Journal Rapport US-CERT et ZDnet.... suite

Posté par  .
Étiquettes :
0
11
jan.
2006
Suite à mon journal d'il y a quelques jours qui pointait le fait que le calcul du nombre de vulnérabilités entre windows et linux en utilisant le rapport de l'US-CERT était erroné, je reviens à la charge en apportant une nouvelle info sur un article paru chez ZDnet.


Nouvelle Discorde autour de la sécurité des systèmes Linux et Windows.
http://www.zdnet.fr/actualites/informatique/0,39040745,39301(...)

Cet article fait état des différents problèmes induits par l'émission du rapport US-CERT qui en a fait raler plus d'un.

«Cette étude est déroutante et trompeuse. Lorsque vous consultez la liste, les vulnérabilités sont mal classées», a déclaré à ZDNet UK Mark Cox, ingénieur conseil en logiciel chez Red Hat. «Par exemple, une faille de Firefox est répertoriée dans les défaillances du système d'exploitation Unix/Linux, alors que le navigateur s'exécute tout aussi bien sur une plate-forme Windows. Apache et PHP fonctionnent également très bien sur les deux plates-formes. Les statistiques comportent des défauts méthodologiques.»


En effet, ce rapport est utilisé par beaucoup pour comparer la sécurité des systèmes windows et linux, alors qu'il ne s'y prête pas, et l'US-CERT l'a bien dit lors de la parution :

En publiant son étude, il a stipulé que les informations contenues «ne doivent pas être considérées comme le résultat d'une analyse de l'US-Cert», puisqu'elles incluent des informations issues de sources externes.


L'article est intéressant dans le sens où il pointe le problème, alors que le premier article ( http://www.vnunet.fr/actualite/securite/bogues_et_correctifs(...) ) indiquait seulement que linux était 3 fois plus vulnérables que windows. C'est un progrès.

L'article finit par il me semble une petite erreur :

Pour corriger la récente vulnérabilité grave WMF (Windows Meta File), Microsoft a mis sept jours pour réagir.»

... moi qui croyait que le problème était connu depuis 1 mois !

  • # Euh

    Posté par  . Évalué à -10.

    c'est sensé être interessant ?

    • [^] # Re: Euh

      Posté par  . Évalué à 9.

      Nettement plus que ton commentaire, heureusement.

      • [^] # Re: Euh

        Posté par  . Évalué à -9.

        okay, c'etait de l'humour ?
        Ma foi, si tu arrives pas à le voir, tant pis pour toi


        Moinsdisse moi

    • [^] # Re: Euh

      Posté par  . Évalué à 2.

      tu t'es mal réveillé ce matin ?

      • [^] # Re: Euh

        Posté par  . Évalué à -10.

        non, je me suis promis de me marrer,e t je marre quand on me moinsse sans avoir compris la blague :-)

        sinon, j'aurais repliqué en disant qu'il y a depuis la faille wmf un autre failel critique sous MS windows et outlook, mais ici, tout le monde etant sous linux, je pense que tout le monde se fout des failles windows.

        Mais ma foi, si les news Microsoft interesse les linuxiens Français.. A ce propos, j'ai pas vu de journal faisant une critique constructive du 2.6.15, ah c'est linux, sans doute moins itneressant que les failels Microsoft

        • [^] # Re: Euh

          Posté par  . Évalué à 2.

          non, je me suis promis de me marrer,et je marre quand on me moinsse sans avoir compris la blague :-)
          Je n'ai pas compris ta blague, faut que je te moinsse ? ;-)

          sinon, j'aurais repliqué en disant qu'il y a depuis la faille wmf un autre failel critique sous MS windows et outlook, mais ici, tout le monde etant sous linux, je pense que tout le monde se fout des failles windows.
          si y'en avait qu'une... y'en a eu 3 il me semble depuis...

