La France et l'Allemagne recommandent de laisser tomber IE

Message

jmpoure · #1 Message par **jmpoure** » 19 janv. 2010, 20:25

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques : Vulnérabilité dans Microsoft Internet Explorer

Pour information : toute version d'Internet Explorer permet l'exécution de code à distance.
Nous sommes nombreux ici à utiliser GNU/Linux ou Mac OS. Windows, c'est de la m.....

Installer Firefox : http://www.mozilla-europe.org/fr/firefox

Annonce globale 24 heures.

Jean-Michel Pouré

grolandais31 · #2 Message par **grolandais31** » 19 janv. 2010, 20:46

j'utilise mozzila pour ma part sauf pour streamer c dans l'air ou thalassa,pour ces émissions je n'arrive pas a avoir une lecture correcte avec mozzila malheureusement.
pour ce qui est de consulter la bulle pas de problème avec mozzila.

merci pour cette info en tous cas.

David75 · #3 Message par **David75** » 19 janv. 2010, 20:50

Il y a Opera, Chromium et d'autres... Firefox est pas si mal, s'il n'était pas si lourd et parfois lent, mais il est correct

Windows 7, c'est quand même pas si mal.

Par ailleurs Explorer 9 devrait remettre enfin microsoft dans la course.

Je pensais pas qu'un tel message pouvait être possible ici, vu la façon dont généralement ça évolue.

toto78 · #4 Message par **toto78** » 19 janv. 2010, 21:12

Je crois qu'il y en a qui s'informent sur ce sujet via internet

Chocapic · #5 Message par **Chocapic** » 19 janv. 2010, 21:32

jmpoure a écrit :Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques : Vulnérabilité dans Microsoft Internet Explorer

Pour information : toute version d'Internet Explorer permet l'exécution de code à distance.
Nous sommes nombreux ici à utiliser GNU/Linux ou Mac OS. Windows, c'est de la m.....

Installer Firefox : http://www.mozilla-europe.org/fr/firefox

Annonce globale 24 heures.

Jean-Michel Pouré

On se calme (et on boit frais à St Tropze), cela concerne essentiellement la version 6 d'IE, soit il s'agit de 2000, soit d'utilisateurs n'ayant pas mis à jours leur système sous XP.
http://www.pcinpact.com/actu/news/54990 ... plorer.htm

galipo · #6 Message par **galipo** » 19 janv. 2010, 21:35

Chocapic a écrit :A prendre avec du recul, cela concerne essentiellement la version 6 d'IE soit il s'agit de 98/2000 soit d'utilisateurs n'ayant pas mis à jours leur système.

Oui, enfin ça c'est la version microsoftienne.

Le CERT dit:

Systèmes affectés :

* Microsoft Internet Explorer 6 ;
* Microsoft Internet Explorer 7 ;
* Microsoft Internet Explorer 8.

Chocapic · #7 Message par **Chocapic** » 19 janv. 2010, 21:39

galipo a écrit :
Systèmes affectés :

* Microsoft Internet Explorer 6 ;
* Microsoft Internet Explorer 7 ;
* Microsoft Internet Explorer 8.

Source ?

Le CERT dit ca : http://www.kb.cert.org/vuls/id/492515

Doit on rappeler aux Linux Powayr Users (root sur leurs machines) la faille sur le SSL ?
Alors que le code était disponible pour tous ?

galipo · #8 Message par **galipo** » 19 janv. 2010, 21:45

Chocapic a écrit :Source ?

Le lien de jmpoure, ok c'est le CERTA.

Chocapic a écrit :Doit on rappeler aux Linux Powayr Users (root sur leurs machines) la faille sur le SSL ?

Mmm, c'est quoi le rapport? Tu bosses chez crosoft pour être vexé comme ça ?

defrance69 · #9 Message par **defrance69** » 19 janv. 2010, 21:47

Perso firefox j'accroche pas, faut voir le code de m#@de qu'il faut écrire juste pour lui en javascript...

A tout prendre je préfère un navigateur basé sur le moteur webkit comme chrome ou sagfari.

Mais bon on va pas se facher pour un navigateur, et sans le € bleu sur mon bureau ben j'aurai l'impression qu'il me manque quelquechose...

aquafiestas · #10 Message par **aquafiestas** » 19 janv. 2010, 21:48

grolandais31 a écrit :j'utilise mozzila pour ma part sauf pour streamer c dans l'air ou thalassa,pour ces émissions je n'arrive pas a avoir une lecture correcte avec mozzila malheureusement.
pour ce qui est de consulter la bulle pas de problème avec mozzila.
merci pour cette info en tous cas.

