• # Interessant...

    Posté par  (site web personnel) . Évalué à 9.

    Voilà, juste un avis rapide. Je viens de lire l'ensemble et j'avoue trouver l'article très interessant et il nous fait prendre du recule sur les fondements de l'informatique et plus spécifiquement des OS.

    Un exemple, pourquoi avoir un antivirus gêrant 75000 signatures (ne contenant bien évidement pas des virus encore "inconnus") pour protéger 30 programmes alors que nous pourrions (grossièrement) interdire toute application hormis nos 30 que nous utilisons régulièrement ? Nous serions alors protégés contre tous les virus, ver, spyware!

    Peut être y aviez-vous déjà pensés, c'est con certe, mais ca ne m'étais jamais venu à l'ésprit... peut être que je suis trop aveuglé par le système et la logique qu'on nous impose.

    Ca mériterai un débat sur un journal publique non ?

    • [^] # Re: Interessant...

      Posté par  . Évalué à 2.

      L'article est hyper intéressant en effet...

      cf la remarque ci dessus, à raprocher (et l'article commence par ça) de tiens je vais bloquer les ports de services potentiellement vulnérables du firewall, plutot que de tout bloquer et de ne laisser passer que le necessaire...


      Il parle aussi de l'approche Penetrate & patch qu'il oppose à systeme bien concu dés le début, en gros c'est perdre du temps que de vouloir attaquer un systeme et corriger les trous, autant avoir quelque chose de modulaire, dont chaque brique est bien pensée dés la conception (postfix,qmail).


      J'aime beaucoup le

      "It is often easier to not do something dumb than it is to do something smart."
      Sun Tzu didn't really write that in "The Art of War" but if you tell IT executives that he did, they'll take you much more seriously [...]


      "Il est souvent plus facile de ne pas faire quelque chose d'idiot plutot que de faire quelque chose de malin"
      Sun Tzu (Sun Tse chez Agora) n'a pas vraiment ecrit ça dans L'art de la guerre mais si vous le faites croire à vos admins systèmes ils vous prendront beaucoup plus au sérieux [...]"

      Traduction libre...

      En plus ça me parle d'autant plus que je le dis quasiment tous les jours à ma copine bavarde, "c'est plus facile de ne pas dire de betises/gaffes que de dire quelque chose de malin/spirituel"

      • [^] # Re: Interessant...

        Posté par  . Évalué à 4.

        Ta traduction flanche sur un détail : par IT executives, il ne faut pas comprendre admin systeme, mais managers des questions informatiques (executive, comme dans pouvoir executif en français, celui qui prend les décisions).

        En gros, le supérieur des sysadmin :)

        Je ne suis pas sur que les sysadmins soient si influençable à des citations, lorsqu'il est question d'informatique. Je n'ai par contre aucun doute dès lors qu'il est question d'un manager :))

        • [^] # Re: Interessant...

          Posté par  . Évalué à 1.

          Ah ok, merci, je savais pas trop comment traduire IT executives

          Tu as tout à fait raison pour les managers... ;-)

    • [^] # Re: Interessant...

      Posté par  . Évalué à 5.

      Un exemple, pourquoi avoir un antivirus gêrant 75000 signatures (ne contenant bien évidement pas des virus encore "inconnus") pour protéger 30 programmes alors que nous pourrions (grossièrement) interdire toute application hormis nos 30 que nous utilisons régulièrement ? Nous serions alors protégés contre tous les virus, ver, spyware!

      Ca peut marcher sur un unix like. Mais sous Windows ca ne marche pas du tout. Entre RunDLL32 et les ActiveX/Plugins divers et avariés qui peuvent être chargés et exécuté par Internet Explorer/Explorer (ou autre, mais IE a la palme) on se retrouve assez vite à devoir vérifier l'ensemble du système, y compris des trucs à priori pas executables du tout comme des images ou des liens HTTP...

      En bref à moins de signer tout le système point de salut dans la limitation à certains executables (ou alors on passe par des restrictions fortes sur la machine, parceque RunDLL32 c'est quand même assez utilisé). Et sous windows il faut resigner tous les composants "critiques" fréquamment (au minimum tout les services packs, et assez souvent lors des mises à jours critiques ou "de confort").

      Bref anti-virus ou rien...

      • [^] # Re: Interessant...

        Posté par  . Évalué à 2.

        A priori, tout le système correspond tout de même à moins d'executable que de virus possibles, non ?

        Donc ça parait plus simple. D'autant que la mise à jour n'est nécessaire que lorsque de nouveaux logiciels sont installés ?

        Moi ça me parait plus logique. Toutefois, je comprend bien que cela soit probablement moins rentable pour les fabricants d'anti-virus.

