ça fait un moment que certains esprits retors déconseillaient Skype,
BlackBerry et autres logiciels révolutionnaires en raison de leur
possible impact négatif en termes de sécurité. Et l'actualité
semble donner raison à ces indécrottables paranos :
- http://www.skype.com/security/skype-sb-2005-02.html
Buffer overflow in Skype-specific URI and VCARD import handling
- http://www.skype.com/security/skype-sb-2005-03.html
Heap overflow in networking routine (Hello les frenchies !)
- http://networks.silicon.com/mobile/0,39024665,39153677,00.htm
BBC shuts down BlackBerry service due to flaw
ça fait un moment que certains esprits retors déconseillaient Skype, BlackBerry et autres logiciels révolutionnaires en raison de leur possible impact négatif en termes de sécurité.
Les esprits retors n'apprécient pas ce qui est dissimulé. C'est une sorte de contre-sens en terme de sécurité. D'une autre côté cela n'empêche pas quelque chose de bien documenté d'être bourré de failles (IP, ICMP, TCP, etc). Mais au moins on les a sous les yeux. De l'autre côté on a une épée de Damoclès dont on ignore l'instant où elle nous tombera sur le groin.
Si le code de Skype était ouvert ça aiderait à le sécuriser. Mais le plus gros problème de skype n'est pas sa sécurité c'est sa non-standardisation !
db
--
Courriel : usenet blas net
Salut,
ça fait un moment que certains esprits retors déconseillaient Skype,
BlackBerry et autres logiciels révolutionnaires en raison de leur
possible impact négatif en termes de sécurité.
Les esprits retors n'apprécient pas ce qui est dissimulé. C'est une
sorte de contre-sens en terme de sécurité.
D'une autre côté cela n'empêche pas quelque chose de bien documenté
d'être bourré de failles (IP, ICMP, TCP, etc). Mais au moins on les a
sous les yeux.
De l'autre côté on a une épée de Damoclès dont on ignore l'instant où
elle nous tombera sur le groin.
Si le code de Skype était ouvert ça aiderait à le sécuriser.
Mais le plus gros problème de skype n'est pas sa sécurité c'est sa
non-standardisation !
ça fait un moment que certains esprits retors déconseillaient Skype, BlackBerry et autres logiciels révolutionnaires en raison de leur possible impact négatif en termes de sécurité.
Les esprits retors n'apprécient pas ce qui est dissimulé. C'est une sorte de contre-sens en terme de sécurité. D'une autre côté cela n'empêche pas quelque chose de bien documenté d'être bourré de failles (IP, ICMP, TCP, etc). Mais au moins on les a sous les yeux. De l'autre côté on a une épée de Damoclès dont on ignore l'instant où elle nous tombera sur le groin.
Si le code de Skype était ouvert ça aiderait à le sécuriser. Mais le plus gros problème de skype n'est pas sa sécurité c'est sa non-standardisation !
db
--
Courriel : usenet blas net
Laurent
Salut,
ça fait un moment que certains esprits retors déconseillaient Skype, BlackBerry et autres logiciels révolutionnaires en raison de leur possible impact négatif en termes de sécurité.
Les esprits retors n'apprécient pas ce qui est dissimulé. C'est une sorte de contre-sens en terme de sécurité. D'une autre côté cela n'empêche pas quelque chose de bien documenté d'être bourré de failles (IP, ICMP, TCP, etc). Mais au moins on les a sous les yeux. De l'autre côté on a une épée de Damoclès dont on ignore l'instant où elle nous tombera sur le groin.
Si le code de Skype était ouvert ça aiderait à le sécuriser. Mais le plus gros problème de skype n'est pas sa sécurité c'est sa non-standardisation !
Ferais-tu allusion à son protocole propriétaire ? J'ai lu quelque part que skype se comporte comme un noeud réseau susceptible de router des conversations de n'importe quel utilisateur du réseau skype, et que donc on offre généreusement un bout de sa bande passante à quelqu'un qu'on ne connait ni d'ève ni d'adam.
Si quelqu'un connaissant le dossier un peu mieux pouvait confirmer/infirmer.
