Journal le FBI décore des salariés de Microsoft pour services rendus

Posté par  .
Étiquettes : aucune
0
26
sept.
2006
J'apprends ce soir que des salariés de Microsoft viennent d'être décorés par le FBI pour "services extraordinaires rendus à la nation" pour leur aide dans l'arrestation en Europe des auteurs d'un ver !!!

Ca tombe bien, un de mes collègues donnait cet après midi une conf sur la différence entre le Libre et le propriétaire dans le domaine de la sécurité ...

Et peut être le plus énorme c'est que tous les sites qui relayent l'information trouvent cela bien ... Pas envie de poster des liens.

Quel dégout.

  • # Quel dégout ?

    Posté par  (site web personnel) . Évalué à 10.

    Je n'ai pas bien compris ce qui te dégoute. Tu aimes les vers ?

    • [^] # Re: Quel dégout ?

      Posté par  . Évalué à 8.

      Bah c'est surtout que je trouve ça un peu normal que les employés de Microsoft bossent pour résoudrent les problèmes issus de l'absence totale d'une sécurité décente sur leur produit phare, Windows.
      Bref, ça n'a rien d'héroïque...

      • [^] # Re: Quel dégout ?

        Posté par  . Évalué à -3.

        Fais seulement, explique en quoi Windows a une absence totale de securite, voire une securite clairement plus faible que des Unix, je vais bien rigoler.

        • [^] # Commentaire supprimé

          Posté par  . Évalué à 4.

          Ce commentaire a été supprimé par l’équipe de modération.

          • [^] # Re: Quel dégout ?

            Posté par  . Évalué à -2.

            Tu as appris a lire ?
            J'ai demande les elements montrant que Windows est technologiquement inferieur niveau securite.

            J'ai pas demande qui avait engendre les couts les plus eleves vu que quand tu es un nain de jardin niveau parts de marche tu risques evidemment pas d'avoir 5 millions de machines infectees. Ca un peu de bon sens t'aurais permis de le comprendre mais tu as montre a maintes reprises que c'etait hors de ta portee.

            • [^] # Re: Quel dégout ?

              Posté par  . Évalué à 10.

              Disons que le fait d'avoir un certain nombre de ports ouverts par défaut sous Windows (au hasard, le 135/tcp) - dont le rôle n'est pas forcément clair pour le quidam moyen - offre fatalement plus de possibilités qu'une machine où quasiment aucun service n'est dispo par défaut. Certes en ce qui concerne blaster, sasser and co, les correctifs étaient dispo avant me semble-t'il, encore faut-il faire les updates (responsabilité de l'utilisateur, on est bien d'accord).

              Sinon pour m'être fait "rootkiter" une machine Windows, j'ai l'impression que tout ce qui est "hooking" des APIs permet de dissimuler plus facilement les activités suspectes. Le rootkit planquait des ports TCP, des fichiers (*), des processes, des clés de registre bref la totale. Ce n'est peut-être qu'une impression, mais sous un Unix j'ai le sentiment que faire un truc de ce style portable et qui marche à tout les coups c'est un peu plus le bordel.

              (*) Le nommage des fichiers système Windows est quand même à revoir, tu avoueras qu'il n'est pas facile comme ça de deviner à quoi sert tel ou tel fichier (genre "lsass.sys", c'est quand même pas très parlant). Si au pire j'ai un doute, sur une Debian "dpkg -S <...>" ou sur une Redhat un coup de "rpm -qf <...>" renseignent bien sur le package qui est "propriétaire" du fichier.

              De manière générale et IMHO, le shell pourri, le manque d'outils par défaut comme lsof, /proc, le foutoir des répertoires systèmes, les ports "bizarres" ouverts par défaut, la base de registres... font que le système apparait comme une grosse boite noire, et qu'il faut certainement bcp plus de temps pour le maitriser à fond qu'un Unix. Et un système qu'on ne maitrise pas sur le bout de doigts, c'est potentiellement plus vulnérable.

              • [^] # Re: Quel dégout ?

                Posté par  . Évalué à 3.

                pour les services par defaut, tu peux etre sur de les voir s'ouvrir en grand en meme temps que linux accedera au grand grand public. ;-)

                Et un système qu'on ne maitrise pas sur le bout de doigts, c'est potentiellement plus vulnérable.
                Ca depend dans quel contexte, mais dans un contexte "familial", tu peux etre sur que meme le systeme le plus simple du monde ne sera jamais maitrisé ;-)

                +1 pour lsof, ca me pourrit la vie au boulot ce truc... :(

              • [^] # Re: Quel dégout ?

                Posté par  (site web personnel) . Évalué à 1.

                (...) la base de registres... font que le système apparait comme une grosse boite noire

                euh là c'est la poilade hein. tu penses qu'une base des registres qui centralise les confs c'est une grosse boite noire par rapport à une armée de fichiers disséminés dans des centaines de fichiers différents sous /etc avec une bonne dizaine de formats différents (apachien, sambaien, XML etc) ?

                • [^] # Re: Quel dégout ?

                  Posté par  . Évalué à 3.

                  (...) base de registre (...) XML (...)

                  hum, tu parles de gconf ?
                  ok, j'y vais -------> [ ]

                • [^] # Re: Quel dégout ?

                  Posté par  . Évalué à 7.

                  Entre une base de registres qui contient des clés avec des identifiants 128 bits absolument pas parlants, et où il est difficile de savoir facilement ce qui a été modifié / rajouté, et des fichiers textes avec certes plein de formats différents mais modifiables avec n'importe quel éditeur de texte, mon choix est vite fait.

                  Exemple: si je te demande d'aller chercher les infos IP d'une carte réseau précise dans la base de registres, tu trouves ça facile ? J'ai fait ça régulièrement pour aller changer la MTU, à chaque fois je suis obligé de faire une recherche sur le net (surtout qu'en plus c'est pas forcément au même endroit suivant les version de windows) pour retrouver où c'est planqué dans l'arborescence.

                  Autre exemple: j'ai eu le cas d'un soft qui foirait de temps en temps son installation, mais avait le temps de rajouter pleins de clés. Tu relances l'install, il te dit qu'il est installé. T'essaies de le désinstaller, il ne veut pas (c'est un soft hautement daubique, mais c'est pas vraiment le sujet). Challenge: virer toutes les clés qu'il a pu ajouter.

