Voici ce que j'ail lu sur yahoo news :
http://fr.news.yahoo.com/030717/85/3b2c3.html
Microsoft a fait savoir mercredi soir qu'un défaut majeur dans la plupart
des versions de son système d'exploitation Windows pourrait permettre à des
hackers de prendre le contrôle d'un ordinateur via internet pour lire, voler
ou effacer les données de l'utilisateur.
La faille présente dans Windows permet à un ordinateur de faire fonctionner
des programmes sur un autre ordinateur en utilisant internet ou des réseaux
d'entreprises, a expliqué Microsoft.
Le premier éditeur mondial de logiciels a précisé qu'un patch téléchargeable
était disponible pour résoudre le problème.
L'entreprise de sécurité informatique Internet Security Systems (ISS) a
qualifié le défaut de "menace énorme" et a ajouté que les "patches
appropriés fournis par Microsoft devaient être utilisés immédiatement."
Les ordinateurs équipés de "firewall" (pare-feu) devraient être protégés, a
précisé ISS.
La faille est présente sur Windows NT, Windows 2000, Windows XP et le
nouveau système d'exploitation de Microsoft pour les ordinateurs en réseau
Windows Server 2003.
-------------
est ce que quelqu'un a plus d'information techniques sur cette faille de
sécurité?
Le 2e pas, c'est ne pas bosser avec les droits superutilisateur. Celui là, il va être dur à faire passer...
Aussi evident que ca puisse paraitre pour certains, je crois que ca passerait mieux en general si "on" savait pourquoi :)
Personne a des exemples marrants ou moins marrants de ce qui peut se passer si en grand mechant on bosse (quasi)tout le temps en root ?
@+ Bertrand
Eric Belhomme
Pierre BETOUIN wrote in news::
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes machines, quand les hotfixes sortent, tu aimes le risque !
no justement, et c'est pour ca que je pese le pour et le contre avant
d'appliquer betement un patch !
La seule alternative dans cette "course" aux failles est de patcher avant d'être attaqué...
non, pas si le risque de compromission du serveur est raisonnablement
faible... Comme l'a dit Eric, l'essentiel est d'etre conscient du risque !
Et surtout, il faut garder en vue que ce n'est pas forcément qqun qui exploite les failles, ça peut très bien être un vers, un trojan, etc... Voilà tout l'enjeu des 0-day.
Ca ne change rien au pb
Donc le FW sera bien inutile si la faille en question permet de prendre le contrôle admin (le 1er reflexe serait en effet de désactiver les rêgles FW génantes).
euh... chez moi un serveur de prod windows ne sert certainement pas de
firewall... et la compromission d'un serveur ne permettra certainement pas a un attaquant (homme ou worm) de b(i)aiser le fw (ou alors je suis vraiment un branleur et j'ai interet a vite me reconvertir...)
-- Rico (RicoSpirit) - http://www.ricospirit.net Pour en savoir autant que moi sur INN (c.a.d. pas grand chose !) : http://www.ricospirit.net/inn/
Pierre BETOUIN <soulrider@unsigned.ath.cx> wrote in
news:pan.2003.07.21.14.39.09.1592@unsigned.ath.cx:
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes
machines, quand les hotfixes sortent, tu aimes le risque !
no justement, et c'est pour ca que je pese le pour et le contre avant
d'appliquer betement un patch !
La seule alternative dans cette "course" aux failles est de patcher
avant d'être attaqué...
non, pas si le risque de compromission du serveur est raisonnablement
faible... Comme l'a dit Eric, l'essentiel est d'etre conscient du risque !
Et surtout, il faut garder en vue que ce n'est pas forcément qqun qui
exploite les failles, ça peut très bien être un vers, un trojan,
etc... Voilà tout l'enjeu des 0-day.
Ca ne change rien au pb
Donc le FW sera bien inutile si la faille en question permet de
prendre le contrôle admin (le 1er reflexe serait en effet de
désactiver les rêgles FW génantes).
euh... chez moi un serveur de prod windows ne sert certainement pas de
firewall... et la compromission d'un serveur ne permettra certainement pas
a un attaquant (homme ou worm) de b(i)aiser le fw (ou alors je suis
vraiment un branleur et j'ai interet a vite me reconvertir...)
