Andr2 P0WR0ZN1K a écrit 55 commentaires

A noter que pour les pages qui affichent "...optimisé pour IE..." ça peut venir d'une obligation légale de décrire des services à vendre... En effet, si vous achetez un service sur Internet (email, site X, ...), qu'il n'est écrit nulle part qu'il ne fonctionne qu'avec IE et que vous n'avez que NS4... Vous pourriez vous plaindre (avec raison)!

Ca n'est donc pas toujours le fait "d'hommes préhistoriques"!

Sinon il y a cette histoire-ci aussi: deux russes s'amusaient à pirater des serveurs d'e-commerce us, pour en retirer des numéros de cartes visa. Comme le fbi ne pouvait pas aller les arrêter en russie, il a monté une fausse société de sécurité en informatique et il les a invité aux us, sois-disant pour les engager. Ils sont venus. Mais le simple fait qu'ils viennent ne suffisait: il fallait des preuves que c'étaient des pirates. On leur a demandé de faire une démonstration, et ils se sont connectés sur leur serveur, en russie, pour aller chercher les outils nécessaires. Le fbi a sniffé leur login et leur password, les a arrêté et a été fouiller sur leur serveur.

Ce qui est dommage dans cette (petite) histoire c'est que finalement un état a piraté un serveur d'un autre état (pas en sniffant le login et le mot de passe, mais en se connectant avec ce login et ce mot de passe).

C'est une histoire qui est passée dans le Monde aussi, entre autres.

Je suis programmeur web dans une grande société (+/- 20.000 employés). Je suis sur un framework en java pour des applications web (l'idée c'est de faire passer toutes les applications de ma société [gestion des services, du personnel, de ceci et de cela...] vers le web.

Et bien deux jour pour faire passer un site web d'Apache vers IIS ça ne me semble pas être un délai si long.

Dans une grande société, il y a des équipes pour développer, des équipes pour gérer les application servers, des équipes pour gérer les databases, des équipes pour tout, tout gérer. En plus il y a aussi des environnements (développement, intégration (=test développeurs), tests utilisateurs, production...) sur lesquels nous avons (en tant que développeurs) très peu la main (et c'est une bonne chose sinon ça serait un b***). Pour terminer, nous avons aussi des managers. Eux, ce sont des catastrophes ambulantes.

Par exemple, et j'imagine que c'est ce qui s'est passé sans doute dans ce cas-ci, on fait des grosses modifs à une application, ensuite on intègre les modifications de tout le monde, puis on fait tester par les clients (internes) et enfin on passe en production. Il n'est pas rare qu'on aie assez de temps pour développer, seulement une journée pour l'intégration et une autre de tests. Puis on passe en production.

Et bien dans ces cas-là... Je vous laisse imaginer la suite.

Et bien moi je ne suis pas tout à fait d'accord : si je ne trouve pas normal qu'un vendeur soit obligé de vendre toutes ses machines avec Windows, je comprends qu'il ne veuille pas vendre ses machines sans Windows.

Finalement, vous avez la liberté de choisir votre vendeur, et votre choisir a la liberté de choisir ce qu'il veut vous vendre. Tant qu'on y est, pourquoi ne pas aller voir votre vendeur préféré en lui demandant... un modèle d'ordinateur qu'il n'a jamais vendu (un mac pex), un kilo de tomates, et le dernier truc à la mode de thinkgeek?

Ca ne me fait pas rire cette GPL et cet open source qu'on bafoue sans cesse en ce prétendant des pionniers dans le domaine (Ret Hat, Sun)... Franchement, entre un OS utilisé par 95% des gens qui devient de + en + libre ;-) et un utilisé par 5 % des gens qui devient de - en - libre... On peut comprendre qu'un gros vendeur (Cpq, Dell)préfère fournir par défaut Windows que Linux.

Par contre que votre vendeur de quartier refuse de vous fournir un PC sans Linux... Je comprends que vous lui en vouliez, changez de vendeur et dites-lui! Ca lui fera sans doute plaisir. Maintenant, ne le forcez pas non plus à vous installer Linux ;-)

De même chez nous les templates de documents sont de fichiers Office...

