Un débat intéressant sur la sécurité qui a ouvert cette semaine avec l'apparition de deux étendue pour firefox descargables et instalables depuis Mozilla Add-ons et probablement infectées avec un troyano. Plus loin on a vérifié que l'une d'elles était propre.
Au-delà du banal, cela ouvre toute une réflexion sur les processus de qualité et de vérification de la part de Mozilla de toute cette étendue (un software, dans un dernier cas) descargables depuis son dépôt. À ce sujet je veux détacher le post de Sergio que je crois qu'il a beaucoup de raison quand il recommande d'être prudent avec l'usage du navigateur pour des travaux sensibles. C'est évident pour beaucoup de personnes (entre les lecteurs de ce blog j'imagine qu'il a contourné pour presque tous), mais pour la majorité penser à ces termes sera quelque chose de nouveau parce qu'ils ne le se sont pas posés avant.
Il ajouterait, de plus, que dans notre papier de prescriptores technologiques (je parle par moi et mon environnement, sans aller plus loin,) il est important que, en dehors de recommander l'usage de software libre et de pratiques plus sûres, nous missions l'accent spécial sur la prudence et le bon sens. Évidemment, les systèmes 100 % sûrs, fiables et invulnérables n'existent pas. (N'importe lequel qui nous dit que son software ou son système est en général 100 % sûrs peut être immédiatement catalogué comme crétin sans la peur de nous tromper). mais où la technique ne peut pas arriver, s'il peut nous rapprocher (nous n'arriverons jamais, obv) le bon ensemble de bonnes pratiques. Finalement, quand nous parlons d'une sécurité nous sommes le plus faible chaînon et il a de sens de réduire l'insécurité dérivée du mauvais usage même des outils.
Je veux aussi commenter une question qu'Oscar pose dans le blog de Sergio, qui a été la gâchette authentique pour écrire ce post : un commentaire qui m'est resté long et enfin j'ai décidé de monter à post. Il dit l'Oscar : «Je n'ai pas réellement de temps et de connaissances pour prouver le code de l'un ou un autre navigateur. quelles seraient les règles pour choisir le meilleur ou le plus sûr ?»
Ici ma réponse vient :
Demander les règles pour reconnaître et choisir le navigateur le plus sûr est une question si vaste qu'il requiert une réponse dont l'étendue donnerait pour écrire un blog (non un post, un blog) seulement pour découper ces règles.
Le software libre est-il plus sûr que le privatif ? D'une entrée il est auditable avec la plus grande facilité, ce qui n'implique pas de plus grande sécurité, seulement que s'il y a un code malicieux il est possible qu'il soit découvert par moins un retard. L'usage de software libre a des avantages innombrables, mais celui-ci n'a pas parce qu'être intrinsèquement plus sûr toujours. Il est possible qu'il le soit dans des termes généraux gráce à la facilité d'auditorat (si non propre de l'utilisateur, oui de la communauté - si important pour qu'un projet de software soit vraiment libre), mais il peut ponctuellement être incertain comme tout software.
Sans aucun doute qui profitera de cet incident pour lancer de la peur, incertitude et doutes sur Firefox. Personne ne devrait s'alarmer, cependant. Firefox continue d'être raisonnablement une option sûre que, utilisé avec une bonne adresse, il supporte moins de risques que d'autres options.
Mais oui, dans le temps, pour venir et si la taxe d'utilisateurs de Firefox continue de grandir, cette quotité d'utilisateurs adviendra le plus grand problème de sécurité pour Firefox et ses programmeurs. Pensons pour un instant comment un développeur de code malicieux le ferait : il va me coûter le même temps (il n'a pas porqué, mais assumons cela comme une approche d'ordre zéro correct) développer mon attaque contre un navigateur spécifique. Investis-je mon temps pour attaquer 1 % d'utilisateurs, 20 %, 40 % ? Si nous assumons aussi l'inexistence les intérêts concrets qui décantent mon élection d'objectif, mon attaque sera dirigée au navigateur qui ouvre la porte de plus de victimes potentielles : le navigateur le plus utilisé. D'une entrée, il transforme cela à IE8 en cible préférée, suivie de Firefox. Nous ne devrions pas être surpris, donc, que chez l'avenir deviennent de plus en plus fréquentes les attaques spécifiques contre ce navigateur qui a l'attrait additif (pour l'attaquant) d'être multiplate-forme.