Essaye l'extension ietab

galipo · #11 Message par **galipo** » 19 janv. 2010, 21:53

Chocapic a écrit :Le CERT dit ca : http://www.kb.cert.org/vuls/id/492515

si tu suis le lien donné en référence dans ton document:
http://www.microsoft.com/technet/securi ... fault.mspx
-> http://www.microsoft.com/technet/securi ... 79352.mspx ->

Affected Software
Microsoft Windows 2000 Service Pack 4
Windows XP Service Pack 2 and Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 with SP2 for Itanium-based Systems
Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service pack 2
Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
Windows 7
Windows 7 for x64-based Systems
Windows Server 2008 R2 for x64-based Systems
Windows Server 2008 R2 for Itanium-based Systems
Internet Explorer 6 Service Pack 1 on Microsoft Windows 2000 Service Pack 4
Internet Explorer 6 for Windows XP Service Pack 2, Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 6 for Windows Server 2003 Service Pack 2, Windows Server 2003 with SP2 for Itanium-based Systems, and Windows Server 2003 x64 Edition Service Pack 2
Internet Explorer 7 for Windows XP Service Pack 2 and Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 7 for Windows Server 2003 Service Pack 2, Windows Server 2003 with SP2 for Itanium-based Systems, and Windows Server 2003 x64 Edition Service Pack 2
Internet Explorer 7 in Windows Vista, Windows Vista Service Pack 1, Windows Vista Service Pack 2, Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Internet Explorer 7 in Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Internet Explorer 7 in Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
Internet Explorer 7 in Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
Internet Explorer 8 for Windows XP Service Pack 2, Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 8 for Windows Server 2003 Service Pack 2, and Windows Server 2003 x64 Edition Service Pack 2
Internet Explorer 8 in Windows Vista, Windows Vista Service Pack 1, Windows Vista Service Pack 2, Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Internet Explorer 8 in Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Internet Explorer 8 in Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
Internet Explorer 8 in Windows 7 for 32-bit Systems
Internet Explorer 8 in Windows 7 for x64-based Systems
Internet Explorer 8 in Windows Server 2008 R2 for x64-based Systems
Internet Explorer 8 in Windows Server 2008 R2 for Itanium-based Systems

Non-Affected Software
Internet Explorer 5.01 Service Pack 4 for Microsoft Windows 2000
Service Pack 4

taratata · #12 Message par **taratata** » 19 janv. 2010, 21:59

un truc en français simple et lisible par tout le monde serait sympa.

galipo · #13 Message par **galipo** » 19 janv. 2010, 22:03

taratata a écrit :un truc en français simple et lisible par tout le monde serait sympa.

Le lien de jmpoure (au tout début, il faut cliquer!) est en français :

Une vulnérabilité due à une référence à un pointeur non valide permet à une personne malintentionnée d'exécuter du code arbitraire à distance. Des exploitations limitées de cette vulnérabilité ont déjà été constatées.

Dans l'attente d'un correctif de l'éditeur, Le CERTA recommande l'utilisation d'un navigateur alternatif. Le CERTA rappelle également qu'il est fortement conseillé de naviguer sur l'Internet avec un compte utilisateur aux droits limités et la désactivation de l'interprétation de code dynamique (JavaScript, ActiveX, ...). De plus, l'activation du DEP (Data Execution Prevention) peut limiter l'impact de cette vulnérabilité.

Chocapic · #14 Message par **Chocapic** » 19 janv. 2010, 22:29

galipo a écrit :
Mmm, c'est quoi le rapport? Tu bosses chez crosoft pour être vexé comme ça ?

Plutot énervé par ce qu'a écrits JMP

jmpoure a écrit : Nous sommes nombreux ici à utiliser GNU/Linux ou Mac OS. Windows, c'est de la m.....

Chocapic · #15 Message par **Chocapic** » 19 janv. 2010, 22:38

galipo a écrit :
Chocapic a écrit :Le CERT dit ca : http://www.kb.cert.org/vuls/id/492515
si tu suis le lien donné en référence dans ton document:
http://www.microsoft.com/technet/securi ... fault.mspx
-> http://www.microsoft.com/technet/securi ... 79352.mspx ->

