Simple boycott de IE

Olivier Masson wrote:

Mais croire que FF, parce qu'open source, est un miracle, c'est se
foutre le poing dans l'oeil.

Firefox sous Linux/Unix a au moins l'avantage de la séparation des
privilèges : une faille de FF ne peut que corrompre immédiatement les
fichiers de l'utilisateur qui exécute FF (on pourra pour plus tard
installer un exploit quand cet utilisateur passera root, mais ça complique
un peu l'attaque)

ça c'est déjà plus vrai mais...

Dans le cas d'IE, les choix d'architecture dans Windows font qu'IE est un
vecteur permettant de modifier en temps réel le code système (DLL par
exemple).

... la modification de DLL système et autres composants considérés comme
sensibles (jusqu'au notepad pourri !) est détecté immédiatement et la
version d'origine est remise en place.

Cette seule différence fait de Windows un marché juteux pour les antivirus
et autres firewalls [1]. Ce marché est tellement juteux et les problèmes de
Windows sont tellement profonds qu'on n'imagine même pas de solution hors
la fuite.

Ce n'est pas cette différence qui en fait un marché juteux il me semble,
mais plutôt la peur des gens, largement développé par les éditeurs de
logiciels de pseudo-sécurité. Et après, les gens ne savent pas quoi
faire avec le firewall, donc on fait des firewall qui se configurent
tout seul, notamment grace à uPnP. Et petit à petit, on se persuade
d'être en sécurité alors qu'on revient au point de départ et même pire
(puisque les logiciels de sécurité souffrent également de failles - ces
deniers jours McAffee et Norton -)

"Open59" <open59@yahoo.fr> a écrit dans le message de news:
1135174955.853613.187800@z14g2000cwz.googlegroups.com...

Voilà, comme je sentais le poster un peut seul et que je suis un
utilisateur de Linux heureux... :o)

Je ne sais pas quel est le virus spécifique à Linux qui empêche
l'utilisation d'imprimantes hyper classiques (Epson photo et Canon
laser), mais tant que ce "trou de sécurité" (... financière, pas envie
de bazarder mes imprimantes pour acheter une très chère PostScript
puisque Linux semble inféodé à Adobe) n'est pas résolu, je ne risque
pas de l'utiliser.

Pour le reste j'utilise IE (sans enthousiasme particulier il est
vrai, FF serait un peu plus paramétrable et un peu moins lent à
décoller, je le préfèrerais) et OE (pour les news en mode texte, rien
à redire) sans problèmes rencontrés mais j'ai un firewall sur mon
routeur (Netgear) et il y a un antivirus (Bit defender) à l'affut sur
chaque Windows du LAN. Scannages périodiques sans trouver de bêbêtes.
Que demander de plus ?
--
========================================================== William Marie
Toulouse (France)
mailto:wmarie@trapellun.net
ATTENTION ! Anti-SPAM pour m'écrire remplacer trapellun.net
par free.fr
http://wmarie.free.fr
===========================================================

On Wed, 21 Dec 2005 10:59:19 +0000, Manou wrote:

Gilles Berger Sabbatel n'était pas loin de dire :

<http://secunia.com/product/4227/> Jettes donc un oeil en bas de la
page. Pour Linux, je te laisse le soin de chercher toi-même, mais le
résultat sera le même.

En effet, deux "failles" classées peu critiques, dont une relative au
plugin Java, d'ailleurs!

En revanche, en tête de la même page, on trouve ceci :

2005-11-21
Proof of Concept code has been released for a 6 months old Internet
Explorer vulnerability. Criticality rating increased to Extremely
Critical.

Si la grande majorité des failles
sont patchées rapidement, il n'en demeure pas moins que certaines trainent
pendant des mois, parce qu'elles sont considérées, à tort ou à raison,
comme sans aucune espèce d'importance par les développeurs.

Comme la vulnérabilité mineure d'IE mentionnée ci-dessus, alors?

Combien de virus ou vers se sont propagés grâce à des vulnérabilités
d'IE?

Aucun. Ce ne sont pas les vulnérabilités d'IE qui sont en cause ici,
mais celle du "moteur HTML" (pour simplifier) intégré au coeur de Windows.

Quelle mauvaise foi!

Par conséquent, se contenter de parler d'IE est ici une absurdité, car ce
n'est pas, de loin, la seule application a bénéficier des failles en
question.

Tiens, je croyais qu'IE était inséparable de Windows, etc...

Tout comme d'ailleurs pour Firefox, dont la majorité des failles
sont en faite dû à Mozilla, et impacte donc les autres applications
utilisant ce "moteur HTML".

