PC INpact avait révélé la signature par la Défense d’un contrat « open bar » avec Microsoft Irlande permettant au ministère de puiser dans tout le catalogue de l’éditeur pour s’équiper en logiciels. Un contrat sans appel d’offres qui fait tiquer jusque chez les députés. En pleine affaire Prism, où le nom de Microsoft circule, des députés ont questionné des représentants du ministère sur le choix de l’éditeur américain lors d'un échange organisé le 12 juin à l'Assemblée nationale.
Grâce à cet accord-cadre, la Défense s’offre les logiciels Microsoft pour un forfait de 100 euros par poste. La commission des marchés publics avait donné un joli feu vert à sa signature... malgré quelques couacs. Le contrat repose en effet sur un droit d’usage, non un transfert de propriété. Au bout des 4 ans, si l’accord n’est pas renouvelé, les machines doivent être purgées.
Le contrat avait de plus subi les foudres du rapporteur de la commission des marchés publics de l'État qui soulevait différents soucis comme les risques concurrentiels ou un coût final difficilement quantifiable. S’appuyant sur travaux d’experts du ministère, Le Canard Enchaîné évoquait quant à lui un risque d’intrusion de la NSA via des backdoors placés dans les logiciels exportés. Voilà pourquoi la députée Isabelle Attard a demandé récemment quelques explications, d'autant que « ce choix fait peser sur un ministère régalien de lourds soupçons de participation aux mesures d'optimisation fiscale d'une société américaine ».
Sous le prisme du code source
Toutefois, le scandale Prism relance la question de la dépendance technologique et celle, épineuse, de l'accès aux codes sources. 6 jours après la révélation de ce programme, le député Sylvain Berrios a soulevé le couvercle en Commission de la Défense : « L’actualité récente montre que le gouvernement américain s’est octroyé un pouvoir d’espionnage très large des données personnelles par l’intermédiaire de grandes firmes américaines opérant dans le secteur de l’Internet. Cela pose naturellement la question de la protection de nos données personnelles et de l’architecture de nos systèmes » introduit-il, avant de mettre l’index sur l’accord-cadre signé avec Microsoft.
« En 2009, une de ces grandes compagnies américaines a bénéficié d’un accord-cadre avec le ministère de la Défense, à l’issue duquel devait normalement être mise en place en 2011-2012 une solution basée sur l’utilisation de logiciels libres, permettant ainsi d’avoir un meilleur accès aux codes sources et conférer ainsi d’une capacité préventive accrue ». Et le député de réclamer le point de vue de l’officier général, en charge de la cyberdéfense à l’état-major des armées, présent en Commission.
Pour la défense, les grands éditeurs deviennent des normes
La réponse du contre-amiral Arnaud Coustillière est intéressante. Il souligne d'abord un petit paradoxe, teinté d'une pointe de jalousie. Voilà des utilisateurs qui confient leurs données personnelles à de grands acteurs, alors « qu’en France l’État ne peut accéder à ces données que de manière extrêmement encadrée, sous le contrôle étroit de la CNIL ».
Sur le choix Microsoft, les réponses seront plus claires encore : « les grands éditeurs de logiciels, dont les produits ont tendance à devenir des normes, ne sont pas forcément moins bons en matière de sécurité de leurs produits que les développeurs de logiciels libres ». Le militaire voit un autre avantage à choisir la « norme » propriétaire plutôt que des produits libres : ces éditeurs de solutions propriétaires « ont en effet tout intérêt à faire évoluer leur produit commercial et à en assurer la fiabilité dans la durée. Inversement, le logiciel libre est développé par une communauté, parfois à géométrie variable. En tout état de cause, le débat entre logiciel commercial et logiciel libre tourne parfois à la « guerre de religion » ».
Le risque Microsoft et la question de l'OTAN
Quid de la sécurité ? Pour le contre-amiral, pas d'inquiétude. Le choix de l’accord-cadre avec Microsoft, « ne présente pas un risque de sécurité supérieur par rapport à l’utilisation de logiciels libres ». Pourquoi ? Simple : « Dans ce dernier cas, il aurait fallu développer une capacité forte de suivi et de contrôle pour se garantir effectivement contre les risques éventuels. En la matière, il convient d’adopter une approche mesurée et pragmatique, tenant compte à la fois du coût, des risques et de contraintes opérationnelles, dont notamment le lien avec l’OTAN. »
Lien avec l’OTAN, contraintes opérationnelles ? L'hebdomadaire satirique avait déjà cité les réponses de Patrick Bazin. Le directeur central de la Direction interarmées des réseaux d'infrastructure et des systèmes d'information (DIRISI) prône lui aussi ce contrat pour des questions d'« interopérabilité entre alliés », dans la mesure où « l'OTAN a fait le choix des solutions Microsoft pour ses postes de travail »... OTAN faire de même, donc.
Le libre, aiguillon pour baisser les prix des logiciels propriétaires
À l’Assemblée nationale, le contre-amiral Arnaud Coustillière décèlera un autre bonus. Le prix. « Ce débat sur les logiciels libres a permis d’engager une baisse tendancielle des prix pratiqués par les grands éditeurs de logiciels et, parallèlement, à une décroissance du recours aux logiciels libres ». Ce type de réponse est connu. En janvier 2007, par exemple le ministre de l’Éducation nationale l’avait déjà opposé à un député sensible à l’usage des solutions libres : « le poids du logiciel libre au sein de l'éducation nationale reste un argument de négociation avec les éditeurs permettant de tirer les prix des licences commerciales vers le bas ».
En somme, le libre aurait coûté trop cher à la Défense. Le libre a permis à ce même ministère de négocier à la baisse des licences avec Microsoft. Enfin, le choix Microsoft a permis de mieux répondre aux contraintes opérationnelles pour échanger avec l’OTAN. Et finalement le choix Microsoft n’ouvre pas de plus de risque particulier. Des filtres sont placés sur les passerelles vers les réseaux extérieurs. De plus, précisent les militaires, « les attaques d’espionnage utilisent moins les failles éventuelles de produits Microsoft que celles de documents en format PDF ou de logiciels de développements de sites ». Enfin, sur les « réseaux classifiés », qui n’ont pas de contact avec l’extérieur, c’est surtout l’usage des clefs USB qui pose problème. De toute façon, « l’espionnage industriel a toujours existé. »
Cette mitraille d’arguments pro Microsoft n’aura pas séduit le député Jean-Yves Le Déaut. « Je ne partage votre optimisme sur la question des codes sources. Nous n’avons jamais rien obtenu de Microsoft. Je pense que l’utilisation de logiciels libres offre plus de garanties. » Réponse du contre-amiral : « Je ne sais pas si le débat se situe toujours là aujourd’hui en termes de sécurité. Ce qui pousse la technologie vers le haut désormais, ce sont les smartphones, les informations que l’on trouve sur les clouds. Ces systèmes sont extrêmement complexes et les codes sources n’en constituent qu’un élément ».