Affected Software
Microsoft Windows 2000 Service Pack 4
Windows XP Service Pack 2 and Windows XP Service Pack 3
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 with SP2 for Itanium-based Systems
Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service pack 2
Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
Windows 7
Windows 7 for x64-based Systems
Windows Server 2008 R2 for x64-based Systems
Windows Server 2008 R2 for Itanium-based Systems
Internet Explorer 6 Service Pack 1 on Microsoft Windows 2000 Service Pack 4
Internet Explorer 6 for Windows XP Service Pack 2, Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 6 for Windows Server 2003 Service Pack 2, Windows Server 2003 with SP2 for Itanium-based Systems, and Windows Server 2003 x64 Edition Service Pack 2
Internet Explorer 7 for Windows XP Service Pack 2 and Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 7 for Windows Server 2003 Service Pack 2, Windows Server 2003 with SP2 for Itanium-based Systems, and Windows Server 2003 x64 Edition Service Pack 2
Internet Explorer 7 in Windows Vista, Windows Vista Service Pack 1, Windows Vista Service Pack 2, Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Internet Explorer 7 in Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Internet Explorer 7 in Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
Internet Explorer 7 in Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
Internet Explorer 8 for Windows XP Service Pack 2, Windows XP Service Pack 3, and Windows XP Professional x64 Edition Service Pack 2
Internet Explorer 8 for Windows Server 2003 Service Pack 2, and Windows Server 2003 x64 Edition Service Pack 2
Internet Explorer 8 in Windows Vista, Windows Vista Service Pack 1, Windows Vista Service Pack 2, Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
Internet Explorer 8 in Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
Internet Explorer 8 in Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
Internet Explorer 8 in Windows 7 for 32-bit Systems
Internet Explorer 8 in Windows 7 for x64-based Systems
Internet Explorer 8 in Windows Server 2008 R2 for x64-based Systems
Internet Explorer 8 in Windows Server 2008 R2 for Itanium-based Systems

Non-Affected Software
Internet Explorer 5.01 Service Pack 4 for Microsoft Windows 2000
Service Pack 4

Effectivement cela touche tous ces systèmes, mais le DEP qui est activé par défaut (ou le mode protégé), empêche l'exécution de code dans Windows XP Service Pack 3, Windows Vista Service Pack 1, Windows Vista Service Pack 2, and Windows 7.

Le CERTA ferait bien de lire en entier le bulletin de Microsoft au lieu de ne garder que ce qui les intéresse, c'est à dire Microsoft cay le mal.
Paragraphe 6 du lien du Certa tu trouves un lien vers la page Microsoft Security Advisory, qui semble être la source du CERTA :
http://www.microsoft.com/technet/securi ... 79352.mspx

Dans ce texte on y trouve :

• Data Execution Protection (DEP) is enabled by default in Internet Explorer 8 on the following Windows operating systems: Windows XP Service Pack 3, Windows Vista Service Pack 1, Windows Vista Service Pack 2, and Windows 7.
• Protected Mode in Internet Explorer on Windows Vista and later Windows operating systems limits the impact of the vulnerability.

Quoi qu'il en soit, il y a une faille et elle doit être corrigée ASAP et de nombreux utilisateurs (dont je fais partis) n'ont pas attendus le CERTA pour utiliser Firefox.

hadopi-non-merci

Z'avez qu'à avoir un IMac comme tout le monde...

gerard groussard

ok merci

Skyle · #18 Message par **Skyle** » 19 janv. 2010, 23:37

N'empêche que pour un gars qui achète un nouveau PC sans rien avoir à côté (Live CD, clef bootable) Internet Explorer est obligatoire et utile...
...pour télécharger firefox ou opéra ou safari ou...

immodiscount · #19 Message par **immodiscount** » 20 janv. 2010, 00:05

Z'avez qu'à avoir un IMac comme tout le monde...

+1

et sans aucune application PC (virtual PC)
epicétou

pour une fois que l'on va pas se faire chambrer parce que l'on ne peut pas ouvrir un fichiers pps!

#20 Message par **slash33** » 20 janv. 2010, 00:10

Le problème provient bêtement du chargement d'ActiveX avec les privilèges système non? Sacrée plaie pour la sécurité les ActiveX.

RFK1 · #21 Message par **RFK1** » 20 janv. 2010, 00:25

Vive ubuntu !

#22 Message par **slash33** » 20 janv. 2010, 00:30

La sécurité d'un système d'exploitation est inversement proportionnelle à son taux d'utilisation par le public. Depuis que Linux se démocratise à gauche et à droite, le nombre d'attaques le visant à augmenté en conséquence. Cependant il faut admettre que nombre de distributions s'appuient sur des standards de sécurité plus fiables que ceux de Windows. Pour tout dire certains de ces standards ont été définis dans les années 60 c'est dire comment c'est moderne (c'est vrai pour tous les systèmes d'exploitation cités hein). L''écart tend néanmoins à se réduire à mesure que la sécurité devient un enjeu commercial (y a pas de mystère)

Quizz: quel est le système d'exploitation Windows le plus fiable à ce jour, si on se réfère au nombre d'attaques?

