Securite et compte administrateur Unix, Mac OSX

patpro nous disait récement dans fr.comp.securite
<news:patpro-932C6D.16222629022004@news.fu-berlin.de> :

Stephane Catteau <steph.nospam@sc4x.net> wrote:

Hum, tu en es vraiment sûr ? Il ne faut pas se contenter de l'OS,
mais regarder aussi tout ce qui peut tourner dessus.

je suis bien d'accord, le tout c'est de ne pas ajouter soi-meme
les failles :)

Tu l'as pourtant dit dans ta première réponse, on ajoute forcément des
failles, puisqu'on (l'utilisateur) est la principale faille. Le simple
fait d'allumer l'ordinateur et de le raccorder à un réseau, quelqu'il
soit, est en soi une faille importante. Partant de là, rien n'est à
négliger lorsque l'on cherche à savoir si le système est sûr ou non,
pas même les failles qui seront découvertes au coeur même du système
dans un mois, deux mois, peut-être même une heure, qui peut savoir ?

Rien que le mois dernier, en combinant les problèmes de Gaim[1],
qui est porté sous MacOS X,

théoriquement oui, dans la pratique il faut que le pirate sache
faire un code d'attaque pour PPC qu'il puisse glisser dans son
overflow.

S'il s'agit d'un pirate, il saura le faire... Sinon qu'il se mette au
jardinage. Le fait que les exploits pour MacOS (X ou classic)
n'intéressent pas grand monde n'implique pas qu'il n'existe pas des
personnes à même de les écrire.

De plus, l'utilisateur Apple a plus vite fait d'utiliser iChat que
GAIM.
[Snip]

corrigée, de plus cela exige l'utilisation de Classic.

Ta réaction me fait penser à la politique de l'autruche. L'un des
vecteurs n'est pas ce qui se fait de mieux dans son domaine et l'autre
est une faille pour laquelle existe un patch[1], il n'y a donc aucun
risque et MacOS X reste un système sûr.
Pour autant, il existe au moins une personne sur Terre qui utilise
Gaim, la passerelle vers MacOS Classic et qui n'a pas patché son
système. Si d'aventure il lisait ton message il dormirait tranquille,
alors même qu'il se promène sur le réseau avec un ordinateur que
n'importe qui (disposant de compétence en programmation système sous
MacOS X) peut compromettre à haut niveau.[2]

et par défaut la configuration de MacOS X est sûre.
D'après ce que j'ai pu lire (et comprendre surtout) et retenir

de discussion sur BugTraq et de quelques pages lues ailleurs, la
partie non BSD-based du code serait relativement brouillone. Du
coup, j'ai quand même des doutes sur la configuration par défaut
et sur la robustesse du système.

je parle surtout en terme d'intrusion provenant du réseau (le cas
qui nous interessait ici) : pas de ports ouverts par défaut, ni de
partage/serveur activé.

Et tu oublies donc tout la part de social engineering. Je doute que
MacOS X soit configuré par défaut avec un scanner de rootkit lancé
toutes les cinq minutes, un scanner d'anti-trojan capable de repérer
les trojans écrit spécialement pour l'occasion, lancé lui aussi toutes
les cinq minutes, et un filtre IP qui bloque tous les ports en sortie
aussi bien qu'en entrée. Par conséquent, il suffit de (toujours
relativement parlant, évidement) :

- Faire connaissance avec l'utilisateur.
- Arriver à se rendre sympathique à ses yeux.
- Lui envoyer un gentil trojan, fait sûr mesure, qui
a) installera une backdoor ou mieux encore.
b) ajoutera, par l'intermédiaire de sudo, un script dans /etc/rc
(ou l'équivalent sous MacOS X).
c) changera les droits du script su-nommé.
d) mettra la backdoor ou mieux encore en setuid root, via sudo la
encore.
- Lui envoyer un gentil programme faisant vraiment quelque chose en
s'excusant platement pour l'impardonnable erreur qui nous a fait
envoyer une version qui ne marche pas.
- Suivant la nature du programme installé
a) se connecter à la backdoor.
b) surveiller le chan IRC sur lequel le programme balancera les
infos recherchée (à la manière de SubSeven).
c) autre au choix du pirate.

[Note: Je parle de sudo, puisque d'après toi l'utilisation du compte
admin est sans risques ou presque, mais il est possible d'utiliser une
faille comme celle de TruBlueEnvironment pour obtenir les droits root.]

En local, ou si on ouvre des ports de maniere inconcidérée c'est
un tout autre probleme.

Comme tu peux le voir, même à distance c'est loin d'être aussi simple
que tu ne le pensais. La raison de ceci est d'ailleurs très simple,
l'utilisateur étant, de loin, la première faille, il est toujours
possible d'agir comme si l'on était en local.

Sur FreeBSD Jail n'est pas en usage par défaut, mais pour OpenSSH
c'est effectivement problématique.

Pardon ? Venant de quelqu'un qui ne connait pas FreeBSD, j'aurais pu
laisser passer, mais venant de quelqu'un qui indique dans son CV qu'il
a, entre autre, installé et administré un serveur HTTP sous FreeBSD, je
considère que c'est une énorme connerie ce que tu viens de dire. Jail
est la commande à connaitre avant tout installation d'un serveur sur du
FreeBSD[3] et par conséquent à considérer, à juste titre, comme étant
en usage par défaut. Et puis de toute façon, même s'il y avait mieux à
disposition, la commande étant implantée dans le kernel, elle est en
usage par défaut.