D'accord, mais d'un autre côté NS n'implémente pas non plus la totalité des CSS. Néanmoins, merci beaucoup pour ces informations (je dois faire fonctionner un GUI IE 5.5 sous NS 4 à mon bureau et ce que tu me dis est intéressant).

Effectivement. Mais ce n'est pas si grave.

Bien sûr, une page parmi tant d'autres.

Reste que beaucoup de sites web ne sont pas visibles avec le Netscape le plus utilisé, c-à-d le 4.

Tandis qu'IE 5, IE 6 fonctionnent partout - sauf sur les pages spécialement faites pour ne pas fonctionner avec.

Je ne pense pas que le prix de la licence soit de 300 euros / pc pour quelques milliers de pc... Il est sans doute plus proche de 100.

D'autre part il y a des coûts supplémentaires pour gérer du support pour plusieurs types d'OS sur plusieurs types de machines.

Enfin, il y a la facilité d'utilisation de Windows. Pour surfer, IE est un must!

J'espère qu'il s'agit juste d'un manque d'information et que les bénéficiaires auront droit au choix (genre supplément à payer si vous voulez windows)

Ben tiens! Crains-tu que si on leur propose les deux au même prix, ils n'optent tous pour Windows? Moi qui suis Belge, qui connais Windows et Linux... Et bien, pour quelqu'un qui n'a pas de PC à la maison, je conseillerais quand même plus Windows que Linux! Même si, bien sûr, Linux est bien mieux techniquement!

takafairemieuxsitupeux!

----- Original Message -----
From: Microsoft Product Security
To: MICROSOFT_SECURITY@ANNOUNCE.MICROSOFT.COM
Sent: Thursday, March 22, 2001 4:42 PM
Subject: Microsoft Security Bulletin MS01-017

The following is a Security Bulletin from the Microsoft Product Security
Notification Service.

Please do not reply to this message, as it was sent from an unattended
mailbox.
********************************

-----BEGIN PGP SIGNED MESSAGE-----

- ----------------------------------------------------------------------
Title: Erroneous VeriSign-Issued Digital Certificates Pose
Spoofing Hazard
Date: 22 March 2001
Software: All Microsoft customers should read the bulletin.
Impact: Attacker could digitally sign code using the name
"Microsoft Corporation".
Bulletin: MS01-017

Microsoft encourages customers to review the Security Bulletin at:
http://www.microsoft.com/technet/security/bulletin/MS01-017.asp.(...)
- ----------------------------------------------------------------------

Issue:
======
VeriSign, Inc., recently advised Microsoft that on January 30 and 31,
2001, it issued two VeriSign Class 3 code-signing digital
certificates to an individual who fraudulently claimed to be a
Microsoft employee. The common name assigned to both certificates is
"Microsoft Corporation". The ability to sign executable content using
keys that purport to belong to Microsoft would clearly be
advantageous to an attacker who wished to convince users to allow the
content to run.
The certificates could be used to sign programs, ActiveX controls,
Office macros, and other executable content. Of these, signed ActiveX
controls and Office macros would pose the greatest risk, because the
attack scenarios involving them would be the most straightforward.
Both ActiveX controls and Word documents can be delivered via either
web pages or HTML mails. ActiveX controls can be automatically
invoked via script, and Word documents can be automatically opened
via script unless the user has applied the Office Document Open
Confirmation Tool.

However, even though the certificates say they are owned by
Microsoft, they are not bona fide Microsoft certificates, and content
signed by them would not be trusted by default. Trust is defined on a
certificate-by-certificate basis, rather than on the basis of the
common name. As a result, a warning dialogue would be displayed
before any of the signed content could be executed, even if the user
had previously agreed to trust other certificates with the common
name "Microsoft Corporation". The danger, of course, is that even a
security-conscious user might agree to let the content execute, and
might agree to always trust the bogus certificates.

VeriSign has revoked the certificates, and they are listed in
VeriSign's current Certificate Revocation List (CRL). However,
because VeriSign's code-signing certificates do not specify a CRL
Distribution Point (CDP), it is not possible for any browser's
CRL-checking mechanism to download the VeriSign CRL and use it.
Microsoft is developing an update that rectifies this problem. The
update package includes a CRL containing the two certificates, and an
installable revocation handler that consults the CRL on the local
machine, rather than attempting to use the CDP mechanism.

