Toutes les versions d'Internet Explorer touchées par une faille critique 0-day

Toutes les versions d’Internet Explorer touchées par une faille critique 0-day

Changez de navigateur ou appliquez des mesures de sécurité

Avatar de l'auteur
Vincent Hermann

Publié dans

Logiciel

28/04/2014 5 minutes
127

Toutes les versions d'Internet Explorer touchées par une faille critique 0-day

Une importante faille de 0-day a été découverte dans Internet Explorer. Affectant toutes les versions encore supportées du navigateur, elle se révèle particulièrement dangereuse sous Windows XP, dont le support technique est terminé. La solution la plus efficace est d’utiliser temporairement un autre navigateur, même si des mesures spéciales peuvent être mises en place.

internet explorer 11

Une faille fonctionnant sur les versions 6 à 11 d'Internet Explorer 

Le monde de la sécurité s’active particulièrement depuis samedi, à la faveur de la découverte d’une faille de sécurité critique dans Internet Explorer. De type 0-day (déjà exploitée au moment de sa découverte), elle touche toutes les versions du navigateur de Microsoft depuis la 6, autrement dit toutes les moutures présentes dans les systèmes Windows depuis XP jusqu’à Windows 8.1, même avec la récente Update 1.

 

Cette vulnérabilité, portant officiellement la référence CVE-2014-1776, concerne la manière dont Internet Explorer accède à un objet en mémoire qui a été précédemment supprimé ou dont l’espace mémoire n’a pas été alloué de la bonne manière. L’exploitation de la faille pourrait entrainer une corruption de cette zone mémoire, permettant alors à un attaquant d’y faire exécuter un code arbitraire de son propre cru.

Flash et VML pour contourner les protections du navigateur 

Comme certains ne manqueraient pas de le souligner, l’exploitation d’une telle vulnérabilité limiterait le contexte d’exécution à Internet Explorer. Plusieurs mesures de protection empêchant en théorie ce genre d’attaque de sortir du périmètre du navigateur, notamment l’ASLR (Adress Space Layout Randomization) et la DEP (Data Execution Prevention), sont en place depuis plusieurs années. Mais pour les contrer, des mesures spécifiques ont été prises. 

 

Les pirates à l’origine de cette exploitation visent précisément les versions 9, 10 et 11 d’Internet Explorer, que l’on peut trouver sous Vista, Windows 7 et Windows 8. Pour contourner les protections, ils ont utilisé deux éléments extérieurs : le VML (Vector Markup Language) et Flash. L’attaque est donc particulièrement bien ficelée et s’adresse en fait, pour l'instant, à des cibles assez particulières. Toutefois, comme toute révélation publique dans ce genre de cas, l’exploitation de la brèche pourrait gagner en intensité.

Une attaque visant avant tout les grandes structures 

Les attaquants eux-mêmes sont connus des entreprises de sécurité, notamment de FireEye qui fut l’une des premières à analyser la situation. Elle indique ainsi que le groupe est célèbre pour ses attaques de type APT (advanced persistent threats), composées de lots de plusieurs failles et techniques, et dirigées contre des cibles relativement spécifiques telles que de grandes firmes ou des gouvernements. Pour FireEye, il s’agit du même groupe et du même mode opératoire. Ce qui les rend d’ailleurs difficile à détecter car les pirates ne réutilisent jamais la même infrastructure de contrôle pour deux attaques différentes (les fameux serveurs C&C, Command & Control).

 

L’attaque elle-même prend place, comme souvent dans ce genre de cas, via un ou plusieurs sites web spécialement conçus pour exploiter la brèche de sécurité. Si celle-ci est détectée dans Internet Explorer, elle provoque à terme le téléchargement d’un logiciel malveillant. Il y a de fortes chances pour que ces sites (les détails sont peu nombreux pour éviter une reproduction trop aisée) soient des copies très réussies de sites existants, sur lesquels les victimes arrivent depuis des campagnes de faux emails habituellement très soignés.