Mais si j'avais une machine sous MacOS X a te jeter en pâture je
serais ravi de te voir te battre avec :)

Tu m'en jeterais une sous Windows en pature que je me démerderais tout
aussi mal ; je ne suis pas un pirate, juste quelqu'un qui, à force
d'apprendre (ici notament), commence à savoir comment protéger un
ordinateur et quelles sont les limites à toute sécurité.


[1]
Car c'est là tout ce que tu puisses dire concernant cette faille. Le
fait qu'il existe un patch pour la corriger n'a jamais été synonyme de
"corrigée" ; à moins, bien sûr, qu'Apple ait devancé Microsoft et ne
dispose d'un moyen lui permettant de mettre les systèmes à jour à
l'insu de leurs utilisateurs.

[2]
Cela étant dit, ce forum est là avant tout pour apprendre, tout le
monde à un jour dit des conneries à même de compromettre la sécurité
d'un ordinateur au lieu de l'augmenter, moi autant (qui a dit
plus ? ;-)) que les autres. L'important, c'est d'en prendre conscience.

[3]
Normalement, "même si ce serveur n'est ouvert que sur le LAN", mais
bon, plom plom ;-)
--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.

In article <c1t813$1m9d6d$1@ID-214257.news.uni-berlin.de>,
"Eric Razny" <news_01@razny.net> wrote:

patpro wrote:

In article c1t0i1.3vvcc8t.1@sc4x.org,

et la faille de TruBlueEnvironment[2], qui est
interne au système,

corrigée, de plus cela exige l'utilisation de Classic.

A mettre en relation avec l'affirmation "probablement impénétrable
out-of-the-box" plus bas.
Out of the box c'est bien "without any patches" n'est-ce pas?...

et alors, c'est local uniquement, et ca necessite que tu lances
l'environnement Classic, qui n'est pas fonctionnel par défaut (il
necessite une installation spéciale supplémentaire, une activation, et
un lancement).
J'attends les démonstrations d'intrusion... :)

Bref OS/X reste un unix-like et les précautions habituelles s'appliquent.

bien évidemment.

je pars du principe que MacOS X est plutot sûr par défaut, et
probablement impénétrable out-of-the-box.

Outre que c'est un des pires principes que je n'ai jamais vu niveau
sécurité[1] il est en contradiction avec le début de ce post.

Je ne fais pas les mêmes
affirmations pour d'autres OS.

Même les afficionados des BSDs ont mis les basses sur ce thème.

que ce soit clair, je n'ai pas le meme discours pour une machine
professionnelle (un serveur, une station sur un réseau susceptible de
changer d'utilisateur...). On parle ici d'un utilisateur lambda qui veut
surfer sur internet. Ce n'est pas la peine de sortir l'artillerie
paranoiaque qu'on déploie pour un serveur. Le rapport gain/emmerdement
est bien trop défavorable.

S'il n'est pas admin (et ne peut avoir les droits) il va avoir du mal à
re-paramètrer son FW, non? (ou alors amha OS/X est bon pour la poubelle).
Une raison de plus, si besoin est, de créer un compte non privilégié sous
OS/X

note que si il créé un user non privilégié pour surfer, c'est qu'il est
admin (sinon il ne crée pas de user), ça ne l'empeche donc pas de faire
n'importe quoi avec son FW en amont. Bref, ça n'a pas de sens ta
remarque, sauf si l'admin est compétent.
Bien évidemment, le cas de la machine qu'on prête est tout à fait
différent.

Je te mets ma machine sous Win98 en pature sans rien faire dessus (ie je ne
surfe pas sur ton site par exemple :) )...
Le fait que tu n'entre pas la définie-t-elle comme sure pour autant (cf les
exploits de lancement auto d'exe via IE)?

hého, chuis pas un pirate moi :))
Chaque plate-forme a ses défauts, il se trouve que pour MacOS X il est
très dur de réunir les conditions permettant une exploitation à distance
pour une machine normalement configurée. Je dis pas que demain il n'y
aura pas un 0-Day delamokitu, mais pour un surfer isolé les probabilités
de problème sont plus qu'infimes.
Un seul bémol, Safari qui permettait le vol de cookie (jusqu'a fin 2003
je crois)

patpro

--
je cherche un poste d'admin UNIX/Mac
http://patpro.net/cv.php

In article <c1tk3c.3vv2uil.1@sc4x.org>,
Stephane Catteau <steph.nospam@sc4x.net> wrote:

Partant de là, rien n'est à
négliger lorsque l'on cherche à savoir si le système est sûr ou non,
pas même les failles qui seront découvertes au coeur même du système
dans un mois, deux mois, peut-être même une heure, qui peut savoir ?

c'est une question de prix et d'emmerdement, à mettre en balance avec ce
que ça te rapporte.

S'il s'agit d'un pirate, il saura le faire... Sinon qu'il se mette au
jardinage. Le fait que les exploits pour MacOS (X ou classic)
n'intéressent pas grand monde n'implique pas qu'il n'existe pas des
personnes à même de les écrire.

biensur

corrigée, de plus cela exige l'utilisation de Classic.

