pasBill pasGates a écrit 16356 commentaires

C'est rigolo, je peux te trouver un petit millier de trucs d'IBM qui posent probleme aussi, mais bizarrement personne ne met IBM dans le meme panier.

Tu ne répond quand même pas au principal, avec le compte admin sous Windows, tu tournes tous les programmes sous root, même si tu fait du word, même lorsque tu manipules des fichiers avec ton explorateur, même si tu ne fais pas du web...

Avec sudo, tu n'est sous root que lorsque tu le demandes. Un bogue dans oowriter n'est pas aussi dangereux car tu ne le lances pas en root... Bref, le risque de faire des conneries sur le système est bien moindre.

a) Mais pourquoi compares tu un compte admin sous Windows a un compte non-admin sous Linux ? UAC est l'equivalent de sudo dans les comptes non-admin Windows, ca ne manque pas

b) Je t'ai montre par A+B que si le compte peut utiliser sudo, alors au final ca revient au meme. On s'en fout que oowriter ne tourne pas en root, si il permet d'inserer le malware sur le compte utilisateur les carottes sont cuites, au prochain sudo le malware passera root.

Que tu t'en fiches, je le comprends bien mais moi pas. Techniquement c'est faisable mais cela n'a pas encore été fait et surtout, cela ne toucherait en général qu'une personne et il s'agit de modifier des fichiers de scripts lisibles par l'homme.

Ca n'a pas encore ete fait ? Mais tu reves mon cher, ca se fait depuis longtemps, je l'ai pas inventee cette technique !

Quand a toucher une personne, une fois que le malware a le mot de passe, il passe root et c'est toute la machine qui est verolee.

Le scénario que tu montres est possible mais je ne l'ai jamais vu depuis que je bosse sur Linux et cela fait plus de 10 ans...

Que tu l'aies vu ou pas, on s'en fiche un peu, techniquement c'est clair et net.

Il y a donc plus qu'une nuance entre un clic sur une page web et t'es mort et une attaque en plusieurs étapes qui nécessite d'aller changer le fichier bashrc...

Vraiment ? C'est quoi la difference entre editer le fichier .bashrc et s'ajouter dans les entrees de la base de registre ? Aucune, si tu regardes les malware sous Windows ils sont presque tous du type suivant : shellcode execute dans une appli vulnerable (Firefox, IE, ...) qui downloade depuis le web un soft et l'execute.

Serieusement, c'est quoi la complexite d'ecrire un soft qui edite .bashrc, change $PATH, ... ? Aucune, un newbie peut le faire. Tout le boulot est dans le shellcode.

Cela dis, mes utilisateurs ne sont pas sudo, ni moi. Je fais un su pour passer sur un autre compte qui est lui sudo ! Mais ton attaque marche aussi avec su... Bref, ton attaque est générique et marche sur tout OS tant que l'OS ne fait pas un contrôle "NOM de l'exécutable / checksum" et n'interdit pas les doublons dans les noms des binaires.

Tout a fait, j'ai jamais dit que c'etait limite a Linux, mais elle montre bien a quel point sudo n'amene aucune securite.

Seule les commandes sudo sont root pas toute ! Dans ton navigateur ou ton lecteur de mail, tu n'est pas root... Bref, tu n'est presque jamais root. Il faudrait être fou pour lancer acroread en root par exemple.

Mais mon cher, c'est parce que tu n'as aucune experience en securite que tu crois que c'est different.

Un malware entre sur le compte utilisateur sous Linux.
Ce malware :
- change le $PATH et mets son sudo a lui qui prend ton mot de passe au debut de la liste
- se relance au login de l'user pour survivre reboots et shutdowns
- executes le sudo original pour ta commande lorsque tu lances un sudo histoire que tu ne remarques rien

Hop, il a le mot de passe, il peut lancer le sudo qu'il veut, et il y a largement assez de softs sudo-enabled pour prendre le controler du systeme.

Un compte utilisateur qui a des privileges sudo, au final c'est pas different d'un compte admin, tu finiras bien a un moment par faire ton sudo, et a ce moment tu l'auras profond.

Le seul effet de sudo par rapport a un compte admin c'est de retarder l'infection un peu.

