux être indépendant de Windows, utilise une distrib LINUX ;o)
Quant aux onglets, il existe une volée de surcouches qui font ça très
bien et ont l'aval de MS (voir marketplace) .

Je n'ai rien contre Windows qui pour l'utilisateur lambda (et même
l'utilisateur avancé) reste de loin ce qui se fait de mieux donc pas de
Linux à la maison. L'indépendance à Windows relève donc comme tu
l'indiques du mythe. Par indépendance je voulais dire simplement que IE
devrait être un logiciel aussi indépendant de Windows que tout autre
produit non Microsoft à commencer par être installable/désisntallable
sans bidouilles.

Ce que je lui reproche principalement : l'accès compliqué à des
préférences là où d'autres browsers ont des préférences rapides :
activation/désactivation depuis un menu contextuel de java, javascript,
cookies, proxy, active scripting et activeX, pas de possibilité de
filtrer nativement les referrers. Heureusement, il existe des logiciels
tiers qui peuvent s'en charger.

Ne pas perdre de vue non plus que la principale source d'ennuis liés à
IE sont l'obstination des utilisateurs à utiliser un compte Admin plutôt
qu'un compte limité. Il semblerait que MS envisage la possibilité de
créer une fonctionnalité permettant de se loger en Admin tout en
accordant des droits limités à IE/OE comme le fait DropMyRights par
exemple.

Ce que tu indiques ici en conclusion montre assez bien l'intrication
OS/IE: quelle couche est "coupable "? C'est là une illustration du fait
que l'indépendance vis à vis de Windows n'est pas forcément un "faux débat"

Vous avez filtré cet utilisateur ! Consultez son message

JacK [MVP] a écrit :

Chmurtz a émis l'idée suivante :
[...]

Il est probable en effet que Firefox devienne une cible: ce sera la
rançon de la gloire et c'est presque ce que l'on peut lui souhaiter ;)

Quant aux technologies sous-jacentes de IE et FF et leur sensibilité
au phishing et autres joyeusetés, je n'y connais rien là-dessus et me
borne à me fier aux experts qui tous condamnent IE (je sais ça va
encore faire polémique mais il suffit de lire la presse qui s'en donne
à coeur joie).

Ne t'en déplaise, en l'état actuel, FF est bcp plus sensible à de
nouvelles formes de phishing qu'IE.

Concernant le phishing, c'est ce que dit la presse effectivement sur la
base d'une failel récemment découverte. D'une manière générale au
contraire la presse prétend que le niveau de sécurité de FF est
supérieur à IE. Encore une fois, je n'ai pas compétence là-dessus.
En revanche, je sais une chose qui relève du principe de sécurité à
savoir que l'usage de technologies libres et publiques doit être
systématiquement préféré à celui de technologies propriétaires dont la
robustesse repose sur le secret. Ce principe qui n'est pas de mon
invention confère au "libre" un atout de principe indéniable. Pour se
référer à la cryptographie, domaine où la sécurité est centrale, les
algorithmes sont publics (c'est une illustration). Le seul fait de
savoir quelle technologie est utilisée par FF et par voie de conséquence
quelles sont ses faiblesses est à mon sens un facteur de sécurité:
connaître ses propres failles permet de les corriger.

[...]

Pour ma part, je n'ai pas lançé le post sur la sécurité (!) et ce
n'est pas ce qui motive mon choix de FF mais plutôt son ergonomie, son
faible taux de plantage et son peu "d'adhérence" à l'OS... sans
compter le caractère "frais" et "neuf" de ce produit et des passionés
qui l'animent.

IE est très stable mais ce n'est pas mon browser préféré.

Si IE était indépendant de Windows, disposait d'onglets et
d'extensions faciles à créer, je n'aurais eu que peu de raisons de
migrer.

A l'aide de quelles dll crois-tu que FF interprète les images ? :-)

L'indépendance vis à vis Windows est à mon sens un faux débat : si tu
veux être indépendant de Windows, utilise une distrib LINUX ;o)
Quant aux onglets, il existe une volée de surcouches qui font ça très
bien et ont l'aval de MS (voir marketplace) .