Changer de navigateur ou atténuer les risques 

Les questions sont donc : doit-on et peut-on s’en prémunir ? Il faut bien entendu se préparer au cas où l’exploitation gagnerait en intensité. La solution la plus efficace est de changer temporairement de navigateur et d’utiliser un produit tiers tel que Firefox, Chrome ou Opera. Dans le cas où vous voudriez garder Internet Explorer, soit par convenance, soit par obligation, il existe également des actions à prendre pour limiter les risques.

 

Les premières mesures concernent évidemment les éléments tiers utilisés pour contourner les protections d’Internet Explorer : VML et Flash, qu’il faut donc désactiver. Si vous utilisez la version 10 ou 11 du navigateur, vous pouvez activer également la fonction « Enhanced Protected Mode » dans les Options internet, mais uniquement si vous possédez un Windows 7 ou 8 en 64 bits. Enfin, il est recommandé d’installer l’EMET (Enhanced Mitigation Experience Toolkit), une trousse à outils permettant de mettre en place des protections particulières, et d’en activer toutes les règles d’atténuation des risques, y compris les mesures « deephooks » et « antidetour ». Si vous utilisez la préversion d’EMET 5.0, il faudra également activer les fonctions ASR (Attack Surface Reduction) et EAF+ (Expert Adress Table Filtering).

 

Microsoft a de son côté indiqué que ses équipes travaillaient à la création d'une mise à jour de sécurité. Cependant, on sait que le cas de Windows XP est déjà réglé et qu'aucun correctif ne sera proposé. Il s'agit de la première menace sérieuse à voir le jour contre le vieux système depuis la fin de son support technique.

Écrit par Vincent Hermann

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Une faille fonctionnant sur les versions 6 à 11 d'Internet Explorer 

Flash et VML pour contourner les protections du navigateur 

Une attaque visant avant tout les grandes structures 

Changer de navigateur ou atténuer les risques 

Fermer

Commentaires (127)


Edtech Abonné
Le 28/04/2014 à 08h 00

N’utilisant que la version ModernUI, ça doit pas mal limiter les risques. Je vais renforcer le paramétrage d’EMET au cas où !


M_Michu
Le 28/04/2014 à 08h 01



Changez de navigateur ou appliquez des mesures de sécurité





Pas de souci.. Je connais qu’une seule personne qui utilise Internet Explorer sur son PC.. mais ça sert à rien de lui prévenir de toute façon <img data-src=" />


Maicka
Le 28/04/2014 à 08h 01

Semi H.S mais Opera m’a proposé la 12.17 la semaine dernière. C’était un belle faille aussi apparemment.


jmanici
Le 28/04/2014 à 08h 09

Pour info, IE Metro n’est pas affecté par l’exploit car l’Enhanced Protected Mode est actif par défaut.



IE Mobile pour wp7/8 n’est pas affecté par la faille car il ne supporte plus VML (qui est une technologie dépréciée)







La solution la plus efficace est d’utiliser temporairement un autre navigateur, même si des mesures spéciales peuvent être mises en place





la solution la plus efficace est plutôt d’installer EMET pour ceux qui ne l’ont pas déjà fait, et ce, même s’ils n’utilisent pas IE.



comme l’a montré le dernier concours de sécurité Pwn2Own, mieux vaut utiliser IE avec EMET malgré cette faille, plutôt que d’utiliser Firefox ou Chrome.



pour rappel, la seule cible à ne pas avoir été attaquée lors de ce concours était IE11 avec EMET, malgré les 150 000$ de recompense.

Firefox, lui, avait été hacké 5fois, et ChromeOS 2fois…



comme quoi Microsoft sait comment s’y prendre pour développer un navigateur sécurisé. Malheureusement, à cause de la volonté de continuer à supporter des vieux plugins utilisés dans certaines entreprise, MS ne peut pas inclure les protections apportées par EMET directement dans Windows.



plus d’infos sur EMET pour ceux qui ne connaissent pas encore le principe de cet outil:

http://www.julien-manici.com/blog/EMET-protection-against-flaws-Internet-Explore…


zefling Abonné
Le 28/04/2014 à 08h 13







Maicka a écrit :



Semi H.S mais Opera m’a proposé la 12.17 la semaine dernière. C’était un belle faille aussi apparemment.