Versions of the update are being prepared for all Microsoft platforms
released since 1995. However, because of the large number of
platforms that must be tested, the patches are not available at this
writing. Until the update is available, we urge customers to take
some or all of the following steps to protect themselves should they
encounter hostile code signed by one of the certificates.
- Visually inspect the certificates cited in all warning
dialogues. The two certificates at issue here were issued
on 29 and 30 January 2001, respectively. No bona fide
Microsoft certificates were issued on these dates. The
FAQ and Knowledge Base article Q293817 provide complete
details regarding both certificates.
- Install the Outlook Email Security Update
(http://www.officeupdate.com/2000/downloadDetails/Out2ksec.htm(...))
to prevent mail-borne programs from being launched, even via
signed components, and install the Office Document Open
Confirmation Tool
(http://officeupdate.microsoft.com/downloadDetails/confirm.htm(...))
to force web pages to request permission before opening Office
documents.
- Consider temporarily removing the VeriSign Commercial Software
Publishers CA certificate from the Trusted Root Store. Knowledge
Base article Q293819 provides details on how to do this.

Mitigating Factors:
====================
- The certificates are not trusted by default. As a result,
neither code nor ActiveX controls could be made to run without
displaying a warning dialogue. By viewing the certificate in
such dialogues, users can easily recognize the certificates.
- The certificates are not the bona fide Microsoft code-signing
certificates. Content signed by those keys can be distinguished
from bona fide Microsoft content.

Patch Availability:
===================
- A software update is under development and will be released
shortly. When it is available, we will update this bulletin
to provide information on how to obtain and use it.


- ---------------------------------------------------------------------

THE INFORMATION PROVIDED IN THE MICROSOFT KNOWLEDGE BASE IS PROVIDED
"AS IS" WITHOUT WARRANTY OF ANY KIND. MICROSOFT DISCLAIMS ALL
WARRANTIES, EITHER EXPRESS OR IMPLIED, INCLUDING THE WARRANTIES OF
MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE. IN NO EVENT
SHALL MICROSOFT CORPORATION OR ITS SUPPLIERS BE LIABLE FOR ANY
DAMAGES WHATSOEVER INCLUDING DIRECT, INDIRECT, INCIDENTAL,
CONSEQUENTIAL, LOSS OF BUSINESS PROFITS OR SPECIAL DAMAGES, EVEN IF
MICROSOFT CORPORATION OR ITS SUPPLIERS HAVE BEEN ADVISED OF THE
POSSIBILITY OF SUCH DAMAGES. SOME STATES DO NOT ALLOW THE EXCLUSION
OR LIMITATION OF LIABILITY FOR CONSEQUENTIAL OR INCIDENTAL DAMAGES SO
THE FOREGOING LIMITATION MAY NOT APPLY.



-----BEGIN PGP SIGNATURE-----
Version: PGP Personal Privacy 6.5.3

iQEVAwUBOrodSI0ZSRQxA/UrAQF5ogf+PPlBgMNKx1hSjvUpKCOOGC3vnSGx5rfF
AbMlLePETm/tfrmyodtL6Gnsi/Upakt20np8Z7xvxDA9+HybF7oDOY4uSZhmyKu9
kkttEKWA4JmyQbNt4bZw0Rv9iXZttdcd+spmkDg5ntukhQmnEOj8gBnJfXrJEqg8
3pjnrSJlz1RZ20XLrLMhsQe55eolgrnb2szUFNxFV4tN61TvtIUlO0vcnRgc6ZFG
2tLo6IZqH+yESt10WhlwLVjmef1QrtkGox3S4JGWdahjbmKAgS+ITH86uGY8L40D
VBVS4tYX1h0N194n5AimxyV79A1VlqWzXOcbJ4oeZrKWB0gIt+7Cqw==
=QWGt
-----END PGP SIGNATURE-----
--

A propos des ActiveX, je me souviens du CCC qui avait accès grâce à eux aux comptes en banques de particuliers qui les géraient avec un certain logiciel.

D'autre part, j'ai entendu parler d'un vol de certificats (plus d'infos demains, quand je serai au travail) qui permet à des petits malins ce certifier leurs ActiveX.

J'etais bien a Grozny et Chatoi mais en tant que journaliste.