--
Rico (RicoSpirit) - http://www.ricospirit.net
Pour en savoir autant que moi sur INN (c.a.d. pas grand chose !) :
http://www.ricospirit.net/inn/
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes machines, quand les hotfixes sortent, tu aimes le risque !
no justement, et c'est pour ca que je pese le pour et le contre avant
d'appliquer betement un patch !
La seule alternative dans cette "course" aux failles est de patcher avant d'être attaqué...
non, pas si le risque de compromission du serveur est raisonnablement
faible... Comme l'a dit Eric, l'essentiel est d'etre conscient du risque !
Et surtout, il faut garder en vue que ce n'est pas forcément qqun qui exploite les failles, ça peut très bien être un vers, un trojan, etc... Voilà tout l'enjeu des 0-day.
Ca ne change rien au pb
Donc le FW sera bien inutile si la faille en question permet de prendre le contrôle admin (le 1er reflexe serait en effet de désactiver les rêgles FW génantes).
euh... chez moi un serveur de prod windows ne sert certainement pas de
firewall... et la compromission d'un serveur ne permettra certainement pas a un attaquant (homme ou worm) de b(i)aiser le fw (ou alors je suis vraiment un branleur et j'ai interet a vite me reconvertir...)
-- Rico (RicoSpirit) - http://www.ricospirit.net Pour en savoir autant que moi sur INN (c.a.d. pas grand chose !) : http://www.ricospirit.net/inn/
Pierre BETOUIN
Le Mon, 21 Jul 2003 15:29:49 +0000, Cedric Blancher a écrit :
Dans sa prose, Pierre BETOUIN nous ecrivait :
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes machines, quand les hotfixes sortent, tu aimes le risque !
On a des exemples en pagaille de gens qui ont cramé des systèmes à vouloir patcher trop. J'ai personnellement assisté à la perte d'un SQL Server. 3 heures pour redescendre la bande... Ça arrive aussi sous Unix quelquefois. Perso, si je n'ai pas le choix (pas de redondance, pas le tps de tester,
etc), je coupe le srv le tps qu'il faut pour appliquer les patchs...
Qui peut me dire qu'il prefère ne pas perdre, même 2h, plutôt que de se faire rooter le lendemain, et perdre bien plus ??!! Le choix me parait très vite fait, surtout sur des *nix, où tout se récupère très facilement.
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. Ça me parait évident ça ! ;)
C'est aussi con que ça. Maintenant, si tu considères qu'une perte de service prolongée qui n'arrangera peut-être rien est un e meilleure option que de perdre 2 heures à appliquer un workaround temporaire et à tester le patch, c'est ton truc... Pour moi, le patch aveugle, c'est facilement aussi suicidaire, voire largement plus, que de laisser la machine en l'état le temps de valider la migration avec un workaround. Tout à fait, je ne dis pas qu'on est à 10min près, mais c'est complètement
hallucinant d'entendre des gens dire "Moi je ne patche pas, où vraiment dès que j'en sens l'utilité" !
[...]
Voilà tout l'enjeu des 0-day.
Par définition, si tu te fais attaquer par un 0Day, tu ne seras pas patché. Donc... Oui, voilà pourquoi les 0day sont si dangereux...
Il traine tjrs la fameuse légende du 0day sur la pile TCP/IP linux d'ailleurs ! ;)
Donc le FW sera bien inutile si la faille en question permet de prendre le contrôle admin (le 1er reflexe serait en effet de désactiver les rêgles FW génantes).
Y'a pas que les firewalls dans la vie... J'ai dit le contraire ? Justement, je vais dans ce sens là...
Le Mon, 21 Jul 2003 15:29:49 +0000, Cedric Blancher a écrit :
Dans sa prose, Pierre BETOUIN nous ecrivait :
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes
machines, quand les hotfixes sortent, tu aimes le risque !
On a des exemples en pagaille de gens qui ont cramé des systèmes à vouloir
patcher trop. J'ai personnellement assisté à la perte d'un SQL Server. 3
heures pour redescendre la bande... Ça arrive aussi sous Unix quelquefois.