Stivostine69 · #23 Message par **Stivostine69** » 20 janv. 2010, 00:44

Tu vas avoir des problèmes avec bill toi, tu vas avoir des problèmes.

Dit, on te voit plus aux soirées ?

gerard groussard

Stivostine69 a écrit :Tu vas avoir des problèmes avec bill toi, tu vas avoir des problèmes.

Dit, on te voit plus aux soirées ?

Tu plaisantes ? j'étais au bar des belges et j'ai été le premier à dénoncer le m3 de magnas.
Et demain c'est mercredi, je ferais de la luge à Copenhague.

Skyle · #25 Message par **Skyle** » 20 janv. 2010, 01:24

slash33 a écrit :Quizz: quel est le système d'exploitation Windows le plus fiable à ce jour, si on se réfère au nombre d'attaques?

Windows Millenium ? (le peu d'utilisateurs joue en sa faveur)

#26 Message par **slash33** » 20 janv. 2010, 01:39

C'est Windows 95. Ca calme hein?

#27 Message par **slash33** » 20 janv. 2010, 01:45

Pour étayer mes propos:
http://www.viruslist.com/fr/analysis?pubid=200676190#9

Malgré la popularité croissante de Linux et de MacOS, le nombre de programmes malveillants pour ces systèmes n'augmente pratiquement pas. Ceci s'explique principalement par le fait que la majorité des auteurs de virus se trouve actuellement en Chine, un pays où ces systèmes d'exploitation ne jouissent pas de la même popularité qu'en Europe ou qu'aux Etats-Unis

Question de vogue quoi.

Bon enfin, mieux vaut les sources plus fiables. En matière de sécurité sur le territoire français, l'organisme qui fait foi est la DCSSI (renommée récemment ANSSI):
http://www.ssi.gouv.fr/

Le lien que fournit JMP émane de cette entité. Reste que si les entreprises, à commencer par l'Administration (et c'est de loin le plus drôle dans un sens), respectaient scrupuleusement les recommandations de la DCSSI, ça se saurait! La preuve en image

Je suis presque sûr qu'il y avait une comparaison "objective" du niveau de sécurité des OS sur le site... mais je ne la retrouve pas. Sinon, il existe un site dédié à la publication des failles et à la quantification des attaques de part le monde. C'est une référence pour tout responsable de la sécurité informatique sauf que là encore je ne retrouve pas la référence (j'essaierai de la mettre si je remet la main dessus)

#28 Message par **slash33** » 20 janv. 2010, 02:05

Je viens de lire la cause de la vulnérabilité. Que dire à part sinon que c'est d'un commun dans le milieu du développement informatique...

Une vulnérabilité due à une référence à un pointeur non valide permet à une personne malintentionnée d'exécuter du code arbitraire à distance. Des exploitations limitées de cette vulnérabilité ont déjà été constatées.

Y a au moins un développeur qui est passé à la casserole sur ce coup là. La question est: de quelle nationalité est il? Est-ce que son chef a suivi dans la foulée?

Donc en toute honnêteté, y a pas de raison que les autres navigateurs soient exempts de ce types d'erreur de codage. Gardez ça à l'esprit.

Skyle · #29 Message par **Skyle** » 20 janv. 2010, 02:07

Je reprends le lien de slash33 :

Malgré la popularité croissante de Linux et de MacOS, le nombre de programmes malveillants pour ces systèmes n'augmente pratiquement pas. Ceci s'explique principalement par le fait que la majorité des auteurs de virus se trouve actuellement en Chine, un pays où ces systèmes d'exploitation ne jouissent pas de la même popularité qu'en Europe ou qu'aux Etats-Unis. Qui plus est, les jeux en ligne qui sont devenus la principale cible des cybercriminels sont très peu représentés sur les plateformes autres que Windows. Toutefois, nous nous attendons à l'avenir au développement de l'intérêt des éditeurs de jeux pour ces plateformes, principalement pour les plateformes mobiles. Ceci va se traduire par l'apparition de clients de jeu pour ces systèmes et, par conséquent, l'apparition de programmes malveillants.

Si j'exagère à mort, linux ça n'intéresse pas trop les chinois car il y a très peu (voire pas du tout) de fric à se faire par rapport à windows. Et puis un OS open source quasi gratuit j'ai déjà du mal à comprendre comment cela peut encore exister dans ce monde purement matérialiste, alors pour la majorité des chinois...