S'inquiéter du matériel (asiatique) plus que du code source (américain)
Le commandant Hervé Mermod, chef du centre d’analyse en lutte informatique défensive du ministère de la Défense (CALID) épaulera son collègue, avec la même arme à l'épaule : « les matériels sont aujourd’hui également concernés par les attaques informatiques et l’enjeu se situe davantage sur ce point que dans la maîtrise des codes sources », même donc lorsqu’on travaille au cœur de la défense française. Selon lui « les risques se situent dans les nombreux périphériques de systèmes d’information globaux dont le logiciel ne constitue qu’une brique ». Une brique, pas un trou et encore moins une fenêtre constituant le maillon faible d’une chaîne de sécurité.
Plutôt que de pérorer sur l’inaccessibilité des codes-sources et la question de Prism, ce représentant de la Défense préfère inviter les députés à s’inquiéter des fabricants de matériel (essentiellement asiatiques) : « On a en effet pu constater des attaques par des portes dérobées installées sur des cartes réseaux ou des clés 3G de fabrication étrangère. »
« Il n’y a rien à ajouter sur l’état de dépendance de la Défénse avec Microsoft et l’OTAN. Ils ne voient le libre que comme un seul levier de pression sur le prix des logiciels privateurs, commente Frédéric Couchet, de l'April, l'association pour la promotion du libre. Nous attendons d'ailleurs toujours la réponse du ministre de la Défense sur cet accord Open Bar. »
Commentaires (373)
#1
Cet Arnaud Coustillière est mur pour sa retraite : il aura un poste assure au marketing MS
" />
#2
PRISM, all your data, in one place
" />
#3
« les matériels sont aujourd’hui également concernés par les attaques informatiques et l’enjeu se situe davantage sur ce point que dans la maîtrise des codes sources »
Interessant.
Ca pourrait se traduire par : “il y a des risques à la fois sur les logiciels et sur les matériels, donc on ne se preoccupe en ce moment que du materiel”. Ce qui n’est pas cohérent.
S’il y a du risque sur le soft et le hard, il faut s’occupe de ces risques à la fois sur le soft et sur le hard…
#4
Je sais pas ce qu’ils fument à la Défonce, mais je veux la même !
" />
#5
Tout ce scandale ne serait pas l’occasion de faire naître un OS européen ? Un genre de projet comme pour l’eurofighter, avec un module développé en Suède, un autre en Allemagne …
" />
#6
PC INpact avait révélé la signature par la Défense d’un contrat « open bar » avec Microsoft Irlande permettant au ministère de puiser dans tout le catalogue de l’éditeur pour s’équiper en logiciels.
En ce presque début de grandes vacances, vivement que PCI aborde le scandale des contrats “ukulélé” et “macramé”
#7
Franchement, je pense qu’ils n’ont pas tort à la défense. Le matériel est beaucoup plus important que le logiciel dans le sens où l’isolation du réseau est bien plus basé sur le matériel que le logiciel. Un OS avec une backdoor ne sert à rien si le réseau est isolé. Et le code source du matériel est rarement libre (même si basé sur Linux !).
Donc il ne faut pas croire qu’avoir le code source permettrait d’être en sécurité. Ça peut aider un peu (mais à quel coût ?) mais pas être LA solution.
#8
Windows recense 5000 à 15000 failels annuelles, qui sont corrigées à la traine.
BSD recense 2 à 5 failles annuelles… qui sont corrigées dans l’heure.
Il aurait été bien moins cher de développer une interface graphique pour BSD (et encore, il en existe des libres et open source), et d’équiper les ordis de la défense avec.
Toutes les salades du contre-amiral ne sont que du bourrage de mou de commercial envers un gros ignorant.
Toute cette merde cache une histoire de gros-sous avec Microsoft, et c’est une catastrophe pour notre sécurité.
#9
#10
#11
#12
En terme de sécurité, de toute façon, Windows et Linux, c’est poubelle (certes moins Linux que Windows, mais là je parle de sécurité absolue, vitale)
" /> )).
Si tu veux sécurité, tu prends BSD, c’est LA référence.
Linux, c’est plutôt pour les serveurs, super-ordis et les réseaux, Windows c’est pour le particulier qui veut jouer aux JV et faire du multimédia, et les entreprises qui ne peuvent se passer de exchange.
(Et mac, c’est pour les noobs qui ont bien trop de fric et qui veulent frimer pour tirer de la salope avide de thune (troll inside
Chacun son système. Windows pour la défense, c’est tout simplement ridicule.
#13
#14
#15
#16
Ça confirme bien ce qu’à dit un directeur de service (je ne me rappel plus du nom de ce service) dans c’est dans l’air, le danger vient de l’intérieur et plus de l’extérieur car les postes qui ont des données sensibles sont isolés du réseau.
#17
#18
#19
#20
#21
#22
Vous me faites rire à chaque fois avec vos discours pro-libre… Vous mettez systématiquement de côté tout le cpoté utilisation et formation des utilisateurs ! Tout le monde n’est pas Geek, et ça a un coût monumental pour l’entreprise ou l’Etat de former !
#23
Ce qui pousse la technologie vers le haut désormais, ce sont les smartphones, les informations que l’on trouve sur les clouds.
#24
#25
#26
#27
#28
#29
#30
#31
#32
#33
#34
#35
#36
Sans vouloir croire un à complot ,je dirais que c’est une porte ouverte pour la France ( l’Europe ) de nous mettre un système aussi intrusif que Prism si ce n’est pas déjà fait et ce de manière plus ou moins officielle.
Sans forcément citer Prism , mais je me doutais bien qu’un équivalent existait et pareil pour la France je suis sur qu’un système similaire est présent.
je mettrais hors de cause les pays nordiques pour des agissement de ce type et encore avec des pincettes bref …
#37
Continuons à manger des OGM, c’est pas gratuit et au moins, on sait à qui ça appartient
" />
" />
#38
#39
Dans une armée ou il faut désosser deux hélicos pour en faire voler un troisième, il ne faut plus s’étonner de rien.
" />
#40
#41
#42
#43
Selon lui « les risques se situent dans les nombreux périphériques de systèmes d’information globaux dont le logiciel ne constitue qu’une brique ». Une brique, pas un trou et encore moins une fenêtre constituant le maillon faible d’une chaîne de sécurité.
#44
D’un autre côté tant que tu n’as rien à cacher, et surtout à te reprocher, ce n’est pas bien grave d’être surveillé.
#45
#46
#47
Je sais pas vous mais moi, je suis assez déçu de la qualité d’argumentation de ses (hauts ?) responsables/décisionnaires….
" />
Pour le contre-amiral, pas d’inquiétude. Le choix de l’accord-cadre avec Microsoft, « ne présente pas un risque de sécurité supérieur par rapport à l’utilisation de logiciels libres ».
Pourquoi ? Simple : « Dans ce dernier cas, il aurait fallu développer une capacité forte de suivi et de contrôle pour se garantir effectivement contre les risques éventuels. En la matière, il convient d’adopter une approche mesurée et pragmatique, tenant compte à la fois du coût, des risques et de contraintes opérationnelles, dont notamment le lien avec l’OTAN. »
En quoi la seconde partie de cette intervention vient démontrer que le choix de l’accord-cadre avec Microsoft « ne présente pas un risque de sécurité supérieur par rapport à l’utilisation de logiciels libres » ?!
