pasBill pasGates a écrit 16062 commentaires

Sauf si il utilise une faille en local pour devenir root sur ta machine, chose qui est tres frequente.

Tout a fait d'accord !!!!

C'est le _meme_ probleme chez MS, j'ai jamais dit que c'etait mieux chez nous.

Un firewall c'est un outil utile a la fois chez Linux et chez Windows

T'as toujours pas compris.

C'est 2 jours apres que la faille est annoncee. T'oublies de realiser que ces annonces sont coordonnees avec la MoFo et que la faille est restee genre 2 mois dans le bugzilla de Mozilla,, pendant ce temps certains auraient pu la trouver aussi et s'en servir comme je l'ai explique.

C'est vrai, par contre il est plus facile de trouver le crack pour le dernier jeu a la mode sous Windows qu'arriver a faire tourner ce jeu sous Linux vu qu'il n'existe pas sur cette plateforme. Et ca, tant que cela ne changera pas, ca convaincra bcp de gens de rester sous Windows.

Moi je te proposes de te renseigner sur les limitations avant de raconter n'importe quoi. Je doutes tres tres fort que les gens arrivent a apprecier le mode limite de Vista et s'en contenter.

Bon encore une fois montre moi un script pour exploiter une faille de firefox, meme une vielle.

30 secondes sur Google : http://www.xatrix.org/article.php?s=4447

Ah firefox n'est pas repandu? Ah oki oki dis a ta boite d'arreter de developper IE7 car il n'existe rien d'aute en face

IE est encore de tres tres loin majoritaire en parts de marche, si tu as du mal a realiser ca c'est triste.

Que je sache si je lis correctement tes derniers messages, tu es venu faire ton cirque habituelle sur un site linux en crachant comme d'habitude sur linux, firefox etc en disant que c'etait pas du tout securise

Si tu prenais soin de lire ce que j'ecris plutot que sortir des aneries a longueur de post tu aurais compris que je disais simplement qu'un firewall est une defense supplementaire utile, meme si tu n'as qu'un port SSH ouvert.
Mais bien evidemment des que tu vois mon nom tu sautes devant ton ecran, fais un signe de croix pour te proteger de satan et te dit qu'il est temps d'aller combattre lucifer sans meme prendre la peine de lire ce qu'il y a sur ton ecran.

Ah oui les failles n'existent pas? Tu devrais dire a ta boite de contacter un avocat pour attaquer secunia alors.

La connerie vient pas du fait que les failles existent ou pas, mais de ce que tu en tires.

Sinon t'as pas repondu a la deuxieme partie, je me demandais vu que ton site ou du moins celui de ton predecesseur n'a pas ete mis a jour depuis 1 an.

Jettes un oeil a la partie photos, j'ai juste pas poste de nouveau commentaire. Ca s'appelle la flemme...

Les serveurs sous unix sont la majorite du marche et je pense meme que les donnees les plus critiques sont sur des serveurs unix et pourtant malgre un attrait certains, il n'y a JAMAIS eu autant de probleme sous l'ensemble des unix reunis depuis 20 ans que sous les differents MS windows depuis 11-12 ans...

Perdu, les serveurs Windows sont la majorite du marche.
Par contre les serveurs Unix sont la majorite du marche des serveurs web, et oh comme c'est original, Apache a bcp plus de vulnerabilites trouvees qu'IIS depuis plusieurs annees, original non ?

Enfin pour repondre, je sais tres bien ce que fait un script kiddies (j'ai vu en action c'etait rigolo enfin surtout le fait de le faire arreter ce petit c...)

Si tu savais ce qu'ils font alors tu comprendrais qu'avoir une faille difficile a exploiter ne veut rien dire, il suffit qu'un gars competent ecrive un exploit qui utilise la faille et c'est tout, les script kiddies reutiliseront. Visiblement vu tes paroles tu ne l'avais pas compris ca.

Aucun exploit provenant de ces failles n'ont ete montre donc faut arreter sur le fait que "On sait pas donc ca existe forcement". Le fait est que certains logiciels de ta boite ont des failles exploites et que aucun logiciel open source n'en actuellement. C'est un constat point final.

Ben oui c'est evident, ca n'est pas repandu donc ca n'existe pas.
C'est comme Linux sur le desktop en fait, il est pas repandu, quand tu te promenes tu n'en vois pas, donc il n'existe pas.
Quelle logique.

Alors que ceux de MS sont communique aussitot sur la place public? Tu te moques de qui la?

