Securite : Windows ou Linux ?

Voici 2 cas de figure :

- Poste en Windows 2000
Un Firewall (genre Kério)
Un antivirus
Les Patchs à jour
Utilisation maximale de logiciel Open (Firefox & Thunderbird,
OpenOffice, etc...)
Navigation & utilisation sous un compte utilisateur (donc droits
réduits)
Bonne maîtrise de windows 2000 (8/10)

- Poste sous Linux
Un firewall (Guarddog)
Pas d'antivirus (pas besoin ?)
Pas de mise à jour trop poussée (genre compil noyau, car la personne
ne maîtrise pas)
Utilisation Logiciel Open Source (Gag !!)
Installation de Mandrake (plus simple pour un novice)
Maîtrise Linux niveau novice (3/10)

Pour une machine perso (genre PC à la maison avec ADSL) quel est le
meilleur choix au niveau sécurité ??

La solution 1 est la meilleur dans le cas de ton ami, car il maitrise
mieux son environnement, en securité le maillon le plus faible restera
toujours l'utilisateur, donc autant limité les degats en permettant a
l'utilisateur de mieux connaitre son envirronements.

Les risques auquels est exposé un utilisateur lambda connecter a l'adsl
sont globalement connu, et peuvent etre trés vite limité par une ou deux
reflections.

Les anti virus, les firewalls, et tous le reste on été inventer pour
pallier aux failles humaine, mais en theorie, dans un envirronement
parfait ce genre de chose sont totalement inutile.

Seul la maitrise de l'environement, par l'utilisateur et
l'administrateur, fait la difference, entre un systeme A et un systeme B.

In article <c173sl$1f1d1f$1@ID-194259.news.uni-berlin.de>,
Corsica <ahmad.clement-virezmoi@wanadoo.fr> wrote:

Voici 2 cas de figure :

- Poste en Windows 2000
Bonne maîtrise de windows 2000 (8/10)

- Poste sous Linux
Maîtrise Linux niveau novice (3/10)

Pour une machine perso (genre PC à la maison avec ADSL) quel est le
meilleur choix au niveau sécurité ??

C'est l'administrateur la quantité limitante pour la sécurité d'un
système. Donc conseille a tes amis d'utiliser l'OS qu'ils maitrisent le
mieux. Un linux mal administré présente plus de risques qu'un Windows
bien administré. Notamment, certaines distributions n'ont pas à rougir
face à windows en terme de ports ouverts par défaut.

Tu peux eventuellement leur conseiller d'acheter un petit routeur pour
mettre entre leur modem ADSL et leur PC. Ca n'evitera pas les virus,
mais le NAT protégera modérément la machine derriere.

patpro

--
je cherche un poste d'admin UNIX/Mac
http://patpro.net/cv.php

Corsica wrote:

- Poste en Windows 2000
Un Firewall (genre Kério)
Un antivirus

Se rappeler une chose: un virus peut très bien, une fois injecté,
désactiver le firewall et/ou l'antivirus. Surtout vu le nombre
réduit de solutions (ou plutôt la concentration progressive des
éditeurs).

Mais on peut imaginer un petit firewall hard en frontal, ou mieux,
un modem ADSL avec firewall intégré.

Coût: moins de 100 euros (par exemple chez Olitec)
Place: la taille d'un paquet de mouchoirs
A comparer au prix des licenses des firewalls + coût d'un modem
classique, et surtout au coût global d'un PC.

Utilisation maximale de logiciel Open

C'est aussi une bonne idée, car cela casse la "chaîne" d'infection
souvent observée (Windows+Outlook+Internet Explorer)

- Poste sous Linux
Un firewall (Guarddog)

Je dirais: firewall en "stealth" (filtrage des icmp echo-request,
et pas de renvoi de NAK en cas de tentative de connexion)

Pas d'antivirus (pas besoin ?)

Non, sauf si utilisé pour filtrer des mails pour des postes Windows
reliés.

Pour info, (source: f-prot)
WIN32: 100,000 virus, vbscrip et autres recensés
Linux/Unix: 200 scripts offensifs recensés, essentiellement en root,
mais qui en a vu un seul en live ? Et je ne parle pas des quelques
trojans qui exploitent des services serveur (vieilles versions de bind,
par exemple)

Pas de mise à jour trop poussée (genre compil noyau, car la personne
ne maîtrise pas)

C'est dommage, car un noyau sécurisé est plus sûr (protection de pile,
restriction de droits, etc). Mais un tel noyau est peut être disponible en
"package" ?

Installation de Mandrake (plus simple pour un novice)

Je dois reconnaitre que Mandrake a fait des efforts de titans, et que
leur installateur est rééllement bluffant. (et c'est un Debianiste qui parle!)