                  • [^] # Re: Quel dégout ?

                    Posté par  . Évalué à 1.

                    Exemple: si je te demande d'aller chercher les infos IP d'une carte réseau précise dans la base de registres, tu trouves ça facile ? J'ai fait ça régulièrement pour aller changer la MTU, à chaque fois je suis obligé de faire une recherche sur le net (surtout qu'en plus c'est pas forcément au même endroit suivant les version de windows) pour retrouver où c'est planqué dans l'arborescence.

                    Ah ben oui tiens, c'est tellement plus clair sur Linux , la evidemment si tu ne connais pas l'OS tu trouves tout de suite le bon fichier sans chercher nulle part hein ?

                    Quand t'as compris l'arborescence de la base de registre, de la meme maniere que t'as compris l'arborescence sous Linux, ca devient tout a fait logique, c'est pas range aleatoirement.

                    Autre exemple: j'ai eu le cas d'un soft qui foirait de temps en temps son installation, mais avait le temps de rajouter pleins de clés. Tu relances l'install, il te dit qu'il est installé. T'essaies de le désinstaller, il ne veut pas (c'est un soft hautement daubique, mais c'est pas vraiment le sujet). Challenge: virer toutes les clés qu'il a pu ajouter.

                    Meme probleme qu'un soft sous Linux qui se mettrait a mettre la merde dans tes fichiers de config, je ne vois pas la difference, tu fais comment pour retrouver quels fichiers il a modifie ?

                    • [^] # Re: Quel dégout ?

                      Posté par  (site web personnel) . Évalué à 4.


                      Meme probleme qu'un soft sous Linux qui se mettrait a mettre la merde dans tes fichiers de config, je ne vois pas la difference, tu fais comment pour retrouver quels fichiers il a modifie ?


                      Il regarde les logs?

                      • [^] # Re: Quel dégout ?

                        Posté par  . Évalué à 2.

                        Et il ferait la meme chous Windows...

                        • [^] # Re: Quel dégout ?

                          Posté par  (site web personnel) . Évalué à 3.

                          Ah, encore un info potentiellement intéressante, ils sont stockés ou les logs sous windows?

                          • [^] # Re: Quel dégout ?

                            Posté par  . Évalué à 2.

                            Pour les applications, ca depend de l'application.
                            Ouvres une console, va dans le repertoire Windows(si c'est XP sinon Winnt), tapes "dir /s *.log", tu trouveras un tas de logs pour l'installation des patchs par exemple.

                            • [^] # Re: Quel dégout ?

                              Posté par  . Évalué à 0.

                              Traduction : les dévellopeurs Windows n'ont toujours pas compris l'intérêt de syslog et autres /var/log/messages.

                              • [^] # Re: Quel dégout ?

                                Posté par  . Évalué à 2.

                                Non, chez Windows ils font la difference entre les logs du systeme et les logs d'installation qui n'ont rien a faire au meme endroit.
                                Vas jeter un oeil dans Control Panel -> Administrative Tools -> Event Viewer pour comprendre

                                • [^] # Re: Quel dégout ?

                                  Posté par  (site web personnel) . Évalué à 3.

                                  donc quand windows plante, tu dois lire les logs de tous les logiciels pour savoir ce qui s'est passé et à quel moment.

                                  (et en plus, tu peux pas changer ton systeme de logs...)

                                  • [^] # Re: Quel dégout ?

                                    Posté par  . Évalué à 2.

                                    Quand il plante c'est d'habitude pas a cause d'une copie de fichier lors d'une installation, mais a cause d'un processus systeme ou driver qui crash, et ca c'est dans l'event log, sans parler du fait qu'il sauve un dump du crash.

                                  • [^] # Re: Quel dégout ?

                                    Posté par  (site web personnel) . Évalué à 1.

                                    Quand Linux plante (ou une application particulière sous Linux), comment fais-tu ? Tu lis les logs, les éventuels dump laissés, etc.
                                    En outre, rien ne t'empêche d'installer NTsyslog pour avoir l'équivalent de syslog sous Windows et, ainsi, exporter tes logs ailleurs.

                    • [^] # Re: Quel dégout ?

                      Posté par  . Évalué à 2.

                      1) Si j'ai besoin de rechercher quelquechose, à coup de "grep" et/ou de "find" dans /etc, je finis par le retrouver. Avoue que sous Windows, naviguer dans la base de registres n'est pas aussi trivial que se balader dans un système de fichiers!

                      2) Si le soft est bien foutu, il se créée dans le home directory un ".truc", et dans ce cas là, rien de plus simple que shooter le répertoire.

                      Si c'est un fichier de conf global au système, c'est souvent dans /etc ou /usr/local/etc. C'est assez simple de retrouver les derniers fichiers créés/modifiés.

                      Si vraiment tu retrouves pas, un coup de strace pour repérer les fichiers accédés et le tour est joué.

                      • [^] # Re: Quel dégout ?

                        Posté par  . Évalué à 2.

                        1) T'es au courant qu'il y a un "find" dans regedit ?

                        2) Si le soft est bien foutu, il fait pas le con non plus sous Windows, mais ici on parle de soft qui a des problemes non ?

                        3) Idem sous Windows, Adobe Photoshop il va pas s'amuser a ecrire dans la config du service DNS, t'as pas le last-modified dans la registry, par contre l'avantage c'est que c'est largement moins un foutoir et bcp plus organise que /etc et bcp de softs font leur modifs a travers un fichier .inf qui decrit toutes les modifs qu'ils font a la registry

                        4) Idem sous Windows, un coup de regmon et le tour est joue, et l'avantage c'est que t'as uniquement les acces a la registry, pas tous les acces de fichiers

                        • [^] # Re: Quel dégout ?

                          Posté par  . Évalué à 2.

                          1) Restons sérieux 2 minutes, tu ne peux décemment pas comparer les possibilités du shell unix avec des outils style grep/sed/awk/... et cette fonction de recherche ;)

                          2) De soft qui a des problèmes ou de soft malicieux. Ce que je veux dire, c'est que des modifs dans la base de registres sont à mon sens plus difficile à traquer que sur des fichiers textes dans un système de fichier.