Ta réaction me fait penser à la politique de l'autruche. L'un des
vecteurs n'est pas ce qui se fait de mieux dans son domaine et l'autre
est une faille pour laquelle existe un patch[1], il n'y a donc aucun
risque et MacOS X reste un système sûr.

J'autruche pas, si l'utilisateur met sa machine en danger en installant
des softs véreux ce n'est pas la faute de l'OS. Ok pour TruBlue, qui est
livré avec et dont la responçabilité incombe à Apple. Mais la mise a
jour existe, et je n'ai aucune tendresse pour les gens qui ne mettent
pas a jour leurs OS.

Pour autant, il existe au moins une personne sur Terre qui utilise
Gaim, la passerelle vers MacOS Classic et qui n'a pas patché son
système. Si d'aventure il lisait ton message il dormirait tranquille,
alors même qu'il se promène sur le réseau avec un ordinateur que
n'importe qui (disposant de compétence en programmation système sous
MacOS X) peut compromettre à haut niveau.[2]

oui, je suis d'accord, j'ai péché par optimisme, cela dit, si on en
revient aux probabilités...

je parle surtout en terme d'intrusion provenant du réseau (le cas
qui nous interessait ici) : pas de ports ouverts par défaut, ni de
partage/serveur activé.

Et tu oublies donc tout la part de social engineering.

non, je n'oublie pas, c'etait inclu dans "l"utilisateur est la quantité
limitante"

Sur FreeBSD Jail n'est pas en usage par défaut, mais pour OpenSSH
c'est effectivement problématique.

Pardon ? Venant de quelqu'un qui ne connait pas FreeBSD, j'aurais pu
laisser passer, mais venant de quelqu'un qui indique dans son CV qu'il
a, entre autre, installé et administré un serveur HTTP sous FreeBSD, je
considère que c'est une énorme connerie ce que tu viens de dire. Jail
est la commande à connaitre avant tout installation d'un serveur sur du
FreeBSD[3] et par conséquent à considérer, à juste titre, comme étant
en usage par défaut.

oui bien sur, jail se configure et s'installe tout seul par défaut, il
rempli lui meme les formulaires pour obtenir des IP supplémentaires et
chaque démon est jailé automagiquement après l'install du systeme. :)
P'tain, je crois que j'ai enfin trouvé quelqu'un qui aime autant avoir
raison que moi :)

Et puis de toute façon, même s'il y avait mieux à
disposition, la commande étant implantée dans le kernel, elle est en
usage par défaut.

t'exabuses un peu là.

Tu m'en jeterais une sous Windows en pature que je me démerderais tout
aussi mal ; je ne suis pas un pirate, juste quelqu'un qui, à force
d'apprendre (ici notament), commence à savoir comment protéger un
ordinateur et quelles sont les limites à toute sécurité.

pareil, mais j'ai peut etre une vision plus économique du probleme.
J'estime que la sécurité maximum a un coût qui ne se justifie pas tjrs
pour un particulier. Je doute par exemple que toutes les concidérations
extremistes dans lesquelles nous nous sommes entrainés servent à grand
chose au demandeur original.
Si on veut une réponse rapide et absolue, elle est simple : le risque 0
n'existe pas, et donc il n'est pas prudent de surfer sur internet (avec
un compte admin).


patpro

--
je cherche un poste d'admin UNIX/Mac
http://patpro.net/cv.php

patpro wrote:

et alors, c'est local uniquement, et ca necessite que tu lances
l'environnement Classic, qui n'est pas fonctionnel par défaut (il
necessite une installation spéciale supplémentaire, une activation, et
un lancement).

Y a-t-il tant d'applications que l'environnement classic n'est déjà plus
utilisé?

S'il n'est pas admin (et ne peut avoir les droits) il va avoir du
mal à re-paramètrer son FW, non? (ou alors amha OS/X est bon pour la
poubelle). Une raison de plus, si besoin est, de créer un compte non
privilégié sous OS/X
note que si il créé un user non privilégié pour surfer, c'est qu'il

est admin (sinon il ne crée pas de user), ça ne l'empeche donc pas de
faire n'importe quoi avec son FW en amont. Bref, ça n'a pas de sens ta
remarque, sauf si l'admin est compétent.

Je répondais avec en tête la question originale de ND :

"Bonjour à tous, Je débute dans la compréhension des systèmes unix (je suis
sur Mac OS X). Je voulais juste savoir si la meilleure des protections des
infos personnelles n'est pas finalement de créer un compte
non-administrateur à partir duquel on se connecte sur internet."

Et je maintiens que c'est une des premières protections (pas la "meilleure",
la première à prendre), ensuite le reste est fonction des besoins et des
connaissances de l'utilisateur.
Donc *oui ND crées toi un compte pour surfer*

Maintenant il peut certes se logguer en admin pour reparamétrer son FW -il
le fait volontairement sur SA machine- mais il peut aussi laisser son pote
envoyer un email et surfer un peu (encore que!) sans avoir à le surveiller
comme le lait sur le feu.

Enfin je croyais que tu avais compris que même non root l'admin sous OS/X a
encore suffisament de pouvoir pour massacrer son système à la moindre fausse
manip. Alors merci de remplacer "root" par "utilisateur privilégié" dans :
on ne bosse pas en root sauf besoin impératif.