#30 Message par **slash33** » 20 janv. 2010, 02:13

Je te rappelle que les Chinois sont entrain de développer leur propre OS... qu'ils n'hésiteront pas bien sûr à mettre sur le marché par la suite sauf s'il souhaite se prémunir au maximum contre le type de vulnérabilité dont il est question dans cette file. La première des protections est bien que les autres ne sachent rien du fonctionnement de votre système et donc des failles potentielles. C'est sensiblement le contraire de la philosophie des plate-formes ouvertes type unix... et paradoxalement le fait que l'implémentation de Windows reste secrète, favorise sa sécurité globale. J'imagine pas ce que ça donnerait si le code de Windows était publié... Néanmoins masquer l'implémentation empêche une recherche poussée des failles, et donc de leur correction par une communauté d'utilisateurs initiés. Chaque méthode a donc ses avantages et ses inconvénients, même en matière de sécurité. Même les algorithmes de cryptologie repose sur la quasi certitude que l'algorithme mathématique utilisé ne pourra être brisé. Le jour où un génie des maths sera capable de retourner l'algorithme (c'est loin d'être une chose aisée puisque personne n'a officiellement réussi l'exploit à ce jour, ou alors il se cache ou l'aide à se cacher.. bref) ben toute l'infrastructure de sécurité tombera. C'est aussi simple que ça. Mais normalement c'est pas demain la veille que le problème mathématique associé sera résolu. Quand on utilise un système d'information à l'heure actuelle il faut être conscient de ça et accepter implicitement une part de risque.

Pour ma part, il me semble que l'article de presse se trompe et que les principaux foyers de malveillants se trouvent aux Philippines et en Russie (ça dépend du top 10 du moment) mais je peux me tromper.

kesako · #31 Message par **kesako** » 20 janv. 2010, 10:06

slash33 a écrit :Pour ma part, il me semble que l'article de presse se trompe et que les principaux foyers de malveillants se trouvent aux Philippines et en Russie (ça dépend du top 10 du moment) mais je peux me tromper.

oui , il se trompe doublement :
1) c'est dans l'ordre russie , pays de l'est , Phillippines, Chine

2) l'argument comme quoi tel système est peu attaqué parce que peu utilisé est un poncif repeté 1M de fois par les ignorants qui ne connaissent rien à la sécurité. On finit par croire que c'est vrai.

taratata · #32 Message par **taratata** » 20 janv. 2010, 10:16

kesako a écrit : un poncif repeté 1M de fois par les ignorants qui ne connaissent rien à la sécurité. On finit par croire que c'est vrai.

OK, c'est quelque chose d'assez courant , d'ailleurs Goebbels disait déjà que la répétition était un élément fondamental de la propagande. Pourrais tu nous éclairer un peu en expliquant, si c'est possible aux non initiés dans mon genre pourquoi Ubuntu est plus sur que Windows.
D'avance merci

kesako · #33 Message par **kesako** » 20 janv. 2010, 10:36

taratata a écrit :OK, c'est quelque chose d'assez courant , d'ailleurs Goebbels disait déjà que la répétition était un élément fondamental de la propagande. Pourrais tu nous éclairer un peu en expliquant, si c'est possible aux non initiés dans mon genre pourquoi Ubuntu est plus sur que Windows.
D'avance merci

rapidement, les principales:
1) parce que la separation entre les comptes user (avec peu de droits) et admin (avec tout les droits) est nette et bien cloisonnée dans le monde unix . Alors que sur windows, pour des raisons pratiques tout le monde est admin. Il suffit donc de voler l'indentitée d"un user pour faire tout ce qu'on veut sur la machine.

2) pour des raisons historiques, il n'y a pas de separation nette entre les couches logicielles . Il y en avait dans NT3,51 mais elles ont ete suprimées avec NT4 et la suite, pour des raisons de performance. La partie video par ex tape directement dans les couches les plus bases du noyau. Une appli mal codée peut mettre en danger tout le systeme.

3) La politique de plus en plus "proprietaire" de MS : pour avoir les updates de securité, il faut s'enregistrer (ou attendre les service pack) . Ca peut paraitre normal, mais dans la pratique cela fait qu'une énorme part des machines Windows ne sont tout simplement pas patchés donc ouvertes à tous les virus. Alors que sous unix, les corrections sont toujours gratuites sans restriction.

Robert · #34 Message par **Robert** » 20 janv. 2010, 10:39

slash33 a écrit :La première des protections est bien que les autres ne sachent rien du fonctionnement de votre système et donc des failles potentielles.