Perso, si je n'ai pas le choix (pas de redondance, pas le tps de tester,
etc), je coupe le srv le tps qu'il faut pour appliquer les patchs...
Qui peut me dire qu'il prefère ne pas perdre, même 2h, plutôt que de se
faire rooter le lendemain, et perdre bien plus ??!! Le choix me parait
très vite fait, surtout sur des *nix, où tout se récupère très facilement.
Quand on a un système en production, on ne patche qu'après avoir validé
la mise à jour.
Ça me parait évident ça ! ;)
C'est aussi con que ça. Maintenant, si tu considères
qu'une perte de service prolongée qui n'arrangera peut-être rien est un e
meilleure option que de perdre 2 heures à appliquer un workaround
temporaire et à tester le patch, c'est ton truc... Pour moi, le patch
aveugle, c'est facilement aussi suicidaire, voire largement plus, que de
laisser la machine en l'état le temps de valider la migration avec un
workaround.
Tout à fait, je ne dis pas qu'on est à 10min près, mais c'est complètement
hallucinant d'entendre des gens dire "Moi je ne patche pas, où vraiment
dès que j'en sens l'utilité" !
[...]
Voilà tout l'enjeu des 0-day.
Par définition, si tu te fais attaquer par un 0Day, tu ne seras pas
patché. Donc...
Oui, voilà pourquoi les 0day sont si dangereux...
Il traine tjrs la fameuse légende du 0day sur la pile TCP/IP linux
d'ailleurs ! ;)
Donc le FW sera bien inutile si la faille en question permet de prendre
le contrôle admin (le 1er reflexe serait en effet de désactiver les rêgles
FW génantes).
Y'a pas que les firewalls dans la vie...
J'ai dit le contraire ? Justement, je vais dans ce sens là...
Le Mon, 21 Jul 2003 15:29:49 +0000, Cedric Blancher a écrit :
Dans sa prose, Pierre BETOUIN nous ecrivait :
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes machines, quand les hotfixes sortent, tu aimes le risque !
On a des exemples en pagaille de gens qui ont cramé des systèmes à vouloir patcher trop. J'ai personnellement assisté à la perte d'un SQL Server. 3 heures pour redescendre la bande... Ça arrive aussi sous Unix quelquefois. Perso, si je n'ai pas le choix (pas de redondance, pas le tps de tester,
etc), je coupe le srv le tps qu'il faut pour appliquer les patchs...
Qui peut me dire qu'il prefère ne pas perdre, même 2h, plutôt que de se faire rooter le lendemain, et perdre bien plus ??!! Le choix me parait très vite fait, surtout sur des *nix, où tout se récupère très facilement.
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. Ça me parait évident ça ! ;)
C'est aussi con que ça. Maintenant, si tu considères qu'une perte de service prolongée qui n'arrangera peut-être rien est un e meilleure option que de perdre 2 heures à appliquer un workaround temporaire et à tester le patch, c'est ton truc... Pour moi, le patch aveugle, c'est facilement aussi suicidaire, voire largement plus, que de laisser la machine en l'état le temps de valider la migration avec un workaround. Tout à fait, je ne dis pas qu'on est à 10min près, mais c'est complètement
hallucinant d'entendre des gens dire "Moi je ne patche pas, où vraiment dès que j'en sens l'utilité" !
[...]
Voilà tout l'enjeu des 0-day.
Par définition, si tu te fais attaquer par un 0Day, tu ne seras pas patché. Donc... Oui, voilà pourquoi les 0day sont si dangereux...
Il traine tjrs la fameuse légende du 0day sur la pile TCP/IP linux d'ailleurs ! ;)
Donc le FW sera bien inutile si la faille en question permet de prendre le contrôle admin (le 1er reflexe serait en effet de désactiver les rêgles FW génantes).
Y'a pas que les firewalls dans la vie... J'ai dit le contraire ? Justement, je vais dans ce sens là...