C’est moi qui ne pige pas ?!
#48
Et pourquoi pas une Distrib GNU/Linux FreeBSD d’Etat ?
#49
#50
#51
#52
#53
#54
Sur Windows, il n’y a pas de backdoor ! L’entrée se fait par la fenêtre
" />
#55
Aux modérateurs / rédacteur :
Ce serait sympa de mettre sous la photo ce qu’elle représente, parce que là ça laisse dans l’expectative.
C’est quoi ? Une infrastructure de fibre optique pour les autoroutes ?
Quel rapport avec l’article ?
#56
#57
#58
#59
#60
#61
#62
#63
#64
#65
ces éditeurs de solutions propriétaires « ont en effet tout intérêt à faire évoluer leur produit commercial et à en assurer la fiabilité dans la durée.
Faut lui rappeler le nombre d’années entre la sortie d’ie6 et ie7 ou l’Operation Aurora possible parce qu’MS a laisser une faille de sécu ouverte alors qu’ils en avaient connaissance depuis des mois ?
#66
#67
#68
#69
#70
#71
#72
#73
#74
#75
#76
#77
#78
#79
#80
#81
#82
#83
#84
#85
#86
#87
#88
#89
#90
#91
#92
#93
#94
#95
#96
#97
#98
#99
#100
#101
#102
#103
#104
#105
En même temps ils étaient probablement déjà au courant à propos de PRISM.
Soit ils s’en contre foutent, soit c’est compris dans le contrat de sodomisation par les américain.
#106
#107
#108
#109
#110
#111
#112
#113
#114
#115
#116
Le commandant Hervé Mermod, chef du centre d’analyse en lutte informatique défensive du ministère de la Défense (CALID) épaulera son collègue, avec la même arme à l’épaule : « les matériels sont aujourd’hui également concernés par les attaques informatiques et l’enjeu se situe davantage sur ce point que dans la maîtrise des codes sources »
Quand on est certain de ce qui tourne côté host, on peut gérer le chiffrement à ce niveau et le matos faisant tuyau-à-bits percé ne laissera fuiter que des données inexploitables si bien chiffrées host à host.
Quand ce sont les host qui ne sont pas sûrs, on ne peut absolument plus rien garantir.
J’espère que ceux qui ont auditionné ce mec sont moins clown que lui. Certes il pointe un danger réel, mais dont il est possible de se prémunir contrairement à celui qu’il semble vouloir minimiser de cette pirouette absolument calamiteuse.
Bêtise ou incompétence? Dans tous les cas, le choix de microsoft est absolument irresponsable. Surtout que les casseroles au cul de la Bill’s company ne sont pas vraiment une nouveauté!
Les preuves datent de 1999 voire 1997. Mais le clown doit pas savoir lire ou y’a une marge arrière (en liquide) qui avait joué le rôle de fluidifiant pour que l’open-bar coule à flots?
#117
#118
#119
Bein oui c’est la Défense quoi.. on préfère aller au “moins cher” et prendre un bon contrat juteux..
" />
" />
" />
Quelle bande de cons.. c’est pourtant pas dur de prendre un OS libre et d’utiliser des programmes où on sait ce qui se passe sur la machine ^^
Soit le logiciel contrôle l’utilisateur, soit c’est l’inverse; et là j’avoue que ça fait peur quand même
#120
#121
#122
#123
#124
La Défense avec un contrat qui les lient à Microsoft c’est un peu comme un hétéro qui va à un bar gay avec de la vaseline au cul
" />
#125
#126
#127
#128
#129
#130
#131
#132
#133
#134
#135
#136
#137
#138
#139
#140
#141
#142
#143
#144
#145
#146
La Défense a baissé ses défenses par rapport à l’indépendance nationale (OTAN oblige) alors un peu plus un peu moins…
Cette décision est finalement cohérente avec l’état d’esprit entourant la mission de l’armée française (de même que pour la diplomatie) qui est de suivre…
#147
Ce haut fonctionnaire a la défense parle comme un fanboy Microsoft.
Peut importe l’argument choisis il trouvera toujours un truc pour défendre Microsoft malgré les gros défaut qu’on lui met devant les yeux.
Pour moi, c’est justement parce que c’est la défense. Qu’ils sont sensé protéger leurs données coûte que coûte. Même si la france fait partie de l’OTAN et que les USA sont des amis ça ne les autorise pas a mette leurs nez dans les affairées des français et c’est ce pourquoi on paye nos impôts.
Par exemple : on peut être amis avec sont colocataire, mais ça n’est pas pour autant que ce dernier a le droit de lire votre courrier.
#148
#149
#150
Windows recense 5000 à 15000 failels annuelles, qui sont corrigées à la traine.
BSD recense 2 à 5 failles annuelles… qui sont corrigées dans l’heure.
les betises qu’on peut lire ici….
Chiffres complement inventés.
En réalité, ces dernières années il y a moins de failles de sécurité dans tous les produits MS réunis que dans Google chrome à lui seul. (en moyenne 200 pour MS, contre 250 pour chrome).
pour IE seul, on en est à 41 failles contre 250 pour la concurrence.
http://www.neowin.net/news/microsoft-talks-more-about-ie10-security-features
Quant à BSD, une fois que tu lui ajoutes tous les composants nécessaires pour le rendre utilisable sur un poste de travail (services de partage de fichiers, gestion des imprimantes, naviguateur, …) au final tu te retrouves avec bien plus de faille que dans Windows.
D’où la débilité de comparer un simple noyau avec un OS complet.
À ce train là comparons le noyau windows CE à BSD, et tu seras choqué d’aoprendre qu’il y a d’avantage de faille dans le noyau BSD que celui de Windows CE. Pourtant Windows CE est en source ouverte, comme BSD.
#151
#152
#153
#154
#155
#156
Ce haut fonctionnaire a la défense parle comme un fanboy Microsoft.
Peut importe l’argument choisis il trouvera toujours un truc pour défendre Microsoft malgré les gros défaut qu’on lui met devant les yeux.
Pour moi, c’est justement parce que c’est la défense. Qu’ils sont sensé protéger leurs données coûte que coûte
en passant à BSD peut être?
http://m.pcinpact.com/news/60876-openbsd-backdoors-fbi-gregory-perry-theo-de-raa…
Certains oublient vite que dans un projet open source il est tout à fait possible de placer des backdoors sous forme de failles de sécurité difficiles à détecter.
#157
#158
#159
#160
#161
#162
#163
#164
Je suis pas expert réseaux mais les ingénieur réseaux argumentent souvent que la force de Windows est son intégration avec Active Directory et bien qu’il existe de très bon OS alternatifs, ils n’ont pas d’intégration aussi forte avec un annuaire LDAP aussi fiable qu’AD. BSD est peut être un bon OS mais comment s’intègre t’il dans un réseau complexe.