          Mais ma foi, si les news Microsoft interesse les linuxiens Français.. A ce propos, j'ai pas vu de journal faisant une critique constructive du 2.6.15, ah c'est linux, sans doute moins itneressant que les failels Microsoft

          oui mais là ce n'est pas un journal exclusivement microsoft, mais plutôt microsoft/linux. Oui ce n'est pas un journal full linux.

          Concernant le noyau 2.6.15, il n'y a pas eu un journal dessus ?

          PS: ton clavier ne semble pas aimer le mot failel faille ! ;-)

    • [^] # Re: Euh

      Posté par  (site web personnel) . Évalué à 2.

      Tu as oublié le "moindissez-moi" on dirait :)

      • [^] # Re: Euh

        Posté par  . Évalué à 2.

        J'ai peur de la croissance de la sensure populaire sur linuxFR.
        C'est pas que je trouve la remarque de davlucas tres constructive ou que je critique l'acte de le moinser.
        Mais j'ai comme la désagréable impression d'un linchage en place public pour mauvais terme.
        Sommes nous tous devenus fan du "tiens dans ta gueule, ça t'apprendra !" ?

        Bon allez, j'vous souhaite bonne nuit.

        • [^] # Re: Euh

          Posté par  (site web personnel) . Évalué à 2.

          En fait c'était une référence à d'autres commentaires de davlucas, qu'il avait terminé par "moindissez-moi"

          Je ne l'avais pas personnellement moinssé d'ailleurs (même si le commentaire n'était pas particulièrement pertinent)

  • # Encore du beau journalisme !

    Posté par  (site web personnel) . Évalué à 6.

    Personne n'a vraiment critiqué l'US-CERT.

    Ce que ZDNet présente comme étant une "étude" n'est qu'un compte -rendu, un résumé, clairement intitulé "Cyber Security Bulletin 2005 Summary". En aucun cas, l'US-CERT ne donne d'avis.

    Par contre ZDNet ne se remets absolument pas en cause sur leur premier article. Vraiment du journaleux de base dans ce qui il y a de plus méprisable tant ils font preuve de peu de professionalisme.

    Pitoyable :(

    • [^] # Re: Encore du beau journalisme !

      Posté par  . Évalué à 2.

      Tout à fait, ils laissent même entendre que la responsabilité en
      incombe à l'US-CERT, alors que la polémique vient quand même de
      chez eux avec leur titre racoleur à 2 balles.

      Les gens (techniques) qui lisent les rapports du CERT savent faire la
      part des choses entre les différentes catégories de vulnérabilités et
      leur classification, il n'y a que des journalistes à la con pour en faire
      un amalgame bien trollesque.

    • [^] # Re: Encore du beau journalisme !

      Posté par  (site web personnel) . Évalué à 3.

      ZDNet censure !!!

      J'ai commenté à midi l'article de zdnet sur leur site. Mon commentaire était en ligne, et je m'apercois maintenant qu'il n'y est plus.

      ZDNet a censuré mon commentaire.
      Il est visiblement interdit de dire que ZDNet manque de professionnalisme sur leur site !!

      Vraiment pitoyable.

    • [^] # Re: Encore du beau journalisme !

      Posté par  (site web personnel) . Évalué à 3.

      Il me semble que le 1er article venait de VNUnet, non ? Et toi, tu te remettras en cause ?
      Louable :-)

  • # Fudons mes amis, fudons...

    Posté par  (site web personnel) . Évalué à 4.

    Or donc pour la dernière faille critique, connue et patchée chez MS (MS06-003) Microsoft recommande à ses utilisateurs d'appliquer le patch immédiatement (et ils ont intérêt à le faire) sous peine de risquer une exécution de code à distance: http://www.microsoft.com/technet/security/bulletin/ms06-003.(...)

    Cette faille s'est vue attribuer le N° CVE-2006-002 qui si l'on regarde bien a été ouvert le 09 Novembre 2005. Cela fait donc au moins 2 mois que l'éditeur est au courant du risque qu'encourent ses utilisateurs et clients:
    http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0(...)

    Mais pourquoi je parle de fud moi puisque ce n'est que la réalité?

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.