pasBill pasGates a écrit 16204 commentaires

est-ce que dell ou nasdaq en font partit ?

J'en sais rien, t'as la liste ? Moi pas

il est logique d'exclure microsoft , parce que le fait qu'il utilise est logique
il font quand-même vendre des produits qu'ils n'utilisent pas

Rien de logique la dedans, ou alors evites d'appeler ca "les 50 plus grands sites"

je ne vois pas d'insinuation dans cette partie sur le fait qu'apache a moins de faille qu'IIS

Ben relis bien le papier et tu verras.

Exemple : quand tu veux lancer Age Of mythology, pan il faut le lancer en administrateur (véridique, j'ai jamais compris pourquoi d'ailleurs).

Quel rapport avec l'OS ?

Et le panneau de config, le lancement d'une installation...

Sous Linux t'utilises su, sous Windows runas.exe, quel est le probleme ?

Bref, tu prends des applis pourries et tu rejettes la faute sur l'OS, c'est un peu gros

il parle logiquement de site non déténu par microsoft .

Non ca n'a rien d'evident, il parle des 50 plus gros sites, plusieurs parmis eux sont de MS, ils tournent tres bien et repondent sans probleme a la demande.
Si tu veux d'autres gros sites, t'as Dell, le Nasdaq, ... qui sont sous IIS aussi

Il dit que le fait d'avoir accés au sources donc rien avoir avec le nombre de failles ou alors montre que celui-ci est liée

Non, il insinue qu'Apache a moins de failles, ce qui est faux

ah bon quand je regarde les utilisateurs de xp ils utilisent tous le compta admnistrateur

Et si j'utilises Linux en root uniquement ca en fait un systeme mono-utilisateur ?

Pour toi, est-ce une évidence que msn.com microsoft.com fassent parti des 50 "top web sites" ? D'ailleurs, comment décide t'on qu'un site web fait parti des 50 premiers sites web de part le monde ?

Tu comptes le nombre de hits, et tu verras vite que msn, hotmail et microsoft.com sont des sites majeurs

Je dévie un peu du sujet. A l'époque de NT, on parlait souvant du "monthly reboot", voir du "weekly reboot". J'avais d'ailleurs trouvé une information que MS lui-même recommandait de rebooter régulièrement les serveurs NT

J'adorerai voir ou est-ce que MS a donne un conseil pareil

Aussi, dans le cadres des serveurs XP, MS recommande t'il toujours de rebooter régulièrement les machines ? Si oui, quelle est la fréquence ?

MS n'a jamais recommande un truc pareil

Ma remarque est toute simple : Depuis quand un éditeur de soft se sent'il obligé de faire autant de tapage pour l'installation d'un simple patch ?

Le SP2 est un simple patch ? Faut aller te renseigner mon cher.

Mon sentiment est que MS tient vraiment à ce que tous les utiisateurs de Windows installent le SP2. Mais il y a quoi de si important dans ce SP ?

http://www.microsoft.com/windowsxp/sp2/preinstall.mspx(...)

A comparer avec par exemple les sites de http://www.debian.org(...(...)) , http://www.mandrakelinux.com/(...(...)) , http://www.redhat.com/(...(...)) , qui ont juste des quelques liens moins "tape à l'oeil" vers les pages de mise à jours, patchs, et autres correctifs...

Ils n'ont pas un lien vers leur derniere distrib ? Ben voila, c'est la meme chose.

Un firewall doit etre activé au point d'entrée sur un réseau, pas sur toutes les machines à l'intérieur

Et pour les gens qui ont XP a la maison, le point d'entree c'est quoi si ce n'est la machine elle meme ?

ca serait pas mieux de pas laisser trainer des ports RPC ouverts ?

Ca resoudrait quoi ? Ca empecherait les hackers d'attaquer d'autres ports ? Non.
Avec le firewall qui tourne, tu sais qui ecoute sur le reseau, tu peux decider de le permettre ou pas, ...

This reasoning backfires when one considers that Apache is by far the most popular web server software on the Internet. According to the September 2004 Netcraft web site survey, [1] 68% of web sites run the Apache web server. Only 21% of web sites run Microsoft IIS. If security problems boil down to the simple fact that malicious hackers target the largest installed base, it follows that we should see more worms, viruses, and other malware targeting Apache and the underlying operating systems for Apache than for Windows and IIS.
...
Yet this is precisely the opposite of what we find, historically. IIS has long been the primary target for worms and other attacks, and these attacks have been largely successful


http://www.zone-h.org/en/winvslinux2(...) prouve que c'est faux
Compter le nombre de failles trouvees dans IIS6 & Apache 2 aussi

None of the top 50 web sites runs Windows or Microsoft IIS

Encore une enorme connerie. msn.com et microsoft.com tournent sur quoi d'apres vous ?