#165
#166
#167
#168
#169
#170
Cette mitraille d’arguments pro Microsoft n’aura pas séduit le député Jean-Yves Le Déaut. « Je ne partage votre optimisme sur la question des codes sources. Nous n’avons jamais rien obtenu de Microsoft. Je pense que l’utilisation de logiciels libres offre plus de garanties. »
Le code source de Windows est accessible aux gouvernements qui utilisent Windows.
si il y avait des backdoors évidentes, ça se serait rapidement remarqué.
Quant aux failles de sécurité qui peuvent servir de backdoor discrète, il y en a d’avantage dans les concurrents open source.
Donc c’est vraiment de l’ignorance de dire que l’Open source offre plus de sécurité que les produits MS.
il n’y a qu’à voir les serveurs apache qui se font hacker depuis 2007 sans qu’on arrive à comprendre comment les hackers arrivent à en prendre le controle
http://arstechnica.com/security/2013/05/attack-hitting-apache-sites-goes-mainstr…
En comparaison ça fait très longtemps qu’il n’y a pas eu de on de sécurité majeur sur IIS.
#171
#172
#173
#174
#175
De toute façon les postes de la défense était déjà majoritairement sous windows depuis longtemps, avec parfois des petites appli en java sur des machines connectés au net et le tout pas maj depuis la mise en service du pc
" />
" />
Niveau sécurité de toute façon difficile de faire pire
#176
#177
Sinon il y a les feuilles et stylo impiratable par internet.
" />
#178
#179
#180
#181
#182
#183
#184
#185
#186
#187
#188
#189
#190
oue enfin la formation des utilisateur c’est pareil avec chaque version de windows
oue des chose change pour le paramétrage réseau entre (xp et vista/7 notamment )
et c’est encore plus vrai à partir du moment ou tu sort un os qui enlève pas mal de repères visuel comme window 8
donc l’argument du il faut formé au logiciel libre et biaisé il faut reformé de toute manière au logiciel proprio car si on change de machine dans le temps la version est forcement obsolète
du fait du supports du système d’exploitation
donc il faut acheter la nouvel version et la nouvel version a des différence notable avec l’ancienne version assez pour justifier une formation
si l’État avait le contrôle de ses logiciels ou du moins de l’OS
en faisant une interface et en la travaillant de façon à la faire tenir dans le temps
l’utilisateur ne serait pas en formation 1 semaine des qu’ on change son ordinateur
les modification ne serait que visuel et additionnel ajout d’un bouton … par exemple sans changer toute les habitudes de l’utilisateur
croire que Microsoft développe ses OS avec des ajouts d’interfaces juste pour le coté pratique c’est être un brin naïf …
si mes souvenir son bon il on tout un système de validation de compétence et de certification pour les utilisateurs et les société de formation qu’il font bien sur payer à pris d’or
#191
#192
#193
#194
#195
#196
#197
#198
Foutez leur la paix à la défense! Ils utilisent ce qu’ils veulent.
" />
#199
#200
#201
Il va falloir le rappeler toutes les semaines que c’était du FUD cette rumeur
http://m.pcinpact.com/news/60953-theo-raadt-fbi-openbsd-faille-securite-audit-ba…
C’est pas du FUD, il est raisonnable de penser que la NSA “contribue” anonymement a certains projets open source majeurs pour s’assurer d’avoir le moyen de surveiller les gens qui les utilisent.
Qu’un audit n’ait rien donné de concluant ne garantie en rien l’absence de faille, laissées volontairement ou non, dans ce composant ou un autre qui n’aura pas fait l’objet d’un audit aussi poussé.
De toutes manières, les sociétés spécialisées dans la recherche de failles vendent leurs exploits 0day à des clients comme la NSA.
Donc que la faille ait été laissée volontairement ou non par la NSA ne change pas grand chose. En fin de compte la NSA a le moyen d’acheter les informations des chercheurs indépendants.
Il est raisonnable de penser qu’ils ont des exploits 0day pour tous les naviguateurs sur n’importe quelle plateforme.
ceux qui s’imaginent qu’un Firefox sur freebsd est moins vulnérable qu’un IE10 sur Windows sont loins du compte.
meme si bsd avait peu de faille (vu ses faibles PDM, je doute qu’il ait subi le même audit que linux ou Windows) au final une faille dans un logiciel tournant en mode utilisateur suffit à compromettre les données de l’utilisateur et fournir une porte d’entrée sur le réseau de l’entreprise, et intégrer la machine à un botnet.
Un BSD n’offre aucune protection miracle, malgré ce que certains s’imaginent ici en le glorifiant à tout va à coup de statistiques complément bidons.
#202
#203
#204
#205
#206
#207
#208
#209
#210
#211
#212
#213
#214
#215
#216
#217
#218
#219
#220
Je comprends pas pourquoi l’armée ne sous-traite pas des pilotes d’Air France pour piloter ses avions plutôt que de créer un système indépendant où ils doivent former eux-même leurs propres pilotes. Piloter un avion, c’est super compliqué, mieux vaut laisser ça aux gens qui ont réellement été formé pour ça.
#221
Avoir le code source ne sert a rien si il utilise les binaire précompilé microsoft comme tout le monde …
Je pense pas que la defense compile leur propre windows ?
#222
Je ne pense pas que pour 100€/poste on puisse s’offrir assez d’ingénieurs pour analyser/maintenir/adapter l’ensemble des softs nécessaires pour tout le ministère de la défense que Microsoft pourrait fournir.
L’open-source c’est bien, mais bon lorsque l’on a besoin d’en ensemble de services et que l’on doit aller piocher à droite à gauche les logiciels, ça peut rapidement devenir compliqué…
Alors que Microsoft propose un pack/service qui est un minimum fonctionnel et sécurisé
=> Microsoft ne fournit pas que l’OS, il y a une multitude de services et logiciels annexes. Allez faire de l’audit sur BSD, OpenOffice etc… tout cela en même temps… Vous avez vu le nombre de personnes qu’il faudrait ?! On pourrait renommer le ministère en : French Defense Software Foundation
#223
#224
#225
Moi je me demande, si le code source est fourni aux Eta,t pourquoi y’a jamais eu de fuite?
il y a déjà eu une fuite d’une partie du code source de Windows 2000, en 2005 il me semble.
Apres, c’est pas tout le monde qui y a accès au service info de la défense hein!
en limitant à une dizaine de personnes par pays ça limite les risques de leak.
#226
#227
Le militaire voit un autre avantage à choisir la « norme » propriétaire plutôt que des produits libres : ces éditeurs de solutions propriétaires « ont en effet tout intérêt à faire évoluer leur produit commercial et à en assurer la fiabilité dans la durée.
Visiblement le contre-amiral Arnaud Coustillière ne sait pas de quoi il parle.
Il n’a jamais essayé d’ouvir un fichier Excel 97 avec Excel 2010…
Alors de trois choses l’une :
Dans les trois cas, c’est très grave et il devrait prendre très rapidement sa retraite.
Une honte pour la marine.