Je n'ai rien contre Windows qui pour l'utilisateur lambda (et même
l'utilisateur avancé) reste de loin ce qui se fait de mieux donc pas de
Linux à la maison. L'indépendance à Windows relève donc comme tu
l'indiques du mythe. Par indépendance je voulais dire simplement que IE
devrait être un logiciel aussi indépendant de Windows que tout autre
produit non Microsoft à commencer par être installable/désisntallable
sans bidouilles.

Ce que je lui reproche principalement : l'accès compliqué à des
préférences là où d'autres browsers ont des préférences rapides :
activation/désactivation depuis un menu contextuel de java, javascript,
cookies, proxy, active scripting et activeX, pas de possibilité de
filtrer nativement les referrers. Heureusement, il existe des logiciels
tiers qui peuvent s'en charger.

Ne pas perdre de vue non plus que la principale source d'ennuis liés à
IE sont l'obstination des utilisateurs à utiliser un compte Admin plutôt
qu'un compte limité. Il semblerait que MS envisage la possibilité de
créer une fonctionnalité permettant de se loger en Admin tout en
accordant des droits limités à IE/OE comme le fait DropMyRights par
exemple.

Ce que tu indiques ici en conclusion montre assez bien l'intrication
OS/IE: quelle couche est "coupable "? C'est là une illustration du fait
que l'indépendance vis à vis de Windows n'est pas forcément un "faux débat"

Rog62

10/02/2005 à 10:10

Bonjour,

Vous progressez... par trois fois dans ce fil, vous venez d'admettre que vous
n'aviez aucune compétence...

--
Cordialement Rog62 (Gérard)
Pour m'écrire, cliquez sur: http://cerbermail.com/?w6HXAIOBoU
Faq IE6: http://www.technicland.com/faqie.php3

JacK [MVP]

10/02/2005 à 10:15

Chmurtz avait soumis l'idée :
[...]

Concernant le phishing, c'est ce que dit la presse effectivement sur la base
d'une failel récemment découverte. D'une manière générale au contraire la
presse prétend que le niveau de sécurité de FF est supérieur à IE. Encore une
fois, je n'ai pas compétence là-dessus.

Non pas sur base d'une faille récemment découverte : c'est une question
de conception et de choix, XML permettat le romote XUL comme déjà dit.

En revanche, je sais une chose qui relève du principe de sécurité à savoir
que l'usage de technologies libres et publiques doit être systématiquement
préféré à celui de technologies propriétaires dont la robustesse repose sur
le secret. Ce principe qui n'est pas de mon invention confère au "libre" un
atout de principe indéniable.

La robustesse ne repose pas sur le secrêt. D'ailleurs Linus Thorvald
vient de faire une déclaration très déraangeante pour le libre en
signalant que le code de LINUX n'est pas conçu de façon sécuritaire...

Pour se référer à la cryptographie, domaine où

la sécurité est centrale, les algorithmes sont publics (c'est une
illustration). Le seul fait de savoir quelle technologie est utilisée par FF
et par voie de conséquence quelles sont ses faiblesses est à mon sens un
facteur de sécurité: connaître ses propres failles permet de les corriger.

Prétendrais-tu que EFS n'est pas sûr ?

[...]

Par indépendance je voulais dire simplement que IE devrait être un

logiciel aussi indépendant de Windows que tout autre produit non Microsoft à
commencer par être installable/désisntallable sans bidouilles.

Perso, je m'en fous complètement : si je ne veux pas l'utiliser ni
qu'il ait accès au W3, je lui en interdis l'accès, c'est tout. Le
reste, c'est des questions de gros sous de ses opposants.

[...]