Ah, oui, alors finalement il n'a jamais existé aucune vulnérabilité dans
Mozilla/Firefox : ce n'est que le moteur de rendu qui était buggé! :-)

Au passage, bien qu'il ne soit pas dans mes habitudes de défendre
Microsoft, reconnaissons qu'il est plus simple de développer Mozilla,
"moteur HTML" se baladant tout seul, que de développer celui d'IE, qui est
partie intégrante du coeur même de Windows ; tout comme il est plus simple
de laisser trainer des failles dans ce dernier, tant il y a d'interaction
avec le reste du monde, et surtout le système.

En même temps, il est surprenant de voir des trous de sécurité refaire
surface régulièrement dans un produit vieillot, qui n'a plus évolué depuis
des années! Alors que Firefox reste un produit vivant, dont l'évolution
ne se limite pas à la correction des trous de sécurité. Si on ajoute à
cela que du fait de la disponbilité des sources, des tas de gens se
plongent dans le code pour en analyser les vulnérabilités (même
potentielles), alors que celles d'IE ne sont découvertes que par accident...

On pourrait parler aussi des bugs de rendu d'IE, que les concepteurs de
sites Web passent leur temps à contourner, mais que MicroSOft n'a jamais
daigné corriger...

Ce n'est quand même pas pour rien si des spécialistes de la sécurité -
gens sérieux qui détestent prendre des positions polémiques - ont de
plus en plus tendance à déconseiller explicitement Internet Explorer!

Ce qui en soit est une aberration. Tous les gentils utilisateurs
lambda bavant devant l'affichage "comme un page web" de l'explorateur de
Windows utilisent le moteur d'IE.

Ce qui ne pose à priori aucun problème tant qu'on reste au niveau local.
Au moins dans le cas de la vulnérabilité actuelle. Mais, puisque vous
semblez penser que des gens que j'estime intelligents et compétents sont
des idiots, je suis finalement flatté que vous me placiez dans la même
catégorie...

Maintenant, qu'IE soit au sein de Windows comme une espèce de cancer
métastasé, c'est le problème de Windows (et de ses utilisateurs). Je ne
vois pas an nom de quels principes de conception il devrait y avoir
forcément une relation étroite entre :

- un navigateur Web,
- un moteur de rendu HTML,
- un afficheur d'images,
- un gestionnaire de fichiers,
- un gestionnaire de fond d'écran.
- un utilitaire de mise à jour du système...

Et j'en oublie des tas, sans doute.

Le Thu, 22 Dec 2005 03:37:36 +0000, Manou a écrit :

Eric Razny n'était pas loin de dire :

J'ai du relire ce post deux fois pour être sur que je n'avais pas
rêvé! Ca ne te viens pas à l'idée que si j'ai une backdoor sur ta
machine il ne me coute rien d'installer un keylogger en prime?

Tu aurais sans doute dû le relire une troisième fois, puisque j'avais
pris soin de limiter la comparaison à une backdoor de type proxy[1], ne
permettant donc que de rentrer dans la pile IP, si je puis dire, sans
pour autant pouvoir rentrer dans le système.

Je te cite :
"Se retrouver avec un backdoor permettant à tout un chacun d'utiliser
notre ordinateur comme rebond est chiant". Je crois bien volontier que tu
parlais de proxy mais "backdoor" n'est pas proxy. Ton post se lisait donc
comme une simple sous-exploitation d'une backdoor :-)

Accessoirement même un "simple proxy" permet à priori de profiter du
vpn, ce qui amha est plus grave que le phising.

Et une backdoor avec une superbe attaque par rebond dans le vpn de la
boite ce n'est que chiant?

Comparé à un compte à découvert, dix mille euros de dettes et le fait
que tous les prélèvements automatiques que tu peux avoir soient
annulés ? Oui, ce n'est que chiant... Du moins si tu n'es ni le patron
de la boîte ni son admin sécu ou réseau, ce qui est le cas pour 99% des
gens.

Bien que je compatisse je en peux qu'imaginer que tu connait cette
personne, sinon je m'explique difficilement ton argumentaire.

D'un côté tu as *une* personne, qui certes est en difficulté, de
l'autre côté le piratage peut mettre, directement ou indirectement
(marché perdu parce que la concurrence a accès à des infos qu'elle ne
devrait pas avoir) en péril une structure comprenant bien plus de
personnes...