        • [^] # Re: Interessant...

          Posté par  (site web personnel) . Évalué à 2.

          1) C'est inaplicable sur une machine de développement.

          2) Pour installer un nouveau soft, il faut l'autoriser. Le nouveau virus te donnera la marche à suivre pour s'auto-autoriser, et Luce et Henri vont faire ce que le virus leur demande (quand la boite de dialogue machinbidule, ... cliquer sur "oui", sinon, la super extension de la mort machintruc ne marchera pas). Ça limiterait les dégats, mais sans plus.

          A noter que ce genre de trucs existe déjà. J'ai déjà vu des Windows XP dans des cyber-cafés qui m'interdisaient de lancer le putty que je venais de télécharger par exemple. Mais ça ne marche que quand l'admin est compétent.

      • [^] # Re: Interessant...

        Posté par  (site web personnel) . Évalué à 3.

        Je pense qu'il y a mieux que de limiter le nombre de programmes exécutables. On peut limiter ce que peut faire chaque programme. Par exemple il n'y a probablement pas de raison qu'un applet ActiveX touche à quoi que ce soit sur le disque dur. Une fois que tu as des permissions de ce type qui sont mises en place correctement, l'antivirus ne sert plus à grand chose puisque l'OS limite déjà ce que peut faire chaque programme (bon effectivement le problème c'est de créer et maintenir ces règles).

        cf systrace et SELinux

        Sinon l'idée de l'article (sur ce point là en tout cas) c'est de concevoir dès la base un système le plus résistant possible à tous les niveaux. Rien ne sert de patcher une passoire (et donc pour Windows c'est un peu mort de toute façon).

        pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

    • [^] # Re: Interessant...

      Posté par  . Évalué à 2.

      Sur les 30 applications, on va dire qu'il y a systématiquement un navigateur internet, disons "EI". Luce et Henry utilisent EI sans même s'en rendre compte, ils cliquent "ca ouvre internet".

      Maintenant Henry est un peu vicieux, il va sur un site malformatté pour télécharger le dernier crack à la mode. Malheureusement la page consultée exploite une faille connue (mais non patchée par Henry) pour installer sur son ordinateur "les virus, ver, spyware".

      Comble du malheur pour Henry, rien n'empeche "les virus, ver, spyware" de modifier son système pour qu'ils soient, de facon transparente, capable d'accéder à internet. Rien, puisqu'Henry utilise son système d'exploitation avec le compte Administrateur.

      Ah oui, j'oubliais: Luce et Henry représentent la majorité des utilisateurs.

      --> Il n'y a pas UNE solution magique. Ce que montre l'article c'est que la sécurité est avant tout un problème "social" : un problème d'information et d'éducation. Si au moins Henry appliquait ses patchs ! Ca ne serait toujours pas LA solution, mais ce serait un premier pas.

      • [^] # Re: Interessant...

        Posté par  (site web personnel) . Évalué à 2.

        L'idée c'est que si le navigateur web d'Henry n'avait pas le droit de modifier le système, le problème n'existerait pas et il pourrait laisser le navigateur non patché pendant des mois sans problème (bon avec un navigateur web il reste les problèmes de phishing).

        Par ailleurs dans l'article il dit bien qu'il ne croit pas en une solution qui passerait par l'éducation "forcée" des utilisateurs. Selon lui, mieux vaut concevoir des systèmes qui résistent aux "bêtises" des utilisateurs (ou mieux: qui les incitent à ne pas faire de "bêtises") plutôt que de passer son temps à essayer de leur expliquer comment ne pas faire de "bêtises". Si on suit cette logique, c'est pas la faute de l'utilisateur qui ne patch pas mais celle de celui qui a conçu le système puisqu'il y a besoin de patcher (et même s'il faut patcher, l'utilisateur ne devrait pas avoir à s'en soucier).

        pertinent adj. Approprié : qui se rapporte exactement à ce dont il est question.

      • [^] # Re: Interessant...

        Posté par  . Évalué à 2.

        Le truc c'est : Pourquoi Luce et Henry sont administrateurs ?

        Sous windows en tout cas, c'est par défaut, le premier compte installé, mais il suffirait que ce premier compte installé soit un compte 'Admin' , meme sans mot de passe...

        Avec un utilisateur sans droits, pour sufer/travailler/etc.
        Runas pour installer des programmes/lancer ceux qui sont mal ecrits, avec les droits super utilisateurs.

        L'ideal etant de reduire au maximum le perimetre d'action de l'administrateur, idéalement qu'il ne puisse finalement que installer des programmes et des peripheriques*... pour ca c'est pas gagné... C'est ce que fait Ubuntu avec sudo, c'est aussi pour ca qu'il est completement absurde d'affecter un mot de passe à root sur cette distrib. Elle a ete prevue pour fonctionner avec sudo.