Y’a encore des utilisateurs d’Opera ? <img data-src=" />



Vilainkrauko Abonné
Le 28/04/2014 à 08h 14

Pas de sushi : avec mon XP je n’utilise plus IE <img data-src=" />



Par contre pour le reste, il faut faire confiance au système de protection de notre FAI : il doivent être super blindé … du moins il faut l’espérer <img data-src=" />


Jean_Peuplus
Le 28/04/2014 à 08h 17







jmanici a écrit :



comme l’a montré le dernier concours de sécurité Pwn2Own, mieux vaut utiliser IE avec EMET malgré cette faille, plutôt que d’utiliser Firefox ou Chrome.







Même Firefox avec NoScript ? <img data-src=" />



jb18v
Le 28/04/2014 à 08h 18

c’est parti <img data-src=" />


Fantassin
Le 28/04/2014 à 08h 19

Oulala ! C’est grave docteur ?

Si Mme Michu lit cette news, c’est la dépression assurée pour appliquer toutes vos recommandations. <img data-src=" />


La Loutre
Le 28/04/2014 à 08h 21

Bon bah ça tombe bien je n’utilise pas i.e

:)


Mon lynx est infecté par je ne sais quoi ; j’ai des pop-up de cul en ascii art <img data-src=" />


jmanici
Le 28/04/2014 à 08h 25

concernant la faille elle même, pour ceux qui pensent “encore une faille dans IE!”, gardez à l’esprit qu’il s’agit d’une attaque ciblée contre des entreprises ou des agences gouvernementales qui utilisent IE9/10 ou 11.

les hackers qui ont développé cet exploit ne se sont même pas donné la peine de rendre l’exploit compatible XP/IE6/7/8 parce qu’ils ont identifié que leur cible utilisait une version plus récente d’IE.



tout ça pour dire que dans le cadre d’attaques ciblées, peu importe le navigateur que vous utilisez, les hackers qui veulent vraiment s’en prendre à vous (si vous êtes une cible de grande valeur) développeront un exploit pour firefox/chrome si vous n’utilisez pas IE. Et à en juger par l’historique de sécurité de Firefox, je suis sûr que les hackers prefereraient que tout le monde migre vers Firefox, ça leur ferait moins de protections à contourner ;)


june
Le 28/04/2014 à 08h 25



Les pirates à l’origine de cette exploitation visent précisément les versions 9, 10 et 11 d’Internet Explorer



Si je comprends bien, la meilleure façon aujourd’hui d’être à l’abri de la faille est d’utiliser XP <img data-src=" />


Jean_Peuplus
Le 28/04/2014 à 08h 25







YesWeekEnd a écrit :



Mon lynx est infecté par je ne sais quoi ; j’ai des pop-up de cul en ascii art <img data-src=" />







<img data-src=" />



zempa Abonné
Le 28/04/2014 à 08h 25



La solution la plus efficace est de changer temporairement de navigateur et d’utiliser un produit tiers tel que Firefox, Chrome ou Opera.



Est ce que c’est également le cas sous Windows XP ?

Utiliser par exemple Firefox permet de se prémunir de cette faille ?

Merci


tazvld Abonné
Le 28/04/2014 à 08h 31







Mme_Michu a écrit :



Pas de souci.. Je connais qu’une seule personne qui utilise Internet Explorer sur son PC.. mais ça sert à rien de lui prévenir de toute façon <img data-src=" />





<img data-src=" /> c’est trop souvent le cas. Les utilisateurs d’IE ont généralement un système dans un état déplorable. Pour ces ordinateurs habité par tant d’être maléfique, je propose une séance d’exorcisme avec purification par les flammes.



jmanici
Le 28/04/2014 à 08h 32







Jean_Peuplus a écrit :



Même Firefox avec NoScript ? <img data-src=" />







si tu utilises Windows 2000 ou une version de linux un peu ancienne sans ASLR et DEP, les failles sont exploitables même avec Noscript.



par contre, avec ASLR/DEP la possibilité d’exploiter des failles de corruption mémoire si le support de javascript est désactivé devient effectivement moins réaliste.



mais Noscript n’a pas grand intérêt quand on considère que la plupart des sites nécessitent JS pour marcher correctement. Au final, tu te retrouves à whitelister tellement de trucs que tu finiras pas whitelister aussi les exploits 0day sans t’en apercevoir.



les pédophiles qui utilisent Firefox avec TOR l’ont appris à leur dépens lorsque le FBI est venu frapper à leur porte l’été dernier ;)

(noscript était pourtant activé par défaut)



Khalev
Le 28/04/2014 à 08h 37







jmanici a écrit :



comme l’a montré le dernier concours de sécurité Pwn2Own, mieux vaut utiliser IE avec EMET malgré cette faille, plutôt que d’utiliser Firefox ou Chrome.