Accessoirement il faudrait en finir avec l'image sous-jacente du patron
richissime et exploiteur. C'est une image complètement fausse pour la
majorité des patrons de TPE, voire de PME qui constituent la part la plus
créatrice d'emploi en france. Ce patron bosse généralement bien plus
que les 35 heures, n'a pas nécessairement un salaire très important. Le
fait d'être son patron et de faire, dans une certaine mesure, ce qui lui
plait, ne doit pas occulté qu'en cas de chomage il ne touche pas
d'indemnités. Alors les "le gentil Michu qui se fait phisher c'est
gravissime, contrairement on patron qui se retrouve avec une boite en
péril" ça me parait largement déplacé.

On a clairement une conception de la sécu différente

Ou vois-tu que je parle d'une quelconque conception de la sécurité ?
Le problème soulevé dans cette discussion, ce n'est pas la sécurité en
elle-même, mais de savoir si c'est plus sûr parce que c'est OpenSource
ou Libre. Ce qui n'est pas le cas puisque, là aussi des failles
considérées comme "sans intérêt" peuvent ne pas être patchées.

Sur ce point on est ok. La conception de la sécu différente est dans le
: phising=grave, backdoor=bof.

Accessoirement pour ne pas être victime de phishing[1] il suffit de
tapper directement l'url dans le navigateur. Quand j'ai un lien
"interressant" dans un email je ne clique pas dessus : je copie le lien,
le colle dans le browser et le vérifie avant de valider. P'tain c'est
compliqué ça!

Pour l'utilisateur lambda ? Oui, évidement que c'est compliqué à faire.
Ca sert à quoi d'avoir des liens cliquables si c'est pour devoir faire
un copier-coller ?

Je clique quand je vais voir une pub, et encore, je vérifie le lien
machinalement (ma machine est peut être un peu moins passoire que
d'autre, les emails que je reçois sont expurgés des salopperies en
général, mais si je prends le risque d'une page web offensive, c'est en
connaissance de cause), je copie/colle sinon (et pour ma banque c'est dans
mes favoris).

De plus on se retrouve toujours devant le même problème avec Mme Michu :
il est indispensable d'avoir un minimum de formation. Ca ne gêne personne
de lire un minimum le mode d'emploi d'un "magnetoscope graveur de CD avec
HD" mais pour un OS aucune raison :(

Enfin à une période il me semble que la plupart (toutes?) les banques
ont communiqué à leurs clients à propos des risques du phising. Mais ce
n'est pas la faute du client s'il jette ces documents sans les lire...

[1]
Je vais encore faire hurler Cédric, mais tant pis.

Pourquoi seulement Cédric? :)

Eric

On 2005-12-22, William Marie <wmarie@trapellun.net> wrote:

Je ne sais pas quel est le virus spécifique à Linux qui empêche
l'utilisation d'imprimantes hyper classiques (Epson photo et Canon
laser), mais tant que ce "trou de sécurité" (... financière, pas envie
de bazarder mes imprimantes pour acheter une très chère PostScript
puisque Linux semble inféodé à Adobe) n'est pas résolu, je ne risque
pas de l'utiliser.

Il serait peut-être plus réaliste de prendre le problème dans le

bon sens: un fabriquant de matériels qui néglige le support d'un
certain nombre de systèmes d'exploitation ne peut être que néfaste
pour la _sécurité_ de tes investissements. Qui se rappelle encore
des winprinters oubliés par les windows post9x ?

Xpost et fu2, donc.


--

toute la France connais Beauvais Tilles c'est pas un exploit surtout depuis
que c'est passe sur M6
C'est un argument, ça...

Il doit y avoir un panneau "vu à la télé" à l'entrée du village.

Gilles Berger Sabbatel wrote:

Il y a vraiment des idiots qui disent ça?

Il y en a donc des masses...

Microsoft est toxique, méchant et rend bête.

Ca, en revanche, ce n'est pas totalemnt faux...

M$ créé beaucoup d'emplois aussi, et ça, certains ont tendance à l'oublier.

--
Delf

Eric Razny devait dire quelque chose comme ceci :

Je te cite :
"Se retrouver avec un backdoor permettant à tout un chacun d'utiliser
notre ordinateur comme rebond est chiant".

Non-obstant le terme de "backdoor" en lui-même sur lequel je
reviendrais dans un instant, il aurait fallut un "entre autre" après le
"permettant", ou que j'écrive quelque chose comme "se retrouver avec un
backdoor, c'est chiant, ça permet à tout un chacun d'utiliser [...]"
pour que la phrase aille dans le sens que tu lui as prêté.

Je crois bien volontier que tu parlais de proxy mais "backdoor" n'est
pas proxy.