Maîtrise Linux niveau novice (3/10)
Pour une machine perso (genre PC à la maison avec ADSL) quel est le
meilleur choix au niveau sécurité ??

A ce niveau, ce n'est pas évident. On peut très bien avoir une machine
Windows sécurisée en prenant la solution A.

<propagande>
Après, il y a aussi un choix à faire: engraisser un peu plus une société
monopolistique (Microsoft), déja condamnée pour abus de position dominante,
ou faire confiance à un modèle qui a très bien réussi à la recherche
scientifique :)
</propagande>

... ou mieux,
un modem ADSL avec firewall intégré.

De quoi s'agit-il ?

--
siger

Corsica <ahmad.clement-virezmoi@wanadoo.fr> wrote:
| Bonjour à Tous
| Avant toute chose, ce n'es pas un troll. Je suis sous Linux depuis 1 an
| et m'en porte très bien. Ce n'est pas moi qu'il faut convaincre, mais
| j'ai du mal à trouver des arguments pour 2 amis qui sont sous win2000.
[...]

Désolé, mais j'ai des propositions que tu n'avais pas envisagé.
Je t'élargis donc le problème (c'est pas un bouffe-troll non plus).

| Pour une machine perso (genre PC à la maison avec ADSL) quel est le
| meilleur choix au niveau sécurité ??

Les risques intrinsèques d'un SE sont le produit :

nombre de failles e sécurité
x population de ce SE sur l'Internet

(parce c'est ce produit qui attire les attaques terroristes : virus,
vers, spyware...).

Les risques liés à son utilisation par son propriétaire sont :

complexité de l'interface homme-machine
x nombre de défauts de fonctionnement

(parce que c'est ce produit qui determinera les erreurs de
l'utilisateur).

Ces calculs ne sont pas tous faisables exactement (surtout
vu la taille des sources de ces divers systèmes), mais
sur une population relativement importante de collègues, confrères,
utilisateurs (plusieurs milliers) travaillant sur ces 4 types de
systèmes d'exploitation, voici un classement en fonction de leur
sécurité (risque lié au système + risque lié à son utilisation) :

MacOS X
FreeBSD
Linux
Windows XP

Et j'estime sur cette échelle le risque variant de 1 à 100,
avec des Windows mis à jour à un jour près, et des bases de
signatures anti-virus à un jour près.

[ mise en garde ]
Choisir Windows => nourrir religieusement ses parasites :
vendeur d'anti-virus,
vendeur de coupe-feu,
vendeur de détecteur de ratware...
Choisir Windows = favoriser une entreprise en situation de monopole
=> supprimer toute concurrence. C'est donc supprimer tout stimulant
pour cette entreprise, et à terme c'est aussi la condamner.
C'est vache !
--
daniel Azuelos Pôle informatique - Institut Pasteur

Daniel Azuelos nous disait récement dans fr.comp.securite
<news:c1gvva$1chp$1@cantal.sis.pasteur.fr> :


[Note: J'ai beaucoup de mal à accrocher à cette approche terriblement
mathématique d'un problème qui reste terriblement subjectif...]

Les risques intrinsèques d'un SE sont le produit :

nombre de failles e sécurité
x population de ce SE sur l'Internet

(parce c'est ce produit qui attire les attaques terroristes :
virus, vers, spyware...).

Euh... Tu t'en serais tenu à "attaques", j'aurais pu me laisser
convaincre, mais là ton argument ne tient pas si on se contente de le
confronter aux faits. En effet, par définition les "attaques
terroristes" visent à avoir le plus d'impact possible sur les
populations ; elles ciblent donc les particuliers en tant que
spectateurs et non en tant que victimes directes. Si l'un revient à
l'autre dans la vraie vie, c'est le contraire dès que l'on prend
Interne comme repère d'analyse. Il n'y a rien de plus isolé qu'un
utilisateur lambda derrière son clavier. Attaque-le et, tout au plus se
sentira-t-il victime d'une injustice *isolée*. Non, si tu veux produire
un effet de masse[1], tu dois cibler quelque chose qui échappe au
contrôle des utilisateurs finaux, mais qu'ils sont ammenés à utiliser
fréquement. Or, pour arriver à un tel résultat, il faut soit s'attaquer
à des sites tels que Google, TF1, Le Journal du Net, bref des sites
largement visités et considérés par les utilisateurs lambda comme des
points de repères immuables sur le réseau. Et si en prime tu recherches
un effet médiatique pour assoir ton effet, il faut alors s'attaquer aux
grands _systèmes_ raccordés aux réseaux. Et là, c'est à l'architecture
même du réseau que tu dois t'attaquer. Auquel cas, se sont des DDoS
contre les root servers ou des attaques arrivant à saturer
partiellement le réseau[2] ; les journalistes n'y connaissant pas grand
chose, ils n'hésiteront pas à dire tout et n'importe quoi, en exagérant
à outrance[3]. Or, placé sur ce terrain, les OS les plus utilisés sont
des Unix ou dérivés. Ce qui voudrait dire, si l'on s'en tient à ta
formule, qu'intrisèquement Windows est un système d'exploitation plus
sûr que tous les autres.

