pasBill pasGates a écrit 16062 commentaires

Depend des distribs… Ubuntu 14.04 :

22 Juin 2017 https://www.ubuntu.com/usn/usn-3335-1/
19 Juin 2017 https://www.ubuntu.com/usn/usn-3323-1/
16 Mai 2017 https://www.ubuntu.com/usn/usn-3290-1/
24 Avril 2017 https://www.ubuntu.com/usn/usn-3264-1/
4 Avril 2017 https://www.ubuntu.com/usn/usn-3256-1/
29 Mars 2017 https://www.ubuntu.com/usn/usn-3250-1/
20 Mars 2017 https://www.ubuntu.com/usn/usn-3239-1/
7 Mars 2017 https://www.ubuntu.com/usn/usn-3219-1/
21 Fevrier 2017 https://www.ubuntu.com/usn/usn-3207-1/
3 Fevrier 2017 https://www.ubuntu.com/usn/usn-3188-1/
11 Janvier 2017 https://www.ubuntu.com/usn/usn-3168-1/

(J'inclus les vulns de la glibc car c'est le même topo : faut rebooter au final)

Ca en fait 11 en 6 mois.

Ce n'est qu'une partie du problème.

L'autre partie est que tant que le code vulnérable est en mémoire, le système est vulnerable. Bref, faut redémarrer tout ce qui a le binaire vulnérable après installation du patch (sauf à utiliser du hotpatching, mais là il y a d'autres contraintes).

Maintenant je te dirais…, regarde combien de mois par an il y a un patch sécurité kernel pour Linux… eh oui, faut rebooter chaque mois sous Linux aussi.

ça sous-entend un certain gaspillage qu'on n'aurait pas forcément sur des moteurs décentralisés (enfin c'est très complexe comme question de toute façon).

Toute personne qui ose affirmer qu'un système décentralisé serait plus éfficace que Google pour l'execution de requètes de recherche est un clown qui n'a rien compris à l'informatique.

Tant qu'ils n'ouvrent pas le port SMB sur le firewall de XP (j'imagines qu'ils ont au moins XP SP2), WannyCrypt ne fera rien.

Alors que si c'était une présidente xénophobe, que pourrait-elle faire ? Nous combattrions tous contre elles, au parlement, dans la rue, dans la vie. Je ne vois pas ce qu'elle pourrait faire de plus dangereux que lui.

Je ne t'expliques pas combien de gens ici aux US qui supportaient Sanders ont dit exactement la même chose à propos de Trump-Clinton.

Aujourd'hui à peu près tous ceux là, notamennt ceux d'entre eux qui ont :
- de la famille du moyen-orient
- de la famille qui n'a pas tous ses papiers en règle
- des antécédents de santé genre cancer, césarienne,…
- des enfants qui vont bientôt entrer à l'école
- envie que l'environnement soit sauvegardé
…

sont absolument tous en train de se mordre les doigts jusqu'à la moelle de n'avoir pas voté Clinton, car Trump a été élu, et il est effectivement en train de détruire la vie de plein de gens, les règles protégeant l'environnement, le système éducatif, le système de santé… et les dommages qu'il est en train de commettre ne vont pas subitement se règler le jour après qu'il soit destitué, cela va être des dommages sur le long terme.

Alors non vraiment, faut arrèter avec l'idiotie de Macron/LePen = Charybde/Scylla , ce n'est absolument pas le cas.

Chez microsoft chaque service a accé à une ou plusieur partie du code, jamais l'ensemble donc il n'y a que les responsable de secteur qui voient l'ensemble

C'est faux

Il y a aussi un trés gros turn over souvent -1 an et peu de temps pour former le remplaçant à un poste donné donc on arrive à des cas ou on personne ne comprend le code car celui qui l'a fait n'est plus la

C'est faux

Bref, toutes tes affirmations sont fausses. Même pas à moitié fausses hein, totalement fausses.

Pauvre clown.

Ah ben faut savoir, d'abord tu nous dis qu'il faudrait une comparaison du nombre de failles entre les 2 systèmes car tu ne sais pas lequel en a le plus, et là hop par magie tu sais !

Comme je le disais : un pauvre clown. Je vais prier ce soir. Prier pour que tu ne sois qu'un pauvre troll en mal d'attention plutôt qu'un pauvre clown qui croit vraiment aux stupidités profondes qu'il écrit.

Je crois que tu penseras diffèremment dans quelque années, une fois que tu auras terminé l'école enfantine et aura commencé le lycée.

imagine que l'OS que tu utilise au quotidiens ait été conçut pour etre fiable, sécurisé et stable aurais tu eue le meme résonnement envers moi

Oui absolument vu que je suis dans cette situation. J'ai un OS fiable, sécurisé et stable qui s'appelle Windows et j'ai eu ce raisonnement envers toi.

Bref tu nous a pondu un gros caca nerveux sans avoir les données justifiant ton caca nerveux.

Heureusement qu'il y a des clowns comme toi quand même pour nous occuper lors des journées monotones.

On démarre le CD d’installation, on crée une partition NTFS (parce qu’évidemment, si on créait une partition FAT32, question droits d’accès…), on la sélectionne pour le système et on lance l’installation (je passe sur la sélection des trucs à installer).
Quoi d’autre ?