But it does notexplain why Windows is nowhere to be found in the top 50 list. Windows does not reset its uptime counter. Obviously, no Windows-based web site has been able to run long enough without rebooting to rank among the top 50 for uptime.

Et une autre connerie, patcher peut rebooter le systeme. Rien a voir avec la stabilite

Obviously, the fact that malicious hackers have access to the source code for Apache does not give them an advantage for creating more successful attacks against Apache than IIS.

Totalement faux quand on compare les failles trouvees dans les dernieres versions de ces 2 softs

The Microsoft Security Bulletin MS03-010 about the Denial Of Service vulnerability in Windows NT says this will never be repaired.

Marrant comment il se plaint que MS ne fixe pas un bug dans un OS vieux de 7 ans, Redhat corrige encore les bugs dans les distrib de 1996 ?

Microsoft stated that it would not repair Internet Explorer vulnerabilities for any operating systems older than Windows XP.

Encore un autre mensonge

Windows XP was the first version of Windows to reflect a serious effort to isolate users from the system, so that users each have their own private files and limited system privileges

Encore un autre enorme mensonge, NT l'a toujours ete

etc....

Non serieux, il atteint les sommets niveau conneries par phrase, il essaie de battre le record du monde

Le gars qui a ecrit ca est un menteur

IE ne peut pas envoyer autre chose qu'un SYN comme premier paquet d'une connexion tout simplement car il n'a aucun moyen de le faire, rien ne permet cela dans le systeme, et c'est totalement illogique et infaisable car ca empeche toute negotiation de taille de fenetre, timestamp, ... sans parler du fait que les 2 cotes n'ont des lors aucun moyen de faire un handshake correct avec echange de numeros de sequence, aucun moyen de savoir si le paquet entrant est une nouvelle connexion ou pas, ...

Cette enorme connerie qu'il raconte est _impossible_ en utilisant TCP comme protocole.

C'est du FUD, et rien d'autre

Ah oui tiens, c'est original, ils ont repris des trucs d'OS/2 (lesquels au fait ?), un OS qu'ils ont developpe en commun avec IBM.

me rappelent que Microsoft utilisait il y a pas si longtemps la fermeture de leur source comme un argument de sécurité. Ce n'est pas compter sur la sécurité par l'obscurité ?

Ne pas melanger l'opinion d'un developpeur et de sa boite, c'est 2 choses differentes

et rien d'autre sur la façon dont la sécurité a été amélioré (ou vas l'être) pour Longhorn.

Ben il y a des trucs qu'on n'a pas le droit de reveler, et d'autres qui sont dispo publiquement, suffit de chercher ce qui s'est dit pendant le PDC, les docs sur microsoft.com,...

je ne trouve pas ca rassurant, surtout si ils reprennent la couche réseau du SP2. Pour les utilisateurs de XP dans notre réseau, l'installation de SP2 a posé de gros problèmes, le mieux étant que pour deux ordinateurs identiques (celui proposé par l'école), les effets étaient différents. Outre les programmes ne fonctionnant pas, et le firewall qui bloquait tout, il y'avait aussi un truc super chiant : l'update modifiait plein d'options de configuration.

Ben que le firewall bloque tout c'est normal. Un systeme sur commence par tout bloquer par defaut, et tu debloques ce dont tu as besoin, ca s'appelle reduire la surface d'attaque.

Quand aux problemes, j'aimerais bien que tu detailles un peu plus, quels types de problemes ?

Pour Longhorn, perso je trouves tout a fait normal que les gens doutent jusqu'a ce qu'ils l'aient devant les yeux, mais sachant ce que je sais, je suis assez d'accord avec lui.

Ce que t'as du mal a comprendre c'est que les grosses boites n'achetent pas 200'000 XP juste parce que la pub a la TV est jolie, ils l'achetent car XP fait ce qu'ils veulent, et c'est de cette maniere que le produit est developpe. Siemens ne s'est pas retrouve avec plus de 350'000 machines sous XP apres que le PDG ait vu la pub.

On va jeter un oeil sur ce que les gens veulent, ce que la plupart veulent sera inclus dans l'OS(si c'est faisable, on est pas magicien non plus), et on ajoutera des elements qui selon nous peuvent creer de nouvelles debouchees, etc...

Croire que Windows se vend juste grace a la communication c'est se fourrer le doigt dans l'oeil hyper profond et refuser de voir la verite en face. La pub ca joue, mais c'est loin d'etre suffisant pour vendre un produit.

Tu peux utiliser EA/B/C/DX sans aucun probleme sans etre en mode protege.

Si t'as un compte avec acces root, t'edites le fichier shadow et tu vires/change le mot de passe.

Si t'as pas acces, tu bootes sur un autre CD, tu montes la partition / et tu fais de meme.

Un ; n'est rien d'autre qu'un separateur en C, on peut en mettre 20'000 a la suite si on veut et a peu pres partout aussi.

{...};;

C'est equivalent a

{...}
<instruction vide>
;
<instruction vide>
;

Bref, du C parfaitement valide.