Backdoor n'est pas non plus "prise de controle à distance d'un
ordinateur". Tu peux mettre une backdoor dans le logiciel que tu as
développé pour pouvoir accéder aux documents protégés sans que l'on te
demande de mot de passe. Tu peux mettre une backdoor dans un OS pour
pouvoir te loguer sur n'importe quelle machine avec tous les droits,
tout en gardant les problèmes de sécurité à l'esprit et en limitant
donc la portée de cette backdoor à la seule console. Tu peux inclure
une backdoor dans Apache pour qu'il ne tienne pas compte des
restrictions d'accès du .htaccess lorsque tu consultes les sites que tu
héberges avec un navigateur. Tu peux... plein de choses encore, qui
seront des backdoors mais ne répondront pas pour autant à la définition
que tu as initialement prêté au terme.
Une backdoor permet d'utiliser quelque chose à l'insu de son
propriétaire, que ce soit le système dans son ensemble ou une ressource
seule. Une backdoor peut donc être de type proxy tout en méritant
légitimement les *deux* termes. Le premier parce que l'application a
été introduite et est utilisée à l'insu du propriétaire de
l'ordinateur, le second parce qu'elle ne permet qu'une chose, relayer
les paquets qui arrivent jusqu'à elle.

Ton post se lisait donc comme une simple sous-exploitation d'une
backdoor :-)

Ne serait-ce pas plutôt toi que les sur-exploite ? Backdoors,
backdooresses, on vous exploite, on vous spolie :-p

Accessoirement même un "simple proxy" permet à priori de profiter du
vpn, ce qui amha est plus grave que le phising.

Pour le professionnel que tu es oui, et encore, pour l'utilisateur
lambda que sont les autres, non.


[Snip]
[Note: Bon, ok, ce n'est pas de la sécurité informatique, mais il est
bon parfois de rappeler quels sont les enjeux réels de la sécurité et
les conséquences possibles pour les uns et les autres, ce qui amha est
en charte]

D'un côté tu as *une* personne, qui certes est en difficulté, de
l'autre côté le piratage peut mettre, directement ou indirectement
(marché perdu parce que la concurrence a accès à des infos qu'elle ne
devrait pas avoir) en péril une structure comprenant bien plus de
personnes...

Structure qui peut partir sur un autre projet, qui dispose d'un fond
de roulement qui reste intact, qui peut s'être assurée contre ce type
de préjudice. Le pire dans ce cas, c'est l'obligation de licencier
les/des employés, qui se retrouveront alors certes au chomage, mais
avec des revenus.
A contrario un particulier ne peut pas repartir avec un nouveau
salaire, celui du mois prochain étant déjà utilisé par défaut pour
payer les frais du mois prochain. Il ne dispose plus d'un fond de
roulement et à même des dettes, et il ne peut pas s'assurer contre ce
type de préjudice. Le pire pour lui, c'est l'interdiction de chéquier,
une horreur, la coupure du téléphone, de l'électricité, parce que les
prélèvements ont été annulés et que le seul moyen de s'en rendre
compte, c'est d'attendre que le créancier vous insulte vertement ; les
huissiers qui sonnent à la porte, parce que manger est plus important
que rembourser les prêts, l'expulsion parce que l'on ne peut plus payer
le loyer, et un tas de petits désagréments annexes, comme celui de
faire le tour de tous ses créanciers pour relancer les prélèvements
automatiques et essayer de négocier avec eux un étalonnement de la
dette (au sens large du terme) sans pénalités de retard.
Evidement, le particulier à un recours, il peut se tourner vers sa
banque pour plaider la fraude et voir revenir les sommes qui ont
disparues. Seulement ce sera long, si tant est qu'il arrive à
convaincre son interlocuteur qu'il y a réellement eu fraude, et cela
n'empèchera donc pas les problèmes cités précédement de se produire les
uns après les autres. Qui plus est, même s'il arrive à ne pas se faire
expulser, il n'échappera pas aux pénalités, il y aura donc de toute
façon un préjudice financier important.

[...] Alors les "le gentil Michu qui se fait phisher c'est
gravissime, contrairement on patron qui se retrouve avec une boite en
péril" ça me parait largement déplacé.