                          3) Je trouve ça gênant de ne pas avoir de timestamp (je voulais en parler dans le post précédent et j'ai zappé). Savoir quand ton named.conf ou autre a été modifié pour la dernière fois est quand même bien pratique. Si on continue sur l'exemple du DNS, dans le cas d'un programme malicieux, tu peux tout de suite voir facilement si ton named.conf a bougé et comment. Sous Windows, si t'as une clé de registre rajoutée/modifiée/supprimée en douce, c'est moins évident je pense.

                          4) ah ça je connaissais pas, merci pour l'info.

                          5) Autre inconvénient que je vois à la base de registres: le fait que tout soit centralisé rend moins facile l'extraction des infos de configuration pour les recopier sur une autre machine. Copier un named.conf, un smb.conf ... c'est un peu plus simple que d'aller extraire les clés.

                          Par contre, pouvoir importer des fichiers .reg c'est pas mal.

                          • [^] # Re: Quel dégout ?

                            Posté par  . Évalué à 2.

                            1) Justement si, car l'avantage de la registry c'est que c'est pas du texte mais une base de donnee hierarchisee avec des champs definis, d'ou l'inutilite de fonctions comme cut et autre, une entree dans la registry elle contiendra pas 5 trucs differents dans lesquels il faut s'amuser a extraire ce qu'on veut, tu choisis la hierarchie ou tu veux chercher(car tu sais a peu pres ce que tu cherches), tu cherches et d'habitude tu trouves tres rapidement.

                            2) Elles le sont probablement pour toi vu que t'as l'habitude de /etc et pas de la registry, qq'un qui comprend la registry il sait ou chercher, comme toi tu le sais sous Linux

                            3) Ca d'accord, le manque de timestamp est genant, mais d'un autre cote t'as des ACLs tres fins sur tout ce qui est dans la registry, pour chaque entree, ce que tu n'as pas dans des fichiers texte.
                            Pour ce qui est de savoir qui a accede a quoi: http://support.microsoft.com/default.aspx?kbid=324739
                            ca te permet d'avoir un audit des acces a une partie specifiee de la registry, tu sais qui a touche quoi, quand , ... alors que ton last modified, il te donne just le dernier acces...

                            5) Au contraire, c'est hierarchise, donc tu es sur de ne pas ecraser qqe chose d'autre quand tu fais ton insertion, alors que copier un smb.conf, ben t'as interet a t'assurer qu'il n'y a que les les trucs que tu veux comme difference entre les fichiers.
                            Tu click-droit sur la hierarchie que tu veux exporter dans regedit, tu choisis export, t'as un fichier. Tu vas sur l'autre machine, tu importe, c'est regle, meme si la machine qui recoit a des entrees dans cette meme hierarchie, les seuls elements ecrases sont ceux qui etaient present sur la machine originale.

                    • [^] # Re: Quel dégout ?

                      Posté par  (site web personnel) . Évalué à 3.

                      >Ah ben oui tiens, c'est tellement plus clair sur Linux , la evidemment si
                      >tu ne connais pas l'OS tu trouves tout de suite le bon fichier sans
                      >chercher nulle part hein ?

                      Certe, pour son exemple, c'est pas forcement plus simple sous Linux vu que d'une distrib à l'autre ca ne sera pas la meme chose.

                      Mais une question me vient quand meme à l'esprit, comment se fait il qu'on trouve bien plus de gens compétent sur Système Unix que sur Windows...? Comprendre par la des gens qui connaissent vraiment le système qu'ils utilisent...

                      Perso, j'ai rencontré une fois un "Windowsien" qui connaissait bien le système d'exploitation qu'il utilisait. Raison, il était passionné.

                      Et franchement, des informaticiens qui bossent sous Windows, la plupart du temps c'est leur métier, pas une passion...

                      Apres, c'est plus un problème humain que technique hein ;)

                      >Meme probleme qu'un soft sous Linux qui se mettrait a mettre la
                      >merde dans tes fichiers de config, je ne vois pas la difference, tu
                      >fais comment pour retrouver quels fichiers il a modifie ?

                      De une, la plupart des logiciels s'installent avec dpkg ou rpm donc tu es prévenu si un soft fout le bordel dans tes fichiers.

                      De plus, les editeurs de soft proprio qui font des scripts d'installation ont la bonne idée de te prévenir des fichiers dont ils font une modif et de faire un fichier de sauvegarde. Donc, il suffit de faire attention.

                      Sous Windows, c'est pas vraiment la meme chose, entre les editeurs qui utilisent la base de registre, ceux qui ne le font pas, ce qui font un mix des deux, ca devient vite le bordel. Et va savoir ce que le soft a foutu dans la base de registre sans rien te dire.

                      Sous Linux (pour les distribs avec un systeme de package), tu peux tres facilement savoir quels fichiers ont été modifiés depuis leur installation.

                      • [^] # Re: Quel dégout ?

                        Posté par  . Évalué à 2.

                        Mais une question me vient quand meme à l'esprit, comment se fait il qu'on trouve bien plus de gens compétent sur Système Unix que sur Windows...? Comprendre par la des gens qui connaissent vraiment le système qu'ils utilisent...

                        Ben la reponse est tres tres simple :

                        Quel est le pourcentage de non-informaticiens qui utilise Unix ?
                        Quel est le pourcentage de non-informaticiens qui utilise Windows ?

                        Voila, la reponse est la.

                        Et franchement, des informaticiens qui bossent sous Windows, la plupart du temps c'est leur métier, pas une passion...

                        Apres, c'est plus un problème humain que technique hein ;)

                        Tout a fait, le fait que Windows ait une part de marche enorme fait que le gars qui veut du boulot et qui n'est pas un fan d'info, il va la, car c'est la ou il y a le plus de postes dispo.

                        Sous Windows, c'est pas vraiment la meme chose, entre les editeurs qui utilisent la base de registre, ceux qui ne le font pas, ce qui font un mix des deux, ca devient vite le bordel. Et va savoir ce que le soft a foutu dans la base de registre sans rien te dire.

