Que vaut le firewall de Windows XP?

"Bruno Tréguier" <bruno.treguier_at_shom.fr@nullepart.invalid> a écrit dans
le message de news: ho0kun$cdd$1@typhon.shom.fr...

C'est un début, mais il y a un souci inhérent au principe même d'un tel
firewall...

Autant je pense qu'un firewall "intégré" à l'OS peut être efficace en
entrée car l'attaquant n'est pas encore dans la place, autant à mon humble
avis, en sortie, c'est mort. En imaginant que la machine cliente ait été
compromise via une faille applicative sur un canal autorisé, le malware
ainsi déposé aura vraisemblablement toute latitude, ou presque, pour
désactiver le firewall, comme le font actuellement les virus vis à vis des
anti-virus...

C'est pour cela qu'en même temps il y a eu la mise en place de l'UAC. :-)

Et l'utilisateur se retrouve face aux meme problemes de fenetres
questionnantes qu'avec un Firewal type, Kerio, ZA, Outpost et consorts,
c'est a dire avec un mode "apprentissage".

Et pour les raisons evoquées ici :
- ces fenetres se repetant frequement,
- l'utilisateur ne voulant pas prendre le temps de les lire,
- l'utilisateur n'ayant pas forcement la connaissance lui permettant de
comprendre la question
- l'utilisateur meme avancé ne pouvant prendre une decision rapide a cause
du manque, voire de l'absence totale, d'information sur les besoins des
logiciels de la part de l'editeur
- l'utilisateur voulant "consommer" et "tout de suite"
- l'utilisateur même avancé qui prend le temps de Googler subissant
l'ingenierie sociale permanente (desinformation, fausse information)
- ((non exhaustif...))
==> L'utilisateur clique donc "n'importe comment", au mieux en etant
persuadé d'avoir fait ce qu'il faut et pris une decision raisonnée et
informée, et le pare feu est troué.

Un firewall protégeant correctement dans le sens sortant se trouvera donc
préférentiellement en coupure, et non sur la machine cliente elle-même.

La question que je me pose : c'est pourquoi donc faut il sans cesse que les
applications bavardes subreptiscement avec l'exterieur ?
Hors les mises a jour de produits je ne vois pas. Qu'elles en ait besoin
pour communiquer, ok (quoique), mais pourquoi le faire en catimini ?

Ce qui fait que dans le sens sortant 99% doit pouvoir etre bloqué.
Et je pense que c'est ce que certains utilisateurs, sans etre des pros de
l'informatique, font et souhaitent lorsqu'ils installent un pare feu de
type Kerio, et Outpost.
Notement ils veulent avoir le possibilite de "proteger leurs vie privée"

C'est pourquoi , AMHA, microsoft a intégré ce super pare feu dans Windows7
avec toutes ces regles judicieuses y compris celles concernant ses propres
services ;-)
Il a egalement compris le gros desavantage due l'UAC surgissante et a reduit
sa frequence pour limiter les effets d'automatisme sur l'utilisateur.

Et là, on, retombe sur la boite noire, exterieure au PC :
- pilotable en reseau ? (snmp, telnet ou http, les "canaux autorisés") =
atteignable par les vilains pabôs (depuis le PC derriere le bastion si
necessaire)
- Figée par le constructeur ? = Quels accords commerciaux avec les editeurs
?
- Autoapprenante ? = Quelle reactivite et diversité de la part du
constructeur ? Quelle evolutivité en fonction des nouveaux applicatifs ou de
leurs mises a jour ?

Mais le point de depart serait que le malware entre "par les canaux
autorises", dans ce cas ne peut il donc egalement sortir "par les canaux
autorises" ?
Et si tel est le cas, quelle difference que la boite soit exterieure ou
interieure ?

--
Cordialement,
Az Sam.

I N F O R A D I O a écrit :

Maintenant, un firewall logiciel permet de savoir
quel logiciel essaie de se connecter au net. Cela peut
permettre d'être alerté d'une activité non désirée suite
à une infection, par exemple...