-- Laurent
Salut,
ça fait un moment que certains esprits retors déconseillaient Skype,
BlackBerry et autres logiciels révolutionnaires en raison de leur
possible impact négatif en termes de sécurité.
Les esprits retors n'apprécient pas ce qui est dissimulé. C'est une
sorte de contre-sens en terme de sécurité.
D'une autre côté cela n'empêche pas quelque chose de bien documenté
d'être bourré de failles (IP, ICMP, TCP, etc). Mais au moins on les a
sous les yeux.
De l'autre côté on a une épée de Damoclès dont on ignore l'instant où
elle nous tombera sur le groin.
Si le code de Skype était ouvert ça aiderait à le sécuriser.
Mais le plus gros problème de skype n'est pas sa sécurité c'est sa
non-standardisation !
Ferais-tu allusion à son protocole propriétaire ? J'ai lu quelque
part que skype se comporte comme un noeud réseau susceptible de router
des conversations de n'importe quel utilisateur du réseau skype, et
que donc on offre généreusement un bout de sa bande passante à
quelqu'un qu'on ne connait ni d'ève ni d'adam.
Si quelqu'un connaissant le dossier un peu mieux pouvait
confirmer/infirmer.
ça fait un moment que certains esprits retors déconseillaient Skype, BlackBerry et autres logiciels révolutionnaires en raison de leur possible impact négatif en termes de sécurité.
Les esprits retors n'apprécient pas ce qui est dissimulé. C'est une sorte de contre-sens en terme de sécurité. D'une autre côté cela n'empêche pas quelque chose de bien documenté d'être bourré de failles (IP, ICMP, TCP, etc). Mais au moins on les a sous les yeux. De l'autre côté on a une épée de Damoclès dont on ignore l'instant où elle nous tombera sur le groin.
Si le code de Skype était ouvert ça aiderait à le sécuriser. Mais le plus gros problème de skype n'est pas sa sécurité c'est sa non-standardisation !
Ferais-tu allusion à son protocole propriétaire ? J'ai lu quelque part que skype se comporte comme un noeud réseau susceptible de router des conversations de n'importe quel utilisateur du réseau skype, et que donc on offre généreusement un bout de sa bande passante à quelqu'un qu'on ne connait ni d'ève ni d'adam.
Si quelqu'un connaissant le dossier un peu mieux pouvait confirmer/infirmer.
-- Laurent
Patrick MATHEVON
Ferais-tu allusion à son protocole propriétaire ? J'ai lu quelque part que skype se comporte comme un noeud réseau susceptible de router des conversations de n'importe quel utilisateur du réseau skype, et que donc on offre généreusement un bout de sa bande passante à quelqu'un qu'on ne connait ni d'ève ni d'adam.
Si quelqu'un connaissant le dossier un peu mieux pouvait confirmer/infirmer.
Test réalisé sous Windows il y a quelques jours, en dialogant depuis un réseau 62.23.124.x en région parisienne vers une IP Freebox 82.243.24.x en région parisienne. Un netstat -oan |find "le_pid_de_skype.exe" Et voici ce que je trouve comme hotes avec lesquels j'avais des connexions : 62.21.50.246:1085 (Internet Cable Provider, Pologne) 62.16.197.63:1237 (Telenor Avidi, Norvege) 62.77.93.51:57946 (HAWAII PC, République Tcheque) 62.178.10.38:1044 (chello Austria, Autriche) 62.42.25.245:12432 (Cableuropa - ONO, Espagne) Bref, pas tres tres propre ce protocole... Le mieux : je n'avais aucune connexion TCP/IP avec l'IP de la FreeBox en question. Mais je parcourais toute l'Europe.
Patrick
Ferais-tu allusion à son protocole propriétaire ? J'ai lu quelque
part que skype se comporte comme un noeud réseau susceptible de router
des conversations de n'importe quel utilisateur du réseau skype, et
que donc on offre généreusement un bout de sa bande passante à
quelqu'un qu'on ne connait ni d'ève ni d'adam.
Si quelqu'un connaissant le dossier un peu mieux pouvait
confirmer/infirmer.