Ça n’a rien montré puisque ça n’a même pas été tenté.



Jean_Peuplus
Le 28/04/2014 à 08h 39







jmanici a écrit :



mais Noscript n’a pas grand intérêt quand on considère que la plupart des sites nécessitent JS pour marcher correctement. Au final, tu te retrouves à whitelister tellement de trucs que tu finiras pas whitelister aussi les exploits 0day sans t’en apercevoir.



les pédophiles qui utilisent Firefox avec TOR l’ont appris à leur dépens lorsque le FBI est venu frapper à leur porte l’été dernier ;)

(noscript était pourtant activé par défaut)







Au final c’est pas si long que ça, 99 % des utilisateurs d’internet ont un nombre de site courants qui tient sur 2 digits, sans parler des sites (genre site d’info) qui affiche l’essentiel sans script ni javascript



Quand à TorBrowser, le problème est justement que NoScript est réglé par défaut sur “autoriser javascript globalement”.









Maicka a écrit :



Semi H.S mais Opera m’a proposé la 12.17 la semaine dernière. C’était un belle faille aussi apparemment.







MAJ liée à l’affaire Heartbleed:



Fixes and stability enhancements since Opera 12.16

Security fixes

Opera now checks signature before installing the executable file

Updates to OpenSSL versions









Khalev a écrit :



Ça n’a rien montré puisque ça n’a même pas été tenté.





La conclusion apportée était que c’était trop long à réaliser et donc non rentable. Si ça ne l’est pas pour une prime en milliers d’USD, ont peut assez logiquement déduire que ce ne sera pas la cible de prédilection des exploit.



Khalev
Le 28/04/2014 à 08h 45







YesWeekEnd a écrit :



La conclusion apportée était que c’était trop long à réaliser et donc non rentable. Si ça ne l’est pas pour une prime en milliers d’USD, ont peut assez logiquement déduire que ce ne sera pas la cible de prédilection des exploit.





C’est bien ce que je dis, le concours p2o ne permet pas de savoir ce qu’il en est concernant la sécurité de IE avec EMET. Juste que ça ne rentrait pas dans les cases du concours p2o.



Homo_Informaticus
Le 28/04/2014 à 08h 48







YesWeekEnd a écrit :



Mon lynx est infecté par je ne sais quoi ; j’ai des pop-up de cul en ascii art <img data-src=" />





Cachez ce “@” que je ne saurais voir.



jmanici
Le 28/04/2014 à 08h 50







Khalev a écrit :



Ça n’a rien montré puisque ça n’a même pas été tenté.







personne n’a tenté d’exploiter IE11 avec EMET lors du Pwn2own parce que personne n’avait d’exploit à présenter.

(ou alors si quelqu’un en avait un, il estimait que $150 000 est une trop faible recompense pour le divulguer).



j’ai l’impression que tu ne comprends pas le principe du pwn2own. Les hackers ne s’enregistrent pas aux différentes compétitions s’ils n’ont pas déjà un exploit sous la main. Ils ne vont pas pondre un exploit en public en 30minutes.



donc le fait que personne n’ait “tenté” ne veut pas dire que personne n’ait essayé de développer un tel exploit.



domFreedom
Le 28/04/2014 à 08h 52







Mme_Michu a écrit :



Pas de souci.. Je connais qu’une seule personne qui utilise Internet Explorer sur son PC.. mais ça sert à rien de lui prévenir de toute façon <img data-src=" />







<img data-src=" />



Ca doit être du vécu pour pas mal d’amins sys et autres gestionnaires de parcs… <img data-src=" />



jmanici
Le 28/04/2014 à 08h 54







Jean_Peuplus a écrit :