                        MSI est l'equivalent de rpm/dkpg, mais le probleme c'est qu'on ne peut pas forcer(ni sous Linux ni sous Windows) les gens a utiliser un installer specifique.

                        • [^] # Re: Quel dégout ?

                          Posté par  (site web personnel) . Évalué à 3.

                          Sous linux, pour une raison de droit d'execution, c'est vraiment le bordel de pas passer par dpkg/rpm parce que va demander à monsieur tout le monde de rendre son fichier executable, ...

                          Donc, maintenant, on trouve de plus en plus de packages meme pour les soft proprios (à part les jeux).

                          >Quel est le pourcentage de non-informaticiens qui utilise Unix ?
                          >Quel est le pourcentage de non-informaticiens qui utilise Windows ?

                          Je parlais bien sur des informaticiens...
                          <TROLL> Non, parce que chez les non informaticiens, le nombre de gens qui ne connaissent pas Unix, on en trouve plein, suffit de voir les forums d'Ubuntu </TROLL>

            • [^] # Re: Quel dégout ?

              Posté par  (site web personnel) . Évalué à 9.

              C'est en général à ce moment là de la discussion que l'on rappel que appache c'est 60% du marché et IIS 20% or la majorité des attaques concernent IIS.

              Donc les parts de marché sont loin de suffir pour expliquer les différences.

              "La première sécurité est la liberté"

              • [^] # Re: Quel dégout ?

                Posté par  (site web personnel) . Évalué à 3.

                C'est vrai que c'est la tournure classique de ce genre de discussion. Mais il va peut etre falloir penser a mettre a jour ces chiffres. Il y a 4 mois, Apache/ISS c'etait 70%/20%. Maintenant on est plutot à 60%/30%.

                http://news.netcraft.com/archives/2006/09/05/september_2006_(...)

              • [^] # Re: Quel dégout ?

                Posté par  . Évalué à -2.

                C'est a ce moment la qu'on sort les chiffres, qu'on regarde le nombre de vulnerabilites dans Apache et dans IIS c'est 3 dernieres annees, et qu'on se rend compte qu'Apache a eu bcp plus de failles qu'IIS.

                • [^] # Re: Quel dégout ?

                  Posté par  (site web personnel) . Évalué à 4.

                  Ah tu pourrais citer un lien, je trouve ça intéressant.

                  • [^] # Re: Quel dégout ?

                    Posté par  . Évalué à 3.

                    J'imagine qu'il parle de tout ca :


                    http://secunia.com/product/9633/?task=advisories
                    Secunia has issued a total of 3 Secunia advisories in 2003-2006 for Apache 2.2.x. Currently, 33% (1 out of 3) are marked as Unpatched with the most severe being rated Less critical


                    http://secunia.com/product/73/?task=advisories
                    Secunia has issued a total of 33 Secunia advisories in 2003-2006 for Apache 2.0.x. Currently, 9% (3 out of 33) are marked as Unpatched with the most severe being rated Less critical

                    http://secunia.com/product/72/?task=advisories
                    Secunia has issued a total of 19 Secunia advisories in 2003-2006 for Apache 1.3.x. Currently, 5% (1 out of 19) are marked as Unpatched with the most severe being rated Less critical

                    http://secunia.com/product/1438/?task=advisories
                    Secunia has issued a total of 3 Secunia advisories in 2003-2006 for Microsoft Internet Information Services (IIS) 6. Currently, 0% (0 out of 3) are marked as Unpatched.

                    http://secunia.com/product/39/?task=advisories
                    Secunia has issued a total of 14 Secunia advisories in 2003-2006 for Microsoft Internet Information Services (IIS) 5.x. Currently, 14% (2 out of 14) are marked as Unpatched with the most severe being rated Moderately critical

                    http://secunia.com/product/38/?task=advisories
                    Secunia has issued a total of 6 Secunia advisories in 2003-2006 for Microsoft Internet Information Server (IIS) 4.0. Currently, 0% (0 out of 6) are marked as Unpatched.

                    Si on en croit ces chiffres, apache se fait atomiser, a part en version 2.2.

                    • [^] # Re: Quel dégout ?

                      Posté par  (site web personnel) . Évalué à 2.

                      Faut voir la gravité des bugs. Car je préfaire avoir 3bugs non critique, qu'un seul critique qui traine... Et il faut voir voir les fenètres de vulnérabilité.

                      "La première sécurité est la liberté"

                      • [^] # Re: Quel dégout ?

                        Posté par  . Évalué à 3.

                        Jettes un oeil sur les vulnerabilites entre IIS6 et Apache 2.0.x (sortis a peu pres en meme temps) :

                        - IIS6 a eu 11 fois moins de vulnerabilites (3 au total)
                        - 2 a 3/5 sur l'echelle de severite, 1 a 1/5

                        - Apache a eu 33 failles
                        - 2 a 4/5, 10 a 3/5, 18 a 2/5, 3 a 1/5

                        • [^] # Re: Quel dégout ?

                          Posté par  (site web personnel) . Évalué à 2.

                          Et combien l'équipe de IIS a corrigé de failles qui n'ont pas été divulgué (alors que toutes les failles sont signalés pour un logiciel libre) ?

                          "La première sécurité est la liberté"

                          • [^] # Re: Quel dégout ?

                            Posté par  . Évalué à 2.

                            Tu jettes un oeil aux failles des 2, tu regardes combien des failles Apache ont etre trouvees par le team Apache lui-meme ou par des gens externes, tu compares ensuite.

                            Et la tu trouveras que meme en comparant uniquement les failles trouvees par des gens externes Apache en a bcp plus qu'IIS.

                            Plus de failles ont etre trouvees dans Apache 2 que dans IIS 6.

                • [^] # Re: Quel dégout ?

                  Posté par  . Évalué à 2.

                  >C'est a ce moment la qu'on sort les chiffres, qu'on regarde le nombre de vulnerabilites
                  >dans Apache et dans IIS c'est 3 dernieres annees, et qu'on se rend compte qu'Apache a eu bcp plus de failles qu'IIS.