Test réalisé sous Windows il y a quelques jours, en dialogant depuis un
réseau 62.23.124.x en région parisienne vers une IP Freebox 82.243.24.x en
région parisienne.
Un netstat -oan |find "le_pid_de_skype.exe"
Et voici ce que je trouve comme hotes avec lesquels j'avais des connexions :
62.21.50.246:1085 (Internet Cable Provider, Pologne)
62.16.197.63:1237 (Telenor Avidi, Norvege)
62.77.93.51:57946 (HAWAII PC, République Tcheque)
62.178.10.38:1044 (chello Austria, Autriche)
62.42.25.245:12432 (Cableuropa - ONO, Espagne)
Bref, pas tres tres propre ce protocole...
Le mieux : je n'avais aucune connexion TCP/IP avec l'IP de la FreeBox en
question.
Mais je parcourais toute l'Europe.
Ferais-tu allusion à son protocole propriétaire ? J'ai lu quelque part que skype se comporte comme un noeud réseau susceptible de router des conversations de n'importe quel utilisateur du réseau skype, et que donc on offre généreusement un bout de sa bande passante à quelqu'un qu'on ne connait ni d'ève ni d'adam.
Si quelqu'un connaissant le dossier un peu mieux pouvait confirmer/infirmer.
Test réalisé sous Windows il y a quelques jours, en dialogant depuis un réseau 62.23.124.x en région parisienne vers une IP Freebox 82.243.24.x en région parisienne. Un netstat -oan |find "le_pid_de_skype.exe" Et voici ce que je trouve comme hotes avec lesquels j'avais des connexions : 62.21.50.246:1085 (Internet Cable Provider, Pologne) 62.16.197.63:1237 (Telenor Avidi, Norvege) 62.77.93.51:57946 (HAWAII PC, République Tcheque) 62.178.10.38:1044 (chello Austria, Autriche) 62.42.25.245:12432 (Cableuropa - ONO, Espagne) Bref, pas tres tres propre ce protocole... Le mieux : je n'avais aucune connexion TCP/IP avec l'IP de la FreeBox en question. Mais je parcourais toute l'Europe.
Patrick
Nicob
On Fri, 28 Oct 2005 12:20:49 +0000, Laurent wrote:
Si quelqu'un connaissant le dossier un peu mieux pouvait confirmer/infirmer.
La prochaine réunion de l'OSSIR (Lundi 7 novembre 2005 à 14h) traitera entre autres de la sécurité de Skype. Je n'y serais pas, mais un compte-rendu (voire des slides) seraient les bienvenus ...
Nicob
On Fri, 28 Oct 2005 12:20:49 +0000, Laurent wrote:
Si quelqu'un connaissant le dossier un peu mieux pouvait
confirmer/infirmer.
La prochaine réunion de l'OSSIR (Lundi 7 novembre 2005 à 14h) traitera
entre autres de la sécurité de Skype. Je n'y serais pas, mais un
compte-rendu (voire des slides) seraient les bienvenus ...
On Fri, 28 Oct 2005 12:20:49 +0000, Laurent wrote:
Si quelqu'un connaissant le dossier un peu mieux pouvait confirmer/infirmer.
La prochaine réunion de l'OSSIR (Lundi 7 novembre 2005 à 14h) traitera entre autres de la sécurité de Skype. Je n'y serais pas, mais un compte-rendu (voire des slides) seraient les bienvenus ...
Nicob
Dominique Blas
[...]
La prochaine réunion de l'OSSIR (Lundi 7 novembre 2005 à 14h) traitera entre autres de la sécurité de Skype. Je n'y serais pas, mais un compte-rendu (voire des slides) seraient les bienvenus ...
L'OSSIR publie TOUJOURS ses comptes rendus sur son site que je sache. Non ?
db
--
Courriel : usenet blas net
[...]
La prochaine réunion de l'OSSIR (Lundi 7 novembre 2005 à 14h) traitera
entre autres de la sécurité de Skype. Je n'y serais pas, mais un
compte-rendu (voire des slides) seraient les bienvenus ...
