[Rapport CCIA] - replique de l'ATL

LaDDL wrote:

La réplique de MS suite au rapport de la CCIA par le biais de
l'Americans for Technology Leadership (ATL), une organisation financée
par Microsoft et ses alliés, a répliqué que le rapport n'était une
tentative de la CCIA d'exploiter à son profit "le problème sérieux de la
sécurité informatique".

"La sécurité informatique est un problème qui concerne l'ensemble du
secteur, et auquel on n'apportera pas de solution en pointant certains
du doigt de manière malveillante et en lançant des attaques politiques",
a déclaré dans un communiqué Jim Prendergast, directeur exécutif d'ATL.

Le communiqué ici :
http://www.techleadership.org/tech/wrapper.jsp?PIDP10-6&CIDP10-092403A
la sécurité est égale à celle du maillon le plus faible. C'est normal

qu'on leur tape dessus. L'ensemble du secteur est tributaire de
l'irresponsablitité du poids lourd. Il n'ont qu'à prendre leur
responsabilité et contribuer au lieu de faire semblant de s'interesser à
la sécurité et ainsi de continuer à mentir à leur client et donc de
mettre en péril tout le secteur.

--
Free Ur Mind, Be Linux

YanneZ nous disait récement dans fr.comp.securite
<news:3f7438aa$0$28898$626a54ce@news.free.fr> :

la sécurité est égale à celle du maillon le plus faible. C'est
normal qu'on leur tape dessus.

Oui mais non, le maillon faible n'est pas tant le système
d'exploitation que l'utilisateur. Cela fait des années que je tourne
avec un bon vieux Win98, et à part un ver en 2001[1], je n'ai jamais eu
le moindre problème. Si l'utilisateur est vigilant, qu'il sait se
protéger, qu'il connait les limites de ces protections, et qu'il a une
attitude saine vis-à-vis du vaste monde, les risques lié à l'OS sont
considérablement réduits.
Cela n'excuse pas Microsoft et ne les dédouanne pas du fait qu'ils ont
longtemps privilégier la convivialité/simplicité au détriment de la
sécurité, mais faire porter le chapeau à Microsoft seul est beaucoup
trop simple. Les dizaines de magazine[2] pour qui "PC" est synonyme de
"Windows" ont aussi un rôle de premier plan dans ce problème. La
première chose qu'ils auraient dû faire à chaque nouvelle version de
Windows, c'est expliquer ce qu'il fallait faire pour le sécuriser un
minimum. Pour eux, parler de sécurité c'est faire un comparatif sur les
anti-virus, et de temps en temps sur les firewalls personnels, en
oubliant systématiquement ou presque d'expliquer comment les utiliser
correctement.
Dans ces conditions, il est normal que les machines finals soient
trouées, tout simplement parce qu'elles sont aux mains de personnes à
qui l'on n'a pas dit qu'elles l'étaient, qu'il y avait des risques
(relatifs mais réels), et que l'on pouvait s'en prémunir simplement et
sans dépenser un centime. Et ceux[3] qui, plus curieux que les autres,
décident de se renseigner, se retrouvent face à des pavés techniques
qu'ils ne comprennent qu'à moitié, et qui au lieu de leur expliquer les
enjeux puis les parades, se contente de leur expliquer qu'il faut
bloquer ceci, interdire cela, etc. et les laissent dans l'inconnu
complet dès que leur problème n'est pas l'un des cas pris en exemple.
Certes, tout est dans le livre, mais quelque chose me dit que "bloquer
le trafic IP à destination du port lié au service utilisé"[4], ce n'est
pas quelque chose qu'ils comprennent aussi facilement que l'on voudrait
bien le croire.


[1]
C'est tout ma faute le pire.
[2]
Pour ne parler que des magazines français.
[3]
Je parle là des utilisateurs lambda, qui ne jurent que par l'écrit
traditionnel, à savoir magazines et livres. Bref du plus grand nombre.
[4]
Et encore je suis sympa, je résume dix pages là.
--
"Si ceux qui disent du mal de moi savaient exactement ce que je
pense d'eux , ils en diraient bien davantage."
Sacha Guitry

On 27 Sep 2003 14:39:54 GMT, Stephane Catteau <steph.nospam@sc4x.net>
wrote:

Cela n'excuse pas Microsoft et ne les dédouanne pas du fait qu'ils ont
longtemps privilégier la convivialité/simplicité au détriment de la
sécurité

Au fait, et MacOS dans tout ça ? Est-il plus sécurisé que Windows ?

Au fait, et MacOS dans tout ça ? Est-il plus sécurisé que Windows ?

Je soupçonne que MacOS X (basé sur BSD) soit, dans sa conception, plus
rigoureux. Donc sans doute plus sur.

De plus, il est moins utilisé, ce qui fait que moins d'exploits sont
disponibles, donc que les SK ont moins de chance de prendre une machine
sous MacOS X que sous Win XP.

pierre

--
Pierre LALET
lalet@enseirb.fr -- http://www.enseirb.fr/~lalet
Clé publique PGP : http://www.enseirb.fr/~lalet/pierre_lalet.asc
Empreinte de la clé : B6B8 0F89 2220 DF8B 0F3B C0C0 773E 15E6 A878 FC7E

petit mot doux....