Au final c’est pas si long que ça, 99 % des utilisateurs d’internet ont un nombre de site courants qui tient sur 2 digits, sans parler des sites (genre site d’info) qui affiche l’essentiel sans script ni javascript







contrairement aux idées reçues, pas besoin de trainer sur des sites pornos ou warez pour être la cible d’attaque.



de plus en plus souvent, des sites et des blogs parfaitement légitimes se font hacker et servent des malwares au dépens de leur webmaster et de leurs visiteurs.

notamment ceux qui utilisent des solutions genre Wordpress pas à jour.



c’est suffisamment fréquent hélas pour invalider l’idée même de “site de confiance”.



jmanici
Le 28/04/2014 à 09h 01







Khalev a écrit :



C’est bien ce que je dis, le concours p2o ne permet pas de savoir ce qu’il en est concernant la sécurité de IE avec EMET. Juste que ça ne rentrait pas dans les cases du concours p2o.







bah en tout cas pour des sommes moins élevées que 150 000$, tous les navigateurs sans EMET se sont fait “pwner” à plusieurs reprises, y compris safari sous osx.



donc à choisir, mieux vaut faire confiance à EMET.



surtout que jusqu’ici, on a jamais vu d’exploit en liberté qui contourne EMET.

même sur des cibles de haute valeur dans le cadre d’attaque ciblées comme on a pu le voir ici.



évidemment EMET peut être contourné, c’est déjà arrivé dans le passé.



mais tout laisse à penser que les hackers ont beaucoup plus de mal à attaquer un navigateur protégé par EMET, que n’importe quel navigateur sous windows/linux/osx sans EMET.



Khalev
Le 28/04/2014 à 09h 02







jmanici a écrit :



(ou alors si quelqu’un en avait un, il estimait que $150 000 est une trop faible recompense pour le divulguer).

(…)

donc le fait que personne n’ait “tenté” ne veut pas dire que personne n’ait essayé de développer un tel exploit.





Tu le dis toi-même, ça ne veut pas dire non plus qu’il n’existe pas d’exploit.



Donc je vois mal comment tu peux utiliser l’argument p2o pour dire que IE+EMET est plus sécurisé que FF ou Chrome (même si c’est le cas, p2o n’est pas une preuve en soi).



C’est un peu comme dire que parce que Usain Bolt détient le record du monde sur 100m il peut battre n’importe quel coureur sur n’importe quelle course.

Alors qu’en fait ça ne présage rien de ses résultats sur marathon par exemple.



cyrilleberger
Le 28/04/2014 à 09h 09







jmanici a écrit :



[quote:5005881:Khalev]

donc le fait que personne n’ait “tenté” ne veut pas dire que personne n’ait essayé de développer un tel exploit.





Ou personne n’ait essayé de développer un tel exploit parce que le nombre d’utilisateurs d’EMET est très faible. Et que donc, cibler IE+EMET n’est pas rentable.



D’une manière générale, il est vraisemblablement plus sécure d’utiliser un navigateur plein de failles, mais qui a peu d’utilisateurs qu’un navigateur avec peu de failles mais plein d’utilisateurs. Les pirates cibleront toujours celui avec plein d’utilisateurs, mais si c’est plus facile d’attaquer l’autre.



Ce qui ne veut pas dire qu’IE+EMET n’est pas fiable. C’est juste une cible pas intéressante pour les pirates.



Khalev
Le 28/04/2014 à 09h 11







jmanici a écrit :



bah en tout cas pour des sommes moins élevées que 150 000$, tous les navigateurs sans EMET se sont fait “pwner” à plusieurs reprises, y compris safari sous osx.



donc à choisir, mieux vaut faire confiance à EMET.





Mais ça ne veut rien dire sur la sécurité du bouzin. Le plugin java n’avait pas été tenté non plus lors du concours. Je ne suis pas sûr que tout le monde concluera aussi facilement que c’est parce qu’il est super sécurisé <img data-src=" />.





jmanici a écrit :



surtout que jusqu’ici, on a jamais vu d’exploit en liberté qui contourne EMET.

même sur des cibles de haute valeur dans le cadre d’attaque ciblées comme on a pu le voir ici.





