[MàJ] Chrome 25 bêta : la fin de l’installation silencieuse d’une extension

NeVeS a écrit :



Si Chrome a le droit d’écrire dans le profile pour y écrire ses préferences, l’utilisateur a le droit d’écrire dans le profile. Si l’utilisateur lance le malware, le malware a le droit d’écrire dans le profile. Je ne vois pas ce qu’il y a de compliqué à comprendre ici.





C’est toi qui ne comprend pas qu’un programme ne peut pas sortir de son espace définie. Chrome à le droit d’écrire dans son propre espace à l’intérieur de l’espace utilisateur. Mais il ne peut pas écrire dans l’espace de Firefox qui se situe dans le même espace utilisateur.





L’UAC n’entre pas en jeu ici, l’UAC n’intervient que pour les taches administratives, pas pour écrire dans le profile de l’utilisateur (et heureusement sinon il s’activerait toutes les secondes.).



Ce n’est pas pasque tu ne voit pas l’UAC que l’UAC n’agit pas. Ce que tu appelle l’activation de l’UAC, c’est simplement une requête du programme pour élever ses droits. Si un programme sort de son espace sans faire de requête d’élévation, l’UAC le bloque sans embêter l’utilisateur.





Ici on parle d’actions qui se déroulent intégralement sans droit administratif (écrire dans le profile de l’utilisateur, écrire dans la base de registre de l’utilisateur).



Et il faut les droit de l’utilisateur pour accéder librement à l’intégralité du profile utilisateur. Hors les programmes n’ont pas les droits utilisateurs, donc ils ne peuvent pas accéder à l’intégralité du profile utilisateur.

NeVeS a écrit :



Mais on ne parle pas de Chrome ni d’espace utilisateur ! On parle d’un malware qui installerait une extension Chrome malicieuse. Ce à quoi Chrome répond qu’on ne peut plus silencieusement installer une extension maintenant, il vaut une validation manuelle. Rien à voir avec ce que tu expliques





Ok, je reprend :







fitfat a écrit :



C’est toi qui ne comprend pas qu’un programme ne peut pas sortir de son espace définie. Chrome Le malware à le droit d’écrire dans son propre espace à l’intérieur de l’espace utilisateur. Mais il ne peut pas écrire dans l’espace de Firefox Chrome qui se situe dans le même espace utilisateur.

NeVeS a écrit :



Prenons un utilisateur. Il n’est pas administrateur sur sa machine. Il exécute le malware avec ses droits d’utilisateur simple, comme il le ferait pour lancer la calculatrice de Windows.





Justement, la calculatrice ne s’exécute pas avec les droits de l’utilisateur. De même que le malware ne s’exécute pas avec les droits utilisateurs.





Le malware peut donc écrire dans le base de registre de l’utilisateur. Comme n’importe quel programme qu’il utiliserait pour stocker ses préférences, par exemple.



Oui, mais seulement dans les zones dont il est propriétaire.





Maintenant, le malware décide d’aller modifier les préférences de Chrome dans ses fichiers de configuration. Ces préférences sont stockés dans le profile utilisateur, pour que Chrome puisse y accéder avec les droits de l’utilisateur qui l’exécute.



Mais également dans une zone dont Chrome est propriétaire. Le malware ne peux donc pas y accéder (à moins que Chrome ou un compte accrédité le lui ait donné). Accessoirement, Chrome n’a toujours pas les droits de l’utilisateur.





Chrome ou malware, les deux programmes sont lancés par le même utilisateur, et toutes les actions du malware se cantonnent à modifier des informations de l’utilisateur, ce qui ne nécessite aucun droit administratif.



Sauf qu’il n’a pas le droit. Tous comme Chrome n’a pas le droit de modifier les données d’un logiciel tiers (à moins qu’il y ait été autorisé par le-dit logiciel ou l’utilisateur/administrateur).

Et, effectivement, les droits administratif n’ont rien à voir là-dedans.





Rien n’empêche le programme B d’aller modifier les fichiers du programme A puisque ces fichiers appartiennent sur le système de fichiers au même utilisateur. On ne peut pas dire “ces fichiers sont à l’utilisateur X mais ils ne peuvent être accessibles que par l’application A”.



C’est justement le rôle de l’UAC de contrôler ce qu’il se passe à l’intérieur du compte utilisateur.