Ne pas perdre de vue non plus que la principale source d'ennuis liés à IE
sont l'obstination des utilisateurs à utiliser un compte Admin plutôt qu'un
compte limité. Il semblerait que MS envisage la possibilité de créer une
fonctionnalité permettant de se loger en Admin tout en accordant des droits
limités à IE/OE comme le fait DropMyRights par exemple.

Ce que tu indiques ici en conclusion montre assez bien l'intrication OS/IE:
quelle couche est "coupable "? C'est là une illustration du fait que
l'indépendance vis à vis de Windows n'est pas forcément un "faux débat"

Non : il y a des tas de logiciels tiers qui présentent des failles sans
être imbriqués dans l'OS, aussi bien dans les produits de sécurité (AV,
FW, Sniffers, etc...) que dans n'importe quel autre, outils de
compression, d'archivage, lecteurs multimedia, etc...

Pour reprendre l'analogie automobile de Laurent, si la clim m'est
livrée en standard avec la voiture et que j'y suis allergique, je ne la
branche pas, c'est tout, je ne vois pas la raison de démonter
l'installation.

--
http://www.optimix.be.tf MVP Windows Security
http://websecurite.org
http://www.msmvps.com/XPditif/
http://experts.microsoft.fr/longhorn4u/
Helping you void your warranty since 2000
---**ANTISPAM**---
Click on the link to answer -Cliquez sur le lien pour répondre
http://www.cerbermail.com/?csaLJS6yvZ
@(0)@ JacK

Chmurtz avait soumis l'idée :
[...]

Concernant le phishing, c'est ce que dit la presse effectivement sur la base
d'une failel récemment découverte. D'une manière générale au contraire la
presse prétend que le niveau de sécurité de FF est supérieur à IE. Encore une
fois, je n'ai pas compétence là-dessus.

Non pas sur base d'une faille récemment découverte : c'est une question
de conception et de choix, XML permettat le romote XUL comme déjà dit.

En revanche, je sais une chose qui relève du principe de sécurité à savoir
que l'usage de technologies libres et publiques doit être systématiquement
préféré à celui de technologies propriétaires dont la robustesse repose sur
le secret. Ce principe qui n'est pas de mon invention confère au "libre" un
atout de principe indéniable.

La robustesse ne repose pas sur le secrêt. D'ailleurs Linus Thorvald
vient de faire une déclaration très déraangeante pour le libre en
signalant que le code de LINUX n'est pas conçu de façon sécuritaire...

Pour se référer à la cryptographie, domaine où

la sécurité est centrale, les algorithmes sont publics (c'est une
illustration). Le seul fait de savoir quelle technologie est utilisée par FF
et par voie de conséquence quelles sont ses faiblesses est à mon sens un
facteur de sécurité: connaître ses propres failles permet de les corriger.

Prétendrais-tu que EFS n'est pas sûr ?

[...]

Par indépendance je voulais dire simplement que IE devrait être un

logiciel aussi indépendant de Windows que tout autre produit non Microsoft à
commencer par être installable/désisntallable sans bidouilles.

Perso, je m'en fous complètement : si je ne veux pas l'utiliser ni
qu'il ait accès au W3, je lui en interdis l'accès, c'est tout. Le
reste, c'est des questions de gros sous de ses opposants.

[...]

Ne pas perdre de vue non plus que la principale source d'ennuis liés à IE
sont l'obstination des utilisateurs à utiliser un compte Admin plutôt qu'un
compte limité. Il semblerait que MS envisage la possibilité de créer une
fonctionnalité permettant de se loger en Admin tout en accordant des droits
limités à IE/OE comme le fait DropMyRights par exemple.

Ce que tu indiques ici en conclusion montre assez bien l'intrication OS/IE:
quelle couche est "coupable "? C'est là une illustration du fait que
l'indépendance vis à vis de Windows n'est pas forcément un "faux débat"

Non : il y a des tas de logiciels tiers qui présentent des failles sans
être imbriqués dans l'OS, aussi bien dans les produits de sécurité (AV,
FW, Sniffers, etc...) que dans n'importe quel autre, outils de
compression, d'archivage, lecteurs multimedia, etc...