Pierre BETOUIN
Le Mon, 21 Jul 2003 15:41:09 +0000, Eric Belhomme a écrit :
La seule alternative dans cette "course" aux failles est de patcher avant d'être attaqué...
non, pas si le risque de compromission du serveur est raisonnablement
faible... Comme l'a dit Eric, l'essentiel est d'etre conscient du risque ! Tu me parais très optimiste à pouvoir juger du risque d'une faille...
Quand la faille sort, s'il s'agit d'une faille win*, tu ne sais quasiment pas de quoi il s'agit, et où elle intervient... Alors le gars motivé se penche un peu dessus, et code l'exploit..
Sur les *nix, c'est différent, car il y a généralement un "proof of concept" donc l'exploit n'est souvent pas très long à pondre ensuite.
Ce n'est pas parce que l'exploit n'est pas sorti (public ou pas) que ta machine n'est pas vulnérable...
Pierre
Le Mon, 21 Jul 2003 15:41:09 +0000, Eric Belhomme a écrit :
La seule alternative dans cette "course" aux failles est de patcher
avant d'être attaqué...
non, pas si le risque de compromission du serveur est raisonnablement
faible... Comme l'a dit Eric, l'essentiel est d'etre conscient du risque !
Tu me parais très optimiste à pouvoir juger du risque d'une faille...
Quand la faille sort, s'il s'agit d'une faille win*, tu ne sais quasiment
pas de quoi il s'agit, et où elle intervient...
Alors le gars motivé se penche un peu dessus, et code l'exploit..
Sur les *nix, c'est différent, car il y a généralement un "proof of
concept" donc l'exploit n'est souvent pas très long à pondre ensuite.
Ce n'est pas parce que l'exploit n'est pas sorti (public ou pas) que
ta machine n'est pas vulnérable...
Le Mon, 21 Jul 2003 15:41:09 +0000, Eric Belhomme a écrit :
La seule alternative dans cette "course" aux failles est de patcher avant d'être attaqué...
non, pas si le risque de compromission du serveur est raisonnablement
faible... Comme l'a dit Eric, l'essentiel est d'etre conscient du risque ! Tu me parais très optimiste à pouvoir juger du risque d'une faille...
Quand la faille sort, s'il s'agit d'une faille win*, tu ne sais quasiment pas de quoi il s'agit, et où elle intervient... Alors le gars motivé se penche un peu dessus, et code l'exploit..
Sur les *nix, c'est différent, car il y a généralement un "proof of concept" donc l'exploit n'est souvent pas très long à pondre ensuite.
Ce n'est pas parce que l'exploit n'est pas sorti (public ou pas) que ta machine n'est pas vulnérable...
Pierre
Bertrand
Salut,
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. C'est aussi con que ça.
On parle bien là de systeme de prod; mais la "faille de securite sous windows" pour reprendre le titre concerne(rait) aussi le grand publique.
Et le grand publique lui... il fait pas de tests :)
Quand on explique a Mr Dupont comment faire la maintenance de son PC on lui dit: faut appliquer tous les patchs... meme si ca peut representer certains dangers (un exemple hors Windows: ceux qui se sont depechés de virer openssl 0.9.6 pour coller un 0.9.7 a la place sans faire un petit test au prealable doivent savoir de quoi je parle)
Deja que facilement 50% des utilisateurs ne patchent meme pas leur systeme du tout, j'ai pas envie d'effrayer ceux a qui j'explique que pas patcher, c'est mal, en leur disant que ils risquent de "casser" leur systeme en le patchant. Meme si le risque de tout planter est bien reel, il est bien moindre que celui de se prendre un ver dans la tronche (tiens, on se remet a parler d'evaluation de risque).
(serais-je un peu egoiste, en me disant que au moins, PC patché ou PC planté, je recevrais moins de ver dans ma boite aux lettres que PC pas patché et infecté ? >:])
@+ Bertrand
Salut,
Quand on a un système en production, on ne patche qu'après avoir
validé la mise à jour. C'est aussi con que ça.
On parle bien là de systeme de prod; mais la "faille de securite sous
windows" pour reprendre le titre concerne(rait) aussi le grand publique.