De même, avant de poser une telle équation il faudrait assurément
définir ce que l'on entend par "failles de sécurité".

1) Doit-on comptabiliser toutes les failles, y compris celles qui sont
suposées être patchées ? Et si oui, sur quelle durée faut-il
s'appuyer ? Après tout, il ne faut pas oublier que CodeRed court
toujours dans la nature, alors même que la faille qu'il exploite est
prétendument patchée depuis une an et demi, de même qu'il reste
encore beaucoup de OE <=5.5 qui ne sont pas patchés.

2) Doit-on comptabiliser les exploits "zero day" ? Et si oui, comment
arriver à les comptabiliser ? Parce que là, la balance pourrait bien
pencher de l'autre côté. En effet, les failles ultimes étant plus
rares, et surtout beaucoup plus vite comblées, sous Unix et dérivés,
que sous Windows, un cracker qui y trouverait une faille à tout
intérêt à la garder pour lui ; alors qu'à l'inverse il peut être
avantageux de diffuser une faille pour Windows, elle ammènera les
Script Kiddies à générer un fort bruit de fond, ce qui pourra cacher
plus facilement ses propres traces.

3) Doit-on comptabiliser les failles à venir ? Et si oui, comment en
deviner le nombre ? Car il ne faut pas oublier que ce sont elles qui
constituent le véritable risque, les autres failles étant supposée
inutilisable (même s'il n'en est rien comme je l'ai expliqué plus
haut). C'est purement utopique, mais rien ne prouve qu'en patchant
la dernière faille trouvée sous Windows, Microsoft n'a pas soudain
créé un OS invulnérable. Du moins rien ne le prouve tant que l'on
n'a pas trouvé une autre faille.

4) Doit-on comptabiliser les failles touchant les logiciels utilisés,
en plus de celle propre à l'OS lui-même ? Et si oui, où commence
l'OS et où se termine-t-il ? Les failles annoncées comme touchant
"Windows" sont beaucoup plus nombreuses que celles touchant le
kernel de linux[4] ou celui d'un autre Unix. Pour autant, le terme
"Windows" désigne plus que le simple coeur du système, ce qui n'est
pas le cas pour le kernel des Unix et dérivés.

5) Les faiblesses de conception du système doivent-elles être
considérées comme une faille ? Windows est intrinsèquement plus
vulnérable qu'un linux, puisqu'il tourne d'entrée avec sept ou huit
ports ouvert, et donc de nombreux serveurs qui n'attendent qu'une
attaque. Cependant, pour quelqu'un qui n'y connaitrait pas grand
chose, autrement dit pour un utilisateur lambda, il n'est pas si
difficile de se retrouver avec un Linux ayant les ports 25, 514,
6000-6063 (en théorie) ouverts. Une mauvaise comprehension de la
configuration et de l'intérêt d'inetd, et le nombre de port est
encore plus grand.
Pour autant, la gestion des droits utilisateurs des Unix et dérivés
étant beaucoup plus sûre que celle de Windows, les risques,
quelqu'ils soient, s'en trouvent minimiser, même avec un plus grand
nombre de services en écoute.

6) La faiblesse intrinsèque d'un système doit-elle se baser sur la
connaissance des utilisateurs ? En soit cela parait antinomique,
mais la somme d'informations relatives au système, à son utilisation
et à sa sécurisation, ne fait-elle pas, au bout du compte, parti du
système lui-même ?


Le vrai problème de tout cela reste cependant que la valeur des
risques intrinsèques d'un OS est une chose qui ne tient pas une seconde
dès lors que l'on utilise l'OS en question.

Les risques liés à son utilisation par son propriétaire sont :

complexité de l'interface homme-machine
x nombre de défauts de fonctionnement

(parce que c'est ce produit qui determinera les erreurs de
l'utilisateur).