Pour reprendre l'analogie automobile de Laurent, si la clim m'est
livrée en standard avec la voiture et que j'y suis allergique, je ne la
branche pas, c'est tout, je ne vois pas la raison de démonter
l'installation.

--
http://www.optimix.be.tf MVP Windows Security
http://websecurite.org
http://www.msmvps.com/XPditif/
http://experts.microsoft.fr/longhorn4u/
Helping you void your warranty since 2000
---**ANTISPAM**---
Click on the link to answer -Cliquez sur le lien pour répondre
http://www.cerbermail.com/?csaLJS6yvZ
@(0)@ JacK

Vous avez filtré cet utilisateur ! Consultez son message

Chmurtz avait soumis l'idée :
[...]

Concernant le phishing, c'est ce que dit la presse effectivement sur la base
d'une failel récemment découverte. D'une manière générale au contraire la
presse prétend que le niveau de sécurité de FF est supérieur à IE. Encore une
fois, je n'ai pas compétence là-dessus.

Non pas sur base d'une faille récemment découverte : c'est une question
de conception et de choix, XML permettat le romote XUL comme déjà dit.

En revanche, je sais une chose qui relève du principe de sécurité à savoir
que l'usage de technologies libres et publiques doit être systématiquement
préféré à celui de technologies propriétaires dont la robustesse repose sur
le secret. Ce principe qui n'est pas de mon invention confère au "libre" un
atout de principe indéniable.

La robustesse ne repose pas sur le secrêt. D'ailleurs Linus Thorvald
vient de faire une déclaration très déraangeante pour le libre en
signalant que le code de LINUX n'est pas conçu de façon sécuritaire...

Pour se référer à la cryptographie, domaine où

la sécurité est centrale, les algorithmes sont publics (c'est une
illustration). Le seul fait de savoir quelle technologie est utilisée par FF
et par voie de conséquence quelles sont ses faiblesses est à mon sens un
facteur de sécurité: connaître ses propres failles permet de les corriger.

Prétendrais-tu que EFS n'est pas sûr ?

[...]

Par indépendance je voulais dire simplement que IE devrait être un

logiciel aussi indépendant de Windows que tout autre produit non Microsoft à
commencer par être installable/désisntallable sans bidouilles.

Perso, je m'en fous complètement : si je ne veux pas l'utiliser ni
qu'il ait accès au W3, je lui en interdis l'accès, c'est tout. Le
reste, c'est des questions de gros sous de ses opposants.

[...]

Ne pas perdre de vue non plus que la principale source d'ennuis liés à IE
sont l'obstination des utilisateurs à utiliser un compte Admin plutôt qu'un
compte limité. Il semblerait que MS envisage la possibilité de créer une
fonctionnalité permettant de se loger en Admin tout en accordant des droits
limités à IE/OE comme le fait DropMyRights par exemple.

Ce que tu indiques ici en conclusion montre assez bien l'intrication OS/IE:
quelle couche est "coupable "? C'est là une illustration du fait que
l'indépendance vis à vis de Windows n'est pas forcément un "faux débat"

Non : il y a des tas de logiciels tiers qui présentent des failles sans
être imbriqués dans l'OS, aussi bien dans les produits de sécurité (AV,
FW, Sniffers, etc...) que dans n'importe quel autre, outils de
compression, d'archivage, lecteurs multimedia, etc...

Pour reprendre l'analogie automobile de Laurent, si la clim m'est
livrée en standard avec la voiture et que j'y suis allergique, je ne la
branche pas, c'est tout, je ne vois pas la raison de démonter
l'installation.

--
http://www.optimix.be.tf MVP Windows Security
http://websecurite.org
http://www.msmvps.com/XPditif/
http://experts.microsoft.fr/longhorn4u/
Helping you void your warranty since 2000
---**ANTISPAM**---
Click on the link to answer -Cliquez sur le lien pour répondre
http://www.cerbermail.com/?csaLJS6yvZ
@(0)@ JacK

Nicolas

10/02/2005 à 11:42

Bonjour,

Je veux pas me faire l'avocat du diable mais pour information la
soit-disant faille de sécurité est du à une faille des recommandations
W3C sur l'utilisation de l'unicode (avant ce n'était que de l'ASCII)
dans les adresses web.