De nouveau tu fais une comparaison avec MS alors que je n'en fais pas, car on sait tous les 2 que MS fait de meme, t'as une obsession vis a vis de MS ?

Tout a fait mais c'est risque et il est non negligeable. Pas besoin d'entuber 3 millions d'utilisateurs pour causer des degats. Si tu fais partie de ceux touches ca suffira pour que cela soit douloureux.

Les insultes c'est tout ce que tu connais? Tu es tres tres forts sur ca actuellement. Serait-ce la meme personne paye par MS que avant celui qui se cache sous le pseudo pbpg ou pasBill pasGates, on peut se poser la question.

Tu sors constamment connerie sur connerie, j'appelle un chat un chat.

Ce ne sont pas mes inepties ce sont les programmes sorties de ta boite.

Genial, et ca prouve quoi ? Qu'il y a des failles dedans ? On le sait tous. Tout comme on sait qu'il y a des failles dans les produits libres, et tout comme on sait que les softs MS sont evidemment plus attractifs pour tout ce qui est exploit vu qu'ils representent la quasi-totalite du marche. Mais toi reflechire 2 secondes et essayer de comprendre cela c'est visiblement trop pour toi, tu as un mal fou a faire autre chose que balancer 2 liens qui ne prouvent absolument rien quand on les met dans le contexte global.

Tout ce que j'ai mis en gras moi correspond a des trucs plus interessant car 1) ca montre que c'est patche pas comme les 4 failles que j'ai donne sur les softs de ta boite 2) superbe conditionnel... 3) ca a l'air facile a utiliser comme faille, ais je vraiment besoin de faire un copier colle des infos des failles non patche sur secunia qui indique que l'exploit existe, est public et donc peut etre utilise par des scripts kiddies?

Le jour ou tu comprendras ce qu'un script kiddie ffait tu auras compris que complexe a exploiter ou pas n'y change rien, mais ca aussi c'est hors de ta portee je suppose.
Les failles patchees, tu sais si qq'un les connaissait avant ? Moi non, toi non plus, la MoFo non plus d'ailleurs. Ils ne les ont pas vu publiquement utilise, c'est tout ce qu'ils peuvent en dire.

Le truc rigolo c'est que toutes les failles hautement critique de firefox ont ete patche et je ne pense pas que MS soit "open-source " sur la divulgation des failles de leur soft...

Ca non plus tu n'en sais rien vu que tu n'as pas acces aux bugs de securite de Firefox, ils sont d'acces prive uniquement.

Oui oui bien sur, tu en as d'autres des aneries dans ce genre ?

Le site est down, ou sujet a un DDoS (erreur 'trop de connections' de MySQL)

Ces durees d'exposition si elles sont calculees par rapport au temps de sortie du patch ne veulent rien dire, cf. mon exemple plus haut et l'explication de la maniere dont MoFo et MS sortent leurs patchs par Matthieu, si la page parle d'autre chose je re-repondrai quand le site sera fonctionel.

Hahaha, l'idiot du village qui revient.

Je me souviens pas avoir dit nulle part que sous Windows/IE c'etait mieux, si t'as vu ca tu me le montres, sinon tu apprends a lire

Quand au reste de tes inepties

http://www.mozilla.org/security/announce/2006/mfsa2006-64.ht(...)

14 septembre 2006

As part of the Firefox 1.5.0.7 release we fixed several bugs to improve the stability of the product. Some of these were crashes that showed evidence of memory corruption and we presume that at least some of these could be exploited to run arbitrary code with enough effort.

Allez, retourne te coucher, ou va apprendre la difference entre critique et extremement critique(je t'aide c'est ecrit sur le site de Secunia)

Je sais, mais j'avais peur de lancer un troll "obscurantisme des bugs de securite entre MoFo et MS" donc j'ai prefere jouer au mechant :+)

Ah la naivete c'est beau...

Ce temps de patch, il veut dire quoi ? Le temps entre le moment ou la vulnerabilite est _publique_ et le temps ou le patch sort.

Maintenant, je trouves une faille dans Firefox, je ne la rends _pas_ publique.

Je hacke un serveur, mets une page web qui tire avantage de la vulnerabilite ainsi que le shellcode qui va bien.

J'attends.

Je hacke la machine de plein de gens jusqu'a ce que qq'un decouvre le pot aux roses, si ca se trouve ce sera des semaines ou des mois plus tard, comme on a vu le serveur GNU rester hacke pendant des semaines, et alors la la faille devient publique, et partant de la tu as 3 jours en moyenne jusqu'au patch.

