Windows était en fait gratos...

Jerome Lambert wrote:

Euh, je rappelle quand même que Sasser (qui est un ver, soit dit en
passant), tout comme nombre de cochonneries du même acabit, s'appuie sur
des failles qui sont *déjà* corrigées lors de leur apparition, donc une
machine mise à jour en temps et en heure ne risque pas grand-chose.

encore faut-il savoir que la machine est vulnerable.

_sjmsb_, sasser utilise une faille de mssql, lequel est parfois installe
par une appli qui l'utilise, et sans dire qu'il est installé. tu te
retrouves donc avec un service troué sans savoir que ce service est là,
et sans avoir de mise à jour automatique de ce service tant que tu ne
fais pas de mise a jour de l'appication en question (ms-project ?)

souvenir un peu flou, mais en gros c'est ça. un historien dans la salle ?

Le 24/03/2010 9:56, debug this fifo a écrit :

Jerome Lambert wrote:

Euh, je rappelle quand même que Sasser (qui est un ver, soit dit en
passant), tout comme nombre de cochonneries du même acabit, s'appuie
sur des failles qui sont *déjà* corrigées lors de leur apparition,
donc une machine mise à jour en temps et en heure ne risque pas
grand-chose.

encore faut-il savoir que la machine est vulnerable.

_sjmsb_, sasser utilise une faille de mssql, lequel est parfois installe
par une appli qui l'utilise, et sans dire qu'il est installé. tu te
retrouves donc avec un service troué sans savoir que ce service est là,
et sans avoir de mise à jour automatique de ce service tant que tu ne
fais pas de mise a jour de l'appication en question (ms-project ?)

souvenir un peu flou, mais en gros c'est ça.

Non, ce n'est pas du tout ça. Sasser est un ver qui utilise un classique
buffer overflow dans lsass.exe (processus qui gère la partie "sécurité"
de l'ouverture/fermeture de session sous Windows).
Voir p.ex.
http://fr.wikipedia.org/wiki/Local_Security_Authority_Subsystem_Service
"Cet exécutable existait dès la première version de Windows NT en 1993.
Il a peu fait parler de lui, sauf en 2004 où il a été la cible du ver
sasser. Microsoft avait livré un correctif de sécurité le 13 avril 2004,
mais le ver est arrivé 17 jours plus tard et de nombreuses personnes
n'avaient pas encore installé le correctif."

De nouveau, une machine à jour ne craignait rien...

Le 24/03/2010 9:56, debug this fifo a écrit :

Jerome Lambert wrote:

Euh, je rappelle quand même que Sasser (qui est un ver, soit dit en
passant), tout comme nombre de cochonneries du même acabit, s'appuie
sur des failles qui sont *déjà* corrigées lors de leur apparition,
donc une machine mise à jour en temps et en heure ne risque pas
grand-chose.

encore faut-il savoir que la machine est vulnerable.

Et sous un autre OS comme Linux, comment fais-tu pour le savoir?

_sjmsb_, sasser utilise une faille de mssql, lequel est parfois installe
par une appli qui l'utilise, et sans dire qu'il est installé. tu te
retrouves donc avec un service troué sans savoir que ce service est là,
et sans avoir de mise à jour automatique de ce service tant que tu ne
fais pas de mise a jour de l'appication en question (ms-project ?)

souvenir un peu flou, mais en gros c'est ça.

Non, ce n'est pas du tout ça. Sasser est un ver qui utilise un classique
buffer overflow dans lsass.exe (processus qui gère la partie "sécurité"
de l'ouverture/fermeture de session sous Windows).
Voir p.ex.
http://fr.wikipedia.org/wiki/Local_Security_Authority_Subsystem_Service
"Cet exécutable existait dès la première version de Windows NT en 1993.
Il a peu fait parler de lui, sauf en 2004 où il a été la cible du ver
sasser. Microsoft avait livré un correctif de sécurité le 13 avril 2004,
mais le ver est arrivé 17 jours plus tard et de nombreuses personnes
n'avaient pas encore installé le correctif."

De nouveau, une machine à jour ne craignait rien...

Michel Talon, dans le message <hocj33$2tl5$1@asmodee.lpthe.jussieu.fr>,
a écrit :

Sur le fond, Stéphane a raison, Unix n'est en rien plus sûr que
n'importe quel autre système tel que Windows.

C'est vrai pour un système donné : un windows sécurisé par un utilisateur
débrouillard n'est pas significativement plus vulnérable qu'un Unix sécurisé
par un utilisateur débrouillard. Mais plusieurs points viennent relativiser
ce fait :

- Les mécanismes internes de windows sont largement plus complexes que les
mécanismes internes d'Unix, il y a des chemins d'augmentation de
privilèges et des canaux de communication nombreux. Ça rend plus élevé
l'effort nécessaire pour arriver au niveau de débrouillardise nécessaire
pour sécuriser la machine.