                  C'est à ce moment qu'on se rend compte qu'Apache a plus de failles parce qu'il est open-source et que n'importe qui peut rapporter une faille, même pour des corrections préventives

                  Bugzilla d'Apache : http://issues.apache.org/bugzilla/

                  Argumentation de T. Nitot sur les rapports de symantec : http://fr.news.yahoo.com/26092006/308/mozilla-tristan-nitot-(...)
                  «De plus, le comptage des failles de sécurité est un moyen très imparfait pour mesurer les risques de sécurité. En effet, chez Mozilla, de par notre ouverture et le fait que notre code soit public, tous les correctifs de sécurité sont forcément déclarés, même si ce sont des améliorations qui proviennent de notre propre initiative, par opposition aux bogues trouvés par des chercheurs en sécurité tiers. A l'inverse, les autres éditeurs de navigateurs, et Microsoft en tête, peuvent corriger silencieusement des failles de sécurité qu'ils auront découvertes eux-mêmes. »

                  • [^] # Re: Quel dégout ?

                    Posté par  . Évalué à 0.

                    C'est à ce moment qu'on se rend compte qu'Apache a plus de failles parce qu'il est open-source et que n'importe qui peut rapporter une faille, même pour des corrections préventives

                    C'est a ce moment qu'on commence a chercher des excuses bancales pour justifier le plus grand nombre de failles.
                    T'as des stats sur quel bug a ete trouve par code review et lequel ne l'a pas ete ?

                    De plus, le comptage des failles de sécurité est un moyen très imparfait pour mesurer les risques de sécurité. En effet, chez Mozilla, de par notre ouverture et le fait que notre code soit public, tous les correctifs de sécurité sont forcément déclarés, même si ce sont des améliorations qui proviennent de notre propre initiative, par opposition aux bogues trouvés par des chercheurs en sécurité tiers. A l'inverse, les autres éditeurs de navigateurs, et Microsoft en tête, peuvent corriger silencieusement des failles de sécurité qu'ils auront découvertes eux-mêmes

                    Idem, faut regarder comment la faille a ete trouvee plutot que se fier a des arguments de ce genre. Ils ont beau avoir leur bugzilla ouvert a tout le monde, si le gars a trouve la faille en faisant du fuzzing plutot que s'amuser a parcourir des millions de lignes de code qu'il ne comprend pas, son argument ne vaut pas un clou

                    • [^] # Commentaire supprimé

                      Posté par  . Évalué à 2.

                      Ce commentaire a été supprimé par l’équipe de modération.

                      • [^] # Re: Quel dégout ?

                        Posté par  . Évalué à 1.

                        Ah l'idiot du village, tu m'aurais presque manque.

                        Fais surtout bien attention a ne parler que des failles "extremement critique", apres tout, les failles "hautement critiques" genre http://secunia.com/advisories/22088/ ne comptent pas elles.

                        Donc niveau securite avec faille extremement critique on est a 3-0 pour Microsoft sur ces derniers mois, joli joli et n'oublions pas que en plus ils ne gerent la securite d'un OS ne tournant que sur 2 archis x86 et x64 compare aux dizaines d'archis supporte par les differents unix c'est peu sans compter que en plus MS n'a pas besoin d'ecrire la plupart des drivers...

                        Le jour ou tu t'acheteras un cerveau tu te rendras compte que le nombre d'architectures chez Linux ne compte pas, il compte chez Redhat/Suse/Mandriva car eux doivent tester leurs patchs, et la bizarrement les archis supportees ne sont pas plus nombreuses que chez MS, les autres par contre c'est sans interet.

                        Mais bon, fallait bien que tu passes pour un idiot encore une fois.

                        • [^] # Commentaire supprimé

                          Posté par  . Évalué à 2.

                          Ce commentaire a été supprimé par l’équipe de modération.

                          • [^] # Re: Quel dégout ?

                            Posté par  . Évalué à 2.

                            Ne pas dire que Vista n'apportera rien ! vu la machine de porc qu'il faudras pour le faire fonctionner correctement, je dirais que ça apportera es factures de renouvelement informatique, d'electricité, etc...

                          • [^] # Re: Quel dégout ?

                            Posté par  . Évalué à 2.

                            que c'est uniquement la malchance si il y a des problemes et que c'est uniquement du a des mechants (linuxiens?) qui veulent faire couler ta boite

                            Allez toi qui aime bien me demander des arguments(que je te donne), si tu faisais de meme ? Montre moi donc mes posts ou je dis ca qu'on rigole.

                            T'es un gentil fuddeur paye par MS pour venir decredibiliser linux sur un site de linuxiens alors attend toi a des repartis.

                            Tout a fait, mais quand la repartie est de qualite c'est bien mieux que les aneries que tu sors a tout bout de champ.
                            Ah encore une insulte. Tu as vraiment trop d'argument que tu es sans voix?

                            Non, mais un gars qui dit une idiotie une fois c'est normal, un gars qui ne dit que ca, c'est un idiot. J'appelle un chat un chat.

                            Et enfin ce n'est pas parceque c'est minoritaire pour monsieur tout le monde que c'est sans interet et la encore une fois le kernel linux (et autre variante unix) supportent >b>enormement plus d'architectures et de matos que MS windows et eux ils le font avec beaucoup de difficulte tout de meme.

                            Toi pas comprendre ce que moi dire.
                            Ils peuvent supporter un tas d'architectures car ils n'ont pas la meme infrastructure de test, si ils faisaient les memes tests que Redhat/Suse font sur chaque architecture, ils auraient un datacenter taille Google pour faire tourner leurs tests.

                            que de retard sur Vista qui n'apportera au final rien de bien different que XP si ce n'est un nouveau truc a payer.

                            Tu confirmes encore une fois que tu ne sais absolument pas de quoi tu parles, c'est dingue d'etre idiot mais en plus borne dans son idiotie.

        • [^] # Re: Quel dégout ?

          Posté par  (site web personnel) . Évalué à 3.

          Sasser et compagnie (j'ai changé pour linux a ce moment là)

          C'était la première fois où je branchais un pc en réseau et qu'il se faisait vérolé sans que je fasse quoi que ce soit...
          (et qu'en plus j'avais pas le pouvoir de désactiver le service en question...)

          Bref ms ça pue et c'est pas un firewall qui bloque tout que j'appelle une politique de sécurité !