Microsoft l'a bien compris d'ailleurs, ils sont pas (tous) fous : 1. leur windows mobile est opengl. 2. Leur Xbox est directx 9 (et pas 10, ni 11. C'est un dérivé de directx 8). Leurs développements actuels basé sur Surface et 'backportés' sur Seven sont OpenGL.

Je me demande si tu sais de quoi tu parles. La XBox 360 utilise DirectX 9, a l'epoque ou la XBox 360 est sortie, DirectX 10 et 11 n'existaient pas, je vois mal comment elle aurait pu les utiliser. D'ailleurs DirectX 11 ajoute plusieurs features qui sont assez directement en relation avec la XBox 360.

Les softs pour Surface quand a eux ont 2 plateformes de developpement : WPF et XNA, qui sont les 2 bases sur DirectX

Aux USA le pourboire c'est genre 18-20% de l'addition, je doutes que tu laisses 10 euros sur une addition de 50 euros...

Disons que si tu limites à un vote par IP par minutes, cela dilue le problème non ? Si il y a plus de vote tu bannies l'ip.

Ben pas vraiment, il y a des proxys pour ca...

Vu le nombre de personne qui pourrait être concerné (qq millions) est-ce que ce genre de triche pourrait être significatif dans les chiffres ?

Est-ce qu'il n'existe pas des méthodes issue de la lutte anti-spam par courrier et dans les commentaires qui peuvent être appliqué ici ?

J'imagines que si chaque personne a un certificat et qu'il doive signer ses stats ca pourrait rendre la chose plus dure, mais va obliger tout le monde a recevoir un certificat, et empecher la distribution de certifs. bidons... pas simple comme probleme...

Ce n'est pas parce que plus de failles ont été trouvées dans apache qu'il a automatiquement été attaqué plus souvent.

C'est peu gratifiant pour apache de souligner qu'il est possible de se retrouver troué plus souvent en étant testé moins souvent. Après tout dépend de la gravité des failles et du temps où l'on reste sans patch correctif.

Oui c'est possible, mais quand on regarde les softs de tout genre, on se rend compte que plus ils gagnent en popularite, plus on trouve de failles dedans(Firefox, Mac OS X, Linux, ...), ca touche trop de softs pour etre du au hasard.

Mais ca ne change rien de ce que tu as avec Linux et sudo mon cher, vas donc lire un peu comment sudo fonctionne et tu comprendras

https://help.ubuntu.com/community/RootSudo

Isn't sudo less secure than su?

The basic security model is the same, and therefore these two systems share their primary weaknesses. Any user who uses su or sudo must be considered to be a privileged user. If that user's account is compromised by an attacker, the attacker can also gain root privileges the next time the user does so. The user account is the weak link in this chain, and so must be protected with the same care as root.

Le compte admin sous Windows d'un point de vue securite est equivalent a un user avec sudo sous Linux.

Mais qui te dit que c'est MS qui a decide du protocole ? Ces mesures sont faites depuis des annees, bien avant que Linux ait commence a bouffer Unix et autres.

Sinon, desole mais c'est pas le meme marche du tout meme si techniquement ca a des ressemblances, les possibilites entre une appliance et un serveur ne sont pas du tout les memes, tu n'as que tres tres peu de controle sur l'appliance, pas de support de l'OS similaire, etc...

C'est pas par hasard que les routeurs ne sont pas dedans non plus, parce que bon, un routeur tu peux aussi faire ca avec un PC hein, tu peux meme diriger une machine a cafe avec un PC si tu veux.

Toutes les "box" chez les particuliers tournent sous linux à ma connaissance... Je pense qu'il en est de même de tous les petits disques NAS du marché à destination des particuliers et des PME (LaCie...). Ces machines ne sont à ma connaissance jamais comptabilisées.

Ben non, car ce n'est pas le meme marche, ca c'est pour les OS embarques (ou Linux ecrase WinCE de ce que j'en sais)

Linux et ? J'ai dit que personne n'utilisait Linux ? Non

http://technet.microsoft.com/en-us/library/cc507861.aspx

On new installations, by default, the first user account created is a local administrator account in Admin Approval Mode (UAC enabled). All subsequent accounts are then created as standard users.

Tu m'expliques ce qu'il y a de problematique dans la config par defaut ?