Bien évidemment, le cas de la machine qu'on prête est tout à fait
différent.

Pour ce qui concerne l'utilité d'être en compte non privilégié pour les
besoins courant, non!

Chaque plate-forme a ses défauts, il se trouve que pour MacOS X il est
très dur de réunir les conditions permettant une exploitation à
distance pour une machine normalement configurée. Je dis pas que
demain il n'y aura pas un 0-Day delamokitu, mais pour un surfer isolé
les probabilités de problème sont plus qu'infimes.

Quelque soit la plateforme autant prendre les bonnes habitude dès le début
(quand on peut, sous win98 je ne vais pas me faire chier a jouer des
poledit, j'accepte que laisser quelqu'un dessus peut me conduire à une
réinstall :) ).

Un seul bémol, Safari qui permettait le vol de cookie (jusqu'a fin
2003 je crois)

Tu vois, ça a déjà commencé :)
Et jette un oeil sous bugtraq, tu verras des trucs sympa sur les
économiseurs d'écran[1] (déjà ancien, mais tu as parlé d'out of the box)
etc...

Eric.

[1] c'est certes local mais tellement basique que ça fait un peu peur pour
le reste des éléments non BSD.

ND <erato11@hotmail.com> wrote:
| Bonjour à tous,
| Je débute dans la compréhension des systèmes unix (je suis sur Mac OS
| X).
| Je voulais juste savoir si la meilleure des protections des infos
| personnelles n'est pas finalement de créer un compte non-administrateur
| à partir duquel on se connecte sur internet.

Oui, c'est une excellente protection !
La seconde règle à suivre, est de n'ouvrir les services qu'au minimum
(c'est le cas par défaut sur MacOS X comme sur presque tous les Unix).
Une troisième consiste à activer toutes les possibilités
de limitation de pouvoir de votre navigateur web (manipulation de
fenêtres, langages autorisés, gestion des cookies, gestion des mots
de passes, gestion des certificats...).
Moins il pourra être télé-commandé par un serveur web pourri moins votre
environnement utilisateur sera vulnérable.
--
daniel Azuelos Pôle informatique - Institut Pasteur

Le Sun, 29 Feb 2004 16:48:20 +0000, patpro a écrit :

théoriquement oui, dans la pratique il faut que le pirate sache faire
un code d'attaque pour PPC qu'il puisse glisser dans son overflow.

Mouarf... Écrire un shellcode n'est vraiment plus un problème, même
pour une architecture inconnue :

http://www.cartel-securite.fr/pbiondi/projects/shellforge.html

[...]
En outre, il n'y a pas que les "failles" logicielles à proprement parler.
J'ai trouvé vraiment très élégant la faille qui permettait de prendre
la main sur un MacOS X à partir de :

. la configuration de base WLAN qui entraine la connexion directe à tout
AP wide open
. la configuration par défaut en DHCP de l'interface
. la possibilité, toujours pas défaut, de fournir un serveur
d'authentification par ce même DHCP

On voit tout de suite le cheminement. Je monte un AP, un DHCP et un
serveur d'authentification. Je m'approche du laptop, je lui fournit un
serveur d'authentification et je me connecte avec un username que je
contrôle.

Le Sun, 29 Feb 2004 16:48:20 +0000, patpro a écrit :

En tout cas, c'est nettement moins stupide que de se loguer directement
en root.

Pour moi, c'est tout aussi stupide, voire peut-être même plus dans la
mesure où d'aucuns trouvent ça plus sûr...

Prenons l'exemple d'un machine qui se fait trojaniser. Si ça arrive sous
un compte qui possède les droits adminstrateurs, l'impact est _nettement_
plus important qu'avec un compte non privilégié. Exemple de choses
possibles dans un cas et pas dans l'autre :

. extinction de services privilégiés (firewall, AV, etc.)
. reconfiguration de services privilégiés
. altération de programmes courants
. altération de la base de registre
. installation de rootkit noyau
. installation de drivers supplémentaires (WinPCap par exemple)
. mise en place de backdoor furtive (sans port ouvert)
. etc.

L'important, c'est pas le nom du compte, mais ce qu'il a le droit de faire
(ou de ne pas faire).

--

Seriez gentils de garder "Hordes" ou "moutons" dans le sujet de vos
enfilades "débiles" ; comme ça, je peux demander à OE de les
filtrer.
-+- NM in Guide du linuxien pervers - "Bien configurer sa secrétaire"

patpro nous disait récement dans fr.comp.securite
<news:patpro-1A453F.22095229022004@news.fu-berlin.de> :

Stephane Catteau <steph.nospam@sc4x.net> wrote:

Partant de là, rien n'est à négliger lorsque l'on cherche à savoir
si le système est sûr ou non, pas même les failles qui seront
découvertes au coeur même du système dans un mois, deux mois,
peut-être même une heure, qui peut savoir ?

c'est une question de prix et d'emmerdement, à mettre en balance
avec ce que ça te rapporte.