- Windows vient configuré par défaut pour que tout marche tout seul sans
qu'il y ait à se poser de questions. Quand il n'y a pas l'utilisateur
débrouillard pour sécuriser la machine, le « tout » qui marche tout seul
inclue les virus.

- Microsoft a fortement tardé à instaurer des mises à jour de sécurité
automatique. De plus, ils ont plusieurs fois poussé dans leur système de
mise à jour des nouvelles versions mal testées ou discutables qui ont
introduit des régressions rédhibitoires pour les utilisateurs (j'ai des
souvenirs de rumeurs alarmantes sur le service pack 2 de windows xp), de
sorte que de nombreux utilisateurs désactivent sciemment les mises à jour.

- Enfin, le mode de développement et de distribution de windows, dont la
méthode de diffusion la plus courante de loin est le système préinstallé
sur la base d'une version qui change tous les trois ans environ, fait
qu'aux drivers et aux gadgets près, quasiment tout le monde a la même
chose. Un virus qui peut se propager chez une personne peut se propager
chez tout le monde. À l'opposé, les distributions Linux sortent souvent
des nouvelles versions tous les six mois, et il y a plusieurs
distributions. Un virus qui arrive à se propager sur une Fedora de début
2009 sous Gnome doit encore faire ses preuves pour infecter une KUbuntu de
fin 2009.

Pour les pros, il y a toujours moyen de pénétrer.

Là, tu regardes vraiment trop de films d'espionnage. Si c'était le cas,
Amazon, Google, les banques, etc., se feraient pirater toutes les semaines.

Nicolas George a perdu son temps a nous dire:

- Les mécanismes internes de windows sont largement plus complexes que les
mécanismes internes d'Unix, il y a des chemins d'augmentation de
privilèges et des canaux de communication nombreux. Ça rend plus élevé
l'effort nécessaire pour arriver au niveau de débrouillardise nécessaire
pour sécuriser la machine.

Ca rend egalement plus eleve l'effort necessaire pour briser ces
mecanismes.

- Windows vient configuré par défaut pour que tout marche tout seul sans
qu'il y ait à se poser de questions. Quand il n'y a pas l'utilisateur
débrouillard pour sécuriser la machine, le « tout » qui marche tout seul
inclue les virus.

Un peu comme une Ubuntu en fait.

- Microsoft a fortement tardé à instaurer des mises à jour de sécurité
automatique. De plus, ils ont plusieurs fois poussé dans leur système de
mise à jour des nouvelles versions mal testées ou discutables qui ont
introduit des régressions rédhibitoires pour les utilisateurs (j'ai des
souvenirs de rumeurs alarmantes sur le service pack 2 de windows xp), de
sorte que de nombreux utilisateurs désactivent sciemment les mises à jour.

Un peu comme une Ubuntu ou une Mandriva en fait.


--
Le petit Jack voulait etre policier plus tard. Comme il n'y arriva pas,
il decida de changer son nom pour "kojak", en honneur au petit ventre
rebondissant des buveurs de biere et de la calvitie naissante qu'il
partageait avec l'inspecteur du meme nom !

ST , dans le message <9v8p77-upt2.ln1@gulliver.unices.org>, a écrit :

Ca rend egalement plus eleve l'effort necessaire pour briser ces
mecanismes.

Non, justement.

Un peu comme une Ubuntu en fait.

Pas vraiment.

Un peu comme une Ubuntu ou une Mandriva en fait.

Peut-être mandriva.

Le 24-03-2010, ? propos de
Re: Windows était en fait gratos...,
Nicolas George ?crivait dans fr.comp.os.linux.debats :

ST , dans le message <9v8p77-upt2.ln1@gulliver.unices.org>, a écrit :

Ca rend egalement plus eleve l'effort necessaire pour briser ces
mecanismes.

Non, justement.

Explique-lui, justement, parce qu'il n'a visiblement rien compris à
ce qu'une faille est généralement involontaire (je dis généralement,
parce que jusqu'à preuve du contraire, rien ne prouve que des
failles volontaires n'existent pas) et provient d'une erreur de
programmation tellement vite faite en C/C++. La gestion des buffers
est une _catastrophe_ dans tous les langages dérivés du C.

Un peu comme une Ubuntu en fait.

Pas vraiment.

Là encore, je pense qu'il ne comprendra pas si tu le lui fait pas
un dessin. Il suppose à peu de choses près que toutes les failles
sont dans le noyau et la libc, ce qui est carrément restrictif. Il y a
tellement de choses drôles à faire avec un setuid bit couplé à un
appel système ! Même avec gcc installé en root, un setuid à root et
un préprocesseur non conforme, on peut arriver à bien des choses !

Un peu comme une Ubuntu ou une Mandriva en fait.

Peut-être mandriva.

Et encore...