Mais bon, si tu aimes vivre dangereusement c'est ton droit hein.

Par contre, pour linux, rien d'automatique n'existe. Rien que la diversité empéche de rendre le dévelopement d'un tel soft peu interrescant.

Qui te parle d'un bot ? Il s'agit de visiter un site web que tu crois inoffensif et te faire hacker a travers ca. Et des hacks a travers Firefox ca existe: http://www.eweek.com/article2/0,1759,1814056,00.asp

Si tu lis bien l'exemple que j'ai donne plus haut, la seule action necessaire pour que ta machine se fasse hacker, c'est que tu visites un site qui tire avantage d'une vulnerabilite dans ton browser.

Maintenant, tu es libre de prier pour que les sites que tu visites ne se fassent jamais hacker, mais tu te souviendras qu'il y a eu des serveurs de Gentoo, GNU, ... qui se sont fait hacker dans le passe entre autre ainsi que d'autres sites "non geek", bref, il y a un risque meme en visitant des sites non suspects.

Resultat, un firewall qui te permet de detecter et empecher l'ouverture d'un port par un processus inconnu, c'est une bonne chose. Ca cree un obstacle de plus pour le hacker pour un cout quasi nul.

a) Va jeter un oeil a Firefox et le nombre de failles qu'il y a eu dedans ces 2 dernieres annees, toutes les failles "beantes" sont corrigees assez rapidement elles.
b) Comme je l'ai montre plus haut, te faire hacker en user ouvre la porte a te faire hacker en root, a travers un remote shell et une faille locale. Si c'etait inutilise par les hackers ils s'emm.. pas a sortir des patchs pour tous ces softs hein.

Je vais te donner un des moyens habituels d'hacker une machine Linux :

1) Tu utilses une faille pour t'introduire sur le systeme, meme en tant que user
2) Tu chopes un remote shell
3) Si tu n'es pas deja root, tu utilises une faille locale pour le devenir, il y en a quasiment toujours une de dispo qqe part(pas de cris, c'est de meme pour a peu pres n'importe quel systeme).

C'est _TRES_ frequent.

Quand a transofmer une machine Linux en zombie, c'est tout aussi simple que n'importe quelle autre machine, il y a pas besoin d'etre root pour envoyer du spam.

Serieusement, faut enlever les oeilleres ou vous allez vous reveiller un matin avec une sacre gueule de bois.

Bah, pas besoin de 90% de reduction, les desktops sont toujours sous Windows.

Quand a 90%, si c'est le chiffre qui vient du cas de Munich, c'etait loin d'etre 90% en passant.

Qu'est ce que le marketing de mon patron a a voir la dedans ?

En fait ce sont les serveurs de management(ceux qui se chargent de la maintenance des serveurs/desktops genre push de patchs, etc...) qui vont passer sous Linux, ca n'a rien a voir avec les desktops eux meme.

La RATP voulait une solution qui supporte a la fois Linux et Windows niveau management des systemes, c'est pour ca qu'ils ont change leur systeme existant.

cf. l'exemple de la vulnerabilite dans Firefox donnee ci-dessus, t'as beau savoir ce qui tourne, si ca t'arrive tu ne verras rien alors que le firewall lui bloquerait le remote shell.

Tu peux te faire hacker ta machine si il y a une faille dans Firefox et que tu visites un site qui tire avantage de la faille, pas besoin d'avoir un port ouvert en etat listening pour ca.

sauf que cela n'a aucune utilité sur une distrib linux. Tu fais confiance à tout tes softs.

Oui oui bien sur, personne n'ecrit de softs ayant des failles qui peuvent etre exploitees sous Linux c'est bien connu.

Genre une faille dans Firefox qui est exploitee quand tu visites un site web et qui permet a un exploit de creer un remote shell ca serait totalement impossible hein...

Faut penser a ouvrire les yeux un peu, a marcher les yeux fermes tu vas finir par prendre un poteau.

Un firewall ca permet d'EMPECHER le traffic sortant non voulu, quelle que soit l'heure.

Tes yeux visses sur le modem, a part t'empecher de regarder l'ecran ils ne te permettent pas d'empecher le traffic sortant, juste de le detecter(et encore, faut perdre du temps a voir si c'est du traffic permis ou pas, ...), et ils ne te permettent pas une surveillance constante.

Personnellement je mettrai ca un petit peu avant la sortie du kernel 2.2