#228
#229
#230
#231
#232
#233
Il n’y a strictement aucune certitude que le vecteur d’attaque soit apache (il semblerait que ce ne soit d’ailleurs pas le cas), la comparaison avec IIS me semble un peu légère, je doute qu’il s’en sorte mieux sur un système possédé. Qu’est ce qui te dit que le vecteur d’attaque ne sont pas les postes windows utilisés pour administrer les serveurs
Possible, mais ces attaques apparentées ne s’en prennent jamais à des serveurs iis, ce qui réduit la probabilité que les sites soient hackés du fait de l’infection d’un poste de travail d’un admin.
entre 2007 et début 2013 apache/linux semblait être le seul point commun à ces infections. Une faille dans des outils d’administration coté serveur est aussi possible.
#234
#235
#236
Oh et puis bon, on sait aussi que des gouvernements et services de renseignement vont directement chercher les informations dans les lignes de fibre et dans les câbles, alors à quoi bon se protéger et se compliquer la tâche … Il y aura toujours des informations qui seront interceptées, que l’on soit sous Windows, BSD, Linux ou autre…
#237
#238
Y a des chocolats suisses?
" />
#239
#240
#241
#242
#243
Pour moi une solution serait la mise en place d’un projet européen de certification des OS et des applications pour l’utilisation dans un environnement secret défense.
Que se soit du Microsoft ou du libre, j’ai envie de dire peut importe. Même si le libre permettrait une plus grande flexibilité et une indépendance vis à vis des Etats Unis.
De plus, le passage au libre permettrait le développement d’une distribution certifiée, intégrant des mécanismes automatiques tels que le partage de fichiers sécurisés, l’échange de mails cryptés, le cryptage des données sur clé USB, etc… Des choses qui permettrait une utilisation transparente pour madame la députée Michu, tout en étant sécurisé.
Cette distribution mise à jour régulièrement, rendrait le système plus hermétique aux attaques et une évolution plus douce pour les utilisateurs finaux.
Le fait que le projet soit européen répartirait l’ensemble des dépenses sur l’ensemble des états collaborant, et établirait une nouvelle norme.
De plus, les corrections de failles, le développement de nouveau logiciels conférerait une place plus important, des pays Européens, dans la contribution aux logiciels libres.
#244
#245
Je comprends pas pourquoi l’armée ne sous-traite pas des pilotes d’Air France pour piloter ses avions plutôt que de créer un système indépendant où ils doivent former eux-même leurs propres pilotes. Piloter un avion, c’est super compliqué, mieux vaut laisser ça aux gens qui ont réellement été formé pour ça.
Peut être est ce dû au fait que la conduite et l’usage d’engins militaires fait partie du coeur de métier de l’armée et que l’administration de systèmes d’information n’en fait pas partie…
conduire un avion au dessus d’un champ de bataille releve de l’opération militaire.
concevoir un OS et les logiciels releve du civil. Les militaires ne sont pas payés pour réinventer la roue.
#246
#247
#248
#249
#250
#251
#252
#253
#254
ces éditeurs de solutions propriétaires « ont en effet tout intérêt à faire évoluer leur produit commercial et à en assurer la fiabilité dans la durée. Inversement, le logiciel libre est développé par une communauté, parfois à géométrie variable. ».
C’te foutage de gueule !
On dirait le discours d’un cadre de Microsoft !
La France ne dispose évidemment pas d’informaticiens, de développeurs, de programmeurs !
Hallucinant comme on se couche devant les USA…
#255
#256
#257
#258
#259
#260
#261
La France ne dispose évidemment pas d’informaticiens, de développeurs, de programmeurs !
Si, ils bossent sur Hadopi.
Non mais plus sérieusement, dans le ministère de la défense il y a une pléthore d’ingénieurs/informaticiens, mais je ne pense pas qu’ils soient occupés à développer un OS ou une suite bureautique. Ils doivent plutôt bosser sur des sujets comme le pilotage de drones etc…
Laissons leur faire le boulot et utiliser les outils qui sont mis à disposition par d’autres partenaires … On ne va pas réinventer la roue 10000 fois non plus.
#262
#263
#264
#265
il vous reste une heure et je ramasse les copies les gars !
" />
#266
#267
#268
#269
#270
#271
#272
#273
#274
#275
#276
#277
#278
L’Etat français est entrain de mettre en place, un anti-virus open source, et un android durçit pour les administrations sensibles.
leDAVFI
DAVFI est un programme de R&D soutenu par le Fonds national pour la Société Numérique (FSN) dans le cadre des Investissements d’Avenir, Appel à Projet Sécurité et Résilience des réseaux .
Afin de garantir la confiance dans le logiciel, le moteur d’analyse sera libre et ouvert.
Son approche technique totalement nouvelle le rendra capable de détecter les variantes inconnues de codes connus et de prévenir l’action de codes réellement inconnus.
DAVFI a vocation à permettre à la France et à l’Europe d’acquérir leur souveraineté numérique dans le domaine des antivirus.
Après je ne connais pas la qualité du bidule….
#279
#280
#281
#282
#283
#284
#285
#286
#287
#288
#289
#290
#291
#292
#293
Bref, une part encore plus importante de nos impôts va aller directement chez MS en Irlande !
" />
Y a pas à dire, Ballmer mérite une seconde médaille pour ce coup-là !
#294
Et au pire, rien n’interdit à la France de commencer son propre programme en solitaire qui peut être, par la suite, fera naître un intérêts des autres états.
#295
#296
#297
Euh… tu te rends compte que ce que tu dis est une grosse connerie, ne serait-ce qu’historiquement
Je parle pas des années 70, je parle du présent.
actuellement aucun état n’utilise d’OS fait sur mesure spécialement pour ses opérations militaires (je ne parle pas des os embarqués, je parle de système d’information complet).
Je vois bien quelques dictatures qui utilisent leur propre OS, mais ce n’est rien de plus qu’une énième distribution linux vulnérable aux mêmes failles que toutes les autres.
Bref, si on concevait un OS pour l’armée from scratch, là ce serait de la connerie, car il est évident qu’il ne serait pas aussi testé et sécurisé qu’un OS civil. Sa seule protection serait la sécurité par l’obscurité, et encore, apres un leak cette “sécurité” disparaîtrait totalement.
#298
#299
#300
#301
#302
#303
Et comme d’habitude la France se réveillera trop tard!
" />
Ah bah merde tous nos ingénieurs sont parti au US ou en Australie, où ils sont payés 2 à 3 fois mieux avec un confort de vie incomparable.
Et la plupart du temps, les managers (trop bien payés pour ce qu’ils font, et incompétents) ont le derniers mots sur les technologies à employer.
Vive la France, et vive les français…
#304
#305
A lire :http://www.framablog.org/index.php/post/2013/06/24/microsoft-confiance-entrepris…
#306
#307
Bref, si on concevait un OS pour l’armée from scratch, là ce serait de la connerie, car il est évident qu’il ne serait pas aussi testé et sécurisé qu’un OS civil. Sa seule protection serait la sécurité par l’obscurité, et encore, apres un leak cette “sécurité” disparaîtrait totalement.