Là encore je ne suis pas du tout d'accord avec toi. Ne serait-ce qu'à
cause du second facteur de ton produit. Ce ne sont pas les "défauts de
fonctionnement" qu'il faut prendre en compte, mais les défauts de
*conception*. Cela fait déjà un bon moment que Windows est un produit
mature du point de vue de son *fonctionnement*, à la limite plus mature
que linux.
De même et puisque tu y faisais toi-même allusion plus bas, un OS tel
que FreeBSD est beaucoup plus complexe à utiliser, par rapport à
Windows, mais n'en reste pas moins beaucoup plus sûr, notament grâce à
cette complexité. En effet, s'il est plus aisé sous FreeBSD de faire
une connerie à même de compromettre la sécurité du système, il est rare
que l'on se retrouve dans une situation où l'on puisse faire une telle
connerie ; et quand bien même cela serait plus fréquent, l'utilisateur
à conscience d'avoir joué à l'apprenti sorcier. A l'inverse, il est
fréquent sous Windows que l'on se retrouve en position de faire une
grosse connerie sans même en avoir conscience. A titre d'exemple,
quelqu'un pourrait parfaitement cocher la petite case "Activer NetBIOS
sur TCP/IP" en cherchant à optimiser sa connexion réseau. Après tout
(et pour l'utilisateur) c'est quoi ce "NetBIOS" ? Peut-être quelque
chose qui améliorera les performances, car si c'était important, ça ne
serait pas aussi facilement accessible.

[...] voici un classement en fonction de leur sécurité (risque lié au
système + risque lié à son utilisation) :

MacOS X
FreeBSD
Linux
Windows XP

Te rends-tu compte du fait que ce classement contredit partiellement
tes formules ? Surtout que je n'arrive pas à comprendre l'ordre de ton
classement (l'heure sans doute).



| nombre de failles e sécurité
| x population de ce SE sur l'Internet

Du plus sûr au moins sûr : FreeBSD, MacOS X, Linux, Windows XP

| complexité de l'interface homme-machine
| x nombre de défauts de fonctionnement

Du plus sûr au moins sûr : Windows XP, MacOS X, FreeBSD, Linux[6]

S'il fallait faire un classement à partir de ça, MacOS X serait
largement en tête, et les trois autres seraient derrière à *égalité*.

[ mise en garde ]
Choisir Windows => nourrir religieusement ses parasites :
vendeur d'anti-virus,
vendeur de coupe-feu,
vendeur de détecteur de ratware...

Bon, puisque tu termines par un troll bien gras, allons-y gaiement...

Parce qu'il y a des gens qui vendent tout ça et des *personnes*[7]
assez bête pour leur acheter ?

Choisir Windows = favoriser une entreprise en situation de
monopole
=> supprimer toute concurrence.

Plait-il ? Dans ton message tu cites quatre OS vivant et bien vivant,
et pourtant tu oses prétendre que Windows suprime la concurrence ? :-/


[1]
Ce qui est justement l'objectif de la terreur d'où les terroristes
tirent leur nom.

[2]
Comme avait réussi à le faire SQL-Slammer il y a un an, par exemple
(je sais, j'apporte de l'eau à ton moulin en prenant cet exemple).

[3]
Voir justement les réactions concernant SQL-Slammer.

[4]
Et donc, *en théorie* Linux lui-même, puisque seul le kernel est
Linux. Mais tenons-nous en à l'usage des termes plus qu'à leur
signification réelle, histoire de ne pas embrouiller plus.

[5]
Mettons ses capacités de côté pour l'instant, en dernier recours il
reste "mieux que rien".

[6]
Avis tout personnel, j'y entrave que dalle à Linux ;-)

[7]
J'insiste sur "personnes", je ne parle pas des entreprises qui elles
sont disqualifiés par la license des versions gratuites.
--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.

Stephane Catteau <steph.nospam@sc4x.net> wrote:
| Daniel Azuelos nous disait récement dans fr.comp.securite
| <news:c1gvva$1chp$1@cantal.sis.pasteur.fr> :


| [Note: J'ai beaucoup de mal à accrocher à cette approche terriblement
| mathématique d'un problème qui reste terriblement subjectif...]

C'est pourtant de l'arithmétique de base :>, qui plus est presque
indispensable. On peut se faire une idée de l'évolution du risque
sur une population à croissance exponentielle en essayant de la
simplifier, de la modéliser.

|> Les risques intrinsèques d'un SE sont le produit :
|>
|> nombre de failles e sécurité
|> x population de ce SE sur l'Internet
|>
|> (parce c'est ce produit qui attire les attaques terroristes :
|> virus, vers, spyware...).

[...]
| des Unix ou dérivés. Ce qui voudrait dire, si l'on s'en tient à ta
| formule, qu'intrisèquement Windows est un système d'exploitation plus
| sûr que tous les autres.
[...]

Non, cette formule donne exactement le résultat opposé.
Et elle est « relativement » bien corroboré par la réalité.
--
daniel Azuelos Pôle informatique - Institut Pasteur

On 25 Feb 2004 07:32:34 GMT
Stephane Catteau <steph.nospam@sc4x.net> wrote:

De même, avant de poser une telle équation il faudrait assurément
définir ce que l'on entend par "failles de sécurité".

