Simple boycott de IE

Eric Razny n'était pas loin de dire :

Combien de virus ou vers se sont propagés grâce à des vulnérabilités
d'IE?
Aucun. Ce ne sont pas les vulnérabilités d'IE qui sont en cause ici,

mais celle du "moteur HTML" (pour simplifier) intégré au coeur de
Windows.

Certes, mais ce "moteur HTML" étant utilisé par IE, et la "zone de
sécu" ayant eu l'efficacité qu'on connait IE était bien un vecteur
d'entrée (il me semble que quelques dialers se sont installé via IE
d'ailleurs)

Tout comme l'ont été tous les navigateurs qui ne sont au final qu'une
surcouche d'IE, tel l'ancien AvantBrowser, CrazyBrower et compagnie.
Même chose pour les logiciels qui ne sont pas des navigateurs web, il
suffisait de mailer la page à un utilisateur de OE, ou de l'envoyer
dans un forum autorisant le HTML en attendant que les utilisateurs de
OE passent par là.
Et si tu ne veux pas t'en tenir aux problèmes de la "zone de
sécurité", tu peux rajouter des clients mails et des clients NNTP à la
liste.

Par conséquent, se contenter de parler d'IE est ici une
absurdité, car ce n'est pas, de loin, la seule application a bénéficier
des failles en question.

Oui, et?
A ma connaissance quand un logiciel de compta (exemple qui n'a même pas
à être basé sur la réalité) affiche une page html sortie de la compta
on peut s'attendre à moins de risque (quoique!) d'exploitation de faille
venant de cette page générée et rendu via le "moteur" que lors d'un
"surf sans filet" de l'utilisateur. [1]

C'est le contraire qui se passera. Par défaut, l'API fait que tout le
contenu sera exécuté, et je doute qu'il y ait beaucoup de développeurs
qui fassent attention à cela ; tout simplement parce qu'ils n'ont pas à
l'esprit que l'on puisse tenter d'injecter une page contenant un
activeX corrompu qui sera exécuté par un script JavaScript distant
appellé via une IFrame (pour prendre un exemple extrème). Or, les
règles d'activations ne s'appliquent que si l'on décide d'en tenir
compte.
Autant le développeur d'un client mail ou news pourra avoir ce
problème à l'esprit et, au choix, laisser l'utilisateur définir des
autorisations/interdictions propres au logiciel, ou essayer d'utiliser
celles de la configuration de IE, permettant ainsi d'exécuter ou non du
JavaScript, voire demandant à l'utilisateur ce qu'il décide au cas par
cas, autant il y a peu de chance que le développeur d'un logiciel de
compta ne le fasse.
Il suffit donc d'arriver à injecter une page corrompue, ou contenant
une IFrame appelant une page corrompue, pour passer. Le jeu n'en vaut
pas la chandelle, parce qu'il n'y a pas assez de cibles potentielles,
mais le problème n'en demeure pas moins.
Le problème serait d'ailleurs le même si l'on remplaçait dans ce texte
"IE" par "Mozilla", modulo les différences dans la configuration de
base.


[Snip]

Dire "on vire IE+OE et on est tranquille" est faux et dangereux.
Dire "Autant que faire ce peut évitez IE+OE" me semble, tout bien
considéré plutôt juste.

Non. Si le second est exact, il est aussi plus dangereux, car dans
l'ensemble on se contente de ces quelques mots, laissant à tort planer
un sentiment de sécurité dans l'exprit de l'utilisateur. Il faut aussi
prendre le temps de lui expliquer à quel point "IE" est partout, pour
qu'il garde à l'esprit qu'il ne suffit pas de ne pas utiliser le
logiciel en lui-même pour être à l'abris.
Autrement, on tombe dans l'extrème inverse, où certains n'hésitent pas
à dire qu'ils n'ont pas fait telle ou telle mise à jour de sécurité,
parce qu'elle concernait IE et qu'ils ne l'utilisent pas.

cedric n'était pas loin de dire :

Préambule :
Merci à l'avenir de répondre *après* le message que tu cites.