Plus le temps passe plus je constate la même chose. Je suis sur windows 2000
depuis plus de deux ans. Jamais eu de virus, quelques plantages dans l'année et
c'est tout.

Pourtant, je ne suis pas un nerdz égagé avec son noyau windows2000 recompilé
à la unix avec protection contre débordements de tampons en natif.

Le problème pour moi n'est pas Microsoft, mais l'incompétence d'administrateurs
placés trop haut dans la chaîne alimentaire et le manque de responsabilité de
beaucoup trop d'utilisateurs.

C'est comme un jeu d'échecs, on ne protège pas un réseau genre Aol, wannadoo
ou autres en le laissant sans défense et en "espèrant que ça ne casse pas".

Microsoft n'est pas le problème si des gens comme moi peuvent tenir plusieurs
années sans choper la moindre saloperie. Bien que je sois spécifiquement contre
leur politique tarifaire, leurs systèmes sont majoritairement faits pour des cons et
ils tiennent sacrément bien la route dans ce domaine.

.merlin

Stephane Catteau wrote:

YanneZ nous disait récement dans fr.comp.securite
<news:3f7438aa$0$28898$626a54ce@news.free.fr> :

la sécurité est égale à celle du maillon le plus faible. C'est
normal qu'on leur tape dessus.

Oui mais non, le maillon faible n'est pas tant le système
d'exploitation que l'utilisateur. Cela fait des années que je tourne
avec un bon vieux Win98, et à part un ver en 2001[1], je n'ai jamais eu
le moindre problème. Si l'utilisateur est vigilant, qu'il sait se
protéger, qu'il connait les limites de ces protections, et qu'il a une
attitude saine vis-à-vis du vaste monde, les risques lié à l'OS sont
considérablement réduits.

C'est exact, mais l'utilisateur lambda n'est pas vigilant, car il
utilise un pc comme outil et n'a pas le reflexe de se demander si cet
outil contient les éléments qui garantissent sa sécurité ( cela est
implicite vu que le système fonctionne, qu'il a été créer par des gens
compétents donc ils ont pensé à tout, enfin j'imagine) Donc, il est plus
normal et simple ( koike ) d'implémenter de la sécurité sur une machine
que de former les réflexes des utilisateurs ( ils se forment au fur et à
mesure de leurs erreurs ). Donc, je retiens quand même que le maillon le
plus faible sur lequel on peut agir au départ est quand même, on va
dire, la couche logicielle.

Cela n'excuse pas Microsoft et ne les dédouanne pas du fait qu'ils ont
longtemps privilégier la convivialité/simplicité au détriment de la
sécurité, mais faire porter le chapeau à Microsoft seul est beaucoup
trop simple.

Je ne crois pas que cela soit au détriment, mais plutot un moyen de
soutirer des deniers de ses utilisateurs lorsqu'il s'agit d'accéder à un
niveau d'expertise supplémentaire. Et aussi de permettre à certaines
sociétés de s'épanouir là ou MS ne fait rien.

Les dizaines de magazine[2] pour qui "PC" est synonyme de
"Windows" ont aussi un rôle de premier plan dans ce problème. La
première chose qu'ils auraient dû faire à chaque nouvelle version de
Windows, c'est expliquer ce qu'il fallait faire pour le sécuriser un
minimum.

Pourquoi MS ne fournit pas lui même ces actions, voire pourquoi ne les
intègrent ils pas ?

Pour eux, parler de sécurité c'est faire un comparatif sur les
anti-virus, et de temps en temps sur les firewalls personnels, en
oubliant systématiquement ou presque d'expliquer comment les utiliser
correctement.
Dans ces conditions, il est normal que les machines finals soient
trouées, tout simplement parce qu'elles sont aux mains de personnes à
qui l'on n'a pas dit qu'elles l'étaient, qu'il y avait des risques
(relatifs mais réels), et que l'on pouvait s'en prémunir simplement et
sans dépenser un centime. Et ceux[3] qui, plus curieux que les autres,
décident de se renseigner, se retrouvent face à des pavés techniques
qu'ils ne comprennent qu'à moitié, et qui au lieu de leur expliquer les
enjeux puis les parades, se contente de leur expliquer qu'il faut
bloquer ceci, interdire cela, etc. et les laissent dans l'inconnu
complet dès que leur problème n'est pas l'un des cas pris en exemple.
Certes, tout est dans le livre, mais quelque chose me dit que "bloquer
le trafic IP à destination du port lié au service utilisé"[4], ce n'est
pas quelque chose qu'ils comprennent aussi facilement que l'on voudrait
bien le croire.