A ton avis, pourquoi avais-je terminé mon paragraphe par,
"Du moins si tu n'es ni le patron de la boîte ni son admin sécu ou
réseau, ce qui est le cas pour 99% des gens", si ce n'est justement
pour éviter un tel paragraphe qui, en plus d'être hors charte,
correspond à ce que j'aurais moi-même écrit ?
Décidément, le fait d'utiliser un pseudonyme ouvre la porte aux
préjugés et influence grandement la façon dont on lit un message et
donc aussi celle dont on y répond. Du coup, la prochaine fois tu
l'approuves toi-même ton message, Na ! :-p


[Snip, on est déjà largement limite quant à la charte sans rajouter
encore une couche de hors-charte]

Gilles Berger Sabbatel n'était pas loin de dire :

En effet, deux "failles" classées peu critiques, dont une relative au
plugin Java, d'ailleurs!

Voir les échanges avec Eric Razny sur le pourquoi comment une faille
"peu critique" n'est pas pour autant anodine.


[Snip]

Comme la vulnérabilité mineure d'IE mentionnée ci-dessus, alors?

Je n'ai pas dit qu'IE était mieux, j'ai dit que les logiciels libre ou
OpenSource n'étaient pas exempt de failles et de retard quant au
déployement des patches.


[Snip]

En même temps, il est surprenant de voir des trous de sécurité refaire
surface régulièrement dans un produit vieillot, qui n'a plus évolué depuis
des années! Alors que Firefox reste un produit vivant, dont l'évolution
ne se limite pas à la correction des trous de sécurité.

Non, cela n'a rien de surprenant. Microsoft ne développe pas dans une
optique de sécurité, mais d'intégration avec le système et de
simplicité d'utilisation. Pendant longtemps ils n'ont pas hésité à
prendre un risque pour permettre à l'utilisateur d'en avoir plus tout
en en faisant moins. A l'inverse, les logiciels libres et OpenSource
sont développés dans une optique où la sécurité joue un rôle important,
et il peut arriver qu'une fonctionnalité soit retardée jusqu'à ce que
l'on trouve un moyen de l'implémanter sans risque, même si elle pouvait
apporter un plus appréciable au logiciel.
Deux approches aussi différentes ne peuvent qu'avoir des conséquences
aussi éloignées l'une de l'autre en matière de sécurisation finale du
logiciel. Il suffit d'ailleurs de regarder du côté des autres logiciels
dont les sources ne sont pas disponibles, et ils sont nombreux, pour se
rendre compte que c'est bien l'orientation initiale qui détermine le
reste. Autrement, les Unix propriétaires seraient troués jusqu'à la
moëlle eux aussi car, s'ils sont certes moins répandu que Windows, ils
n'en demeurent pas moins plus intéressants à trouer, car abritant d'une
façon ou d'une autre des données sensibles et donc alléchantes.

On pourrait parler aussi des bugs de rendu d'IE, que les concepteurs de
sites Web passent leur temps à contourner, mais que MicroSOft n'a jamais
daigné corriger...

Ben non, on ne pourrait pas, parce que ça n'a rien à voir avec la
sécurité o:-)

Ce qui en soit est une aberration. Tous les gentils utilisateurs
lambda bavant devant l'affichage "comme un page web" de l'explorateur de
Windows utilisent le moteur d'IE.

Ce qui ne pose à priori aucun problème tant qu'on reste au niveau local.

Ce qui est inexact. Avec l'explorateur de fichiers en lui-même, le
risque est minime, mais si l'on navigue par le biais de l'icone "poste
de travail", ce qui est répandu, le mode d'affichage "comme une page
web" affiche un aperçu de la page lorsque l'on sélectionne un fichier
que l'extension identifie comme étant une page web. Il suffit donc de
sélectionner une page HTML ayant du code malicieux pour que celui-ci
soit exécuté.

On 22 Dec 2005 09:30:58 GMT, Olivier Masson
<sisemen_bouchon_@laposte.net>:

un kit-pignouf adaware (bien moins bon que
Microsoft antispyware)

Tiens ? Tu peux m'en dire plus ?
J'avais cru comprendre que "Microsoft antispyware" ne valait pas
grand-chose, car les auteurs de spyware peuvent payer Microsoft pour
être retirés de la liste.

On 22 Dec 2005 20:34:10 GMT, "Manou" <maouu@free.fr>:

Tu peux mettre une backdoor dans un OS pour
pouvoir te loguer sur n'importe quelle machine avec tous les droits,
tout en gardant les problèmes de sécurité à l'esprit et en limitant
donc la portée de cette backdoor à la seule console.

Qu'appelles-tu "console" exactement ? La ligne de commande ?
Étant donné qu'elle permet de faire à peu près tout ce qu'on veut sous
Windows, et encore plus sous *nix, je ne vois pas bien en quoi c'est
une limitation.