Et le grand publique lui... il fait pas de tests :)
Quand on explique a Mr Dupont comment faire la maintenance de son PC on
lui dit: faut appliquer tous les patchs... meme si ca peut representer
certains dangers (un exemple hors Windows: ceux qui se sont depechés de
virer openssl 0.9.6 pour coller un 0.9.7 a la place sans faire un petit
test au prealable doivent savoir de quoi je parle)
Deja que facilement 50% des utilisateurs ne patchent meme pas leur systeme
du tout, j'ai pas envie d'effrayer ceux a qui j'explique que pas patcher,
c'est mal, en leur disant que ils risquent de "casser" leur systeme en le
patchant. Meme si le risque de tout planter est bien reel, il est bien
moindre que celui de se prendre un ver dans la tronche (tiens, on se remet
a parler d'evaluation de risque).
(serais-je un peu egoiste, en me disant que au moins, PC patché ou PC
planté, je recevrais moins de ver dans ma boite aux lettres que PC pas
patché et infecté ? >:])
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. C'est aussi con que ça.
On parle bien là de systeme de prod; mais la "faille de securite sous windows" pour reprendre le titre concerne(rait) aussi le grand publique.
Et le grand publique lui... il fait pas de tests :)
Quand on explique a Mr Dupont comment faire la maintenance de son PC on lui dit: faut appliquer tous les patchs... meme si ca peut representer certains dangers (un exemple hors Windows: ceux qui se sont depechés de virer openssl 0.9.6 pour coller un 0.9.7 a la place sans faire un petit test au prealable doivent savoir de quoi je parle)
Deja que facilement 50% des utilisateurs ne patchent meme pas leur systeme du tout, j'ai pas envie d'effrayer ceux a qui j'explique que pas patcher, c'est mal, en leur disant que ils risquent de "casser" leur systeme en le patchant. Meme si le risque de tout planter est bien reel, il est bien moindre que celui de se prendre un ver dans la tronche (tiens, on se remet a parler d'evaluation de risque).
(serais-je un peu egoiste, en me disant que au moins, PC patché ou PC planté, je recevrais moins de ver dans ma boite aux lettres que PC pas patché et infecté ? >:])
@+ Bertrand
Fabien LE LEZ
On 21 Jul 2003 23:37:06 GMT, "Bertrand" wrote:
(serais-je un peu egoiste, en me disant que au moins, PC patché ou PC planté, je recevrais moins de ver dans ma boite aux lettres que PC pas patché et infecté ? >:])
C'est même pas sûr : les vers du style "Veuillez double-cliquer sur cet exécutable pour installer le ver", ça marche très très bien. Et ça, à part une rustine pour bloquer le bouton gauche de la souris, je ne vois pas bien quel patch pourrait le bloquer... ;-)
-- Tout sur fr.* (FAQ, etc.) : http://www.usenet-fr.net/fur/ et http://www.aminautes.org/forums/serveurs/tablefr.html Archives : http://groups.google.com/advanced_group_search http://www.usenet-fr.net/fur/usenet/repondre-sur-usenet.html
On 21 Jul 2003 23:37:06 GMT, "Bertrand" <usenet@pas.net.invalid>
wrote:
(serais-je un peu egoiste, en me disant que au moins, PC patché ou PC
planté, je recevrais moins de ver dans ma boite aux lettres que PC pas
patché et infecté ? >:])
C'est même pas sûr : les vers du style "Veuillez double-cliquer sur
cet exécutable pour installer le ver", ça marche très très bien. Et
ça, à part une rustine pour bloquer le bouton gauche de la souris, je
ne vois pas bien quel patch pourrait le bloquer... ;-)
--
Tout sur fr.* (FAQ, etc.) : http://www.usenet-fr.net/fur/
et http://www.aminautes.org/forums/serveurs/tablefr.html
Archives : http://groups.google.com/advanced_group_search
http://www.usenet-fr.net/fur/usenet/repondre-sur-usenet.html
(serais-je un peu egoiste, en me disant que au moins, PC patché ou PC planté, je recevrais moins de ver dans ma boite aux lettres que PC pas patché et infecté ? >:])
C'est même pas sûr : les vers du style "Veuillez double-cliquer sur cet exécutable pour installer le ver", ça marche très très bien. Et ça, à part une rustine pour bloquer le bouton gauche de la souris, je ne vois pas bien quel patch pourrait le bloquer... ;-)
-- Tout sur fr.* (FAQ, etc.) : http://www.usenet-fr.net/fur/ et http://www.aminautes.org/forums/serveurs/tablefr.html Archives : http://groups.google.com/advanced_group_search http://www.usenet-fr.net/fur/usenet/repondre-sur-usenet.html
Eric Razny
"Pierre BETOUIN" a écrit dans le message de news:
Dans sa prose, Pierre BETOUIN nous ecrivait :
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes machines, quand les hotfixes sortent, tu aimes le risque !