Au contraire. Les failles sont inévitables dans tous les cas. Ce qui importe, c'est la réactivité pour les corriger. Un code opensource, c'est l'assurance que les failles soient corrigées très rapidement.
Il suffit de regarder le temps de correction moyen d'une faille entre Windows / Linux, Apache / IIS, etc.

defrance69 · #35 Message par **defrance69** » 20 janv. 2010, 11:15

Robert a écrit :
slash33 a écrit :La première des protections est bien que les autres ne sachent rien du fonctionnement de votre système et donc des failles potentielles.
Au contraire. Les failles sont inévitables dans tous les cas. Ce qui importe, c'est la réactivité pour les corriger. Un code opensource, c'est l'assurance que les failles soient corrigées très rapidement.
Il suffit de regarder le temps de correction moyen d'une faille entre Windows / Linux, Apache / IIS, etc.

je suis assez de l'avis de slash33, le nombre de hacker qui recherche des failles sur windows 2003 par exemple est important car le retour sur investissement est important (en cas de découverte de très nombreuses machines infecté).
pensez-vous qu'un hacker perdrait son temps à chercher des failles sur un macosX server???
pour avoir développé dans les deux mondes (libre et privé), cela n'est pas un gage de qualité (d'ailleur avec Jean-Michel on peste sur PhpBB qui a été écrit avec des gants de boxe alors que c'est libre et tout et tout).
Ce qui change c'est que dans le cas d'une découverte d'une anomalie, tu as le droit et la possibilité (si tu en as les compétences), "d'ouvrir le capot" de ton programme open-source, de faire la réparation correction et d'en faire profiter la communauté ensuite.

On peut faire un paralelle à ce sujet avec les voitures moderne que l'on ne peut réparer sans la fameuse "valise" de controle, alors que sur une cox, on cale les soupages à la mimine...

#36 Message par **mat49** » 20 janv. 2010, 11:22

Mon épouse a choppé un rootkit RKIT/Kryptic.76904

Merci le site vérolé qui lui a filé. (iframe invisible

je sais qui était vérolé)
Donc => FF + Noscript.
J'ai étripé le bouzin en livecd linux

kesako · #37 Message par **kesako** » 20 janv. 2010, 11:26

defrance69 a écrit :Ce qui change c'est que dans le cas d'une découverte d'une anomalie, tu as le droit et la possibilité (si tu en as les compétences), "d'ouvrir le capot" de ton programme open-source, de faire la réparation correction et d'en faire profiter la communauté ensuite.

c'est justement cela qui contrebalance les efforts des hackers : plus il y a d'utilisateurs plus il y a des gens honnêtes et compétents prets a apporter de l'aide .
Tandis que dans le monde fermé de windows, MS est toujours tout seul a chercher, corriger , propager ces corrections .

defrance69 a écrit :On peut faire un paralelle à ce sujet avec les voitures moderne que l'on ne peut réparer sans la fameuse "valise" de controle, alors que sur une cox, on cale les soupages à la mimine...

Non mauvaise parallèle car sous-entend que le libre c'est "rustique", ce qui n'est pas le cas.
Je dirais plutot :
le monde libre génère de lui-meme ses propres anticorps
alors que le monde fermé du propriétaire a toujours besoin de la medecine pour le moindre bobo, dans une course sans fin.

#38 Message par **mat49** » 20 janv. 2010, 11:30

slash33 a écrit :Je te rappelle que les Chinois sont entrain de développer leur propre OS... qu'ils n'hésiteront pas bien sûr à mettre sur le marché par la suite sauf s'il souhaite se prémunir au maximum contre le type de vulnérabilité dont il est question dans cette file. La première des protections est bien que les autres ne sachent rien du fonctionnement de votre système et donc des failles potentielles. C'est sensiblement le contraire de la philosophie des plate-formes ouvertes type unix... et paradoxalement le fait que l'implémentation de Windows reste secrète, favorise sa sécurité globale. J'imagine pas ce que ça donnerait si le code de Windows était publié... Néanmoins masquer l'implémentation empêche une recherche poussée des failles, et donc de leur correction par une communauté d'utilisateurs initiés. Chaque méthode a donc ses avantages et ses inconvénients, même en matière de sécurité. Même les algorithmes de cryptologie repose sur la quasi certitude que l'algorithme mathématique utilisé ne pourra être brisé. Le jour où un génie des maths sera capable de retourner l'algorithme (c'est loin d'être une chose aisée puisque personne n'a officiellement réussi l'exploit à ce jour, ou alors il se cache ou l'aide à se cacher.. bref) ben toute l'infrastructure de sécurité tombera. C'est aussi simple que ça. Mais normalement c'est pas demain la veille que le problème mathématique associé sera résolu. Quand on utilise un système d'information à l'heure actuelle il faut être conscient de ça et accepter implicitement une part de risque.