Ce n'est pas une faille de sécurité des navigateurs, ils suivent à 100%
le modèle W3C d'où le problème. Ce qui prouve bien que Microsoft (qui
fait pourtant partie du W3C) se fout royalement des recommandations
qu'il a pourtant lui-même approuvé.

J'utilise moi aussi Firefox mais je suis obligé d'utiliser IE lorsque
les sites ne suivent pas les recommandations W3C.

Nicolas.

Jceel a écrit :

http://www.k-otik.com/bugtraq/bulletins/908

ça ne va pas faire plaisir a NEU-NEU mais c'est comme ça

Aucune solution officielle pour l'instant
Microsoft Internet Explorer n'est pas vulnérable à cette attaque.

Nicolas

10/02/2005 à 11:47

vu sur un autre newsgroups

"lu dans les news:
Mozilla ne peut rien faire, car ce n'est pas une faille du navigateur.

C'est une faille introduite dans la spécification des noms de domaines
internationaliséess, ou plus précisément le fait d'avoir mis cela en
route sans aucune instructions pour les enregistrement de noms de
domaines et de certificats serveurs de manière à éviter ce problème.

Une explication de la nature du problème qui ne semble pas très
clairement décrit sur un certain nombre de pages :

Les noms de domaine étaient jusque assez récemment limité à de
l'ASCII, pas de caractère accentués, ni aucun caractère non-anglais.

Une norme a été introduite pour permettre de lever cette restriction,
et autoriser n'importe quel caractère unicode dans un nom de domaine.
IE ne l'implémente toujours pas par défaut (il faut un plug-in), mais
plusieurs autres navigateurs dont mozilla, si.

Le problème, c'est que du coup n'importe quel caractère unicode peut
être utilisé dans le nom du domaine, et qu'il y a des caractères qui
se ressemblent énormément entre eux.

En l'occurence, la fraude utilise les caractères cyrilliques U043E et
U0441. U043E ressemble exactement à un 'o' latin, et U0441 à un 'c'
latin => facile de faire un faux 'microsoft' avec, dans lequel le 'c'
et le 'o' ne sont pas réellement un 'c' et un 'o'.

Il y a aussi U0430 qui ressemble exactement à un 'a' latin, si on veut
faire 'paypal'.

Cf le tableau ici :
http://jrgraphix.net/research/unicode_blocks.php?block=8

"

Voilà.

Nicolas a écrit :

Bonjour,

Je veux pas me faire l'avocat du diable mais pour information la
soit-disant faille de sécurité est du à une faille des recommandations
W3C sur l'utilisation de l'unicode (avant ce n'était que de l'ASCII)
dans les adresses web.

Ce n'est pas une faille de sécurité des navigateurs, ils suivent à 100%
le modèle W3C d'où le problème. Ce qui prouve bien que Microsoft (qui
fait pourtant partie du W3C) se fout royalement des recommandations
qu'il a pourtant lui-même approuvé.

J'utilise moi aussi Firefox mais je suis obligé d'utiliser IE lorsque
les sites ne suivent pas les recommandations W3C.

Nicolas.

Jceel a écrit :

http://www.k-otik.com/bugtraq/bulletins/908

ça ne va pas faire plaisir a NEU-NEU mais c'est comme ça

Aucune solution officielle pour l'instant
Microsoft Internet Explorer n'est pas vulnérable à cette attaque.

vu sur un autre newsgroups

"lu dans les news:
Mozilla ne peut rien faire, car ce n'est pas une faille du navigateur.