J'en parle ici :
http://inforadio.free.fr/articles.php?lng=fr&pgW
Para 1. VERIFIER L'ACTIVATION DE SON FIREWAL

Erreur 403

J'utilise toujours Kerio 2.1.5 avec la petite modification
de la base de registre que j'indique et je pousse le vice
à laisser le parefeu de Xp activé bien que cela ne soit
a priori pas recommandé (cf. ma page).

Rien à signaler... Mais je ne tiens pas que sur le firewall
il est vrai... Sans compter que j'ai un firewall matériel
derrière (modem routeur DIR-635)...

J'utilise également les 2, car j'ai constaté que Kerio se lance assez
tard au démarrage de l'ordinateur. Alors j'ai essayé d'ajouter le pare-
feu d'XP, ça fait plusieurs années et je ne constate pas de problème
(identifiés...). Est-ce utile pour cet usage (le temps de démarrage) ?

Je n'ai pas modifié la base de registre, ou alors je ne m'en souviens
plus.


--
siger

siger wrote:

I N F O R A D I O a écrit :

http://inforadio.free.fr/articles.php?lng=fr&pgW
Para 1. VERIFIER L'ACTIVATION DE SON FIREWAL

Erreur 403

Il doit avoir un .htaccess mal paramétré sur son site vu que d'autres y
accèdent.

Stephane Catteau wrote:

Bruno Tréguier devait dire quelque chose comme ceci :

Par ailleurs, les "attaques principales" contre les machines
purement clientes (celles que l'on trouve chez le particulier,
donc, typiquement) ne sont plus les attaques frontales de
grand-papa... Celles qu'il faut craindre le plus en tant
qu'"utilisateur de base" sont celles, de plus en plus nombreuses,
qui utilisent des failles applicatives sur des canaux autorisés
(ex: HTTP, cf. les derniers "0-day" de IE). Un peu d'ingénierie
sociale par dessus si nécessaire, et hop...

Késako

Ce qui au bout du compte a toujours été le cas, le by-pass du mot de
passe de NetBIOS ne date vraiment pas d'hier. A moins que tu ne
veuilles dire que maintenant les attaques ne vont plus seulement
dans le sens du flux (attaquant -> service) mais tendent de plus en
plus à remonter celui-ci (attaquant -> client) ?

Késako

Un firewall de type *box ou XP SP2 a donc tendance à être de moins
en moins efficace, et je pense qu'à moyen (voire court) terme, un
filtrage sortant sera indispensable chez tout le monde.

Je ne suis pas d'accord pour ce qui concerne les filtre de type
*box. Comme tu le dis par ailleurs, le filtrage doit s'effectuer en
deux temps, d'abord au niveau applicatif sur le poste lui-même, et
ensuite aux niveaux inférieur sur une machine déportée.

Déportée ou ?

Or les filtres IP des *box répondent en partie à cette deuxième partie.
En
servant de point d'entrée sur le LAN[1] ils constituent un bon
rempart contre les attaques classiques, permettant à madame Michu
de ne pas avoir à se soucier des services en écoute sur son
ordinateur, puisque de toute façon personne ne pourra y accéder. De
même, certains de ces filtres IP permettent une configuration
minimale en sortie, ce qui limite les fuites aux services
génériques (HTTP, SMTP, POP, FTP et NTP, plus éventuellement IRC,
P2P et NNTP).

Madame Michu comprend rien

Cela ajoute une barrière pour le cas où le firewall
personnel présent sur la machine serait désactivé par un rootkit.
Bref les *box apportent le même niveau de sécurité que celui qu'ont
apporté les routeurs ADSL durant la précédente décénie ; ce n'est
pas une protection suffisante en elle-même, mais c'est un plus qui
est loin d'être superflu.

Bref ! madame Michu s'interroge

[1]
Puisqu'il y a LAN de fait, même s'il n'y a qu'un seul poste
utilisateur derrière la *box.