Ce n'est pas si simple, meme si linux ou firefox ont de nombreuses faille
(d'un coté, vu la compléxité des codes, c'est normal), on peut dire
qu'il y a une tres bonne réactivité a la correction des bugs... Ce qui
est un gros plus.

Un gros plus oui, mais qu'il ne faut pas oublier de moduler. L'exemple
des deux failles non patchées de Firefox démontre bien le risque
encouru, d'autant plus que là le risque n'est pas pour le système ou
les données, mais pour quelque chose de plus matériel. Se retrouver
avec un backdoor permettant à tout un chacun d'utiliser notre
ordinateur comme rebond est chiant, mais c'est tout. Se faire voler ses
identifiants bancaires parce que l'on a été victime de phishing, avec
la complicité de Firefox, c'est d'un tout autre, et les conséquences
durent beaucoup plus longtemps.

Le Wed, 21 Dec 2005 23:01:17 +0000, Manou a écrit :

Ce n'est pas si simple, meme si linux ou firefox ont de nombreuses faille
(d'un coté, vu la compléxité des codes, c'est normal), on peut dire
qu'il y a une tres bonne réactivité a la correction des bugs... Ce qui
est un gros plus.

Un gros plus oui, mais qu'il ne faut pas oublier de moduler. L'exemple
des deux failles non patchées de Firefox démontre bien le risque
encouru, d'autant plus que là le risque n'est pas pour le système ou
les données, mais pour quelque chose de plus matériel. Se retrouver
avec un backdoor permettant à tout un chacun d'utiliser notre
ordinateur comme rebond est chiant, mais c'est tout. Se faire voler ses
identifiants bancaires parce que l'on a été victime de phishing, avec
la complicité de Firefox, c'est d'un tout autre, et les conséquences
durent beaucoup plus longtemps.

J'ai du relire ce post deux fois pour être sur que je n'avais pas
rêvé! Ca ne te viens pas à l'idée que si j'ai une backdoor sur ta
machine il ne me coute rien d'installer un keylogger en prime? (et un de
type "nouvelle génération", qui prend un snapshot de l'écran
autour de la souris lors d'un click sur l'écran). Même pas besoin de
phishing, juste un peu de patience (et je n'aurais pas accès "qu'à" ton
compte bancaire...)


Et une backdoor avec une superbe attaque par rebond dans le vpn de la
boite ce n'est que chiant? On a clairement une conception de la
sécu différente et j'espère ne jamais te voir configurer une machine à
laquelle j'aurais affaire derrière :(

Accessoirement pour ne pas être victime de phishing[1] il suffit de
tapper directement l'url dans le navigateur. Quand j'ai un lien
"interressant" dans un email je ne clique pas dessus : je copie le lien,
le colle dans le browser et le vérifie avant de valider. P'tain c'est
compliqué ça!

Eric. Du coup je reprends une vieille signature :)

[1] Phishing "pur", je ne parle pas d'un soft offensif installé sur
ton ordi, qui remplacerait www.paypal.net par 63.161.169.137 au vol...

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.

On 21 Dec 2005 09:08:00 GMT, Olivier Masson
<sisemen_bouchon_@laposte.net> wrote:

Bonjour,

Le problème de la sécurité pour un poste de travail cesse d'en être un
dans la mesure où l'on n'utilise plus Internet Explorer mais un autre
navigateur comme Firefox.

Car FF est parfaitement exempte de la moindre faille, c'est bien connu.
Et linux aussi. En fait, tout ce qui n'est pas Microsoft est totalement
sûr. Microsoft est toxique, méchant et rend bête.

Firefox comporte des failles. Je ne fais que rendre ici-même les

résultats d'une expérience personnelle comparative entre les deux
navigateurs dans des conditions similaires où aucun outil de sécurité
n'est déployé. Vous dites à mon sens une demi-vérité puisque les
dollarwares de M$ ne sont conçus que pour maintenir ou étendre les
marchés, avec tout ce que cela implique quand un leader n'est pas
genre à s'encombrer de scrupules.

Ce qui me préoccupe ici, c'est qu'une multitude de logiciels de
protection sont vendus par bon nombre de compagnies à des gens qui
pourraient résoudre la majeure partie du problème de la sécurité en
banissant l'emploi d'Internet Explorer. Soit que la problématique fut
mal identifiée au départ, la source du mal étant incertaine, soit que
l'on a voulu délibérément exploiter la manne de la sécurité à son
profit.