Bien sûr, mais quelles sont exactement les risques a ton avis ?
Quelqu'un qui prendra le temps d'entrer sur une machine non Windows ne
le fera pas par pur plaisir, mais parce qu'il a une idée derrière la
tête. En l'occurence, il y a plusieurs choses très intéressantes
concernant *ton* ordinateur. Tout d'abord il est derrière une connexion
ADSL, la connexion est donc stable[1]. Ensuite, tu as un domaine qui
pointe vers cette connexion, le pirate saura donc toujours où te
trouver. Enfin, tu utilises un OS peu répandu, le pirate aura donc tout
le loisir de préparer le terrain, sans craindre qu'un kiddy ne vienne
foutre la zone dans son travail ou te mettre la puce à l'oreille.
Partant de là, *ton* ordinateur fait un parfait rebond pour une
attaque d'envergure. Et c'est là que l'on en revient à ta réponse : Le
prix et les emmerdements dû à un minimum de sécurité active sont
beaucoup moins élevés que si tu te retrouves ejecté par ton FAI[2],
tout en étant poursuivi en justice pour, au moins, complicitée passive
dans le cadre d'une attaque informatique.


[Snip]

J'autruche pas, si l'utilisateur met sa machine en danger en
installant des softs véreux ce n'est pas la faute de l'OS.

Je suis d'accord avec la fin de ta phrase, mais pas avec le début,
puisque tu t'évertues (du moins t'évertuais) à considérer qu'en dehors
de ces softs véreux, tu ne cours aucun risque.

Ok pour TruBlue, qui est livré avec et dont la responçabilité incombe
à Apple. Mais la mise a jour existe, et je n'ai aucune tendresse pour
les gens qui ne mettent pas a jour leurs OS.

Réaction outrancière amha, la résponsabilité de cette non mise à jour
est partagée entre les 75% d'utilisateurs lambda concernés *et* les
éditeurs qui oublient le plus souvent d'expliquer pourquoi de telles
mises à jours sont nécessaires. Du coup, sans excuser entièrement leur
manque de curiosité, on ne peut guère en vouloir aux utilisateurs
lambda de ne pas faire quelque chose dont ils ignorent l'importance,
l'intérêt et parfois même l'existence.

Pour autant, il existe au moins une personne sur Terre qui [...]

oui, je suis d'accord, j'ai péché par optimisme, cela dit, si on
en revient aux probabilités...

Si l'on en revient aux probabilités, il y a autant d'utilisateurs
ignorant (ce qui n'est pas péjoratif) sous MacOS qu'il n'y en a sous
Linux, ce qui fait un sacré nombre de personnes à ne pas avoir fait la
mise à jour. D'ailleurs, et sans intentions offensantes de ma part, la
personne à l'origine de cette discussion en fait probablement partie.
On a tous été des débutants un jour ou l'autre, jusqu'à ce que l'on
lise/entende des personnes qui en savaient plus que nous ; ce qui
ammène parfois à se considérer, retrospectivement parlant, comme de
sacrés imbéciles.


[Snip]

[...] P'tain, je crois que j'ai enfin trouvé quelqu'un qui aime
autant avoir raison que moi :)

Ce n'est pas avec la flatterie que tu pourras t'en tirer ;-)

Et puis de toute façon, même s'il y avait mieux à disposition, la
commande étant implantée dans le kernel, elle est en usage par
défaut.

t'exabuses un peu là.

Pas tant que ça. La faille vient d'une commande permettant de
surveiller les jails, qui est donc potentiellement dangeureuse. S'il
n'en avait pas eu l'usage (après tout elle n'est apparue qu'avec la
version 5.1) *et* qu'elle avait été userland, un admin vigilant aurait
pu supprimer/renomer le fichier, pour limiter les risques de
compromission ; ça fait partie des petites finitions nécessaire, comme
de virer le setuid des commandes inutiles, pour éviter une faille comme
celle de TruBlue. Cependant, la commande étant implantée dans le
kernel, elle a tendance à rester, même si elle ne sert jamais... sauf à
un pirate éventuel.

Tu m'en jeterais une sous Windows en pature que je me démerderais
tout aussi mal ; je ne suis pas un pirate, juste quelqu'un qui, à
force d'apprendre (ici notament), commence à savoir comment
protéger un ordinateur et quelles sont les limites à toute
sécurité.

pareil, mais j'ai peut etre une vision plus économique du
probleme. J'estime que la sécurité maximum a un coût qui ne se
justifie pas tjrs pour un particulier.

Elle a un coup humain oui, mais c'est tout et encore celui-ci peut
être limité assez facilement. Il existe toujours un moyen gratuit (et
légal ;-)) de contourner tel ou tel problème. Besoin d'un firewall ? Il
en existe plusieurs gratuits et efficace, même chose pour les
anti-virus. Envie de surfer sans risques et sans se fatiguer ? Opera et
sa touche F12[3] sont là. Envie de parler avec le monde entier ? ICQ,
AIM et compagnie ont des équivalents gratuits et parfois plus sûr. Et
ainsi de suite.
Ce qu'il faut bien comprendre, c'est que les "personnes qui savent" et
les programmeurs ne sont pas tous sous Linux ou Unix. Il y a donc
toujours du monde pour s'occuper d'un projet permettant de faire ceci
ou cela avec un minimum de sécurité et un minimum d'effort pour arriver
à passer partout.



[1]
Comprendre par là qu'elle ne coupera pas tout d'un coup, hormis pour
la coupure des 24h de FT.

[2]
Relis donc les CGU, je doute que Nerim ait oublié d'y préciser que tu
es responsable de *tout* ce qui sort de ton ordinateur.