Rien que de faire un code en français ça ferait un bien fou à la francophonie et au développement de la langue française dans le monde. La NSA serait obligée de recruter des ingé francophone pour trouver les failles
#308
#309
#310
#311
Ca rame, non ? Desole du doublon…
#312
#313
#314
#315
#316
#317
http://www.framablog.org/index.php/post/2013/06/24/microsoft-confiance-entreprise
" />
À lire absolument, en effet.
Dormez paisiblement, Français, Ballmer veille sur votre Armée !
#318
Du fait que ce soit des emplois indirects, c’est encore plus facile pour Microsoft.
Ils ont juste à réduire leurs activités en France pour mettre quelques milliers de personnes au chômage.
#319
#320
#321
Bon, en même temps, je les comprend d’avoir choisi le truc le plus simple. Parce que organiser l’appel d’offre en mettant autour de la table, les ceux qui savent, les ceux qui croient savoir, les ceux qui connaissent un ami qui sait, les ceux qui trainent sur PCI à longueur de journée, et ben, ça nous aurait couter un bras en réunionites, buffet, et digeo.
Donc, bravo pour ce choix courageux. Vive l’armée. Vive la France.
#322
#323
N’oublions pas que la France est un allié de grande amitié avec les USA.
" />
" />
Copains et cochons.
#324
Je trouve quand même cela hallucinant qu’un État puisse installer des logiciels/systèmes dont il n’a pas le contrôle du code source sur son équipement informatique.
Déjà que les entreprises qui utilise google drive pour stocker leur données confidentiel je trouve cela super limite mais la…
#325
#326
#327
Hervé Mermod, tu es aussi doué qu’un anti-virus pour trouver un malware qui est chiffré en AES, à côté de la plaque sur un point de vu technique.
A moins que tu sois extrêmement intelligent pour faire croire que tu es un idiot.
#328
Ouais, on utilisait des consoles avec une jolie carrosserie blanc cassé / orange (couleur à la mode à d’époque) reliées à un Télémécanique T1600 (16 bits , temps partagé) dans la seule salle climatisée du lycée. Epoque du plan Calcul de Giscard…
" />
Me souviens encore du bruit de mitrailleuse de l’imprimante à boule…. J’étais jeune, des kilos en moins et des cheveux sur la tête
Chez PSI ils avaient même publié un manuel de programmation pour le LSE.
#329
#330
#331
#332
Ah tiens les blagues sont plus dans le sous-titre ou le titre mais l’actu elle même maintenant.
" /> 
" />
" />
OTAN faire de même, donc.
Cette mitraille d’arguments pro Microsoft n’aura pas séduit le député Jean-Yves Le Déaut. « Je ne partage votre optimisme sur la question des codes sources.
Je croyais que tous les gouvernements y ont accès ?
Je crois que je vais pas avoir besoin de troller sur cette actu (et de toute façon vu le nombre de commentaires déjà postés c’est déjà fait par d’autres).
#333
#334
#335
#336
Non mais voilà c’est tout, ils sont attardés mais ça on le savait déjà ^^
" />
" />
Pauvre France.. les Ricains ils doivent l’aimer notre armée en tout cas xD
#337
Tu m’as l’air d’en savoir pas mal sur ce sujet, sur les distributions, et les distributions spécifiques des dictatures, ainsi que que sur les failles UNIX, dis donc !
au hasard, l’Iran et la Corée du nord sont de grands amateurs de logiciels libre et linux est leur OS de choix désormais.
plutôt ironique comme situation, de voir les logiciels libres servir de socle aux SI des régimes les plus liberticides…
quant à ta réaction non argumentée et ridicule sur ce que je disais concernant les OS codés from scratch, elle montre clairement ton niveau d’ignorance à ce sujet.
en informatique, réinventer la roue à tout bout de champ ne donne pas de meilleurs résultats en terme de sécurité et fiabilité.
si les militaires codaient leurs OS from scratch et s’en servaient pour leurs opérations sensibles comme certains “experts” sur pci le préconisent, ces OS immature contiendraient beaucoup de failles comparé aux OS “civils” matures.
pire encore, certaines implementations d’algo de cryptage pourraient souffrir de bugs les rendant inefficaces (comme le bug de generation des clefs privés sur debian qui generait des clefs pas suffisamment aleatoires).
#338
#339
#340
Tu es serieux la, ou tu essaies de ridiculiser ton interlocuteur en faisant pire ? J’ai un doute sur le coup…
c’est quoi ton problème?
je ne l’ai pas inventé, c’est un fait que l’Iran et la Corée du nord préfèrent linux maintenant (pour l’Iran, c’est la conséquence du malware du malware créé sur mesure pour paralyser sa recherche sur le nucleaire. Apparemment les autorités iraniennes sont persuadées que ça ne pourra pas se produire à nouveau si l’Iran utilise son propre OS… basé sur linux…)
je ne fais que souligner l’ironie de la situation. Les états qui soutiennent le plus les logiciels libre n’ont rien d’un “paradise for people”.
#341
c’est un peu la faute de certains promoteurs de solution open source qui, au lieu de faire la promo de solution libre avec pour argument la liberté qu’offre ces solutions, ont fait la promo de solution open source avec pour argument le coût. ce qui est con car le coût ne dépend ni de liberté de la solution, ni de l’ouverture du code.
#342
#343
#344
te
#345
#346
Cour martiale et poteau d’exécution, pour la stupidité des arguments faisant feu de tout bois, et accessoirement pour trahion des intérêts des peuples qu’ils sont supposés protéger.
" />
Pour rappel on a cherché à mettre au point Galileo justement pour ne pas être susceptible d’être privé de géolocalisation à la moindre volonté de nos “amis américains”. Tellement amis qu’ils n’hésitent jamais à venir forcer la main aux européens pour faire adopter toute législation qui les arrange. Des amis qu’on pourrait recevoir sur des îles paradisiaques à la Guantanamo, et à qui on devrait offrir des voyages off-shores vers des centres de loisirs torture.
#347
Cet accord avec Microsoft a diminué les coûts par 4 : qui est prêt à augmenter le budget de la Défense aujourd’hui ?
Je soutiens le libre, mais dans le cas présent, ce choix permet de substantielles économies tant dans le coût d’achat que dans les coûts de fonctionnement. MS a aen plus le mérite de proposer des produits cohérents, matures et suivis. De plus, la Défense disposant d’un Intranet, le risque de pénétration est réduit et maitrisable.
Après, il y aura toujours des guerres de chapelle, mais il faut regarder le problème d’ensemble et notamment les choix stratégiques.
Quant au libre, qui dans un milieu professionnel et en particulier la Défense nationale d’un pays, acceptera de mettre en œuvre un système sans une garantie de service et donc acheter une assistance ? Cela se fait pour de nombreux logiciels et au final le coût de possession n’est pas forcément moins cher que celui d’un logiciel propriétaire. A méditer.
Mais c’est tellement plus facile de crier au loup… Et de mélanger politique, industrie, droit de l’homme et autres sujets tout aussi différents entre eux.
#348
Voilà comment les américains s’imposent au monde et en plus avec l’aval des autorités compétentes. Chose que l’Europe à l’époque ou elle dominait le monde n’a pas su faire, les américains en 520 ans d’existence ont su faire. Le grand marché europe/usa qui va voir le jour, va encore étendre la domination “us”.