Bon ! ... là encore Madame Michu se désespère de comprendre un jour un
langage qui finalement s'adresse à des connaisseurs avertis en
informatique ;-(*) :-@

Le 20/03/2010 à 5:09, Stephane Catteau a écrit :

Bruno Tréguier devait dire quelque chose comme ceci :

Par ailleurs, les "attaques principales" contre les machines purement
clientes (celles que l'on trouve chez le particulier, donc, typiquement)
ne sont plus les attaques frontales de grand-papa... Celles qu'il faut
craindre le plus en tant qu'"utilisateur de base" sont celles, de plus
en plus nombreuses, qui utilisent des failles applicatives sur des
canaux autorisés (ex: HTTP, cf. les derniers "0-day" de IE). Un peu
d'ingénierie sociale par dessus si nécessaire, et hop...

Ce qui au bout du compte a toujours été le cas, le by-pass du mot de
passe de NetBIOS ne date vraiment pas d'hier. A moins que tu ne
veuilles dire que maintenant les attaques ne vont plus seulement dans
le sens du flux (attaquant -> service) mais tendent de plus en plus à
remonter celui-ci (attaquant -> client) ?

Bonjour Stéphane,

Oui, c'est effectivement plutôt à cela que je faisais allusion, en fait.

Il y a quelques années, "Madame Michu" (puisqu'il est beaucoup question
d'elle ;-) ) était derrière un modem RTC ou ADSL, et non une *box de
type routeur... A cette époque (héroïque ?), les machines clientes
étaient donc directement exposées, et la simple mise en oeuvre de
partages réseau pouvait se révéler une vraie catastrophe.

De nos jours, un ver comme Blaster (pour prendre un exemple flagrant
d'attaque frontale, survenu en 2003) aurait beaucoup plus de mal à se
propager. Il faut donc que les "méchants" fassent preuve d'un peu plus
d'astuce. Cela étant dit, si j'en crois le nombre de scans de ports que
je vois arriver sur notre firewall au boulot (rien que pour microsoft-ds
sur 445/tcp c'est entre 5 et 10 par seconde), il y a encore pas mal de
bourrins sur la toile (bon, ok, je sais, la plupart du temps ce sont des
botnets ;-) ).

Un firewall de type *box ou XP SP2 a donc tendance à être de moins en
moins efficace, et je pense qu'à moyen (voire court) terme, un filtrage
sortant sera indispensable chez tout le monde.

Je ne suis pas d'accord pour ce qui concerne les filtre de type *box.

Je crois que sur le principal nous sommes à peu près d'accord, mais je
pense malgré tout que les firewalls de type *box ou XP, tels qu'ils sont
actuellement implémentés, risquent vite de montrer leurs limites, et ce
pour plusieurs raisons:

1) quasi-absence de filtrage en sortie. Même si sur certaines boxes il
est possible de le faire, la configuration par défaut est quand-même,
actuellement, de tout laisser passer ;

2) absence de filtrage "stateful" ;

3) absence de filtrage intra-protocolaire (vérifiant, par exemple, que
ce qui passe sur le port 80 est bien du HTTP, etc.)

Les pirates sont tout à fait conscients de cela, et les failles
désormais ciblées montent petit à petit dans les couches réseau...

Bref les *box apportent le même niveau de sécurité que celui qu'ont
apporté les routeurs ADSL durant la précédente décénie ; ce n'est pas
une protection suffisante en elle-même, mais c'est un plus qui est loin
d'être superflu.

Hmmm. Problème de terminologie ? Effectivement, une *box assure le même
niveau de sécurité qu'un routeur ADSL parce qu'elle _est_
essentiellement un routeur ADSL (si on passe sous silence les trucs liés
au triple play dont on se fiche ici, et le WiFi dont on se fiche moins
mais qui n'est pas l'objet de ce fil). Durant la décennie précédente,
nous avions des _modems_ ADSL qui, eux, n'avaient strictement aucune
fonction de sécurité...