          Je te parle d'un système mandriva 2007.0, mais hacké, vu le moindre bout d'un vers/virus ou quoi que ce soit depuis la 9.0
          (j'ai fait le saut 2000pro => mandrake9.0 par lassitude des Blue screen of the death de xp et 2000pro dès que j'utilisais quoi que ce soit...)

          • [^] # Re: Quel dégout ?

            Posté par  . Évalué à 2.

            t'aurais mieux fait de mettre ta machine a jour avant de passer sous linux. ;-)
            parce que les failles dont tu parles, elles etaient fixees avant d'etre exploitees.

            Pour les BSOD, je demande a voir, les seuls que j'ai vu sous 2000/XP etaient du a de la ram deffectueuse...

            • [^] # Re: Quel dégout ?

              Posté par  (site web personnel) . Évalué à 4.

              Oui mais bon, j'ai un jour réinstallé un xp sur le laptop de ma soeur, et bien tu te fais veroller bien avant d'avoir le temps de faire une mise à jour si tu ne prends pas la peine de barder le système d'un firewall et d'un antivirus (qu'on aura soigneusement pris soin de copier sur un cd avant l'installation, sans oublier de débranché le cable ethernet).

              Enfin bien que je lui ai mis la màj auto, un antivirus et un firewall, pas plus tard que le week end dernier elle est venu me voir parceque son ordi était "tout lent", deux virus... Bon en l'occurence elle avait téléchargé un jeux en fichier joint... J'ai supprimé les fichiers infectés, mais je suis pas sur que cela est vraiment réglé le problème, son pc avait toujours l'air aussi lent. Je pense que je vais lui installer une ubuntu...

              Sinon pour les BSOD, j'en ai jamais vu sur xp.....

              • [^] # Re: Quel dégout ?

                Posté par  . Évalué à 2.

                tu sais, ya un pare feu integre dans xp.
                et les vers/virus ne passent pas (encore) au travers...

                j'en connais qui ont des windows XP connecte SANS pare feu NI anti virus.
                Et 0 pb.
                c'est juste qu'ils les tiennent a jour et y font attention comme la plupart desl inuxiens font gaffe a leur machine.

                • [^] # Re: Quel dégout ?

                  Posté par  (site web personnel) . Évalué à 2.

                  Si tu n'es pas connecté dans une session, le firewall windows n'est pas activé. (cela peut être différent avec le SP2 mais je ne suis pas sur)

                  "La première sécurité est la liberté"

                  • [^] # Re: Quel dégout ?

                    Posté par  . Évalué à 3.

                    En fait le firewall demarre avant que tu te logges(sauf si tu te logges tres vite :) ), mais il demarrait apres la stack TCP/IP, il y avait donc une petite fenetre de quelques secondes ou il y avait un risque, SP2 a corrige ca.

                • [^] # Re: Quel dégout ?

                  Posté par  (site web personnel) . Évalué à 1.

                  Le parefeu intégré il vient pas avec le sp2 par hasard, c'est à dire APRÈS mise à jour qui nécessite de se connecter à internet?

                  Sinon j'ai constaté que son parefeu windows était pas activé effectivement (elle à quand même un zone alarm), mais j'ai pas réussi à l'activer vu que la case "activer le pare feu" était tout simplement grisé (et j'était bien en utilisateur admin). D'ailleurs si quelqu'un à une idée pour dégriser ça, je suis preneur.

                  • [^] # Re: Quel dégout ?

                    Posté par  . Évalué à 1.

                    nope, il etait la dans le tout premier windows, justepas active par defaut.

                    quand a la case grisee, ptetre un probleme de domaine? Mais si c'est une machine perso, c'est bizarre effectivement.

              • [^] # Re: Quel dégout ?

                Posté par  . Évalué à 2.

                >Oui mais bon, j'ai un jour réinstallé un xp sur le laptop de ma soeur,
                > et bien tu te fais veroller bien avant d'avoir le temps de faire une mise à jour

                Pareil, pas plus tard qu'hier je réinstalle MS Windows sur le portable de ma belle et tendre, et paf, j'ai du prendre 15 virus. Le système est tout instable, je réussis après 4 reboots à installer avast, qui me trouve plein de virus mais le système est quand même vérollé de partout. Je dois taper des commandes kabbalistiques dans une console DOS en 30s avant que Sasser ne redémarre l'ordinateur, comme les bombes dans les films d'espionnage. Je télécharge le SP2 depuis mon ordi à moi, mais MS Windows refuse de l'installer parce que j'avais installé une copie piratée... Je sais c'est mal, mais le CD OEM en 3 CD refusait d'installer Windows parce que j'avais eu le malheur de faire mumuse avec les partitions avant pour faire une partition supplémentaire pour les données ...

                Bon au final j'ai tout viré et j'ai réussi à réinstaller à partir du CD OEM (tout pourrite), et à installer SP2 et avast avant de me connecter ... En attendant de mettre un double boot Kubuntu quand j'aurai le temps.
                Quand je vois comment le système était instable au bout de 2 mins, je me demande comment font ceux qui sont pleins de virus et de spyware depuis des mois ...

                Sinon j'ai cherché un peu, mais apparemment personne n'a fait de CD tout en 1 avec tout ce qu'il faut installer avant de se connecter au net, ça serait pratique : un antivirus, un firewall, un antipsyware, les maj de windows, Firefox ...

          • [^] # Re: Quel dégout ?

            Posté par  (site web personnel) . Évalué à 5.

            La tragédie avec Sasser n'est pas tellement le trou de sécurité dans le système de Microsoft qu'il exploitati que la lenteur de certains utilisateurs à appliquer des correctifs de sécurité publiés il y a plusieurs mois auparavant...
            On peut aussi trouver le même genre d'utilisateurs (au sens général, car on inclut aussi les administrateurs, ces grands utilisateurs "avertis") sous Linux et pourtant, avec des trous de sécurité laissés béants parce qu'ils n'ont pas le temps/envie de les corriger, parce que ça demande du temps pour re-valider tout ça sur la plate-forme de test, de pré-production et enfin de production, etc..