Ça c’est déjà des arguments plus intéressants.





jmanici a écrit :



évidemment EMET peut être contourné, c’est déjà arrivé dans le passé.



mais tout laisse à penser que les hackers ont beaucoup plus de mal à attaquer un navigateur protégé par EMET, que n’importe quel navigateur sous windows/linux/osx sans EMET.





+1 là-dessus.



jmanici
Le 28/04/2014 à 09h 24







cyrilleberger a écrit :



Ou personne n’ait essayé de développer un tel exploit parce que le nombre d’utilisateurs d’EMET est très faible. Et que donc, cibler IE+EMET n’est pas rentable.



D’une manière générale, il est vraisemblablement plus sécure d’utiliser un navigateur plein de failles, mais qui a peu d’utilisateurs qu’un navigateur avec peu de failles mais plein d’utilisateurs. Les pirates cibleront toujours celui avec plein d’utilisateurs, mais si c’est plus facile d’attaquer l’autre.







dans le cadre d’une attaque générique qui a pour but d’infecter un max d’utilisateurs, oui.



mais dans le cadre d’une attaque ciblée, non!



si une cible de valeur utilise un navigateur rarement utilisé, ça n’a aucune importance puisque le hacker cherche à infecter une cible spécifique, et non une large population.







Ce qui ne veut pas dire qu’IE+EMET n’est pas fiable. C’est juste une cible pas intéressante pour les pirates.





dans la population générale, l’utilisation d’EMET est assez rare en effet.



mais l’utilisation de chromeOS est encore plus rare, et pourtant deux équipes de hackers se sont donné la peine de le hacker lors du dernier pwn2own (même recompense que pour IE11/EMET: $150 000)



ce qui laisse penser que EMET apporte un réel plus niveau sécurité, c’est les attaques ciblées comme la faille dont il est question dans cet article.



EMET est de plus en plus utilisé en entreprise et dans les agences gouvernementales (qui sont justement les cibles de ces attaques 0day) car MS encourage fortement à son adoption, offrant même officiellement un support technique pour ce produit.



jusqu’ici on n’a entendu parler que d’un seul PoC contournant EMET4.1 (donc pas une attaque réelle), et aucun contournant EMET5 ou EMET 4.1 avec deep hook et anti détour activés.



Koxinga22
Le 28/04/2014 à 09h 27







carbier a écrit :



<img data-src=" />

Aucun navigateur ne peut se targuer de n’avoir aucune faille.

Si cela se trouve, les internautes vont ponctuellement migrer sur un navigateur qui a une faille 0D qui n’a pas encore été rendue publique…





<img data-src=" /> indeed

C’est marrant comme nos avatar ont la même pose <img data-src=" />



Faut qd même ne pas perdre de vue que le Pwn2Own voit passer une masse de chercheurs… Donc des gens rompus à l’exercice. Le fait qu’il n’y ait pas eu un seul candidat sur le challenge Unicorn (le grand prix) ne peut pas juste se conclure par “ça n’a intéressé personne”.



Le fait qu’on recommande de mettre en place EMET (notamment pour la faille dont il est question dans l’article), et ce sur divers sites traitant du domaine, n’est pas la conséquence d’une absence de participant au p2o sur ce défi… Je vois bien des mecs de la sécurité dire “y’a pas eu de gagnant donc c’est sécure”.



Oui, Emet a déjà été contourné mais, oui aussi, Emet reste une solution très efficace à mettre en oeuvre et il rend IE plus difficilement exploitable que ses pairs… Ce qui n’est pas rien quand on connaît le niveau “sans Emet”.



Pour finir, la référence au P2O est un brin HS car le grand prix portait sur des critères très précis : Win8.1+ IE 11 + EMET, en x64. C’est encore très loin d’être une grande part de marché.


carbier Abonné
Le 28/04/2014 à 09h 30







Koxinga22 a écrit :



<img data-src=" /> indeed

C’est marrant comme nos avatar ont la même pose <img data-src=" />





<img data-src=" />



jmanici
Le 28/04/2014 à 09h 30







Koxinga22 a écrit :







malgré les idées reçues, ces dernières années, IE est le navigateur qui a eu le moins de failles de sécurité.



mais j’imagine que c’est facile de cracher sur les autres quand on s’imagine qu’il est facile de faire mieux.