Pour ma part, il me semble que l'article de presse se trompe et que les principaux foyers de malveillants se trouvent aux Philippines et en Russie (ça dépend du top 10 du moment) mais je peux me tromper.

bah, c'est du freeb(ercley)s(oftware)d(istribution)

Chocapic · #39 Message par **Chocapic** » 20 janv. 2010, 11:48

kesako a écrit :
defrance69 a écrit :Ce qui change c'est que dans le cas d'une découverte d'une anomalie, tu as le droit et la possibilité (si tu en as les compétences), "d'ouvrir le capot" de ton programme open-source, de faire la réparation correction et d'en faire profiter la communauté ensuite.
c'est justement cela qui contrebalance les efforts des hackers : plus il y a d'utilisateurs plus il y a des gens honnêtes et compétents prets a apporter de l'aide .
Tandis que dans le monde fermé de windows, MS est toujours tout seul a chercher, corriger , propager ces corrections .
defrance69 a écrit :On peut faire un paralelle à ce sujet avec les voitures moderne que l'on ne peut réparer sans la fameuse "valise" de controle, alors que sur une cox, on cale les soupages à la mimine...
Non mauvaise parallèle car sous-entend que le libre c'est "rustique", ce qui n'est pas le cas.
Je dirais plutot :
le monde libre génère de lui-meme ses propres anticorps
alors que le monde fermé du propriétaire a toujours besoin de la medecine pour le moindre bobo, dans une course sans fin.

Ce qui n'empêche pas le Libre de se prendre de temps en temps en piqure de rappel qui ne lui fait pas de mal

(cf la faille SSL http://lists.debian.org/debian-security ... 00152.html)

Pour info cette faille a été introduite par inadvertance en 2006 par un contributeur, qui a mis en commentaire une ligne critique (génération pseudo-aléatoire) qui renvoyait des messages d'erreurs en mode débug. Contribuer c'est bien, mais ne pas vérifier la contribution, c'est mal !
A noter que cette faille critique au possible, n'a été découverte qu'en 2008.

immopaul · #40 Message par **immopaul** » 20 janv. 2010, 12:51

Les legendes ont la vie dure concernant la soit-disant meilleure sécurité de Firefox.

Voyons des études récentes :

Souvent comparé à Internet Explorer, Firefox serait en fait le plus vulnérable des navigateurs internet.
C'est ce que révèle l'analyse de la sécurité sur internet au premier semestre 2009 du cabinet Cenzic, qui a identifié 3 100 vulnérabilités dans les principaux navigateurs, dont 44% affectant le navigateur de Mozilla, contre 15% seulement pour celui de Microsoft.

Cabinet Cenzic, 13/11/2009
http://www.clubic.com/actualite-310654- ... refox.html

#41 Message par **mat49** » 20 janv. 2010, 12:55

Bah, ça vient d'un marchand de solution de sécurité

defrance69 · #42 Message par **defrance69** » 20 janv. 2010, 12:56

Je me demande finalement, c'est ce que nous aurions pensé si le sujet avait été :

La France et l'Allemagne recommandent de laisser tomber Firefox ...

De toute façon cela ne saurait tarder, par exemple si on découvre un plug-in pour FF qui permet de contourner Hadopi...

enfin je dis cela, je dis rien, bon appétit

galipo · #43 Message par **galipo** » 20 janv. 2010, 13:10

immopaul a écrit :Les legendes ont la vie dure concernant la soit-disant meilleure sécurité de Firefox.

Voyons des études récentes :

Souvent comparé à Internet Explorer, Firefox serait en fait le plus vulnérable des navigateurs internet.
C'est ce que révèle l'analyse de la sécurité sur internet au premier semestre 2009 du cabinet Cenzic, qui a identifié 3 100 vulnérabilités dans les principaux navigateurs, dont 44% affectant le navigateur de Mozilla, contre 15% seulement pour celui de Microsoft.

Cabinet Cenzic, 13/11/2009
http://www.clubic.com/actualite-310654- ... refox.html

Ce sont des études inspirées/commandées/sponsorisées par crosoft.

Ils se bornent à comptabiliser le nombre de problèmes de sécurités, sans prendre en compte :
- la gravité du problème
- la durée de résolution

De plus, ce genre d'étude avantage évidement les éditeurs qui tels crosoft ne publient pas les failles qui leurs ont été signalées sans full-disclosure.