1) Doit-on comptabiliser toutes les failles, y compris celles qui
sont
suposées être patchées ? Et si oui, sur quelle durée faut-il
s'appuyer ? Après tout, il ne faut pas oublier que CodeRed court
toujours dans la nature, alors même que la faille qu'il exploite
est prétendument patchée depuis une an et demi, de même qu'il reste
encore beaucoup de OE <=5.5 qui ne sont pas patchés.

Il y a plusieures façon d'aborder le problème des failles patchées ou
non. Mais globalement, il y a deux problèmes : les utilisateurs qui ne
patchent pas un système ou des logiciel déjà installés et la
distribution de ces logiciels en version corrigée ou non.

En fait, d'un côté la responsabilité de l'utilisateur est en cause, son
système est vulnérable car il n'a rien fait pour se protéger et de
l'autre, le distributeur est en cause, puisqu'il continue à distribuer
une version vulnérable. Après, la distribution du système influe
beaucoup sur ce genre de situations. Typiquement, il est quasiment
impossible de sortir une nouvelle release "commerciale" à chaque patch,
par contre, en général la distribution d'un logiciel libre (celle de
l'auteur, pas celle des distribs) est toujours à jour (il est rarement
nécessaire de récupérer les sources plus les patchs.)

2) Doit-on comptabiliser les exploits "zero day" ? Et si oui, comment
arriver à les comptabiliser ? Parce que là, la balance pourrait
bien pencher de l'autre côté. En effet, les failles ultimes étant
plus rares, et surtout beaucoup plus vite comblées, sous Unix et
dérivés, que sous Windows, un cracker qui y trouverait une faille à
tout intérêt à la garder pour lui ; alors qu'à l'inverse il peut
être avantageux de diffuser une faille pour Windows, elle ammènera
les Script Kiddies à générer un fort bruit de fond, ce qui pourra
cacher plus facilement ses propres traces.

Typiquement, les failles et exploits existants mais n'étant pas publique
ne concerne pas forcément le grand publique, tout dépend donc du
publique concerné.

4) Doit-on comptabiliser les failles touchant les logiciels utilisés,
en plus de celle propre à l'OS lui-même ? Et si oui, où commence
l'OS et où se termine-t-il ? Les failles annoncées comme touchant
"Windows" sont beaucoup plus nombreuses que celles touchant le
kernel de linux[4] ou celui d'un autre Unix. Pour autant, le terme
"Windows" désigne plus que le simple coeur du système, ce qui n'est
pas le cas pour le kernel des Unix et dérivés.

La notion de système d'exploitation est un peu flou, un kernel ne fait
pas un système, mais tout le userland du système ne fait pas partie du
système. À partir de là, il y a plusieures écoles sur ce qu'est la base
du système.

De plus, même si certaines applications sont multiplateformes, leurs
vulnérabilités sont souvent liées à un système en particulier (de même
pour les exploits de ces vulnérabilités.)

Donc en gros, si tu compares Linux et Windows, tu dois intégrer tout ce
que l'utilisateur utilisera potentiellement sur sa machine.

5) Les faiblesses de conception du système doivent-elles être
considérées comme une faille ? Windows est intrinsèquement plus
vulnérable qu'un linux, puisqu'il tourne d'entrée avec sept ou huit
ports ouvert, et donc de nombreux serveurs qui n'attendent qu'une
attaque. Cependant, pour quelqu'un qui n'y connaitrait pas grand
chose, autrement dit pour un utilisateur lambda, il n'est pas si
difficile de se retrouver avec un Linux ayant les ports 25, 514,
6000-6063 (en théorie) ouverts. Une mauvaise comprehension de la
configuration et de l'intérêt d'inetd, et le nombre de port est
encore plus grand.
Pour autant, la gestion des droits utilisateurs des Unix et
dérivés
étant beaucoup plus sûre que celle de Windows, les risques,
quelqu'ils soient, s'en trouvent minimiser, même avec un plus grand
nombre de services en écoute.

Tu ne peux pas regarder le problème de cette façon la. La sécurité de
ton système va dépendre du niveau de connaissance de l'utilisateur, du
temps qu'il désire passer à le configurer et bien évidmenent des
configurations que lui propose l'installeur et les outils de
configuration du système.

Globalement, sur un windows actuel, l'installation de base laisse laisse
une machine avec pas mal de chose inutile en écoute, mais en plus, et
c'est ça le plus grave, l'utilisateur n'est pas forcément au courant et
la désactivation des ces services n'est pas forcément simple.
Malheureusement de nombreuses distributions linux ont le même défaut (je
me souviens des red hat 6 qui démarrer linuxconf par défaut ... )

À l'opposé, un système comme NetBSD ne dispose de rien, après
l'installation, il n'y a rien qui écoute et pas de méthode userfriendly
pour lancer quoi que ce soit. Ce système est-il plus sûr qu'une
distribution linux classique ? J'aurais tendance à dire que oui, mais de
la même manière qu'un ordi éteint est plus sûr ;)

Globalement, il faut regarder à quoi va ressembler le système une fois
que l'utilisateur l'aura lui même configurer. Un utilisateur avec une
très bonne expérience de windows peut avoir une machine plus sûre sous
windows que sous linux (et inversement) simplement grace (ou à cause ;)
de son expérience.