« c'est juste une histoire de code ecrit de maniere defensive ou pas. »

Vu toutes les techniques différentes qui font planter IE avec du code valide ou invalide, ça n'est apparement pas de cette manière qu'est écrit IE.

Eh hop, encore un petit delire pour mettre IE et MS dedans.

T'as une obsession la dessus mon pauvre, faudrait penser a aller voir un psy.

Toi devoir utiliser un filesystem avec des ACLs et faire tourner un serveur ftp standard, et c'est tout

Comme ca toi pouvoir definir tres precisement qui accede a quoi, de maniere bcp plus fine que les droits Unix habituels

MySQL a rien a faire la dedans en passant.

Le hic c'est que les gens croient que le popup vient de citibank.com apres qu'ils aient ouvert le tab(car ils verront le site citibank avec un popup par dessus) alors qu'il vient de secunia, resultat tu fais un dialogue qui demande le nom / mot de passe et pouf, l'utilisateur moyen se fait avoir.

C'est amusant, toujours a mettre le focus sur la partie qui t'obsede, ou me vois tu protester que les gens pensent l'inverse ?

Mon post expliquait simplement qu'un browser qui n'affiche que du code valide w3c ne doit pas pour autant crasher quand il recoit du code invalide, et qu'afficher du code invalide n'avait rien a voir avec le fait d'etre plus solide de ce cote la, c'est juste une histoire de code ecrit de maniere defensive ou pas. Maintenant pour je ne sais quelle raison tu pars dans un trip MS encore une fois.

Sauf que le SP2 a été, pour une fois, compilé avec le minimum e tolérance à l'exécution... en virant sûerment quelques compatibilités propres à MS qui doivent faire chier de nombreux "webmestres" qui étaient, y'a 4 ans, spécialisés dans les sites "MSIE only".

Non, rien dans le parsing du HTML n'a change dans SP2(a part peut-etre des bug fixes, mais il parse le meme HTML qu'avant).

La difference ici entre IE et les autres, c'est qu'IE ne *crashe* pas. Il va peut-etre afficher le HTML, peut-etre pas, mais dans tous les cas testes il ne crashe pas/gonfle en RAM/..., il va jetter l'eponge si le HTML est trop bordelique mais c'est tout, alors que les autres browsers ont semble-t-il des problemes a traiter du HTML invalide sans planter.
Mozilla/Opera/... est libre de rejeter tout ce qui est non conforme w3c, mais il ne devrait pas crasher pour autant, il devrait afficher une page d'erreur/blanche/autre

Et qu'est ce qui te dit qu'un plantage n'est pas du a une faille de securite ?

Le premier symptome d'un buffer overflow ou stack overflow, c'est le plantage du soft. Ensuite, tu tires avantage de l'overflow pour qu'au lieu de planter, le soft fasse ce que tu veux.

Faut arreter de croire qu'une faille de securite c'est autre chose qu'un plantage, dans bcp de cas un plantage _est le signe_ d'une faille de securite.

D'ou l'usage du mot *potentiellement* dans ma phrase

Ben quand j'ai lu pas de vraies failles de sécurité qui ont des conséquences plus graves, j'en ai conclu que La grande question est donc: les bugs qu'il a découvert peuvent-ils être utilisés "intelligemment" ne signifiait pas "buffer overflow", sinon la 1ere phrase n'aurait pas de sens vu qu'un buffer overflow a la lecture d'une page c'est une vraie faille de securite aux consequences graves. Je croyais que tu faisais reference a d'autres techniques genre cross-frame, etc...

Mais bon, une remarque quand même, le monsieur parle de sécurité, mais il n'a trouvé que des bugs qui font planter les navigateurs, pas de vraies failles de sécurité qui ont des conséquences plus graves, comme on en voit régulièrement sur IE.

Ca tu n'en sais rien, faut analyser ce qu'il a trouve comme faille.

Perso, quand je vois que Mozilla *crashe*, ca veut dire qu'il y a probablement eu un acces memoire non autorise, bref, potentiellement un buffer overflow.

C'est ca que les gens qui utilisent Mozilla regulierement ont un peu de mal a comprendre, si ils surfent sur un site et que Mozilla plante, c'est un bug oui, mais potentiellement c'est aussi une faille de securite selon le type de crash(et c'est valable pour IE aussi donc)

Larry Osterman bosse chez MS depuis DOS 4.

Larry Osterman est le gars qui a mis un lien sur l'article BugTraq dans son blog.

L'auteur de l'article sur BugTraq n'est pas Larry Osterman.

Ben il est baleze le gars, parce que : http://lcamtuf.coredump.cx/(...)

Il a 23 ans, si il a commence a bosser chez MS lors de DOS 4, il avait alors moins de 10 ans quand ils l'ont engage...

Et d'ou sors tu cette info comme quoi ce serait un ancien employe ?