Voici la politique de Crosoft en matière de sécurité: http://blog.washingtonpost.com/security ... for_2.html

Internet Explorer Unsafe for 284 Days in 2006

Security Fix spent the past several weeks compiling statistics on how long it took some of the major software vendors to issue patches for security flaws in their products. Since Windows is the most-used operating system in the world, it makes sense to lead off with data on Microsoft's security updates in 2006.

David75 · #44 Message par **David75** » 20 janv. 2010, 13:31

Je vais reformuler mon message plus haut:

Mais pourquoi initier un message sur un sujet connu pour déchainer les pires trollages?

Enfin, chacun fait comme il veut.

L'idéal, c'est de savoir maîtriser les réinstallations de système, de pouvoir faire de la virtualisation pour tester tous les softs "gratuits" ou autres avant
install sur son système etc...

Si on a aucune connaissance technique?
Ben on tente sa chance.

DrHouse · #45 Message par **DrHouse** » 20 janv. 2010, 14:12

David75 a écrit :Je vais reformuler mon message plus haut:
Mais pourquoi initier un message sur un sujet connu pour déchainer les pires trollages?

C'est la stratégie de la diversion bien connue. Elément primordial du contrôle social, la stratégie de la diversion consiste à détourner l'attention du public des problèmes importants et des mutations décidées par les élites politiques et économiques, grâce à un déluge continuel de distractions et d'informations insignifiantes.La stratégie de la diversion est également indispensable pour empêcher le public de s'intéresser aux choses essentielles.

forp007 · #46 Message par **forp007** » 20 janv. 2010, 14:34

Ou alors comment propager une information partiellement diffusée (en toute bonne foi) sans avoir pris soin d'en vérifier toute la pertinence.
Comme peut-être certains journalistes à propos des chiffres de l'immobilier diffusés à leurs intentions par des protagonistes ayant partie prenante dans le système.
En fait, toute information doit être vérifiée et revérifiée avant d'être divulguée

forp007 · #47 Message par **forp007** » 20 janv. 2010, 14:44

cocole a écrit :Vérifier quoi ? Que windows c'est de la m... ?

Je ne parlais que de la faille de sécurité sur IE qui n'était que partiellement dévoilé dans le post initial.

Maintenant dire que windows c'est de la m... pour te citer, c'est un peu vite dit, je pense.
Certains défendront les mac mais il y a des inconvénients sur les macs.
D'autres défendront les systèmes libres linux par exemple, mais là aussi il y a des inconvénients.
En fait le choix d'un OS dépend des avantages et des inconvénients que l'on tire de son OS et en fait de tout système en général. Comme tout choix dans la vie, on doit supposer les avantages et les inconvénients comme l'achat immobilier.

Il est clair qu'avoir un OS windows pour ne faire que de la bureautique standard et un peu d'internet, le choix du libre s'impose.
On veut faire de la musique, traitement d'image ou typographie, c'est le mac.
Mais pour des utilisations professionnelles industrielles, windows s'impose pour l'instant.

Pour jouer, windows s'impose aussi.
En fait l'utilité de ton ordinateur va conditionner l'OS à implanter.

galipo · #48 Message par **galipo** » 20 janv. 2010, 14:49

forp007 a écrit :Mais pour des utilisations professionnelles industrielles, windows s'impose pour l'instant.

haha. tu as des exemples ?

forp007 · #49 Message par **forp007** » 20 janv. 2010, 14:54

galipo a écrit :
forp007 a écrit :Mais pour des utilisations professionnelles industrielles, windows s'impose pour l'instant.
haha. tu as des exemples ?

Fais tourner MPLAB IDE de chez microchip par exemple.
Tout système de développement de cartes tourne majoritaire sur windows.

Essaye de me trouver chez lattice un produit de développement autre que sur windows.
Attention là je ne parle plus de jouer sur ordinateur, faire de l'internet ou un peu de bureautique.
Je parle d'application industrielle pour développer des systèmes d'ordinateurs intégré à ta cuisinière, à ta télé etc.

Je n'ai cité que 2 fabricants industrielles mais je peux t'en donner une liste énorme. C'est super difficile de trouver des outils de développements sur linux quand cela existe (car cela existe mais cela est pour l'instant très très rare).

ET46 · #50 Message par **ET46** » 20 janv. 2010, 14:58

Chez nous, en milieu professionnel, nous n'utilisons que Linux, que ce soit en machine de travail qu'en cluster de calcul... Et avec des applis propriétaires qui coutent tellement cher qu'il faut "8 pièces d'identité pour que le vendeur il accepte ton chèque".
C'était bien tenté