Le vrai problème de tout cela reste cependant que la valeur des
risques intrinsèques d'un OS est une chose qui ne tient pas une
seconde dès lors que l'on utilise l'OS en question.

Il est bien connu que la plus grande faiblesse d'un OS est la partie qui
se trouve en le clavier et la chaise.

Du plus sûr au moins sûr : Windows XP, MacOS X, FreeBSD, Linux[6]

Là je ne suis pas d'accord, en reprennant la formule, MacOS X reste
devant XP (sans troll.) Le système dispose de moyen de configuration
simple et n'ouvre pas tout un tas de chose dans le dos de l'utilisateur
sans le prévenir. Globalement, face à un utilsateur lambda, un MacOS X
sera plus sûr qu'un XP (à mon avis.)

S'il fallait faire un classement à partir de ça, MacOS X serait
largement en tête, et les trois autres seraient derrière à *égalité*.

Oui, c'est vrai, MacOS X est pour un utilisateur lambda probablement le
système qui est le plus "sûr". Mais c'est très subjectif, la seule
raison objective est qu'il semble combiné le meilleur des 2 mondes.


Pour conclure, j'aurais tendance à dire que linux n'est pas plus sûr
qu'un windows, mais globalement, il a quand même quelques avantages sur
ce terrain. Maintenant, la sécurité, même si c'est très important ne
dois pas occulter l'activité principale de l'utilisateur, on a pas un
ordinateur pour le brancher sur internet et dire qu'il est plus sûr que
celui de son voisin, on en fait quelque chose d'autre quand même ;)

--
Burelle Marwan,
Equipe Bases de Donnees - LRI
http://www.cduce.org
(burelle@lri.fr | Marwan.Burelle@ens.fr)

Marwan Burelle nous disait récement dans fr.comp.securite
<news:20040301173623.1ffc5f75@pc5-164.lri.fr> :

Stephane Catteau <steph.nospam@sc4x.net> wrote:

De même, avant de poser une telle équation il faudrait assurément
définir ce que l'on entend par "failles de sécurité".

2) Doit-on comptabiliser les exploits "zero day" ? [...]

Typiquement, les failles et exploits existants mais n'étant pas
publique ne concerne pas forcément le grand publique, tout dépend
donc du publique concerné.

Voir ma réponse à PatPro (quelque part là dedans
<news:c20ohj.3vv2feb.1@sc4x.org>). Les systèmes peu répandus
constituent de bons rebonds, puisqu'ils placent le pirate dans un
environnement à l'abris des kiddies en tout genre. De plus, leurs
utilisateurs ont parfois tendance à se croire eux-mêmes à l'abris
justement parce que le système est peu répandu.
Après, tout dépend du système que l'on utilise. La majorité est à
l'abris puisqu'elle tourne avec un système tellement troué qu'il n'y a
pas besoin d'un zéro day pour rentrer ; même chose pour les
utilisateurs d'un Linux qui se démocratise de plus en plus. Mais les
autres (*BSD et Mac* surtout) peuvent constituer de bonnes cibles
intermédiaires. On peu faire un peu de ménage, les *BSD étant rarement
entre les mains d'utilisateurs lambda, ça augmente les risques de ce
faire repérer. Il reste donc MacOS (X ou classic), qui sont peu
répandus mais utilisés par des utilisateurs lambda.

4) Doit-on comptabiliser les failles touchant les logiciels
utilisés, en plus de celle propre à l'OS lui-même ? Et si oui,
où commence l'OS et où se termine-t-il ? [...]

La notion de système d'exploitation est un peu flou, [...]

D'où ma question, à laquelle j'aurais aimé que Daniel Azuelos réponde
(comme aux autres questions d'ailleurs).

Donc en gros, si tu compares Linux et Windows, tu dois intégrer
tout ce que l'utilisateur utilisera potentiellement sur sa
machine.

Je suis bien d'accord. Et là, ça tend à égaliser la différence de
risques entre Windows et Linux, puisque les principaux services
tournant sous Linux/Unis sont aussi disponnibles (ou en voie de
l'être) en binaires pour Windows.

5) Les faiblesses de conception du système doivent-elles être
considérées comme une faille ? [...]

Tu ne peux pas regarder le problème de cette façon la. La sécurité
de ton système va dépendre du niveau de connaissance de
l'utilisateur, du temps qu'il désire passer à le configurer et
bien évidmenent des configurations que lui propose l'installeur et
les outils de configuration du système. [...]