[3]
Elle ouvre automatiquement un menu de sélection pour
l'activation/désactivation des JavaScripts, Plug-In, coockies, etc.

--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.

In article <c20ohj.3vv2feb.1@sc4x.org>,
Stephane Catteau <steph.nospam@sc4x.net> wrote:

c'est une question de prix et d'emmerdement, à mettre en balance
avec ce que ça te rapporte.

Bien sûr, mais quelles sont exactement les risques a ton avis ?

très faible, en comparaison des milliers (millions ?) de tentatives
semi-automatisées des script-kiddies ou automatiques des virus et autres
machine a faire des spam-relay.
Cela dit, j'admets que le risque existe. (mais vraiment tres faible)

Et c'est là que l'on en revient à ta réponse : Le
prix et les emmerdements dû à un minimum de sécurité active sont
beaucoup moins élevés que si tu te retrouves ejecté par ton FAI[2],
tout en étant poursuivi en justice pour, au moins, complicitée passive
dans le cadre d'une attaque informatique.

comme on en est là, quel est l'état de la loi et de la jurisprudence à
propos des possesseurs physiques de machines compromises ? (dans
l'hypothese ou on montre qu'elles n'etaient pas au courant)

Ok pour TruBlue, qui est livré avec et dont la responçabilité incombe
à Apple. Mais la mise a jour existe, et je n'ai aucune tendresse pour
les gens qui ne mettent pas a jour leurs OS.

Réaction outrancière amha, la résponsabilité de cette non mise à jour
est partagée entre les 75% d'utilisateurs lambda concernés *et* les
éditeurs qui oublient le plus souvent d'expliquer pourquoi de telles
mises à jours sont nécessaires. Du coup, sans excuser entièrement leur
manque de curiosité, on ne peut guère en vouloir aux utilisateurs
lambda de ne pas faire quelque chose dont ils ignorent l'importance,
l'intérêt et parfois même l'existence.

par défaut, MacOS X vérifie une fois par semaine (si une connexion
internet est disponible) si il existe des mises a jours que
l'utilisateur n'a pas installées.
Chaque description de mise a jour trouvée explique sommairement ce qui
va être mis à jour, et parfois pourquoi ça va être mis à jour.
Notamment, les mises à jour de sécurité sont estampillées "Sécurité".
Ca c'est pour les +. Pour les moins, avec panther il est maintenant plus
facile qu'avec Jaguar de se dispenser de faire une mise à jour,
ergonomiquement parlant. Comme il faut etre admin pour installer une
mise a jour, je serais curieux de savoir comment évoluerait un parc
informatique ou tous les utilisateurs doivent se re-loguer sous un
compte admin pour installer une mise à jour, face à un parc ou les
utilisateurs n'ont qu'à mettre leur mot de passe pour lancer la
procédure [1]. Cela dit, l'éducation n'est pas impossible...

oui, je suis d'accord, j'ai péché par optimisme, cela dit, si on
en revient aux probabilités...

Si l'on en revient aux probabilités, il y a autant d'utilisateurs
ignorant (ce qui n'est pas péjoratif) sous MacOS qu'il n'y en a sous
Linux,

bien plus :)
C'est un héritage de MacOS 9 et inférieur, où l'utilisateur omnipotent
pouvait faire n'importe quoi avec son système [2]

ce qui fait un sacré nombre de personnes à ne pas avoir fait la
mise à jour. D'ailleurs, et sans intentions offensantes de ma part, la
personne à l'origine de cette discussion en fait probablement partie.

je ne pense pas. Faire la démarche de poser la bonne question (sur le
bon groupe en plus !!!) m'évoque plutot quelqu'un de pas ignorant du
tout.

On a tous été des débutants un jour ou l'autre, jusqu'à ce que l'on
lise/entende des personnes qui en savaient plus que nous ; ce qui
ammène parfois à se considérer, retrospectivement parlant, comme de
sacrés imbéciles.

m'en parle pas :)

Cependant, la commande étant implantée dans le
kernel, elle a tendance à rester, même si elle ne sert jamais... sauf à
un pirate éventuel.

moui

pareil, mais j'ai peut etre une vision plus économique du
probleme. J'estime que la sécurité maximum a un coût qui ne se
justifie pas tjrs pour un particulier.

Elle a un coup humain oui, mais c'est tout et encore celui-ci peut
être limité assez facilement.

se former suffisamment pour comprendre ce que l'on fait quand on
configure un Firewall, c'est a mon avis un coup très élévé pour
quelqu'un qui fait métro-boulot-dodo et qui a une famille qui l'attend
chez lui quand il rentre le soir (hmmm, cliché).
Comment envisager l'éducation informatique d'un profane qui n'aura ni le
désir ni le temps de mettre a jour ses connaissances, de suivre les
alertes de sécurité pour son Firewall tout neuf, de bien en lire le
manuel pour ne pas le configurer a l'envers ? ...
Plus on encourage les gens a se cacher derriere des briques logicielles
plus la qualité de ces briques devient problématique.
De plus, les gens ne voient que ce qui les arrange. Y'a qu'a voir tous
les windowsiens en ADSL qui exhibent fierement leur firewall, et qui
derriere, piratent quotidiennement le PIB du Gabon a coup de p2p sans
avoir en prime d'antivirus dans la manche.