Tout a fait, c pourquoi je pense que l'utilisateur ne doit pas se
tourmenter avec ces choses là. MAis c'est paradoxal de voir qu'il existe
des journaux alertant les utilisateurs, mais les laissant finalement
dans l'expectative sur les choses à faire et dans quel ordre !!
Microsoft n'aurait pas grand chose à perdre à --enfin-- revoir son code
et le nettoyer pour que toutes les nouvelles failles qui apparaissent
tous les jours disapraissent mais peut être est ce un travail de
milliers de J/H alors pas vraiemnt rentable !!!

[1]
C'est tout ma faute le pire.
[2]
Pour ne parler que des magazines français.
[3]
Je parle là des utilisateurs lambda, qui ne jurent que par l'écrit
traditionnel, à savoir magazines et livres. Bref du plus grand nombre.
[4]
Et encore je suis sympa, je résume dix pages là.

--
Free Ur Mind, Be Linux

On Sat, 27 Sep 2003 14:39:54 +0000, Stephane Catteau wrote:

Cela n'excuse pas Microsoft et ne les dédouanne pas du fait qu'ils ont
longtemps privilégier la convivialité/simplicité au détriment de la
sécurité, mais faire porter le chapeau à Microsoft seul est beaucoup
trop simple.

Il ne s'agit pas de cela :

- la position dominate de MicroSoft en fait une cible de choix pour les
attaques : l'exploitation d'une faille de sécurité sous Windows permet
d'attaquer 95% des ordinateurs de la planète. C'est plus rentable que
d'attaquer les 5% restants (ce qui ne signifie pas pour autant que ces
derniers soient à l'abri des risques!). Mais c'est aussi beaucoup plus
dangereux pour des sociétés de plus en plus dépendantes des moyens de
traitement de l'information. C'est ici la simple existence d'un quasi
monopole que est en cause, et il en serait de même si c'était, par
exemple, Linux qui avait ce monopole.
- MicroSoft fait tout pour maintenir sa position dominante, y compris au
niveau de l'architecture de ses systèmes. Ce qui est dit dans le rapport,
c'est qu'il n'y a pas dans Windows de structuration en couche allant du
niveau système au niveau applicatif, avec des interfaces bien définis
entre les différentes couches, et que ceci a essentiellement pour
but de compliquer la tâche à ceux qui développent des applications
concurrentes (forcément moins performantes, parce que moins imbriquées
dans le sysème). Il en est de même au niveau réseau, avec certains
protocoles inutilement complexes et non (ou mal) documentés dans le seul
but de compliquer l'interopérabilité avec des systèmes et applications
tiers.
- Cette absence de structuration implique une complexité qui est cause de
vulnérabilités. Le rapport dit qu'au delà d'un certain seuil de
complexité, la correction d'un défaut entraîne inévitablement l'apparition
d'un nouveau défaut, et que ce seuil a été dépassé par MicroSoft. Et il
faut quand même bien admettre que, depuis quelques années, Internet
Explorer est bourré de trous de sécurité, et que les "patch cumulatifs"
qui sont censés les corriger ne sont que le prélude à de nouveaux trous de
sécurité (dont le seul avantage est de ne pas être enocre connus!).

On est ici loin du fait de privilégier la complexité et la simplicité
(pour l'utilisateur). On sait depuis longtemps (c'est aussi dans le
rapport) qu'on peut construire des logiciels gros et complexes formés de
composants plus simples structurés en couches, et que cela permet de
beaucoup mieux gérer la qualité du logiciel.

Dans article <pan.2003.10.01.09.26.25.31194@imag.fr>, Gilles.Berger-
Sabbatel@imag.fr disait...

- la position dominate de MicroSoft en fait une cible de choix pour les
attaques : l'exploitation d'une faille de sécurité sous Windows permet
d'attaquer 95% des ordinateurs de la planète.

C'est pourquoi on est bien a l'abri quand on utilise NetBSD/SPARC, c'est
ça? ;°)

--
Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando?

On Wed, 01 Oct 2003 13:55:17 +0000, Emmanuel Florac wrote:

- la position dominate de MicroSoft en fait une cible de choix pour les
attaques : l'exploitation d'une faille de sécurité sous Windows permet
d'attaquer 95% des ordinateurs de la planète.

C'est pourquoi on est bien a l'abri quand on utilise NetBSD/SPARC, c'est
ça? ;°)

Oui et non... Oui, parce qu'il y aura moins de candidats pour essayer
d'exploiter une faille de ces systèmes (failles moins grosses, moins
connues et moins nombreuses que celles de Windows). Non, parce que, avec
95% des ordinateurs vulnérables, les attaquants disposent d'une puissance
de nuisance qui leur permet potentiellement de mettre tout l'internet à
genoux, sans même avoir à exploiter une faille de sécurité des systèmes
tiers...

Ce n'est pas seulement la vulnérabilité des systèmes MicroSoft que le
rapport dénonce, c'est la "monoculture". Ce serait la même chose si 95%
des machines étaient sous NetBSD, quelque soit la sécurité de ce système.
Je rappelle tout de même qu'un certain nombre de vulnérabilités récentes
ont été découvertes sous OpenSSH ou sous apache, logiciels qui sont
communs à pratiquement tous les Unix...