Et cette histoire d’EMET, je suis pas convaincu. Leur truc à eux, c’est pas d’être “user friendly” ? S’il faut installer et configurer un soft pour sécuriser un autre soft, ca me semble pas du tout la bonne voie à suivre pour être intuitif vis à vis des utilisateurs non avertis.







EMET pose des problèmes de compatibilité avec certains plugins utilisés en entreprise, ce qui empêche MS d’inclure directement les protections fournies par EMET dans Windows.



mais au fur et a mesure que les éditeurs de plugins incompatible mettent leurs produits à jour, MS peut inclure dans windows/IE des protections qui étaient autrefois réservées à EMET.



c’est le cas de ForceASLR qui est apparu sous IE10 par exemple.



pour les particuliers pas de problème, EMET est compatible avec tous les plugins classiques (flash, Silverlight, java, …)









jmanici a écrit :



pour les particuliers pas de problème, EMET est compatible avec tous les plugins classiques (flash, Silverlight, java, …)





Il convient d’être moins catégorique.



jmanici
Le 28/04/2014 à 09h 37







YesWeekEnd a écrit :



Faut qd même ne pas perdre de vue que le Pwn2Own voit passer une masse de chercheurs… Donc des gens rompus à l’exercice. Le fait qu’il n’y ait pas eu un seul candidat sur le challenge Unicorn (le grand prix) ne peut pas juste se conclure par “ça n’a intéressé personne”.



Le fait qu’on recommande de mettre en place EMET (notamment pour la faille dont il est question dans l’article), et ce sur divers sites traitant du domaine, n’est pas la conséquence d’une absence de participant au p2o sur ce défi… Je vois bien des mecs de la sécurité dire “y’a pas eu de gagnant donc c’est sécure”.



Oui, Emet a déjà été contourné mais, oui aussi, Emet reste une solution très efficace à mettre en oeuvre et il rend IE plus difficilement exploitable que ses pairs… Ce qui n’est pas rien quand on connaît le niveau “sans Emet”.



Pour finir, la référence au P2O est un brin HS car le grand prix portait sur des critères très précis : Win8.1+ IE 11 + EMET, en x64. C’est encore très loin d’être une grande part de marché.







paradoxalement, EMET offre une meilleure protection sur les processus 32bits que sur les processus 64bits.



donc même si tu utilises un win7 32bits, pas de soucis, la protection fournie par EMET a un niveau comparable à celle des conditions idéales.



par contre sous XP non.

XP ne supporte pas l’ASLR, donc EMET n’est pas aussi efficace sous xp que sous win7.



EMET peut améliorer la sécurité sous xp, mais il sera plus facilement contourné. Donc pas une solution pour se protéger durablement des failles 0day maintenant que le support est terminé.



jmanici
Le 28/04/2014 à 09h 39







YesWeekEnd a écrit :



Il convient d’être moins catégorique.







tu connais des plugins grand public non compatibles EMET?



de ce que je sais, tous les plugins courant sont compatibles avec EMET, du moment que tu n’utilises pas des versions dépassées (mais si tu utilises encore Flash Player 8 tu as d’autres soucis à te faire ;) )



RaoulC
Le 28/04/2014 à 09h 42

SI je comprend bien, il ya une faille dans IE, qui est difficilement exploitable à cause de l’ASLR et du DEP.



Donc on se sert de Flash comme vecteur d’attaque.



Loin de moi l’idée de défendre IE mais vu qu’il existe des mesures de sécurité dans IE censées limiter l’exploitation d’une éventuelle faille… j’ai bien envie de taper sur Flash<img data-src=" />


jmanici
Le 28/04/2014 à 09h 48







RaoulC a écrit :



SI je comprend bien, il ya une faille dans IE, qui est difficilement exploitable à cause de l’ASLR et du DEP.



Donc on se sert de Flash comme vecteur d’attaque.