Enfin je dis ca mais ça rejoint mon discours sur l'illusion de sécurité
d'un OS "sur par défaut". :)

Il existe toujours un moyen gratuit (et
légal ;-)) de contourner tel ou tel problème. Besoin d'un firewall ? Il
en existe plusieurs gratuits et efficace,

ipfw sur OSX par exemple, malheureusement l'interface graphique n'agit
que sur le TCP, pas sur l'UDP...

même chose pour les
anti-virus.

une pensée émue pour les MacUsers utilisant Norton AV, qui ont vu toute
leur mailbox (fichier .mbox) supprimée par l'AV le jour ou ils ont reçu
un virus mydoom. Et en plus il est payant celui là :)

Ce qu'il faut bien comprendre, c'est que les "personnes qui savent" et
les programmeurs ne sont pas tous sous Linux ou Unix. Il y a donc
toujours du monde pour s'occuper d'un projet permettant de faire ceci
ou cela avec un minimum de sécurité et un minimum d'effort pour arriver
à passer partout.

ouais, ben moi j'aimerais bien que le gars qui bosse sur systrace pour
OSX avance [3]. Malheureusement j'ai pas de Mac à lui donner.


patpro
--

[1] connaissant les MacUsers, ce serait pas fameux...
le MacUser n'aime pas ces histoires de login, de compte multiple, et je
pense que plus de 60% des Mac sous OSX bootent directement sur le compte
admin sans passer par la boite de login.
D'ailleurs on en voit qui ne mettent pas de mot de passe a leur compte
et qui ne savent meme pas se servir de la boite de login (véridique)

[2] (d'où la volontée affichée par certain de se loguer en root dans la
GUI pour "faire le ménage" et virer tous ces "fichiers inutiles" à la
racine du disque... :-)

[3] http://www.citi.umich.edu/u/provos/systrace/macosx.html

--
je cherche un poste d'admin UNIX/Mac
http://patpro.net/cv.php

patpro nous disait récement dans fr.comp.securite
<news:patpro-DDB5D8.10043002032004@news.fu-berlin.de> :

Stephane Catteau <steph.nospam@sc4x.net> wrote:

c'est une question de prix et d'emmerdement, à mettre en
balance avec ce que ça te rapporte.
Bien sûr, mais quelles sont exactement les risques a ton avis ?

très faible, en comparaison des milliers (millions ?) de tentatives
semi-automatisées des script-kiddies ou automatiques des virus et
autres machine a faire des spam-relay.

Les risques liés aux script-kiddies sont largement sur-évalués. En
général ils sont du genre à (pour déplacer le problème vers quelque
chose de plus tangible) exploiter une faille banale des sites en PHP
pour remplacer la page d'acceuil du site par un beau "Prout !" en /h1/.
Ce qu'ils veulent, c'est flatter leur égo, et ce dernier se contente
souvent de peu.
Au-dessus d'eux on trouve les kiddies évolués, qui passent leur temps
à chercher des relais ouverts. Bon, là c'est de ta faute, si tu n'es
pas capable de configurer correctement un serveur SMTP, n'en installe
pas. Même chose pour les FTP warez.
Le vrai risque reste donc le pirate décidé. Certes, les probabilités
sont pour toi, pour qu'il choisisse ton ordinateur parmis les millions
qu'il a à sa disposition, il faut vraiment que tu sois maudit.
Seulement, c'est le même principe que la ceinture de sécurité dans une
voiture. Tant que tu n'as pas eu d'accident, tu as tendance à la
trouver encombrante et inutile...


[Snip]

comme on en est là, quel est l'état de la loi et de la jurisprudence
à propos des possesseurs physiques de machines compromises ? (dans
l'hypothese ou on montre qu'elles n'etaient pas au courant)

A ma connaissance, la loi autant que la jurisprudence sont muetes à ce
propos. Si tu n'avais pas connaissance du problème, il est probable que
tu t'en tires sans égratinures... Enfin tout est relatif, puisque que
tu auras perdu le temps du procès (et de sa préparation) et les
honoraires de ton avocat. Et quelque chose me dit que tout le monde n'a
pas les moyens (financiers autant qu'humain) de faire face à un tel
procès, même s'il découle sur un non-lieu.


[Snip]

par défaut, MacOS X vérifie une fois par semaine (si une connexion
internet est disponible) si il existe des mises a jours que
l'utilisateur n'a pas installées.

"par défaut", donc c'est désactivable.

Chaque description de mise a jour trouvée explique sommairement ce
qui va être mis à jour, et parfois pourquoi ça va être mis à jour.

"Parfois", donc pas toujours.

Notamment, les mises à jour de sécurité sont estampillées "Sécurité".

Ce qui veut dire ? C'est une mise-à-jour qui fera en sorte que je ne
puisse pas perdre le document que je viens de passer une heure à
créer ? C'est une mise-à-jour qui s'assurera que l'ordinateur ne
prendra pas feu s'il y a une surtension sur la ligne électrique ?
Je sais, je joues au neuneu, mais mets-toi dans la peau d'un
utilisateur lambda, ça veut dire quoi au juste "sécurité" ?

Expliquer au cas par cas comme le fait Apple est une bonne chose, mais
si l'utilisateur n'a pas une connaissance plus globale du problème, je
ne sais pas vraiment si ça simplifie le problème, ou si cela tend à le
rendre plus flou.