Justement, tu es entrain de précher pour ma paroisse là. Dans la
mesure où l'utilisateur n'a pas forcément le temps et la connaissance
nécessaire, plus la conception du système est robuste, plus le système
est sûr pour un utilisateur lambda. Par exemple, si le partage de
fichiers de Windows avait été pensé d'entrée pour ne partager que ce
qui était explicitement indiqué comme partagable, il aurait présenté un
peu moins d'intérêt. Ce serait resté un service en écoute, et donc une
faille potentielle, mais il n'aurait pas été exploitable en dehors
d'une faille réelle (et il y en a plein, je l'accorde volontiers).
Même chose pour Linux, comme tu l'introduisais toi-même, dont les
distrib grand public se parent de jolis clickodromes d'installation. Un
utilisateur lambda voyant qu'il n'a qu'a cocher une case pour installer
un serveur HTTP, FTP, SMTP, et POP3 derrière sa connexion ADSL sera
tenté de le faire ; ce qui n'aurait pas forcément été le cas s'il
n'avait pas eu le choix sous les yeux et/ou s'il avait fallu qu'il
s'occupe de l'installation à la main.
Même chose aussi, dans une moindre mesure, pour FreeBSD, dont
l'interface d'installation propose, entre autre, de faire de son
ordinateur un client et/ou un serveur NFS. Il y a beaucoup moins de
neuneux (et d'utilisateurs tout court ;-)) sous FreeBSD, c'est la
principale raison pour laquelle on ne voit pas fleurir des serveurs NFS
sur le réseau.
Les deux derniers exemples ne portent pas sur le système en lui-même,
mais dénotent une volonté de simplification qui se retrouvera forcément
un jour ou l'autre dans la conception du système (à beaucoup plus long
terme pour FreeBSD que pour les distrib Linux).

Globalement, il faut regarder à quoi va ressembler le système une
fois que l'utilisateur l'aura lui même configurer. Un utilisateur
avec une très bonne expérience de windows peut avoir une machine
plus sûre sous windows que sous linux (et inversement) simplement
grace (ou à cause ;) de son expérience.

Alors là, je suis à 100% d'accord avec toi, d'autant plus que la
mandrake (je sais, je sais) que ma chère et tendre utilise lorsqu'elle
n'est pas sous Windows est le seul trou de mon LAN. Et c'est justement
là que je voulais en venir (après de longs détours j'en conviens),
prendre/calculer un niveau de sécurité par défaut pour un OS est une
perte de temps et amène au bout du compte à des amalgames parfois
douteux, telle qu'un "tu n'avais qu'à utiliser Linux" lorsque quelqu'un
sous Windows se plaint d'avoir été attaqué ; comme si Linux était
l'absolue sécurisé.

Du plus sûr au moins sûr : Windows XP, MacOS X, FreeBSD, Linux[6]

Là je ne suis pas d'accord, en reprennant la formule, MacOS X
reste devant XP (sans troll.)

Oui oui, c'est moi qui me suis planté. Math et théorie en pleine nuit,
ce fut trop pour mon petit cerveau.

S'il fallait faire un classement à partir de ça, MacOS X serait
largement en tête, et les trois autres seraient derrière à
*égalité*.

Oui, c'est vrai, MacOS X est pour un utilisateur lambda probablement
le système qui est le plus "sûr". Mais c'est très subjectif, la seule
raison objective est qu'il semble combiné le meilleur des 2 mondes.

Tout dans cette discussion ne peut qu'être subjectif, puisque personne
ne peut prétendre schématiser l'ensemble des comportements de
l'ensemble des utilisateurs.

Pour conclure, j'aurais tendance à dire que linux n'est pas plus
sûr qu'un windows, mais globalement, il a quand même quelques
avantages sur ce terrain. Maintenant, la sécurité, même si c'est
très important ne dois pas occulter l'activité principale de
l'utilisateur,

*Oui*

on a pas un ordinateur pour le brancher sur internet et dire qu'il
est plus sûr que celui de son voisin, on en fait quelque chose
d'autre quand même ;)

Ah bon ? ;-)


--
Les promesses sont à l'images des cuisses d'une belle femme. Plus elles
sont fermes, plus on a envie de passer outre, pour s'elever vers une
occupation plus plaisante... S. C.