Évidemment, les serveurs font ici exception, divers outils voués à la
sécurité étant indispensables dans leur cas. - jh

Juste un exemple parmi quelques... beaucoup :
http://www.securityfocus.com/bid/14242

Eric Razny n'était pas loin de dire :

J'ai du relire ce post deux fois pour être sur que je n'avais pas
rêvé! Ca ne te viens pas à l'idée que si j'ai une backdoor sur ta
machine il ne me coute rien d'installer un keylogger en prime?

Tu aurais sans doute dû le relire une troisième fois, puisque j'avais
pris soin de limiter la comparaison à une backdoor de type proxy[1], ne
permettant donc que de rentrer dans la pile IP, si je puis dire, sans
pour autant pouvoir rentrer dans le système.
Evidement qu'il y en a d'autres, auxquels on pense plus facilement, et
d'ailleurs si l'on a pu mettre une backdoor, on a aussi pu mettre le
keylogger, et vu qu'il n'y a pas besoin d'une backdoor pour faire une
fuite de document, il se serait suffit à lui-même.

Et une backdoor avec une superbe attaque par rebond dans le vpn de la
boite ce n'est que chiant?

Comparé à un compte à découvert, dix mille euros de dettes et le fait
que tous les prélèvements automatiques que tu peux avoir soient
annulés ? Oui, ce n'est que chiant... Du moins si tu n'es ni le patron
de la boîte ni son admin sécu ou réseau, ce qui est le cas pour 99% des
gens.

On a clairement une conception de la sécu différente

Ou vois-tu que je parle d'une quelconque conception de la sécurité ?
Le problème soulevé dans cette discussion, ce n'est pas la sécurité en
elle-même, mais de savoir si c'est plus sûr parce que c'est OpenSource
ou Libre. Ce qui n'est pas le cas puisque, là aussi des failles
considérées comme "sans intérêt" peuvent ne pas être patchées.

Accessoirement pour ne pas être victime de phishing[1] il suffit de
tapper directement l'url dans le navigateur. Quand j'ai un lien
"interressant" dans un email je ne clique pas dessus : je copie le lien,
le colle dans le browser et le vérifie avant de valider. P'tain c'est
compliqué ça!

Pour l'utilisateur lambda ? Oui, évidement que c'est compliqué à faire.
Ca sert à quoi d'avoir des liens cliquables si c'est pour devoir faire
un copier-coller ?


[1]
Je vais encore faire hurler Cédric, mais tant pis.

On 22 Dec 2005 03:37:36 GMT, jh <hjohn@videotron.ca>:

Firefox comporte des failles. Je ne fais que rendre ici-même les
résultats d'une expérience personnelle comparative [...]

Tu as écrit, dans ton premier message :

au balayage anti-spy et antivirus
avec les logiciels de protection courants, la conclusion
est toujours la même: aucun fichier nuisible n'a passé.

Je vois trois possibilités :
- soit ta méthode est effectivement efficace ;
- soit tu as eu beaucoup de chance ;
- soit ta machine est infectée par une saloperie que tu n'as pas
réussi à détecter.

As-tu fait la même expérience avec IE, dans les mêmes conditions (i.e.
pas de firewall, ni d'anti-virus) ?

Ce qui me préoccupe ici, c'est qu'une multitude de logiciels de
protection sont vendus par bon nombre de compagnies à des gens qui
pourraient résoudre la majeure partie du problème de la sécurité en
banissant l'emploi d'Internet Explorer.

Exact. Plein de Mme Michu ont acheté un PC récemment, sans savoir s'en
servir. Des commerciaux peu scrupuleux en profitent pour leur vendre
n'importe quoi (Norton par exemple).