D'autre part, les études comparatives de sécurité ne me passionnent pas vraiment entre différents navigateurs. L'utilité de ces études comparatives je la mets à une quarantaine parce qu'ils soumettent celles-ci comparatives aux navigateurs à des attaques déjà connues et les attaques les plus dévastatrices sont toujours les innovateurs, pas les connaissances. Dit de l'autre forme, il équivaut à exacerber la sécurité aéroportuaire parce qu'une fois il y a eu un attentat avec avions quand tous savons que la proche attaque massive n'aura pas lieu de la même manière que le précédent : il aura une autre forme inespérée et il nous prendra par surprise. Cette nouvelle forme inespérée et la surprise conséquente sont la base du succès de l'attaquant. C'est pourquoi je crois que les benchmarks apportent information différente de celle qui attend souvent à obtenir de ceux-ci.
Je dis que je mets à une quarantaine l'utilité de celles-ci comparatives comme mesureurs de sécurité, mais non l'information la plus subtile qui est déduite de ceux-ci : il est inadmissible qu'un navigateur soit vulnérable à des attaques connues, ils démontrent que l'équipe responsable ce software n'a pas fait son travail comme il devait. Et, tristement (parce qu'il met à un danger une multitude de personnes), il n'est pas rare qui sont découverts bugs et une vulnérabilité dans IE (ce n'est pas une fixation, il consiste en ce qu'il nous plaît ou non, IE continue d'être le navigateur le plus utilisé dans des termes absolus en février 2010) qui existaient déjà dans des versions secrètes de ce navigateur ou que le même a bugs sans parchear pendant des mois. (À l'heure d'écrit ce post, IE8 un bug compte 8 jours sans parchear modérément critique qui permet l'exposition de données sensibles à un attaquant lointain; presque ná. Pour 2 ans avec d'autre vulnérabilité sans parchear).
Depuis qu'une nouvelle vulnérabilité fait de la publicité jusqu'à ce que parchea, l'apparition de xploits qui abuse de ce jugement soit exponentielle. Il disait avant que les attaques innovatrices qu'ils sont plus dangereux parce qu'il est considéré comme réglé que les attaques déjà connues feront que le software est modifié dans une question pour améliorer sa défense. Si cette pièce n'arrive pas, l'attaquant a tous les avantages : une attaque bien connue (quelque chose qui facilite l'abus la vulnérabilité) auquel le défenseur ne s'est pas préparé. Sans consolider rien au sujet de la sécurité d'un software concret, ce type de laxisme avec les mesures temporaires ils supposent tout un argument pour arrêter d'utiliser un software déterminé.
Et voilà que je dis tranquillement tout cela, sans oublier que tout software est susceptible d'avoir des erreurs (bien sûr, aussi notre Firefox aimé) qui le rendent susceptible à des attaques. Mais: qu'est-ce que nous allons faire avec cela ? On ne peut pas éviter, l'unique qui peut être fait est parchear dès que possible. Dans cela Mozilla a donné celle de chaux et celle de sable dans à peine quelques jours : un système de vérification du software de son dépôt qui s'est démontré un imparfait (peut-être par confiance) qui tardera à recouvrer la confiance qu'il possédait entre le public a permis qu'il se glissât malware, cependant ils ont été très rapides dans la propreté de l'étendue et la suppression de cette menace concrète que de plus a démontrée être plus petit qu'il paraissait au commencement.
[Et oui, il n'est pas libre des jugements il le ne sera jamais, mais dans ces moments je ne vais personne surprendre si je dis que je recommande d'utiliser Firefox. Est-ce qu'attendiez vous une autre chose ? Le dernier résumé d'étendue de la sécurité que j'ai vue les garçons de Security by default l'ont fait.]
No comments:
Post a Comment