On a des exemples en pagaille de gens qui ont cramé des systèmes à vouloir
patcher trop. J'ai personnellement assisté à la perte d'un SQL Server. 3 heures pour redescendre la bande... Ça arrive aussi sous Unix quelquefois.
Perso, si je n'ai pas le choix (pas de redondance, pas le tps de tester, etc), je coupe le srv le tps qu'il faut pour appliquer les patchs...
Qui peut me dire qu'il prefère ne pas perdre, même 2h, plutôt que de se faire rooter le lendemain, et perdre bien plus ??!! Le choix me parait très vite fait, surtout sur des *nix, où tout se récupère très facilement.
Tu semble ignorer certaines conditions réelles de fonctionnement ou tu ne *peux pas* couper le service. Il n'y a pas (heureusement!) que web ftp et email (bon, ok dns!) sur le net! Et non, il y a des cas où il faut du temps, Unix ou pas, pour remettre un système en marche.
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. Ça me parait évident ça ! ;)
Le problème est (qu'avec quelque connaissance technique) tu peux *relativement* facilement juger de la validité d'un patch pour de l'open-source. Avec MS-Windows (par exemple) le patch peut poser des *nouveaux* problèmes bien plus tard (et je ne compte pas le gag qui consiste à réactiver ou a mettre aux valeurs par défaut certains services(1)) et tu peux compter sur eux pour minimiser -en discours!- les risques encourru. Le risque existe en open-source mais tu peux juger, si tu en as les compétances, de la qualité du patch.
Dans ce cas il y a un moment ou i faut faire confiance! Evidemment tu ne patche pas comme un sauvage si tu n'es pas concerné mais dans le cas de services *critiques* qui ne peuvent pas être mis off-ligne plus que quelques seconde tu dois bien arbitrer entre le risque tu patch et le risque de la compromission.
C'est aussi con que ça. Maintenant, si tu considères qu'une perte de service prolongée qui n'arrangera peut-être rien est un e
meilleure option que de perdre 2 heures à appliquer un workaround temporaire et à tester le patch, c'est ton truc... Pour moi, le patch aveugle, c'est facilement aussi suicidaire, voire largement plus, que de laisser la machine en l'état le temps de valider la migration avec un workaround.
Et suivant la faille on peut -parfois- mettre une sonde d'alerte pour signaler les tentatives
Tout à fait, je ne dis pas qu'on est à 10min près, mais c'est complètement hallucinant d'entendre des gens dire "Moi je ne patche pas, où vraiment dès que j'en sens l'utilité" !
ok
(1) est-ce toujours le cas? Comme j'ai eu le choix j'ai banni MS des serveurs -pas des stations de travail je dois faire des développement sous Windows-et j'avoue honteusement que plus le temps passe plus je perds la main sous MS :(
"Pierre BETOUIN" <soulrider@unsigned.ath.cx> a écrit dans le message de
news:pan.2003.07.21.16.52.09.960358@unsigned.ath.cx...
Dans sa prose, Pierre BETOUIN nous ecrivait :
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes
machines, quand les hotfixes sortent, tu aimes le risque !
On a des exemples en pagaille de gens qui ont cramé des systèmes à
vouloir
patcher trop. J'ai personnellement assisté à la perte d'un SQL Server. 3
heures pour redescendre la bande... Ça arrive aussi sous Unix
quelquefois.