C'est une faille introduite dans la spécification des noms de domaines
internationaliséess, ou plus précisément le fait d'avoir mis cela en
route sans aucune instructions pour les enregistrement de noms de
domaines et de certificats serveurs de manière à éviter ce problème.

Une explication de la nature du problème qui ne semble pas très
clairement décrit sur un certain nombre de pages :

Les noms de domaine étaient jusque assez récemment limité à de
l'ASCII, pas de caractère accentués, ni aucun caractère non-anglais.

Une norme a été introduite pour permettre de lever cette restriction,
et autoriser n'importe quel caractère unicode dans un nom de domaine.
IE ne l'implémente toujours pas par défaut (il faut un plug-in), mais
plusieurs autres navigateurs dont mozilla, si.

Le problème, c'est que du coup n'importe quel caractère unicode peut
être utilisé dans le nom du domaine, et qu'il y a des caractères qui
se ressemblent énormément entre eux.

En l'occurence, la fraude utilise les caractères cyrilliques U043E et
U0441. U043E ressemble exactement à un 'o' latin, et U0441 à un 'c'
latin => facile de faire un faux 'microsoft' avec, dans lequel le 'c'
et le 'o' ne sont pas réellement un 'c' et un 'o'.

Il y a aussi U0430 qui ressemble exactement à un 'a' latin, si on veut
faire 'paypal'.

Cf le tableau ici :
http://jrgraphix.net/research/unicode_blocks.php?block=8

"

Voilà.

Nicolas a écrit :

Bonjour,

Je veux pas me faire l'avocat du diable mais pour information la
soit-disant faille de sécurité est du à une faille des recommandations
W3C sur l'utilisation de l'unicode (avant ce n'était que de l'ASCII)
dans les adresses web.

Ce n'est pas une faille de sécurité des navigateurs, ils suivent à 100%
le modèle W3C d'où le problème. Ce qui prouve bien que Microsoft (qui
fait pourtant partie du W3C) se fout royalement des recommandations
qu'il a pourtant lui-même approuvé.

J'utilise moi aussi Firefox mais je suis obligé d'utiliser IE lorsque
les sites ne suivent pas les recommandations W3C.

Nicolas.

Jceel a écrit :

http://www.k-otik.com/bugtraq/bulletins/908

ça ne va pas faire plaisir a NEU-NEU mais c'est comme ça

Aucune solution officielle pour l'instant
Microsoft Internet Explorer n'est pas vulnérable à cette attaque.

Vous avez filtré cet utilisateur ! Consultez son message

vu sur un autre newsgroups

"lu dans les news:
Mozilla ne peut rien faire, car ce n'est pas une faille du navigateur.

C'est une faille introduite dans la spécification des noms de domaines
internationaliséess, ou plus précisément le fait d'avoir mis cela en
route sans aucune instructions pour les enregistrement de noms de
domaines et de certificats serveurs de manière à éviter ce problème.

Une explication de la nature du problème qui ne semble pas très
clairement décrit sur un certain nombre de pages :

Les noms de domaine étaient jusque assez récemment limité à de
l'ASCII, pas de caractère accentués, ni aucun caractère non-anglais.

Une norme a été introduite pour permettre de lever cette restriction,
et autoriser n'importe quel caractère unicode dans un nom de domaine.
IE ne l'implémente toujours pas par défaut (il faut un plug-in), mais
plusieurs autres navigateurs dont mozilla, si.

Le problème, c'est que du coup n'importe quel caractère unicode peut
être utilisé dans le nom du domaine, et qu'il y a des caractères qui
se ressemblent énormément entre eux.

En l'occurence, la fraude utilise les caractères cyrilliques U043E et
U0441. U043E ressemble exactement à un 'o' latin, et U0441 à un 'c'
latin => facile de faire un faux 'microsoft' avec, dans lequel le 'c'
et le 'o' ne sont pas réellement un 'c' et un 'o'.

Il y a aussi U0430 qui ressemble exactement à un 'a' latin, si on veut
faire 'paypal'.