L'OSSIR publie TOUJOURS ses comptes rendus sur son site que je sache. Non ?
La prochaine réunion de l'OSSIR (Lundi 7 novembre 2005 à 14h) traitera entre autres de la sécurité de Skype. Je n'y serais pas, mais un compte-rendu (voire des slides) seraient les bienvenus ...
L'OSSIR publie TOUJOURS ses comptes rendus sur son site que je sache. Non ?
db
--
Courriel : usenet blas net
Dominique Blas
[...]
Ferais-tu allusion à son protocole propriétaire ?
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP, H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
Mais, dans le cadre de la sécurité, surtout c'est qu'il n'est pas documenté.
Et la sécurité par l'obscurité ça ne MARCHE PAS (même si plus de 90% de la population croit encore que quelque chose de non divulgué offre une sécurité bien plus grande que quelque chose de divulgué).
db
--
Courriel : usenet blas net
[...]
Ferais-tu allusion à son protocole propriétaire ?
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP,
H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
Mais, dans le cadre de la sécurité, surtout c'est qu'il n'est pas documenté.
Et la sécurité par l'obscurité ça ne MARCHE PAS (même si plus de 90% de
la population croit encore que quelque chose de non divulgué offre une
sécurité bien plus grande que quelque chose de divulgué).
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP, H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
Mais, dans le cadre de la sécurité, surtout c'est qu'il n'est pas documenté.
Et la sécurité par l'obscurité ça ne MARCHE PAS (même si plus de 90% de la population croit encore que quelque chose de non divulgué offre une sécurité bien plus grande que quelque chose de divulgué).
db
--
Courriel : usenet blas net
Dominique Blas
[...]
Bref, pas tres tres propre ce protocole... Le mieux : je n'avais aucune connexion TCP/IP avec l'IP de la FreeBox en question. Mais je parcourais toute l'Europe.
Quel beau voyagge. Tu en as de la chance. :-)
Il ne faut pas publier qu'il s'agit de P2P et, en fait, plutôt de Mesh Networking à ce qu'il parait. Il est donc normal que tout poste Skype joue le rôle de relais pour d'autres. Cela fait partie du jeu : chaque noeud est un proxy (interconnexion au niveau applicatif) en puissance.
Tiens, il serait intéressant de lire la licence d'utilisation à ce sujet. Evoque-t-elle la consommation de ressources locale par d'autres utilisateur que le titutlaire de la licence ?
db
--
Courriel : usenet blas net
[...]
Bref, pas tres tres propre ce protocole...
Le mieux : je n'avais aucune connexion TCP/IP avec l'IP de la FreeBox en
question.
Mais je parcourais toute l'Europe.
Quel beau voyagge. Tu en as de la chance. :-)
Il ne faut pas publier qu'il s'agit de P2P et, en fait, plutôt de Mesh
Networking à ce qu'il parait.
Il est donc normal que tout poste Skype joue le rôle de relais pour
d'autres. Cela fait partie du jeu : chaque noeud est un proxy
(interconnexion au niveau applicatif) en puissance.
Tiens, il serait intéressant de lire la licence d'utilisation à ce
sujet. Evoque-t-elle la consommation de ressources locale par d'autres
utilisateur que le titutlaire de la licence ?
Bref, pas tres tres propre ce protocole... Le mieux : je n'avais aucune connexion TCP/IP avec l'IP de la FreeBox en question. Mais je parcourais toute l'Europe.
Quel beau voyagge. Tu en as de la chance. :-)
Il ne faut pas publier qu'il s'agit de P2P et, en fait, plutôt de Mesh Networking à ce qu'il parait. Il est donc normal que tout poste Skype joue le rôle de relais pour d'autres. Cela fait partie du jeu : chaque noeud est un proxy (interconnexion au niveau applicatif) en puissance.
Tiens, il serait intéressant de lire la licence d'utilisation à ce sujet. Evoque-t-elle la consommation de ressources locale par d'autres utilisateur que le titutlaire de la licence ?
db
--
Courriel : usenet blas net
Cedric Blancher
Le Fri, 28 Oct 2005 12:20:49 +0000, Laurent a écrit :
Ferais-tu allusion à son protocole propriétaire ?