Cordialement,

Bruno

Ila devait dire quelque chose comme ceci :

Bon ! ... là encore Madame Michu se désespère de comprendre un jour un
langage qui finalement s'adresse à des connaisseurs avertis en
informatique ;-(*) :-@

Ce n'est pas parce que l'on parle *de* madame Michu que l'on parle *a*
madame Michu. Et ça, c'est quelque chose qu'elle comprend d'elle-même.

Stephane Catteau wrote:

Ila devait dire quelque chose comme ceci :

Bon ! ... là encore Madame Michu se désespère de comprendre un
jour un langage qui finalement s'adresse à des connaisseurs
avertis en informatique ;-(*) :-@

Ce n'est pas parce que l'on parle *de* madame Michu que l'on parle
*a* madame Michu. Et ça, c'est quelque chose qu'elle comprend
d'elle-même.

Ben non, madame Michu ne comprend nada *de* ella...
Alors, pas parler *a* la signora Michu
Madame Michu vexée de la repuesta :-D :-P

Ila a écrit :

Bon ! ... là encore Madame Michu se désespère de comprendre un jour un
langage qui finalement s'adresse à des connaisseurs avertis en
informatique ;-(*) :-@

Mme Michu n'est à plaindre, M. Bidochon c'est pire:

http://media.bestofmicro.com/Bidochon-internautes-internet,O-T-116237-3.jpg


--
Roland Garcia

Bruno Tréguier n'était pas loin de dire :

Il y a quelques années, "Madame Michu" (puisqu'il est beaucoup question
d'elle ;-) ) était derrière un modem RTC ou ADSL, et non une *box de
type routeur... A cette époque (héroïque ?), les machines clientes
étaient donc directement exposées, et la simple mise en oeuvre de
partages réseau pouvait se révéler une vraie catastrophe.

Sans parler des services sensés lui faciliter la vie qui étaient
activés par défaut (UPNP par exemple). L'utilisateur lambda n'a jamais
rien eu de plus qu'une imprimante comme périphérique potentiellement
PNP et celle-ci ne l'était même pas ; pour autant le service était
activé parce que "c'est une évolution majeure qui révolutionne
l'utilisation d'un ordinateur alors forcément faut pas s'en passer".

De nos jours, un ver comme Blaster (pour prendre un exemple flagrant
d'attaque frontale, survenu en 2003) aurait beaucoup plus de mal à se
propager. Il faut donc que les "méchants" fassent preuve d'un peu plus
d'astuce.

Cette adaptation vient aussi de la façon dont à évolué le web. Il est
devenu le vrai point central du réseau (et dans l'esprit de certain il
est même le réseau) au point que maintenant un navigateur web suffit
pour tout faire ou presque. Des messageries instantanées au bon vieux
FTP, tout a été dupliqué sur le web et/ou possède un second accès par
le biais d'HTTP. Comme dans le même temps les scripts tendent à se
déporter et la pub à être omniprésente (et déportée aussi), on touche
finalement plus de monde (et plus rapidement) en compromettant un site
web qu'en exploitant une faille dans MSN.

Cela étant dit, si j'en crois le nombre de scans de ports que je vois
arriver sur notre firewall au boulot (rien que pour microsoft-ds sur
445/tcp c'est entre 5 et 10 par seconde), il y a encore pas mal de
bourrins sur la toile (bon, ok, je sais, la plupart du temps ce sont des
botnets ;-) ).

Du côté des scans de ports et autres tentatives d'accès sur un port
donné, il ne faut pas oublier qu'il y a aussi les millions de vers qui
persistent à droite et à gauche. Je n'ai pas regardé dernièrement, mais
il y a trois ans j'avais encore des machines infectées par code red qui
venaient toquer à ma porte de loin en loin. 6 ou 7 ans après la
création du vers, il existe encore, ce qui pose un autre problème : Les
professionnels ne sont pas forcément mieux que madame Michu.
C'est quel vers SQL déjà qui a noyé le réseau pendant 24h, alors qu'il
exploitait une faille pour laquelle il existait déjà un patch ?