Tout comme sous Linux il faut un admin, le 1er compte cree, ensuite par defaut tous les autres sont des users standard, tout ce qu'il y a de plus normal.

Pourtant en termes d'équipements serveurs, mon entreprise doit représenter une part conséquente de l'équipement français : je travaille par exemple sur un projet qui implique un développement de plusieurs grappes hardware représentant un peu plus de 8 000 CPUs supplémentaires, tous sous Linux.

Tu penses ? T'as remarque que la plupart des applications metiers(compta, etc...) existent sous Windows et pas sous Linux ? C'est pas par hasard...

Sinon, 8000 CPUs c'est gros mais pas si enorme, quand je regardes notre boite, on a dans les 300'000 machines, et c'est sans compter les datacenters de Bing/Hotmail/...

Si ta miss est admin sous Vista, c'est purement de sa faute, car il a tout ce qu'il faut pour ne pas en avoir besoin.

Quand a UAC ne pas etre une feature de securite, cela me fait rire: c'est juste pour embeter les utilisateurs alors?

Non, c'est pour forcer les developpeurs a faire les choses correctement, a force que les utilisateurs se plaignent que leurs softs font des pop-ups regulierement, les editeurs vont devoir corriger leur bordel.

C'est non seulement tres specifique, mais ca represente une part infime du marche serveur surtout

On peut regarder le nombre d'unites si tu veux, ca n'ameliore pas les choses pour Linux au contraire : http://www.thestreet.com/_yahoo/newsanalysis/itmanagement/10(...)

Microsoft picked up 2 percentage points, bringing its market share to 67.1% of servers shipped during the second quarter, according to data from Gartner. Of 2.06 million servers shipped overall, nearly 1.4 million came preloaded with proprietary OS. That works out to an extra 77,650 Microsoft-based servers sold during the quarter, year over year.
Linux accounted for 22.8% of server shipments, down from 23.1% the year before.

3x plus de serveurs sont livres avec Windows qu'avec Linux...

Et quand tu te balades avec ta clef USB et tu tombes sur un Linux avec un kernel < 2.6.26 tu fais quoi ? Meme probleme.

Bref, inutile de pointer le doigt sur MS, parce que Linux ne resoud pas le probleme de son cote non plus, dans les 2 cas il faut une update pour la majorite des machines, que ce soit un driver ajoute ou un kernel plus frais.

C'est un argument des editeurs proprios ? J'etais pas au courant.

Oui, mais le fait que Apache ait ete troue 27 fois contre 8 a IIS montre bien que le produit phare du marche est attaque plus souvent.

Tu t'es jamais dit que tu pouvais installer un driver pour ajouter le support plutot que devoir upgrader ton OS ?

Et sous Windows tu installes un driver UDF non-MS, c'est bcp plus simple qu'upgrader sa distrib.

Regardes SGI alors.

Je le regardes, et je vois un cas unique, sur un hardware unique, chose que MS ne fait pas.

La ou je veux en venir c'est que le fait que MS bloque le scenario pour raisons de support et test ne signifie pas qu'il n'est pas realisable techniquement pas le noyau.

Windows faisait pareil.

Justement non, on a developpe http.sys specifiquement pour "contrer" TUX...

Ouaif...

Je suis un petit chanteur inconnu, je te mets un PC dual-core avec 10 VM dessus qui ecoutent ma chanson, petit script pour modifier chaque VM toutes les 20 minutes pour rapporter les statistiques depuis une IP differente, ... et je fausse serieusement les stats...

Donc, je vois mal microsoft sortir un patch de support d'UDF pour Xp. Or, le but c'est quand même d'avoir un truc utilisable partout, autre que fat et ntfs. Je ne connais pas les stats, mais Xp représente encore certainement une sacré partie du parc, donc UDF.

Super, et pour les Linux n'ayant pas le kernel 2.6.26 ou plus, tu fais quoi ?
Parce que bon, XP c'etait les kernel 2.4 hein, et il n'y a plus aucune distrib qui supporte ca quasiment...

Bon c'est bien que ce soit géré dans les nouvelles versions, mais quand on croise encore des postes équipés de win98 par ci par là, je me dit qu'UDF comme solution qu'on est sûr de pouvoir utiliser partout, c'est pas pour demain.

Tout a fait, ca ne veut pas dire que la faute en revient a MS pour autant.