On 02 Mar 2004 01:30:42 GMT
Stephane Catteau <steph.nospam@sc4x.net> wrote:

Voir ma réponse à PatPro (quelque part là dedans
<news:c20ohj.3vv2feb.1@sc4x.org>). Les systèmes peu répandus
constituent de bons rebonds, puisqu'ils placent le pirate dans un
environnement à l'abris des kiddies en tout genre. De plus, leurs
utilisateurs ont parfois tendance à se croire eux-mêmes à l'abris
justement parce que le système est peu répandu.
Après, tout dépend du système que l'on utilise. La majorité est à
l'abris puisqu'elle tourne avec un système tellement troué qu'il n'y a
pas besoin d'un zéro day pour rentrer ; même chose pour les
utilisateurs d'un Linux qui se démocratise de plus en plus. Mais les
autres (*BSD et Mac* surtout) peuvent constituer de bonnes cibles
intermédiaires. On peu faire un peu de ménage, les *BSD étant rarement
entre les mains d'utilisateurs lambda, ça augmente les risques de ce
faire repérer. Il reste donc MacOS (X ou classic), qui sont peu
répandus mais utilisés par des utilisateurs lambda.

J'aurais tendance à ne pas voir le problème sous cette angle là.

La question n'est pas de savoir si l'OS est répandue ou non, la question
et de savoir si un attaquant "évolué" (du genre à avoir sous la main des
exploits non publiés) va perdre son temps à attaquer des machines en
ADSL pas toujours allumées, alors qu'il pourrait très bien atteindre des
machines plus intéressantes, même juste pour du rebond.

Le problème de la sécurité, dans beaucoup de cas, est de définir les
besoins réels. Un utilisateur lambda n'a pas besoin des mêmes exigences
qu'un serveur en prod, simplement parce que sa machine a beaucoup moins
de chance d'être la cible d'une attaque (bon, je ne parle pas des vers
et autre blaster qui font dans l'arrosage.)

Personnellement, pour ma connexion maison, je ne prend pas autant la
tête, la machine principale ne tourne pas tout le temps, mon routeur
n'écoute rien de l'extérieur, et même si je me prends des tentatives sur
les éventuelles apache/ftp/ssh qui tournent de temps en temps, le risque
est très bas. Par contre, je suis beaucoup plus attentif à ce qui se
passe avec mes serveurs sur le réseau du campus.

La même chose s'étend à tous les types de sécurité. Dans ce que je fais,
les propriétés et les politiques de sécurité (en fait de confidentialité
pour être précis) sur lesquelles je travaille sont très restrictives, le
modèle que je définis n'est donc pas forcément applicable à toutes les
situations ...

Même chose aussi, dans une moindre mesure, pour FreeBSD, dont
l'interface d'installation propose, entre autre, de faire de son
ordinateur un client et/ou un serveur NFS. Il y a beaucoup moins de
neuneux (et d'utilisateurs tout court ;-)) sous FreeBSD, c'est la
principale raison pour laquelle on ne voit pas fleurir des serveurs
NFS sur le réseau.

Oui, mais non, tu as déjà vu ce qu'il te propose ? tu dis oui à serveur
NFS et il t'ouvre nvi sur /etc/exports, si tu n'as jamais fait de NFS de
ta vie, voir même si tu n'en a pas une certaine maîtrise, en général, tu
fermes le nvi et tu laisse tomber ...

Les deux derniers exemples ne portent pas sur le système en lui-même,
mais dénotent une volonté de simplification qui se retrouvera
forcément un jour ou l'autre dans la conception du système (à beaucoup
plus long terme pour FreeBSD que pour les distrib Linux).

Tout dépend de la simplification. Je trouve assez normal qu'il soit
facile de configurer une interface réseau et éventuellement le démarrage
de 2 ou 3 daemons, mais dès lors que l'on rentre dans le cadre de
serveurs plus évolués (HTTP, SMTP ... ), les outils d'administrations
doivent laisser l'utilisateur face à "la dure réalité" de la
configuration d'un service sous Unix ou lui coller de très bonnes
configurations par défaut (comme le sendmail de FreeBSD, même si on peut
avoir des doutes sur la présence de sendmail de base ... ) Et puis
rajouter de l'eau à tout ça, par expérience je sais que la majorité des
outils de configuration "userfriendly" sont exclusifs, et ne supporte
pas la modification à la main des fichiers de conf (quand il ne passe
pas par un format intermédiaire et une régénération automatique des
fichiers ... )

En fait, on en revient toujours au même problème des connaissances et de
l'intelligence de l'utilisateur, confrontées aux facilités qu'offre son
système (cela-dit en passant, une bonne IHM permettrait de facilement
d'activer et de configurer un service, mais aussi de le désactiver, ce
qui n'est pas le cas de l'interface d'admin de windows par exemple.)

Ah, quand même dans le débat *n*x vs windows, il y a tous les problèmes
liés aux superbes features d'outlook, d'ie et d'office. Mais bon, il y
a peut être sur Terre des gens heuruex d'avoir du javascript ou du vb
dans leurs mails ...

--
Burelle Marwan,
Equipe Bases de Donnees - LRI
http://www.cduce.org
(burelle@lri.fr | Marwan.Burelle@ens.fr)