Il est certes propriétaire, mais un protocole, on peut l'analyser. Le problème à mes yeux est qu'en plus d'être propriétaire, il est manifestement dissimulé. Une analyse du trafic Skype ne montre _rien_ pouvant être interprété comme des valeurs de champ, ce qui laisse fortement à penser que toutes les trames seraient au minimum cryptées pour que l'observateur lambda ne puisse pas les comprendre.
Ça, c'est gênant. C'est une volonté claire de masquer des choses, pas forcément malignes, mais ça laisse planer un doute légitime...
donc on offre généreusement un bout de sa bande passante à quelqu'un qu'on ne connait ni d'ève ni d'adam.
C'est dans la licence d'utilisation qu'on accepte si on utilise le logiciel :
http://www.skype.com/intl/fr/company/legal/eula/
"4.1 Autorisation d'utiliser votre ordinateur. Afin de bénéficier des avantages offerts par le logiciel Skype, vous donnez par les présentes au logiciel Skype l'autorisation d'utiliser le processeur et la bande passante de votre ordinateur avec pour objectif limité de faciliter les communications entre les utilisateurs du logiciel Skype."
Mais d'un autre côté, il ne faut pas s'en étonner. On sait très bien que face au nombre de postes se trouvant derrière un NAT les rendant inaccessibles directement, un fonctionnement full-P2P n'est pas possible. Dès lors, on doit fournir un système de relais pour gérer les communications entre deux hôtes inaccessibles directement. Ceci dit, à la différence de BB, le relais utilisé pour une communication donnée n'est pas fixe et sous le contrôle exclusif de Skype. Cela peut être n'importe quel utilisateur dont la configuration réseau lui permet de jouer le rôle de super-node.
Reste qu'on laisse un logiciel fortement obscurci établir des connexions à droite et à gauche sans aucun contrôle...
-- BOFH excuse #174:
Backbone adjustment
Le Fri, 28 Oct 2005 12:20:49 +0000, Laurent a écrit :
Ferais-tu allusion à son protocole propriétaire ?
Il est certes propriétaire, mais un protocole, on peut l'analyser. Le
problème à mes yeux est qu'en plus d'être propriétaire, il est
manifestement dissimulé. Une analyse du trafic Skype ne montre _rien_
pouvant être interprété comme des valeurs de champ, ce qui laisse
fortement à penser que toutes les trames seraient au minimum cryptées
pour que l'observateur lambda ne puisse pas les comprendre.
Ça, c'est gênant. C'est une volonté claire de masquer des choses, pas
forcément malignes, mais ça laisse planer un doute légitime...
donc on offre généreusement un bout de sa bande passante à quelqu'un
qu'on ne connait ni d'ève ni d'adam.
C'est dans la licence d'utilisation qu'on accepte si on utilise le
logiciel :
http://www.skype.com/intl/fr/company/legal/eula/
"4.1 Autorisation d'utiliser votre ordinateur. Afin de bénéficier
des avantages offerts par le logiciel Skype, vous donnez par les
présentes au logiciel Skype l'autorisation d'utiliser le processeur
et la bande passante de votre ordinateur avec pour objectif limité de
faciliter les communications entre les utilisateurs du logiciel Skype."
Mais d'un autre côté, il ne faut pas s'en étonner. On sait très bien
que face au nombre de postes se trouvant derrière un NAT les rendant
inaccessibles directement, un fonctionnement full-P2P n'est pas possible.
Dès lors, on doit fournir un système de relais pour gérer les
communications entre deux hôtes inaccessibles directement. Ceci dit, à
la différence de BB, le relais utilisé pour une communication donnée
n'est pas fixe et sous le contrôle exclusif de Skype. Cela peut être
n'importe quel utilisateur dont la configuration réseau lui permet
de jouer le rôle de super-node.
Reste qu'on laisse un logiciel fortement obscurci établir des connexions
à droite et à gauche sans aucun contrôle...