[Attention, tu es entrain de dire que finalement, des MacOS X non
patchés, il doit y en avoir plein ;-)]

Ca c'est pour les +. Pour les moins, avec panther il est maintenant
plus facile qu'avec Jaguar de se dispenser de faire une mise à jour,
ergonomiquement parlant. Comme il faut etre admin pour installer une
mise a jour, je serais curieux de savoir comment évoluerait un parc
informatique ou tous les utilisateurs doivent se re-loguer sous un
compte admin pour installer une mise à jour, face à un parc ou les
utilisateurs n'ont qu'à mettre leur mot de passe pour lancer la
procédure [1]. Cela dit, l'éducation n'est pas impossible...

Et comme les mises à jour sont "contraignantes" elles aussi, il doit
être tentant de désactiver tout ça. Après tout, en France entre autre,
les utilisateurs disposant d'une connexion haut débit et/ou forfaitaire
constitue la minorité. Du coup, devoir attendre que ce "je ne sais trop
quoi qui servira à je n'ai pas vraiment compris quoi" ait fini de se
télécharger, avant de pouvoir surfer sur le net, voire payer pour qu'il
se télécharge, ça ne doit pas tenter beaucoup de monde.

oui, je suis d'accord, j'ai péché par optimisme, cela dit, si
on en revient aux probabilités...
Si l'on en revient aux probabilités, il y a autant d'utilisateurs

ignorant (ce qui n'est pas péjoratif) sous MacOS qu'il n'y en a
sous Linux,

bien plus :)
C'est un héritage de MacOS 9 et inférieur, où l'utilisateur
omnipotent pouvait faire n'importe quoi avec son système [2]

Je ne suis pas convaincu qu'il y en ait vraiment plus. Linux est
entrain de fédérer les mécontents de Windows, qui ont les mêmes, si ce
n'est plus, mauvaises habitudes que les Macounet ;-)

Elle a un coup humain oui, mais c'est tout et encore celui-ci
peut être limité assez facilement.

se former suffisamment pour comprendre ce que l'on fait quand on
configure un Firewall, c'est a mon avis un coup très élévé pour
quelqu'un qui fait métro-boulot-dodo et qui a une famille qui
l'attend chez lui quand il rentre le soir (hmmm, cliché).

Non, j'ai de bon retour concernant la FAQ sur les firewalls. Un samedi
après-midi passé à la lire tranquillement, le clavier en face de soi et
un verre près de la main droite, et l'on en sait suffisement pour
arriver à faire face correctement. Ce qui manque le plus, amha, c'est
la volonté initiale. Comme l'on ne sait pas pourquoi et comment, on
considère que c'est inutile.

Comment envisager l'éducation informatique d'un profane qui n'aura
ni le désir ni le temps de mettre a jour ses connaissances, de
suivre les alertes de sécurité pour son Firewall tout neuf, de
bien en lire le manuel pour ne pas le configurer a l'envers ?

Simplement en lui parlant comme à un être humain qui a autre chose à
faire. Le principal défaut de la littérature existant actuellement sur
le sujet, c'est de s'adresser à des personnes qui savent déjà, ou de
vouloir transformer les lecteurs en admin sécu de premier plan.

Plus on encourage les gens a se cacher derriere des briques
logicielles plus la qualité de ces briques devient problématique.

Pourquoi se cacher derrière quoi que ce soit ? Il n'y a aucun élément
indispensable en matière de sécurité informatique. Si l'on a un OS sûr
(Linux/Unix/MacOS *), un firewall n'est indispensable que si l'on
décide d'ouvrir un port, d'une façon ou d'une autre. Quelque soit l'OS
que l'on utilise, l'anti-virus n'est nécessaire que si l'on exécute
tout et n'importe quoi.
Ce qui est indispensable, c'est avant tout de savoir ce que l'on fait
et les risques que l'on prend en le faisant. Le reste, ce ne sont que
des ajustements destinés à faciliter les choses. Mettre un firewall,
c'est la garantie de pouvoir s'amuser a avoir ses propres serveurs SMTP
et POP3, par exemple. Avec un anti-virus, on peut télécharger tous les
gadgets 'achement inutiles mais tellement indispensable ; le firewall
s'occupant alors de neutraliser les backdoor.

Il existe toujours un moyen gratuit (et légal ;-)) de contourner tel
ou tel problème. Besoin d'un firewall ? Il en existe plusieurs
gratuits et efficace,

ipfw sur OSX par exemple, malheureusement l'interface graphique
n'agit que sur le TCP, pas sur l'UDP...

Au secour... Qui a mit une interface graphique au-dessus d'ipfw ?
Travaille le directement en ligne de commande, ce sera tellement plus
simple. Cela dit, il me semble qu'il existe aussi un portage d'ipf,
mais sans garantie.

même chose pour les anti-virus.

une pensée émue pour les MacUsers utilisant Norton AV, qui ont vu
toute leur mailbox (fichier .mbox) supprimée par l'AV le jour ou
ils ont reçu un virus mydoom. Et en plus il est payant celui là :)
[Snip]

ouais, ben moi j'aimerais bien que le gars qui bosse sur systrace
pour OSX avance [3]. Malheureusement j'ai pas de Mac à lui donner.

Oui bon, tu utilises une OS étrange, c'est de ta faute ;-)


--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.