Perso, si je n'ai pas le choix (pas de redondance, pas le tps de tester,
etc), je coupe le srv le tps qu'il faut pour appliquer les patchs...
Qui peut me dire qu'il prefère ne pas perdre, même 2h, plutôt que de se
faire rooter le lendemain, et perdre bien plus ??!! Le choix me parait
très vite fait, surtout sur des *nix, où tout se récupère très facilement.
Tu semble ignorer certaines conditions réelles de fonctionnement ou tu ne
*peux pas* couper le service. Il n'y a pas (heureusement!) que web ftp et
email (bon, ok dns!) sur le net!
Et non, il y a des cas où il faut du temps, Unix ou pas, pour remettre un
système en marche.
Quand on a un système en production, on ne patche qu'après avoir validé
la mise à jour.
Ça me parait évident ça ! ;)
Le problème est (qu'avec quelque connaissance technique) tu peux
*relativement* facilement juger de la validité d'un patch pour de
l'open-source.
Avec MS-Windows (par exemple) le patch peut poser des *nouveaux* problèmes
bien plus tard (et je ne compte pas le gag qui consiste à réactiver ou a
mettre aux valeurs par défaut certains services(1)) et tu peux compter sur
eux pour minimiser -en discours!- les risques encourru. Le risque existe en
open-source mais tu peux juger, si tu en as les compétances, de la qualité
du patch.
Dans ce cas il y a un moment ou i faut faire confiance!
Evidemment tu ne patche pas comme un sauvage si tu n'es pas concerné mais
dans le cas de services *critiques* qui ne peuvent pas être mis off-ligne
plus que quelques seconde tu dois bien arbitrer entre le risque tu patch et
le risque de la compromission.
C'est aussi con que ça. Maintenant, si tu considères
qu'une perte de service prolongée qui n'arrangera peut-être rien est un
e
meilleure option que de perdre 2 heures à appliquer un workaround
temporaire et à tester le patch, c'est ton truc... Pour moi, le patch
aveugle, c'est facilement aussi suicidaire, voire largement plus, que de
laisser la machine en l'état le temps de valider la migration avec un
workaround.
Et suivant la faille on peut -parfois- mettre une sonde d'alerte pour
signaler les tentatives
Tout à fait, je ne dis pas qu'on est à 10min près, mais c'est complètement
hallucinant d'entendre des gens dire "Moi je ne patche pas, où vraiment
dès que j'en sens l'utilité" !
ok
(1) est-ce toujours le cas? Comme j'ai eu le choix j'ai banni MS des
serveurs -pas des stations de travail je dois faire des développement sous
Windows-et j'avoue honteusement que plus le temps passe plus je perds la
main sous MS :(
Déjà que M$ est long à patcher, si en plus tu ne mets pas à jour tes machines, quand les hotfixes sortent, tu aimes le risque !
On a des exemples en pagaille de gens qui ont cramé des systèmes à vouloir
patcher trop. J'ai personnellement assisté à la perte d'un SQL Server. 3 heures pour redescendre la bande... Ça arrive aussi sous Unix quelquefois.
Perso, si je n'ai pas le choix (pas de redondance, pas le tps de tester, etc), je coupe le srv le tps qu'il faut pour appliquer les patchs...
Qui peut me dire qu'il prefère ne pas perdre, même 2h, plutôt que de se faire rooter le lendemain, et perdre bien plus ??!! Le choix me parait très vite fait, surtout sur des *nix, où tout se récupère très facilement.
Tu semble ignorer certaines conditions réelles de fonctionnement ou tu ne *peux pas* couper le service. Il n'y a pas (heureusement!) que web ftp et email (bon, ok dns!) sur le net! Et non, il y a des cas où il faut du temps, Unix ou pas, pour remettre un système en marche.
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. Ça me parait évident ça ! ;)
Le problème est (qu'avec quelque connaissance technique) tu peux *relativement* facilement juger de la validité d'un patch pour de l'open-source. Avec MS-Windows (par exemple) le patch peut poser des *nouveaux* problèmes bien plus tard (et je ne compte pas le gag qui consiste à réactiver ou a mettre aux valeurs par défaut certains services(1)) et tu peux compter sur eux pour minimiser -en discours!- les risques encourru. Le risque existe en open-source mais tu peux juger, si tu en as les compétances, de la qualité du patch.