Évidemment, les serveurs font ici exception, divers outils voués à la
sécurité étant indispensables dans leur cas. - jh

J'ai au contraire l'impression qu'un serveur est moins vulnérable
qu'une station de travail.
Sur un serveur, on installe les démons qui vont bien, puis on le
laisse tranquille.
Sur une station de travail, on va sur des sites, on lit des mails, on
installe des logiciels, etc. On a donc beaucoup plus de chances
d'attrapper une saloperie.

jh n'était pas loin de dire :

Je ne fais que rendre ici-même les résultats d'une expérience
personnelle comparative entre les deux navigateurs dans des conditions
similaires où aucun outil de sécurité n'est déployé.

Pour que ton expérience puisse être comparative, il aurait fallut que
tu ais deux ordinateurs strictement identiques et que tu fasses
exactement la même chose sur les deux, les exposants ainsi aux mêmes
risques l'un et l'autre. Ce n'est qu'ainsi que tu pourrais
effectivement affirmer qu'avec Firefox tu t'es protégé des problèmes
qu'aurait connu IE. Autant, tu as eu de la chance, et n'a rien croisé
de bien méchant, ce qui aurait donc laissé ton ordinateur sain, même si
tu avais utilisé IE.

Ce qui me préoccupe ici, c'est qu'une multitude de logiciels de
protection sont vendus par bon nombre de compagnies à des gens qui
pourraient résoudre la majeure partie du problème de la sécurité en
banissant l'emploi d'Internet Explorer.

Ok, alors en quoi le fait de ne pas utiliser IE, et l'on va même
étendre à toutes les applications utilisant son moteur de rendu,
empèchera-t-il quelqu'un de cliquer systématiquement sur toutes les
pièces-jointes qu'il reçoit ? Ou cliquer sur l'une en pensant cliquer
sur l'autre, ce qui revient au même du point de vue du résultat. En
quoi cela empèchera-t-il quelqu'un d'être intoxiqué aux gadgets en tout
genre, et d'installer systématiquement tous les powermachins,
boosterbidule et ehancedchose qu'il trouvera ? En quoi cela
empèchera-t-il un vers d'exploiter un faille des service RPC ou UPnP de
Windows, sans oublier ce bon vieux NetBIOS ? En quoi cela
empèchera-t-il quelqu'un d'écouter le dernier Céline Dion sur son
ordinateur ? ;-)
En rien. Ne plus utiliser IE élimine un vecteur d'infection, mais il
en reste au moins quatre autres. Qui sont d'ailleurs les plus
courrament utilisé, du moins si l'on excepte le dernier qui est surtout
là pour rappeler que *rien* n'est obligatoirement sûr.

Soit que la problématique fut mal identifiée au départ, la source du
mal étant incertaine, soit que l'on a voulu délibérément exploiter la
manne de la sécurité à son profit.

N'y a-t-il pas un non sens dans ton argumentaire ? Comment la source
du mal peut-elle à la fois être incertaine et, dans le même temps, être
éliminée simplement en arrêtant d'utiliser *un* logiciel ?

Évidemment, les serveurs font ici exception, divers outils voués à la
sécurité étant indispensables dans leur cas.

*Si*[1] l'on s'en tenait à ta vision des choses, les serveurs, au sens
machine du terme, auraient encore moins besoin d'être protégés,
puisqu'ils n'ont en théorie pas à supporter le facteur humain qui
change les règles du jeu à chaque instant.
Cependant, as-tu bien conscience du fait que tu as *des* serveurs (au
sens logiciel cette fois) *actifs* sur ton ordinateur ? Les "services"
cher à Microsoft, qui se mettent à gérer tout et n'importe quoi sous
Windows, ne sont rien d'autres que des serveurs. Certains, la plus
part, ne sont ouvert qu'en local, mais d'autres, dont RPC, UPnP et
NetBIOS dont j'ai parlé plus haut, sont eux ouverts sur le vaste monde,
et constituent autant de portes d'entrée vers ton système.


[1]
Le gras étant pour éviter de faire bondir Eric ;-)

On 21 Dec 2005 15:48:35 GMT, "Open59" <open59@yahoo.fr> wrote:

Je le sens bien seul notre ami.

Ne vous inquiétez pas pour moi outre mesure: je ne manque pas d'amis.

Apparemment beaucoup vivent de Mircrosoft et des multiples failles de
ses bébés et j'ai compris cette réalité economique nécessaire pour
beaucoup, je ne la blame pas.