            Ce que je trouve vraiment déplorable, c'est la haine primaire anti-Microsoft qu'on trouve dans ce genre de journal et ses commentaires et c'est encore pasBill pasGates qui fournit le plus de commentaires constructifs...

      • [^] # Re: Quel dégout ?

        Posté par  . Évalué à 2.

        il a pas tort, nombreux sont ceux ici qui considère que les anciennes versions de windows, (et les moins anciennes aussi) n'atteignent pas encore le niveau de sécurité promis par la firme de redmond.
        Il n'y a qu'as voir les problemes multiplateforme win qui ont existé.
        Bien entendu il n'est pas simple de débugger un programme, mais de nombreux doutes subsistent sur la volontée réelle de cette société , il y a quelques temps (peut etre n'est ce plus vrai maintenant) d'apporter beaucoup plus de sécurité , quand on vois les délais de certains patchs de sécu.

        A rappeler que ce vers existe parce qu'on peut cliquer sur un truc qu'on vient d télécharger et qu'on crois être une image . Chose qui n'arrive pas si le uname (ou l'équivalent sous windows si il existe) est bien configuré!

        Enfin on ne peut que savoir que de nombreux acteurs du libre empechent la création de vers ou l'execution avec leurs logiciels.
        Essayer d'arreter les coupables c'est bien, essayer d'empecher qu'ils commettent leurs méfaits c'est encore mieux !

        D'autant plus qu'on ne sait pas ce que ces "héros" ont réellement fait, et la rumeur de l'arrestation des méchants pas beau semble plutot épique.

        • [^] # Re: Quel dégout ?

          Posté par  . Évalué à 9.

          /mode 1984

          ces heros sont juste des programmeurs qui ont pensés a mettre plein de backdoor dans windows XP en particuilier dans la pile IP, ce qui a permis de lancer la plus vaste operation d'espionnage via internet, des millions d'ordinateurs ont été scanné a l'insu des utilisateurs et en toutes discretion.

          ensuite il a juste fallu chercher lequel de ces ordinateurs possedaient le ficher ZObeVers le plus recent, tous simplement.

          windows c'est bien

          • [^] # Re: Quel dégout ?

            Posté par  . Évalué à 2.

            Oui, me suis mal exprimé, surement l'émotion, donc mes excuses.

            Ce qui est terrible c'est de se dire effectivement comment MS a pu aider à retrouver les types ??? Je ne vois qu'un identifiant unique quelque part ainsi que d'autres moyens d'auditer les machines.

            J'ai posté cela car on disait avec mon collègue cet après midi que l'on pouvait auditer un LL et pas du proprio. Par exemple du port knocking ou autres flags particuliers étaient impossibles à détecter de manière empirique. Seul un code ouvert permet donc un vrai audit.

            Et c'est terrible de se dire que la grande majorité des PCs du monde peuvent être 'surveillés' par une boite privé et un gouvernement étranger. Et peut être aussi que les journalistes ne réagissent pas.

            • [^] # Re: Quel dégout ?

              Posté par  . Évalué à 3.

              Ce qui est terrible c'est de se dire effectivement comment MS a pu aider à retrouver les types ??? Je ne vois qu'un identifiant unique quelque part ainsi que d'autres moyens d'auditer les machines.

              Rien a voir, ca s'appelle une equipe de gens specialises dans les investigations sur internet. C'est le meme groupe qui s'occupe de trouver les gros spammers et gros pirates si je ne me trompe.
              Ca consiste a regarder le contenu du ver pour y trouver des infos interessantes(ils laissent souvent des messages soit pour saluer, qq'un, mettre une signature soit pour insulter qq'un), etre infiltre dans le milieu en utilisant des honeynet et fake-zombie qui permettent de voir qui se connecte a un channel IRC, ...(ce qui permet de recouper des infos entre les different idiots qui se vantent d'avoir fait X Y), avoir des relations etroites avec le FBI qui permettent d'avoir les logs de connexion a certain serveurs, ...

              Bref, c'est le meme type de departement que tu trouveras dans les departements de cybercriminalite a la police, a la difference que les gens ici ne sont pas payes au lance pierre et ont des moyens significatifs pour arriver a leurs fins.

              • [^] # Re: Quel dégout ?

                Posté par  (site web personnel) . Évalué à 5.

                Ca consiste a regarder le contenu du ver pour y trouver des infos interessantes(ils laissent souvent des messages soit pour saluer, qq'un, mettre une signature soit pour insulter qq'un), etre infiltre dans le milieu en utilisant des honeynet et fake-zombie qui permettent de voir qui se connecte a un channel IRC, ...(ce qui permet de recouper des infos entre les different idiots qui se vantent d'avoir fait X Y), avoir des relations etroites avec le FBI qui permettent d'avoir les logs de connexion a certain serveurs, ...
                Tu veux dire que des gens de chez Microsoft© sont payés pour faire ça, et ont le droit de le faire ?

                J'espère que j'ai mal compris, parceque si c'est effectivement le cas, ça me semble de graves atteintes à la vie privée là...

                • [^] # Re: Quel dégout ?

                  Posté par  . Évalué à 2.

                  Elle est ou l'atteinte a la vie privee ? Lire le contenu d'un ver ? Aller sur un channel IRC qui controle des PC zombie ? Donner des infos a la police pour qu'ils sachent quand et ou le gars etait connecte ?
                  Rien de cela est illegal, rien de cela n'enfreint la moindre loi, ils ne font qu'acceder a des lieux accessible publiquement(channel IRC,...).

                  • [^] # Re: Quel dégout ?

                    Posté par  (site web personnel) . Évalué à 7.

                    Pour moi elle est dans :
                    avoir des relations etroites avec le FBI qui permettent d'avoir les logs de connexion a certain serveurs

                    • [^] # Re: Quel dégout ?

                      Posté par  . Évalué à 1.

                      C'est le FBI qui recoit ces logs et qui part a la chasse apres, pas MS. MS dit au FBI ou aller chercher les logs de connexion(quel ISP, ...), le FBI se charge du reste.

                      • [^] # Re: Quel dégout ?

                        Posté par  (site web personnel) . Évalué à 2.

                        Alors pourquoi c'est pas le FBI qui les étudie ?!