" />
Nous ne sommes plus des acteurs dominateur, juste des clients consommateur.
Et en plus de cela, ils écoutent et espionnent avec leur logiciels, le reste du monde, question de se prémunir.
Remercions nos dirigeants pour nous avoir vendu.
#349
#350
Je ne vois pas en quoi utiliser un code source libre est une qualité en terme de sécurité militaire. Tout le monde connait le code et est donc plus à même de trouver des failles. Microsoft développe un code qui est “vraiment” connu de beaucoup moins de monde. Il y a des failles, il est vrai, mais elles sont plus rapidement colmaté (en règle générale) et surtout, chose que beaucoup de monde oublie. Le réseau militaire français est totalement séparé du réseau internet mondiale (alors que les américains ont les deux confondus d’où le nombre d’attaque contre le pentagone, NSA, FBI, CIA etc…)
Vous pouvez toujours attaquer le réseaux français, sans s’infiltrer directement sur des ordinateurs CD et SD (séparé entre eux également) vous ne pourrez rien faire.
sans oublier la question des couts. Le plus cher pour une entreprise n’est pas la licence mais la formation. Et rien qu’avec Office (qui reste bien plus efficace que m’importe quelle suite), on fait de substantielle économie.
#351
#352
Il semblerait que la situation réelle est différente de celle que décrivent ceux qui prétendent que l’État a accès au code source et que donc utiliser Windows soit totalement sous contrôle:
http://www.numerama.com/magazine/26360-la-france-n-arrive-pas-a-avoir-des-inform…
Ce lien risque d’être pratique, vu que le principal argument contre l’utilisation de Windows est la perte de contrôle de l’armée sur son équipement et que cet article confirme que c’est bien le cas.
#353
il semblerait que la situation réelle est différente de celle que décrivent ceux qui prétendent que l’État a accès au code source et que donc utiliser Windows soit totalement sous contrôle:
http://www.numerama.com/magazine/26360-la-france-n-arrive-pas-a-avoir-des-inform…
Ce lien risque d’être pratique, vu que le principal argument contre l’utilisation de Windows est la perte de contrôle de l’armée sur son équipement et que cet article confirme que c’est bien le cas
Je sais pas si t’as pris la peine de lire l’article de ton lien, mais le gars prétend que l’état français est capable de décrypter toutes les communications cryptées.
Ca m’a l’air d’être un gros ramassis de conneries cet article, comme le lien framablog posté plus haut.
Et il ne parle pas d’accès au code source, il parle d’infos sur le noyau, ce qui n’est guere la même chose, un OS ne se composant pas que d’un noyau. Le gars veut peut être dire que MS ne leur explique pas comment comprendre le code source de Windows qu’il leur a livré.
Bref, impossible de tirer quoi que ce soit d’un article pareil.
Quant à tous ceux qui parlent d’indépendance technologique de la France, ils oublient un peu vite qu’on est déjà dépendant du matériel et des firmwares conçus aux usa et produits en Asie.
Remplacer Windows par une énième distrib linux ne donnerait pas d’indépendance technologique à la France pour autant (sans compter les éventuelles failles de sécurité laissées volontairement par la NSA dans les produits open source).
#354
#355
#356
#357
#358
Mon cher Julien,
Je te lis depuis quelques postes, et je me poile pas mal à voir un fanboy aussi impliqué que toi dans ton analyse pointue de la qualité des produits MS :-)
Continue à croire ce que tu lis sur des sites ou apprend aux cours de certification MS et on se poilera encore quelques temps :)
encore une fois,
Merci.
Bien cher inconnu,
J’aimerais pouvoir te retourner le “compliment”.
Malheureusement, ton post si dénué d’argument ne rend pas cette tâche aisée.
Reviens donc me voir le jour où tu auras quelque chose digne d’intérêt à me raconter.
D’ici là, je suis ravis de savoir que ton ignorance t’apporte une telle joie.
Bonne chance sur le long chemin qui te reste à parcourir afin de pouvoir, peut être un jour, me livrer quelques arguments intéressants.
Julien
#359
Pour information, les CPU ça ne s’arrêtent pas à Intel et AMD. Les logiciels du système GNU, le kernel Linux et bon nombre de logiciels libres sont disponible sur bien plus d’architectures que tu ne l’imagine.
pour information, j’ai été utilisateur de linux assez régulièrement entre 1996 et 2007.
et j’avais également un assez bon niveau en administration de serveurs linux, meme si à la base je suis dev.
donc je suis bien au courant des avantages de linux, que ce soit en terme d’archi exotiques supportées, ou autre.
mais contrairement à beaucoup je garde les pieds sur terre, et malgré les contraintes des logiciels propriétaires, je suis convaincu que les produits d’entreprises comme MS, oracle, adobe sont plus profitables aux utilisateurs et aux grands comptes (ou meme à l’armée) que leurs équivalents “libre” actuels, et que ces produits libres n’offrent aucune garantie de meilleure sécurité (pour les raisons que j’ai déjà exposées dans mes précédents posts et que tu considères juste comme du FUD, au meme titre que je considère les histoires de backdoor dans Windows comme du FUD également).
ce n’est pas une guerre de religion pour moi. Peut être que dans 15ans je serai utilisateur d’un OS “libre” à nouveau?
au passage mon site perso (5000 visiteurs uniques/jour) est hébergé sur Linux depuis 6ans, et j’en suis assez satisfait.
voilà pour le petit HS.
#360
#361
Déjà, il n’y a aucun élément technique dans ce lien que tu nous a gentiment fait partager. (t’étais vraiment sérieux en envoyant ce lien????). Tu pourrais au moins faire l’effort d’aller chercher l’info là où elle est, c’est à dire ici ou là.
arstechnica n’est pas une source acceptable à tes yeux? Dans ce cas, pourquoi visites tu PCI?
les articles dont tu as posté le lien, je les ai déjà vu, mais j’ai pensé que le lien ars était suffisant pour résumer le problème.
après, les éléments techniques dans tes liens concernent le malware en lui même, et non la méthode d’intrusion qui a permis de le déposer. Et c’est ça qui est intéressant: personne ne semble savoir avec certitude comment les serveurs se font infecter.
Tu apprends notamment, que contrairement à ce que tu affirmes ouvertement (et dont je n’ai pas retrouvé aucun élément dans ton lien), ce virus n’exploite pas des failles non corrigées depuis 2007 . D’autre part, on parle de quelques centaines de serveurs infectés
http://arstechnica.com/security/2013/04/exclusive-ongoing-malware-attack-targeti…
20 000 > quelques centaines
et tu as raison, je me suis trompé pour 2007. C’est depuis 2008 que l’on voit des serveurs apache se faire pirater en masse sans savoir comment. La faille n’est peut être pas dans apache en lui meme, elle est peut être dans ssh (peu probable, mais certains experts avaient émis cette hypothèse à l’epoque) ou dans des outils d’administration populaires comme cpanel.
en tout cas il est possible qu’il s’agisse de la même faille qui ait persisté tout ce temps là grâce aux extrêmes précautions prises par les hackers pour assurer la furtivité du malware.