Un firewall de type *box ou XP SP2 a donc tendance à être de moins en
moins efficace, et je pense qu'à moyen (voire court) terme, un filtrage
sortant sera indispensable chez tout le monde.

Je ne suis pas d'accord pour ce qui concerne les filtre de type *box.

Je crois que sur le principal nous sommes à peu près d'accord, mais je
pense malgré tout que les firewalls de type *box ou XP, tels qu'ils sont
actuellement implémentés, risquent vite de montrer leurs limites, et ce
pour plusieurs raisons:

1) quasi-absence de filtrage en sortie. Même si sur certaines boxes il
est possible de le faire, la configuration par défaut est quand-même,
actuellement, de tout laisser passer ;

C'est le problème des produits grand public. Soit tu laisses tout
ouvert et l'utilisateur ne sait pas fermer, soit tu n'ouvres que
l'indispensable (HTTP,SMTP et POP3) et tu te manges une campagne de
discréditation au motif que ton produit ne permet pas ceci/cela,
puisque rare seront les utilisateurs qui penseront qu'il faut d'abord
changer la configuration.
Encore une fois ça pourrait être, en partie, réglé s'il y avait un
vrai support d'information derrière, tant de la part des FAI que de la
part des éditeurs. C'est tout bête, mais y a-t-il un client FTP dont la
"troubleshot section" commence par : "Avez vous bien configuré votre
firewall/*box ?"

2) absence de filtrage "stateful" ;

Alors que rien ne l'empècherait dans l'absolue, puisque cela ne
créerait pas d'erreurs supplémentaire.

3) absence de filtrage intra-protocolaire (vérifiant, par exemple, que
ce qui passe sur le port 80 est bien du HTTP, etc.)

Ce qui en soit ne me choc pas plus que cela. Elles sont équipées d'un
filtre IP, pas d'un firewall au sens propre du terme.

Les pirates sont tout à fait conscients de cela, et les failles
désormais ciblées montent petit à petit dans les couches réseau...

D'un autre côté on peut voir cela comme un point positif. Ils montent
dans les couches réseau parce que les couches inférieurs sont de moins
en moins facilement exploitables. Ce n'est qu'une question de rapport
temps/efficacité, du temps de NetBIOS, on avait la main sur une machine
en deux minutes (recherche de la machine incluse), maintenant NetBIOS
n'est plus routé sur IP par défaut, le firewall de Windows pour aussi
peu fiable qu'il soit existe et mine de rien de plus en plus
d'utilisateurs lambda sont sensibilisés au problème. Ce sont donc les
niveaux supérieurs qui présente maintenant le meilleur rapport
temps/efficacité.

Bref les *box apportent le même niveau de sécurité que celui qu'ont
apporté les routeurs ADSL durant la précédente décénie ; ce n'est pas
une protection suffisante en elle-même, mais c'est un plus qui est loin
d'être superflu.

Hmmm. Problème de terminologie ?

Non, dès 2002 la plus part des routeurs grand public assuraient
eux-mêmes la connexion au réseau, sachant aussi bien gérer une
intégration classique, qu'une intégration via DHCP ou PPPoE. Mais à la
différence des *box, ils n'intégraient pas le modem ; bien que de tels
modèles existaient.

Le 20/03/2010 à 7:20, Az Sam a écrit :

C'est pour cela qu'en même temps il y a eu la mise en place de l'UAC. :-)

Ah oui, super invention ça. ;-)

<mode moqueur>
Au passage, ça fait 40 ans qu'Unix fait de la séparation de privilèges,
et Windows vient de découvrir le procédé. Vive le progrès.
</mode moqueur>

Dans une entreprise c'est peut-être bien, parce que c'est tout
simplement *dingue* de voir le nombre d'applis _professionnelles_ qui,
sous XP, ne démarrent même pas si l'utilisateur qui les lance n'est pas
admin).