                        La seule question/raison d'être choqué est là. (Qu'est-ce qui prouve que Microsoft ne se sert pas de ses accès à des fins autres que celles prévues ?)

                        (je sais, c'est quand on parle au troll qu'on le nourrit.... Promis, je prends mes cachets et je vais me coucher)

                        • [^] # Re: Quel dégout ?

                          Posté par  . Évalué à 8.

                          Je me fais l'avocat du diable...

                          Je n'utilise pas Windows, et je n'apprecie pas Miscrosoft, mais il y a un moment
                          ou il faut arreter de critiquer 'betement' (ce n'est pas une attaque contre toi...!).

                          MS n'est pas le mal, et ne se sert pas 'log' d'un chan IRC pour demembrer vivant
                          des mignons petits chatons.

                          C'est des créateurs de virus, tu sais les mêmes qui le jours ou ils s'attaqueront
                          à Linux feront des ravages (*), que tu maudira se jour la...!
                          Donc oui, il faut concevoir un OS secure des le debuts, mais laisser courir
                          les gens qui pourrissent du gentil internet, non...!


                          (*) l'hypothese 'linux est un bloc imparable est un mythe', même si ça va me
                          valoir une belle note negative.

                      • [^] # Commentaire supprimé

                        Posté par  . Évalué à 1.

                        Ce commentaire a été supprimé par l’équipe de modération.

                        • [^] # Re: Quel dégout ?

                          Posté par  . Évalué à 2.

                          a noté une différence quand même : la balance est traditionnellement quelqu'un qui fait une action répréhensible (de petite envergure) et qui , de par sa collaboration avec la police n'est pas inquiété.

                          Bref une balance je vois plus ca comme un give & take que comme une véritable dénonciation 'pour le fun'.

                        • [^] # Re: Quel dégout ?

                          Posté par  . Évalué à 0.

                          on peut appliquer tes 2 versions a gpl violations aussi, hein...

                          ah d'un coup, ca va en choquer quelques uns...

                          • [^] # Re: Quel dégout ?

                            Posté par  (site web personnel) . Évalué à -1.

                            Non c'est tout à fait vrai. Tu échanges des informations sur des violations de licence contre un peu plus de liberté pour tout le monde ... C'est juste plus noble que contre un peu d'argent pour toi.

                            • [^] # Re: Quel dégout ?

                              Posté par  . Évalué à 2.

                              Tiens MS se fait de l'argent la ? C'est nouveau j'etais pas au courant.

                            • [^] # Re: Quel dégout ?

                              Posté par  . Évalué à 1.

                              ben quoi, ca reste une poucave, hein.

                              Ya rien de noble a chercher, puis lanceba, des mecs, si on croit le raisonnement ci dessus...

                        • [^] # Re: Quel dégout ?

                          Posté par  . Évalué à 2.

                          C'est vrai quoi, aller apres des gars qui foutent la merde illegalement sur les machines de 6 millions de clients (et qui donc nuit a leur reputation) c'est condamnable.

                          T'as une drole de notion des valeurs.

                          • [^] # Re: Quel dégout ?

                            Posté par  (site web personnel) . Évalué à 2.

                            C'est vrai quoi, aller apres des gars qui foutent la merde illegalement sur les machines de 6 millions de clients (et qui donc nuit a leur reputation) c'est condamnable.

                            D'un autre coté, ces pirates assurent/ons un apport réguilière d'argent à Microsoft et à divers autres sociétés : Symantec, McAfee, etc... (tout les editeurs d'antivirus, firewall, etc...).

                            Pour ce qui est de Microsoft, ils préparent un support payant de sécurité : http://rss.zdnet.fr/actualites/informatique/0,39040745,39223(...) , http://rss.zdnet.fr/actualites/informatique/0,39040745,39223(...) . A l'époque où cette news est apparu, on parlait d'un coup mensuel estimé de 5-10 dollars par mois. Avec 6 millions de clients (le chiffre de pBpB), cela ferait un potentiel les 3 milliards par ans.

                            De là à dire que MS et consort payent les pirates qui créés des virus, il y a là un pas que je ne franchirais pas. Cependant, force est de constater que les traveaux des créateurs de virus assureront un apport régulier d'argent à MS, entre 2 sorties de leurs produits...

                            • [^] # Re: Quel dégout ?

                              Posté par  . Évalué à 2.

                              Cependant, force est de constater que les traveaux des créateurs de virus assureront un apport régulier d'argent à MS, entre 2 sorties de leurs produits...

                              6 million * 120$ par an(12*10$) = 620 million hein... et ca c'est le chiffre d'affaire, faut encore enlever ce que ce service couterait a MS(bande passante, team derriere, ...) et encore enlever tous les autres couts de pub negative(donc ventes perdues), appels au support, ... que ces pirates engendrent pour savoir si ca rapporte a MS, c'est tres tres loin d'etre aussi evident.

                          • [^] # Re: Quel dégout ?

                            Posté par  (site web personnel) . Évalué à 2.

                            Ton raisonnement est bancal :

                            OUI aller chercher les gars qui ont fait le virus, c'est bien.

                            Mais si Jean-Kevin, armé d'une mitrallette va se les faire, c'est CONDAMNABLE. On ne se fait pas justice soi même : c'est un métier de spécialistes.

                            Microsoft : il développe des OS.
                            le FBI : il va chercher les méchants.

                            Les hommes en noir du FBI, en plus, ne sont pas vraiment en manque de moyens.....

                            • [^] # Re: Quel dégout ?

                              Posté par  . Évalué à 2.

                              MS ne se fait pas justice lui-meme, ils ne les arretent pas eux meme, c'est le FBI qui le fait a l'aide des infos donnees par MS, et ils ne prononcent pas la condamnation non plus, c'est un juge qui le fait.

                            • [^] # Re: Quel dégout ?

                              Posté par  (site web personnel) . Évalué à 2.

                              T'as raison, c'est une affaire de "spécialiste"!

                              C'est moi ou on le ressort à toute les sauces ce mot dès qu'on veux nous faire gober que quelque chose est de valeur sûr?

                              Enfin ça n'a pas grand chose à voir avec ton poste mais le simple fait de lire ce mot ces derniers temps à tendance à me faire bondir.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.