Tout à fait, et quand tu fais cela, tu te retrouves avec un système oû les utilisateurs n'ont pas d'accès en écriture sur \program files, sur \windows, etc…

tous les fichiers étaient accessibles en lecture et écriture à tous les utilisateurs

On va dire que vous ne saviez pas installer NT4 ? Ce n'était certainement pas le cas lors d'une installation normale.

Si tu faisais l'effort de lire au moins…

• MemGC dans Edge
• Control Flow Guard
• Code Integrity & Image load restrictions
• Dynamic code restrictions
• Architecture VSM du kernel, utilisant l'hyperviseur pour protèger certaines choses du kernel au cas ou celui-ci serait compromis (cf. https://blogs.technet.microsoft.com/ash/2016/03/02/windows-10-device-guard-and-credential-guard-demystified/ )
• Améliorations de l'ASLR du kernel
• AppContainer

Tout cela est décrit dans le powerpoint.

Et cela n'inclut pas tout ce qu'ils ont ajouté depuis.

Ben faut savoir… Tu me parlais de concepts d'admin/user et quand je te rappelle que ceux ci sont dans NT depuis sa naissance tu viens me parler de parts de marché grand public…

Faudra que tu m'expliques comment tu comptes…

https://bugs.chromium.org/p/chromium/issues/detail?id=664411 ( CVE-2016-9651 )

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5209

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5203

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5210

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-5211

https://bugs.chromium.org/p/chromium/issues/detail?id=652548 ( CVE-2016-5213 )

qui sont dans la page que j'ai référencée sont tous des RCE.

L'UAC est arrivé avec Vista en 2007, sans compter que beaucoup sont restés sous XP.

Il n'y avait pas besoin d'UAC pour lancer un soft en admin depuis un compte utilisateur, XP savait le faire aussi.

Pas super user-friendly comparé à UAC ? Oui certainement, mais si on parle d'user-friendly les distribs Linux de l'époque partent sur le talus très vite…

Quand à 'beaucoup sont restés sous XP'… je te dirais qu'il y avait plus de gens sous Vista en 3 mois qu'il n'y en avait sous Linux en 10 ans…

Ce n'est effectivement pas pertinent à lui tout seul. Note que Edge a un bug bounty aussi en passant : https://technet.microsoft.com/en-us/library/mt761990.aspx

J'ai jamais vu personne utiliser un compte non privilégié sous windows sur un ordinateur personnel.

Tout à fait.

En même temps, à l'époque je n'ai jamais vu personne utiliser … Linux sur un ordinateur personnel (à part les très rares geeks genre moi).

Donc bon, comparer un truc qui était inutilisable par la population en question à Windows c'est plutôt bancal. Tout le problème de la sécurité c'est d'être suffisament discret et transparent pour être utilisable au jour le jour, Linux, sans même parler de sécurité, était totalement inutilisable par la population à l'époque.

Euuuhhh… https://threatpost.com/google-fixes-12-high-severity-flaws-in-chrome-browser/122223/

Note je dis pas que Chrome est pire que Edge, mais il a des RCE.

Je pense que cela a trait au fait que faire des comparaisons entre Windows et Linux n'a de sens que lorsque l'on regarde un système complet, pas juste le kernel. Et de ce point de vue la openssl fait partie du système vu son utilisation.

Dès les origines de Unix dans les années 70, les concepts d'utilisateurs (dont root), et de permissions sur les fichiers permettaient de mettre en échec toutes les menaces des années 90 (virus principalement) là où Windows, c'était un peu la fête du slip.

Fais moi rire, Windows NT supportait cela depuis sa naissance en 1992.

Et même aux débuts d'Internet grand public dans les années 2000, il a fallu un petit moment avant que Windows ne soit plus une passoire tandis que ces bons vieux mécanismes d'utilisateurs et de permissions protégeaient encore relativement un utilisateur de Unix/Linux.

Non, c'est le fait qu'ils étaient totalement absents du marché grand public surtout. Ils avaient plein de failles à l'époque (comme Windows), y compris pour passer d'utilisateur simple à administrateur. Mais évidemment quand la faille touche 10 machines plutôt que 10'000 cela ne fait pas le même bruit dans la presse…

les devs Linux ont conscience depuis le quasi-départ de l'importance de la sécurité (disons 1994 pour être large).

Et tu te bases sur quoi pour affirmer cela ?

https://www.blackhat.com/docs/us-16/materials/us-16-Weston-Windows-10-Mitigation-Improvements.pdf

https://grsecurity.net/passing_the_baton_faq.php

I do not want to spend money, what alternatives are there?

Unfortunately, in contrast to Microsoft's post-Windows XP Trustworthy Computing initiative which drastically changed its security trajectory, the Linux community at large has failed to invest adequately in security over the past two decades. Partially due to this, there is no direct alternative to grsecurity or even any option that provides a substantial fraction of grsecurity's features or overall benefits.

C'est pas moi qui le dit hein… Ok j'aurais peut-être dû attendre Vendredi…

Le defaut change selon le mode du système. Quand c'est un tablet, il utilise l'UI moderne, quand c'est un desktop-server il utilise l'ancienne UI par défaut.

Et comme tu le dis, le changement était le bienvenu car le mode moderne sur un desktop-server était pas idéal.