En revanche, comme vous le dites plus bas dans votre message, pour les
particuliers (à commencer bien sûr par Mme Michu, que je salue au
passage), ça représente le truc chiant par excellence, qu'ils vont
s'empresser de désactiver.

La question que je me pose : c'est pourquoi donc faut il sans cesse que les
applications bavardes subreptiscement avec l'exterieur ?
Hors les mises a jour de produits je ne vois pas. Qu'elles en ait besoin
pour communiquer, ok (quoique), mais pourquoi le faire en catimini ?

Ce qui fait que dans le sens sortant 99% doit pouvoir etre bloqué.

Oui, dans la majorité des cas c'est tout à fait vrai. Il y a une
minorité de cas (comme les mises à jour que vous citiez) pour causer à
l'extérieur directement. Peut-être aussi les trucs genre Skype, ou les
machins de mise à l'heure par NTP (quoique je ne sais pas trop comment
ça marche - ou pas - sous Windows ça).

Et je pense que c'est ce que certains utilisateurs, sans etre des pros de
l'informatique, font et souhaitent lorsqu'ils installent un pare feu de
type Kerio, et Outpost.
Notement ils veulent avoir le possibilite de "proteger leurs vie privée"

C'est pourquoi , AMHA, microsoft a intégré ce super pare feu dans Windows7
avec toutes ces regles judicieuses y compris celles concernant ses propres
services ;-)
Il a egalement compris le gros desavantage due l'UAC surgissante et a reduit
sa frequence pour limiter les effets d'automatisme sur l'utilisateur.

Louable intention, reste à voir la pertinence des alertes restantes...

Et là, on, retombe sur la boite noire, exterieure au PC :
- pilotable en reseau ? (snmp, telnet ou http, les "canaux autorisés") =
atteignable par les vilains pabôs (depuis le PC derriere le bastion si
necessaire)
- Figée par le constructeur ? = Quels accords commerciaux avec les editeurs
?
- Autoapprenante ? = Quelle reactivite et diversité de la part du
constructeur ? Quelle evolutivité en fonction des nouveaux applicatifs ou de
leurs mises a jour ?

Je n'ai pas de réponse toute faite à ces questions, mais personnellement
j'aime bien contrôler les choses. Donc les machins prétendument
intelligents, très peu pour moi.

Mais le point de depart serait que le malware entre "par les canaux
autorises", dans ce cas ne peut il donc egalement sortir "par les canaux
autorises" ?
Et si tel est le cas, quelle difference que la boite soit exterieure ou
interieure ?

Très bonne question. Pour être "efficace", un malware doit (la plupart
du temps) pouvoir se connecter à un service donné (donc sur un port
donné) sur des machines distantes. Par exemple pour tenter de se
propager, ou pour envoyer des spams, certains essaient de se connecter
directement au port smtp (25/tcp) de serveurs de courriers). Si le
filtrage a lieu sur la machine infectée, le malware pourra plus
facilement le désactiver que s'il est externe et donc inaccessible.

C'est d'ailleurs pour cette raison que certains FAI ont pris des mesures
concernant justement ce port smtp. Orange le bloque totalement (sauf
vers leur serveur de mail "officiel"), Free idem, à la différence (si
c'est toujours valable en tout cas) qu'ils acceptent de le débrider à la
demande si l'utilisateur déclare en prendre la responsabilité (sous la
menace de se faire totalement bloquer son compte si sa machine est
détectée comme étant une source de virus ou de spams). Je ne sais pas si
c'est toujours "à jour", comme info.

Mais le port smtp est juste un exemple. C'est exactement la même chose
avec le port microsoft-ds dont je parlais dans un précédent message, et
plein d'autres encore.

Cordialement,

Bruno