Oui, c'est précisément ce qui me préoccupe, quoique si des familles

peuvent manger convenablement grâce à cette conjoncture...

Ce qui n'empêche pas dans le fond de pouvoir comparer mon utilisation
basique de Linux depuis 4 ans sans plus jamais utiliser Windows chez
moi à mon utilisation ultérieure de Dos 6.2 / Win 3.1 / Win 95 / WIn
98 / Win XP pro.

Depuis que je suis sous Linux, je n'ai pas croisé de virus bien
qu'étant encore plus souvent connecté qu'avant.
Je n'ai pas non plus rencontré de mail dangereux. Enfin, je les recois
toujours mais ils ne me rendent plus parano.

Avec un minimum de prudence, on écarte bien des dangers.

Voilà, comme je sentais le poster un peut seul et que je suis un
utilisateur de Linux heureux... :o)

Heureux d'apprendre que vous en êtes à Linux; j'y songe également.

Ce qui m'intéresse ici, c'est qu'il m'apparaît qu'un certain nombre de
fausses rumeurs entretenues par les constructeurs, concepteurs et
détaillants circulent actuellement dans le monde de l'informatique. Un
profit indu est ainsi accordé au tenants de ses faussetés au détriment
de la presque totalité des utilisateurs qui leur font une confiance
aveugle et n'en finissent plus de plonger la main dans leur
porte-feuilles sans jamais améliorer leur sort.

Voilà pourquoi je félicite votre virage à Linux, mais surtout voilà la
raison principale de mon intervention. - jh

Firefox comporte des failles. Je ne fais que rendre ici-même les
résultats d'une expérience personnelle comparative entre les deux
navigateurs dans des conditions similaires où aucun outil de sécurité
n'est déployé. Vous dites à mon sens une demi-vérité puisque les
dollarwares de M$ ne sont conçus que pour maintenir ou étendre les
marchés, avec tout ce que cela implique quand un leader n'est pas
genre à s'encombrer de scrupules.

Magnifique discours à l'emporte-pièce.
Le marché, depuis quelques années, est tourné vers une sécurité accrue.
Dont acte.
Votre expérience très poussée, on s'en cogne car je doute que vous soyez
k-otik. Et les pecnots qui prônent la sur-puissance de leur PC
impénétrable parce qu'ils ont mal installé une IPcop - non, là je rêve -
ou plutôt, et en général, un kit-pignouf adaware (bien moins bon que
Microsoft antispyware) + zone alarm + spybot + a2 + shieldforgeek (je
l'invente celui-là), donc ces pecnots réinstalle en général leur OS tous
les 3 mois. Mais attention, pas parce que c'est le bordel et que tout
foire, non non ! Pour optimiser, pour tester autre chose, et puis FuCk
M$ !!!

Ce qui me préoccupe ici, c'est qu'une multitude de logiciels de
protection sont vendus par bon nombre de compagnies à des gens qui
pourraient résoudre la majeure partie du problème de la sécurité en
banissant l'emploi d'Internet Explorer. Soit que la problématique fut
mal identifiée au départ, la source du mal étant incertaine, soit que
l'on a voulu délibérément exploiter la manne de la sécurité à son
profit.

C'est pas nouveau mais ce n'est pas MS la cause, c'est le comportement
des gens.

Évidemment, les serveurs font ici exception, divers outils voués à la
sécurité étant indispensables dans leur cas. - jh

Ah bon ? Je n'en utilise *aucun* sur les serveurs W2K3 que j'administre.
Je doit vraiment être mauvais.
Enfin, à moins que tu appelles 'outils' des parties de l'OS... à ce
moment là, ça s'appelle alors 'configurer son OS' (Cf. ce que je disais
dans le premier post.)

On 22 Dec 2005 06:54:54 GMT, jh <hjohn@videotron.ca>:

au détriment
de la presque totalité des utilisateurs qui leur font une confiance
aveugle et n'en finissent plus de plonger la main dans leur
porte-feuilles sans jamais améliorer leur sort.

Si des gens choisissent de payer pour ne pas avoir à réfléchir,
laissons-les faire.