        * Ainsi plus de tentations de travailler en admin/root

  • # A contre-pied

    Posté par  (site web personnel) . Évalué à 5.

    Seigneur que c'est intelligent!
    Ramus prend à contre-pied tout plein d'idées répandues et très stupides selon lui. Certaines conclusions sont connus et sont le leitmotiv de beaucoup d'experts en sécurité, comme n'autoriser que ce qui doit passer plutot qu'interdire ce qui ne doit pas passer. D'autres méritent plus d'attention: il est stupide de vouloir éduquer les utilisateurs, de tester la sécurité et patcher, de vouloir etre un hacker (pas un cracker, mais bien un hacker). As-t-il raison? il a de bons arguments en tout cas.
    Je vais faire le malin: il me semble que ce genre d'article mérite d'être relu, ruminé comme dirait Nietzche, parce qu'en avoir simplement une opinion ne suffit pas. Il y a intéret à être convaincu et bien savoir s'il a raison ou pas.

    "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay

    • [^] # Re: A contre-pied

      Posté par  (site web personnel) . Évalué à 1.

      Ramus

      je lis trop de science-fiction... c'est Ranum.

      "La liberté est à l'homme ce que les ailes sont à l'oiseau" Jean-Pierre Rosnay

    • [^] # Re: A contre-pied

      Posté par  . Évalué à 4.

      « D'autres méritent plus d'attention: il est stupide de vouloir éduquer les utilisateurs, de tester la sécurité et patcher, de vouloir etre un hacker (pas un cracker, mais bien un hacker). As-t-il raison? »

      J'ai l'impression que tu as mal lu certain passage.

      - il ne dit pas qu'il est stupide de tester la sécurité de patcher, il dit qu'il est stupide de penser que les admins systèmes le feront comme il faut, et que par conséquent la sécurité ne peut reposer que là dessus -- mais en soit, l'activité n'est pas stupide.
      - il parle bien de cracker, et non pas de hacker : « One of the best ways to discourage hacking on the Internet is to give the hackers stock options, buy the books they write about their exploits, take classes on "extreme hacking kung fu" and pay them tens of thousands of dollars to do "penetration tests" against your systems ». Il est certain qu'il ne parle pas de donner des stocks options à ESR, ni de demander à ESR d'écrire des bouquins sur les exploitations de faille qu'il a réalisée, ni de payer ESR des milles et des cents pour qu'il tente de cracker ton system. « Hidden in Parker's observation is the awareness that hacking is a social problem. It's not a technology problem, at all. "Timid people could become criminals." » Là aussi, il est évident que l'on parle de cracker, puisque le fait de hacker n'est clairement pas une activité délictuelle, on contraire du crackage.

      • [^] # Re: A contre-pied

        Posté par  . Évalué à 2.

        il ne dit pas qu'il est stupide de tester la sécurité de patcher,

        Tu comprends cette phrase comment alors ?

        "Penetrate and Patch" crops up all over the place, and is the primary dumb idea behind the current fad (which has been going on for about 10 years) of vulnerability disclosure and patch updates.



        "Pénétrer et Patcher" apparaît partout, et est la principale idée stupide derrière la mode actuelle (qui dure depuis environ 10 ans) de publication de faille et de mise à jour de sécurité.

  • # attention

    Posté par  . Évalué à 3.

    Oui, enfin attention, ces idees ne sont pas si nouvelles que ca. Par exemple, pour le deuxieme point, elle consite a signer toutes les codes executables sur un ordinateur, et de n'executer que les codes signes.
    La question est alors:
    Qui signe les executables?
    Combien il facture l'operation, et a qui?
    Est ce qu'on peut vraiment faire confiance a cette autorite?
    Comment faire valider les logiciels libres?

    • [^] # Re: attention

      Posté par  . Évalué à 2.

      Euh, surtout pas malheureux, on ne signe pas les executable !

      On signe les packages et ensuite on donne des droits d'acces precis a chacun des fichiers installes par ce package en prenant en compte cette signature (le tout peut-etre renforce par des mecanismes a la SE-Linux).

      Pourquoi ? Tout simplement parce qu'il est beaucoup plus difficile de generer un package compresse se decompressant en quelque chose d'utilisable qui aurait la meme signature qu'un autre package. Un binaire executable peu plus facilement avoir du sens donc a eviter.

      Ensuite vient les problemes de qui signe et comment on peut les truster... Dans le monde Linux, c'est le boulot des fournisseurs de distributions, dans le monde Windows, c'est des encaisseurs de cheque... (De toute facon signer une boite noire n'est pas forcement tres malin...)

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.