Cf le tableau ici :
http://jrgraphix.net/research/unicode_blocks.php?block=8

"

Voilà.

Nicolas a écrit :

Bonjour,

Je veux pas me faire l'avocat du diable mais pour information la
soit-disant faille de sécurité est du à une faille des recommandations
W3C sur l'utilisation de l'unicode (avant ce n'était que de l'ASCII)
dans les adresses web.

Ce n'est pas une faille de sécurité des navigateurs, ils suivent à 100%
le modèle W3C d'où le problème. Ce qui prouve bien que Microsoft (qui
fait pourtant partie du W3C) se fout royalement des recommandations
qu'il a pourtant lui-même approuvé.

J'utilise moi aussi Firefox mais je suis obligé d'utiliser IE lorsque
les sites ne suivent pas les recommandations W3C.

Nicolas.

Jceel a écrit :

http://www.k-otik.com/bugtraq/bulletins/908

ça ne va pas faire plaisir a NEU-NEU mais c'est comme ça

Aucune solution officielle pour l'instant
Microsoft Internet Explorer n'est pas vulnérable à cette attaque.

Michel Doucet

10/02/2005 à 18:24

Salut à toi *Rog62*, tu nous disais ce jeudi 10/02/2005 dans
<news: vers 10:10:22 ce qui suit
:

Bonjour,

Vous progressez... par trois fois dans ce fil, vous venez d'admettre que vous
n'aviez aucune compétence...

Quand on a rien à dire on ferme sa gueule quand les propos discutés
dépassent votre niveau de compétence !

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez le butineur, le lecteur de courrier et de nouvelles avec
lequel vous vous sentez le plus sécurisé ;)

Rog62

10/02/2005 à 19:09

Michel Doucet vient de nous annoncer :

...quand les "propos discutés" dépassent votre
niveau de compétence !

Bonjour,

... vous voulez probablement parler de "propos échangés"?

--
Cordialement Rog62 (Gérard)
Pour m'écrire, cliquez sur: http://cerbermail.com/?w6HXAIOBoU
Faq IE6: http://www.technicland.com/faqie.php3

Michel Doucet

10/02/2005 à 20:16

Salut à toi *Rog62*, tu nous disais ce jeudi 10/02/2005 dans
<news: vers 19:09:35 ce qui suit
:

Michel Doucet vient de nous annoncer :

...quand les "propos discutés" dépassent votre niveau de compétence !

Bonjour,

... vous voulez probablement parler de "propos échangés"?

Comme vous voulez mais votre intervention n'a rien à voir avec le fil !

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez le butineur, le lecteur de courrier et de nouvelles avec
lequel vous vous sentez le plus sécurisé ;)

Rog62

10/02/2005 à 20:27

Michel Doucet a couché sur son écran :

Comme vous voulez mais votre intervention n'a rien à voir avec le fil !

Bonjour,

Effectivement... pas plus que les annonces publicitaires de Chmurtz en réponses
aux
questions concernant l'utilisation de IE.

--
Cordialement Rog62 (Gérard)
Pour m'écrire, cliquez sur: http://cerbermail.com/?w6HXAIOBoU
Faq IE6: http://www.technicland.com/faqie.php3

Michel Doucet

10/02/2005 à 20:38

Salut à toi *Rog62*, tu nous disais ce jeudi 10/02/2005 dans
<news: vers 20:27:17 ce qui suit
:

Michel Doucet a couché sur son écran :

Comme vous voulez mais votre intervention n'a rien à voir avec le fil !

Bonjour,

Effectivement... pas plus que les annonces publicitaires de Chmurtz en
réponses aux
questions concernant l'utilisation de IE.

Reconnaisser que ses propos enoncés sur ce fil le rendent (peut être
pour une fois je le reconnais) ne sont pas dénués de bon sens.

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez le butineur, le lecteur de courrier et de nouvelles avec
lequel vous vous sentez le plus sécurisé ;)

failles Mozilla et le panda rouge

10 réponses

Veuillez sélectionner un problème