“The Apache server compromise in many ways resembles a mass infection from 2008 that also used tens of thousands of sites to silently expose visitors to malware attacks”
Bon, et puis sérieusement, prendre ton nom de famille comme pseudo… t’as pas trouvé plus sécure ???
j’ai fait le choix de ne pas me réfugier derrière un pseudo car je n’ai rien à cacher, ni honte de ce que je poste en ligne. En quoi est-ce un manque de sécurité?
un pseudo serait bien inutile vu que je poste parfois des liens vers mon site dont le nom de domaine est à mon nom.
Pour moi sur ce point, l’avantage du libre tourne autour de la réactivité de la communauté face à des éditeurs (MS en premier) qui traine parfois les pieds pour appliquer un correctif (on sait bien que leur problématique est plus large que celle qu’on croit…). Et les exemples se trouvent à la pelle sur le net (et même dans ces commentaires).
et pourtant, les éditeurs de logiciels open source sont bien moins réactifs que tu ne l’imagines. Je jète régulièrement un coup d’oeil dans les bulletins de sécurité des autres navigateurs, et il est fréquent de voir des failles corrigés seulement 2mois, parfois même 1an après leur signalement public (sans exploit public heureusement).
En gros, les gros projets open source sont à peu près aussi lents que MS pour corriger les failles, sauf lorsque la presse a les yeux braqués sur eux.
ex: Google qui corrige les failles révélées au pwn2own en quelques heures, mais qui met 50 jours pour corriger une faille dans chrome.
http://code.google.com/p/chromium/issues/detail?id=50250
http://googlechromereleases.blogspot.fr/2010/09/stable-beta-channel-updates_14.h…
(j’ai pris cet exemple un peu vieux volontairement car c’est un chercheur de MS qui a découvert cette faille, mais on trouve des exemples de failles longues à corriger quasiment à chaque release de fx ou chrome)
#362
#363
#364
Cet individu bien malhonnête cite uniquement le contenue des messages d’autres commentateurs de PCI pour ne pas que le système d’alerte de citation de PCI ne les préviennent. Il espère ainsi que ses réponses ne parviennent pas aux yeux de ceux qu’il cite dans l’espoir d’avoir le dernier mot.
on dirait que t’es un gros amateur de théorie du complot mon gars!
au risque de te décevoir, en réalité je quote les commentaires à la main car il n’y a pas de bouton “citer” sur la version mobile de pci.
#365
Pour moi, la grande différence, c’est que si tu remontes un bug à MS, tu es obligé d’attendre MS.
Si tu remontes un bug à un gros projet open source, n’importe qui peut t’aider à créer un patch.
en pratique, il est extrêmement rare que les entreprises utilisant des produits open source créent elles même leurs patchs ou demandent à la communauté de le faire.
si elles appliquent correctement les patchs existant à tout leur parc info c’est déjà le bout du monde, alors prendre en charge des patchs non officiels et dévier de la branche standard de support d’un logiciel est totalement irréaliste pour 99.99% des entreprises.
au final, c’est justement pour le support garanti pendant de très longues périodes (10ans minimum pour windows/IE) que les grosses boites préfèrent payer cher pour les produits MS. Faire eux même leur patchs à partir du code source ne les interesse pas (les compétences et les tests nécessaires au dev de patchs coutent cher)
#366
#367
Sauf qu’ici on parle de l’armée.
Contrairement à ce que tu dis, cela fait plus de 70 ans que l’informatique et la gestion de l’informatique est une branche militaire au même titre que l’aviation (ce nombre est basé sur la création de DARPA).
on est plus en guerre froide. Même les USA ne disposent plus d’un budget quasi “illimité” qui leur permettrait de réinventer la roue. Au final l’armée américaine utilise Windows (et une migration vers Windows 8 est en cours) sur ses postes de travail. Et quand on voit le nombre de choses sous traitées à des entreprises privées, on se rend compte que développer son OS à soi n’est pas franchement une priorité.
bref, la militarisation du développement de l’informatique, ça fait partie du passé.
ça vaut aussi pour la France. Perso je préfère que la France se focalise sur la R&D en armement, aviation, et achete des logiciels commerciaux aux USA plutôt que l’inverse (développer son propre OS, mais ne pas avoir les moyens de développer ses propres outils de combat). Les logiciels c’est franchement secondaire, et vu que c’est utilisé en réseau isolé, ça ne pose pas de problème.
ps: désolé pour les quotes mal faites, mais il faudrait plutôt demander à PCI de faire quelque chose pour ça dans sa version mobile…
#368
#369
#370
#371
C’est mal connaître le monde de l’armement de dire ce genre de choses.
Les plus gros secrets militaires tournent autour des systèmes (informatiques) d’armement, de détection et de contre-mesures.
j’ai bien précisé que je ne parlais pas de système embarqué.
la news ne porte que sur le système informatique des postes de travail.
de ce que des connaissances m’ont dit, l’armée n’installe même pas les maj de sécurité sur ses postes de travail qui sont en réseau isolé… Donc niveau sécu ça reste discutable. la faiblesse ne vient pas des logiciels propriétaires mais de la politique en matière de test et déploiement de maj.
Enfin on crie au loup, mais mes sites sont exposés et en Apache et j’ai personnellement rien vu
en même temps les attaques sont ciblées, il ne s’agit pas d’une attaque généralisée, sinon ça aurait été facile à détecter et corriger.
Il est possible. Donc dans le doute on évite de rapprocher deux évènements qui ont eu les mêmes effets mais dont l’origine est différente
je suis pas le seul à avoir émis cette hypothèse, vu les ressemblances.
et perso je trouve pas ça plus rassurant d’imaginer qu’il s’agisse de deux failles 0day différentes.
#372
Dans l’activité récente :
pour IE :
Faille découverte et publique non corrigée
http://www.journaldunet.com/solutions/saas-logiciel/faille-publique-dans-interne…
ça a été corrigé en mai.
Microsoft a pris son temps car il se n’agissait pas d’une faille 0day publique. Il n’y avait pas plus de risque immédiat que pour les failles pour lesquelles Mozilla et Google ne se privent pas de prendre des mois pour sortir un correctif.
mais comme je l’ai déjà mentionné, Google et Mozilla se sont précipités à sortir un patch pour donner l’impression qu’ils sont très réactifs parce que la presse avait les yeux braqués sur eux. Mais en temps normal, une faille sans exploit public est corrigée beaucoup plus lentement.
seul MS est resté fidèle à son planning habituel en ne sacrifiant pas ses longues phrases de tests des patchs juste dans le but d’impressionner la presse comme l’a fait Google.
Faille exploitée pour IE8 en 5⁄2013 non corrigée des mois après (bulletin de 2012) :
http://www.zdnet.fr/actualites/microsoft-reconna-t-une-faille-exploitee-dans-int…
bulletin de 2012? Où vois tu cela?
de mémoire, Microsoft a au contraire été très réactif avec ce 0day. Un hotfix a été publié 3 jours plus tard, et un patch définitif une semaine après.
#373