Le Fri, 28 Oct 2005 12:20:49 +0000, Laurent a écrit :
Ferais-tu allusion à son protocole propriétaire ?
Il est certes propriétaire, mais un protocole, on peut l'analyser. Le problème à mes yeux est qu'en plus d'être propriétaire, il est manifestement dissimulé. Une analyse du trafic Skype ne montre _rien_ pouvant être interprété comme des valeurs de champ, ce qui laisse fortement à penser que toutes les trames seraient au minimum cryptées pour que l'observateur lambda ne puisse pas les comprendre.
Ça, c'est gênant. C'est une volonté claire de masquer des choses, pas forcément malignes, mais ça laisse planer un doute légitime...
donc on offre généreusement un bout de sa bande passante à quelqu'un qu'on ne connait ni d'ève ni d'adam.
C'est dans la licence d'utilisation qu'on accepte si on utilise le logiciel :
http://www.skype.com/intl/fr/company/legal/eula/
"4.1 Autorisation d'utiliser votre ordinateur. Afin de bénéficier des avantages offerts par le logiciel Skype, vous donnez par les présentes au logiciel Skype l'autorisation d'utiliser le processeur et la bande passante de votre ordinateur avec pour objectif limité de faciliter les communications entre les utilisateurs du logiciel Skype."
Mais d'un autre côté, il ne faut pas s'en étonner. On sait très bien que face au nombre de postes se trouvant derrière un NAT les rendant inaccessibles directement, un fonctionnement full-P2P n'est pas possible. Dès lors, on doit fournir un système de relais pour gérer les communications entre deux hôtes inaccessibles directement. Ceci dit, à la différence de BB, le relais utilisé pour une communication donnée n'est pas fixe et sous le contrôle exclusif de Skype. Cela peut être n'importe quel utilisateur dont la configuration réseau lui permet de jouer le rôle de super-node.
Reste qu'on laisse un logiciel fortement obscurci établir des connexions à droite et à gauche sans aucun contrôle...
-- BOFH excuse #174:
Backbone adjustment
Fred
Dominique Blas wrote:
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP, H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
D'un autre coté "MsWord vs. ODF" pour ne citer qu'un exemple récent n'est pas très différent...
Dominique Blas wrote:
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP,
H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
D'un autre coté "MsWord vs. ODF" pour ne citer qu'un exemple récent
n'est pas très différent...
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP, H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
D'un autre coté "MsWord vs. ODF" pour ne citer qu'un exemple récent n'est pas très différent...
Bruno Patri
Dominique Blas wrote:
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP, H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
D'un autre coté "MsWord vs. ODF" pour ne citer qu'un exemple récent n'est pas très différent...
Pas tout a fait, dans la mesure ou les standards cités par Dominique existent il me semble depuis longtemps, alors que l'adoption de l'ODF par OASIS est assez récente et cela semble en cours pour l'iso... Cependant il est toujours regrettable qu'une application n'utilise pas des standards ouverts tant au niveau des protocoles de communication que des formats de fichiers.
Dominique Blas wrote:
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP,
H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
D'un autre coté "MsWord vs. ODF" pour ne citer qu'un exemple récent
n'est pas très différent...
Pas tout a fait, dans la mesure ou les standards cités par Dominique
existent il me semble depuis longtemps, alors que l'adoption de l'ODF
par OASIS est assez récente et cela semble en cours pour l'iso...
Cependant il est toujours regrettable qu'une application n'utilise pas
des standards ouverts tant au niveau des protocoles de communication que
des formats de fichiers.
Propriétaire alors qu'il existe des standards bien établis (SIP, MGCP, H323, etc) déjà c'est EXCESSIVEMENT MOCHE !
D'un autre coté "MsWord vs. ODF" pour ne citer qu'un exemple récent n'est pas très différent...
Pas tout a fait, dans la mesure ou les standards cités par Dominique existent il me semble depuis longtemps, alors que l'adoption de l'ODF par OASIS est assez récente et cela semble en cours pour l'iso... Cependant il est toujours regrettable qu'une application n'utilise pas des standards ouverts tant au niveau des protocoles de communication que des formats de fichiers.