Dans ce cas il y a un moment ou i faut faire confiance! Evidemment tu ne patche pas comme un sauvage si tu n'es pas concerné mais dans le cas de services *critiques* qui ne peuvent pas être mis off-ligne plus que quelques seconde tu dois bien arbitrer entre le risque tu patch et le risque de la compromission.
C'est aussi con que ça. Maintenant, si tu considères qu'une perte de service prolongée qui n'arrangera peut-être rien est un e
meilleure option que de perdre 2 heures à appliquer un workaround temporaire et à tester le patch, c'est ton truc... Pour moi, le patch aveugle, c'est facilement aussi suicidaire, voire largement plus, que de laisser la machine en l'état le temps de valider la migration avec un workaround.
Et suivant la faille on peut -parfois- mettre une sonde d'alerte pour signaler les tentatives
Tout à fait, je ne dis pas qu'on est à 10min près, mais c'est complètement hallucinant d'entendre des gens dire "Moi je ne patche pas, où vraiment dès que j'en sens l'utilité" !
ok
(1) est-ce toujours le cas? Comme j'ai eu le choix j'ai banni MS des serveurs -pas des stations de travail je dois faire des développement sous Windows-et j'avoue honteusement que plus le temps passe plus je perds la main sous MS :(
Eric Razny
"Bertrand" a écrit dans le message de news:
Salut,
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. C'est aussi con que ça.
On parle bien là de systeme de prod; mais la "faille de securite sous windows" pour reprendre le titre concerne(rait) aussi le grand publique.
Et le grand publique lui... il fait pas de tests :)
Quand on explique a Mr Dupont comment faire la maintenance de son PC on lui dit: faut appliquer tous les patchs... meme si ca peut representer certains dangers (un exemple hors Windows: ceux qui se sont depechés de virer openssl 0.9.6 pour coller un 0.9.7 a la place sans faire un petit test au prealable doivent savoir de quoi je parle)
Il est tard et je ne l'ai plus en tête. Si c'était le coup un trojan c'est la faute de l'admin, les signatures ne sont pas faites pour les chiens.
Eric
"Bertrand" <usenet@pas.net.invalid> a écrit dans le message de
news:pan.2003.07.21.17.03.14.467376@pas.net.invalid...
Salut,
Quand on a un système en production, on ne patche qu'après avoir
validé la mise à jour. C'est aussi con que ça.
On parle bien là de systeme de prod; mais la "faille de securite sous
windows" pour reprendre le titre concerne(rait) aussi le grand publique.
Et le grand publique lui... il fait pas de tests :)
Quand on explique a Mr Dupont comment faire la maintenance de son PC on
lui dit: faut appliquer tous les patchs... meme si ca peut representer
certains dangers (un exemple hors Windows: ceux qui se sont depechés de
virer openssl 0.9.6 pour coller un 0.9.7 a la place sans faire un petit
test au prealable doivent savoir de quoi je parle)
Il est tard et je ne l'ai plus en tête. Si c'était le coup un trojan c'est
la faute de l'admin, les signatures ne sont pas faites pour les chiens.
Quand on a un système en production, on ne patche qu'après avoir validé la mise à jour. C'est aussi con que ça.
On parle bien là de systeme de prod; mais la "faille de securite sous windows" pour reprendre le titre concerne(rait) aussi le grand publique.
Et le grand publique lui... il fait pas de tests :)
Quand on explique a Mr Dupont comment faire la maintenance de son PC on lui dit: faut appliquer tous les patchs... meme si ca peut representer certains dangers (un exemple hors Windows: ceux qui se sont depechés de virer openssl 0.9.6 pour coller un 0.9.7 a la place sans faire un petit test au prealable doivent savoir de quoi je parle)
Il est tard et je ne l'ai plus en tête. Si c'était le coup un trojan c'est la faute de l'admin, les signatures ne sont pas faites pour les chiens.