Ca m'étonnerait beaucoup (que tu sois allé à Grozny et que tu sois journaliste). A mon avis, tu n'est jamais allé à Grozny, parce qu'alors tu ne serais plus pour l'intervention russe en Tchétchénie sous sa forme actuelle; et tu n'es pas non plus journaliste car tu saurais écrire mieux que ça (ou alors, si: que de mensonges - que tu reconnais toi-même !).

Autrement je ne peux plus rien garantir...

Je fais confiance à Microsoft pour assurer la confidentialité de mes e-mails, mais je ne veux pas de tes garanties. Chuis pas con à ce point, quand même !

Bien à toi, en...é !

Azerty.

Et bien moi je dois dire que je te préférais avant que tu dises ça.

J'ai participé à toutes les guerres de la création, et vous étiez encore dans des testicules de diplodocus que j'avais déjà inventé les génocides et l'hiver nucléaire (on ne vous l'a jamais dit, mais les dinosaures n'ont pas disparu à cause d'une météorite).

J'étais aux côtés de Jules César lorsqu'il exterminait les gaulois, et je lui ai suggéré la phrase "de tous les peuples de la gaule, les ... sont les plus braves".

Plus près de nous j'étais là en 14 et en 40, ainsi que dans les guerres de Yougoslavie.

Pourrais-tu revenir svp mon cher disciple en Tchétchénie, j'ai quelque chose à te montrer. Tu n'en reviendras pas (au propre comme au figuré).

Sinon, reboise bien les forêts, j'ai un castor de 2 tonnes à nourrir et barbecue à allumer.

Satan!

P-S: plus sérieusement, on peut quand même se poser des questions à propos de la manière dont on est intervenu en Yougoslavie pour arrêter le génocide - on a sacrifié une population pour une autre, c'est mon avis.

Avec tout ce que apache sort, finalement, on a aussi une *exellente* base pour un système de content management !

Et oui !

Le métro, la poste et le train...

En Belgique, je pense que le métro s'en sort mieux que la poste qui elle même s'en sort mieux que le train.

Le métro: y en a pas assez, il sent pas bon...
La poste: elle te perd tes colis (surtout ceux que tu envoies à l'étranger), et elle te détruit ceux que tu reçois de l'étranger (quand ils les fouillent, pour les ouvrir, c'est à la tronçonneuse !).
Le train: en Belgique, on meurt, dans le train. Lent, en retard, en grêve, en panne, suroccupé même pour les longs voyages.

Voilà un petit topo, et encore, j'ai pas parlé de Belgacom (télécoms) !

Tout d'abord, je tiens à vous dire que j'ai breveté le mot Incroyable ! avec une majuscule et un point d'exclamation au milieu d'une phrase.

Ensuite, on devrait peut-être faire un brevet sur les brevets, si ce n'est déjà fait.

Enfin, quelle est la portée de tels brevets ? Quel juge va y accorder foi ?

Tu peux leur dire ce que tu veux.

Si eux veulent dessiner des petits smileys ou ce genre de chose assez simple, mieux vaut leur conseiller le paint de Windows (ou de s'essayer au LOGO :)).

Moi non plus je n'aime pas gimp - mais je ne suis pas dessinateur. Ce que je veux c'est faire des flous sur des images, enfin ce genre de conneries, et si je sais qu'il faut aller sur "effets->flou" avec PaintShop Pro, je vais pas me les casser à apprendre qu'il faut aller par là et par là avec un autre logiciel, même si c'est aussi simple.

Comme on le dit souvent ici, chacun choisit les solutions les mieux adaptées à ses besoins...

Voilà !

Je vois 2 solutions:

Des virus écrits en scripts (js,vb...) ou en un langage de programmation (C...). Ces derniers pourraient se propager par telnet en se recompilant d'une machine sur une autre, par exemple.

On s'était mal compris :) excuse-moi

T'as surement pas de carte TV toi - tu relie ton décodeur C+ à ton PC comme le câble TV à ta carte TV !

Encore une fois, tu peux relier ton décodeur C+ à ton PC.

T'es un enc..é, toi, si tu pense que les pédophiles, les trafiquants d'armes et de drogues sont des particuliers qui font des petits délits !

Tu peux relier ton décodeur C+ à ta miro PCTV, comme dit plus haut.