De toute façon, il y a un contre-exemple. L'immense majorité des
banques utilise des systèmes VMS avec une base de données qui
s'appelle RDB (origine DEC, rachetée par Oracle). Il n'y a pas
beaucoup de versions de VMS différentes, en tout cas, moins que de
versions de Windows ou de Linux. Je n'ai encore _jamais_ entendu
parler d'un virus ou d'attaque réussi (j'entends autre chose que
l'obtention d'un compte local, mais attaque avec élévation de
privilèges) sous un quelconque OpenVMS. Pourtant, il y a des gens
sur la brêche parce qu'il y a du pognon à se faire ! Et des
attaques se font tous les jours que dieu fait.

Tout ça pour dire que les vers/virus/whatever n'existent que sur des
systèmes qui ont au moins les caractéristiques suivantes :
- système percé comme la casserole des shadoks (une passoire à
_gros_ trous) ;
- système dont la configuration de base est a priori connue ;
- système qui peut servir à quelque chose, soit en récupérant les
données qu'il contient, soit en relayant des attaques.

Un système comme Linux n'entre (et encore) que dans la première des
catégories. Toutes les distributions ont d'autres versions des
principales bibliothèques. Les données de madame Michu font qu'il
n'entre pas dans la troisième catégorie pour un grand nombre de
machines installées sous Linux. Quand aux professionnels, ils ne
mettent pas directement (sauf à vraiment savoir ce qu'ils font) des
machines accessibles directement, donc c'est sans objet.

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

Nicolas George a perdu son temps a nous dire:

Ca rend egalement plus eleve l'effort necessaire pour briser ces
mecanismes.

Non, justement.

Un peu comme une Ubuntu en fait.

Pas vraiment.

Un peu comme une Ubuntu ou une Mandriva en fait.

Peut-être mandriva.

Quand vas-tu te decider a ecrire correctement sur Usenet ?


--
Le petit Jack voulait etre policier plus tard. Comme il n'y arriva pas,
il decida de changer son nom pour "kojak", en honneur au petit ventre
rebondissant des buveurs de biere et de la calvitie naissante qu'il
partageait avec l'inspecteur du meme nom !

ST , dans le message <9ucp77-7013.ln1@gulliver.unices.org>, a écrit :

Quand vas-tu te decider a ecrire correctement sur Usenet ?

J'écris correctement. Juste je ne détaille pas, parce qu'avec toi ça ne
servirait à rien.

JKB a perdu son temps a nous dire:

Explique-lui, justement, parce qu'il n'a visiblement rien compris à
ce qu'une faille est généralement involontaire (je dis généralement,
parce que jusqu'à preuve du contraire, rien ne prouve que des
failles volontaires n'existent pas) et provient d'une erreur de
programmation tellement vite faite en C/C++. La gestion des buffers
est une _catastrophe_ dans tous les langages dérivés du C.

Ah, le JKB s'en mele. Totalement hors sujet, bien sur, le JKB essaye
encore une fois de deriver la conversation vers une sujet que lui
connait afin de nous etaler sa confiture.

Là encore, je pense qu'il ne comprendra pas si tu le lui fait pas
un dessin. Il suppose à peu de choses près que toutes les failles
sont dans le noyau et la libc, ce qui est carrément restrictif. Il y a
tellement de choses drôles à faire avec un setuid bit couplé à un
appel système ! Même avec gcc installé en root, un setuid à root et
un préprocesseur non conforme, on peut arriver à bien des choses !

Puis, doue d'un talent de telepathie, il pretend savoir mieux que moi ce
que je pense et, encore une fois, derive le sujet vers son domaine de
competence afin de nous etaler sa confiture.

Le principe commence a etre connu et meme lassant.

Peut-être mandriva.

Et encore...

De toute façon, il y a un contre-exemple. L'immense majorité des
banques utilise des systèmes VMS avec une base de données qui
s'appelle RDB (origine DEC, rachetée par Oracle). Il n'y a pas

Je cherche encore le rapport avec la Mandriva. Mais qu'a cela ne tienne,
tu viens avec tes question et JKB vient avec ses reponses. Si elles ne
correspondent pas, ce n'est pas grave.

Quand aux professionnels, ils ne
mettent pas directement (sauf à vraiment savoir ce qu'ils font) des
machines accessibles directement, donc c'est sans objet.

Et ca sera bien la seule chose intelligente et en rapport avec le sujet
que le JKB nous a sorti ce soir. Et ou, d'ailleurs, nous sommes
absolument parfaitement d'accord. Le plus gros probleme est a 40cm de
l'ecran.

--
Le petit Jack voulait etre policier plus tard. Comme il n'y arriva pas,
il decida de changer son nom pour "kojak", en honneur au petit ventre
rebondissant des buveurs de biere et de la calvitie naissante qu'il
partageait avec l'inspecteur du meme nom !