Loin de moi l’idée de défendre IE mais vu qu’il existe des mesures de sécurité dans IE censées limiter l’exploitation d’une éventuelle faille… j’ai bien envie de taper sur Flash<img data-src=" />







pas directement la faute à Flash pour une fois.



mais disons que Flash est en train de devenir le moyen privilégié pour contourner ASLR et DEP.



techniquement, adobe pourrait améliorer flash Player pour rendre ce type de contournement plus compliqué à réaliser via flash.



psikobare
Le 28/04/2014 à 09h 52







jmanici a écrit :



paradoxalement, EMET offre une meilleure protection sur les processus 32bits que sur les processus 64bits.





??



ou alors sous xp 64 bits









jmanici a écrit :



tu connais des plugins grand public non compatibles EMET?



de ce que je sais, tous les plugins courant sont compatibles avec EMET, du moment que tu n’utilises pas des versions dépassées (mais si tu utilises encore Flash Player 8 tu as d’autres soucis à te faire ;) )





Ma -brève- réponse n’était pas à propos ; j’ai réagi au sens large et donc hors contexte exclusif du navigateur.



jmanici
Le 28/04/2014 à 09h 59







psikobare a écrit :



??







la plupart des browsers tournent en 32bit même sous Windows 64bit.



par défaut même IE tourne en 32bit (IE Metro tourne en 64bit).



c’est donc une bonne chose que les process 32bits soit mieux protégés par EMET car c’est eux qui en ont le plus besoin.



regarde dans le PDF d’aide de EMET pour plus d’infos.





ou alors sous xp 64 bits





il y a encore des gens sous xp 64bits? Tous les early adopters sont passés à autre chose depuis longtemps.



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.



<img data-src=" />


jmanici
Le 28/04/2014 à 10h 05







hadoken a écrit :



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.



<img data-src=" />







et un openSSL .NET aussi ;)

(ou en java)



jmanici
Le 28/04/2014 à 10h 11







Khalev a écrit :



Mais ça ne veut rien dire sur la sécurité du bouzin. Le plugin java n’avait pas été tenté non plus lors du concours.







le plugin Java n’a pas été hacké durant le dernier pwn2own pour une bonne raison: les règles du concours imposaient que l’exploit fonctionne sans intervention de l’utilisateur, et donc contourne le click to play introduit dans java7.



une contrainte assez extrême, puisque si les devs d’oracle ont fait leur boulot a peu près correctement, il est assez improbable qu’il y ait des failles permettant de bypasser le click to play tant la surface d’exposition aux failles est réduite.



mais pour info, vupen a déclaré avoir un exploit contre java 7. Mais pas de bypass pour le click to play.



RaoulC
Le 28/04/2014 à 10h 14







hadoken a écrit :



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.



<img data-src=" />







Mouais. Ca risque d’être compliqué pour faire du reverse, un OS managé.<img data-src=" />

Bon, ca changera les habitudes, ctout.



Comme le passage de 16 bits a 32 et de 32 à 64 <img data-src=" />



RaoulC
Le 28/04/2014 à 10h 15







jmanici a écrit :



pas directement la faute à Flash pour une fois.



mais disons que Flash est en train de devenir le moyen privilégié pour contourner ASLR et DEP.



techniquement, adobe pourrait améliorer flash Player pour rendre ce type de contournement plus compliqué à réaliser via flash.







Oui oui, donc j’avais bien compris, merci <img data-src=" />



ra-mon Abonné
Le 28/04/2014 à 10h 15







zefling a écrit :



Y’a encore des utilisateurs d’Opera ? <img data-src=" />





Oui, rassure-toi <img data-src=" /> D’autant qu’Opera bénéficie encore de mises à jour de sécurité. Bon après il parait qu’il y a aussi des utilisateurs du nouvel Opera, ce qui ne parait pas anormal, puisque c’est devenu un genre de Chrome (donc de Firefox ou d’IE).



Emralegna
Le 28/04/2014 à 10h 35







jmanici a écrit :



la plupart des browsers tournent en 32bit même sous Windows 64bit.



par défaut même IE tourne en 32bit (IE Metro tourne en 64bit).



c’est donc une bonne chose que les process 32bits soit mieux protégés par EMET car c’est eux qui en ont le plus besoin.



regarde dans le PDF d’aide de EMET pour plus d’infos.







Les deux versions sont en 64 bits.







Khalev a écrit :



Tu le dis toi-même, ça ne veut pas dire non plus qu’il n’existe pas d’exploit.



Donc je vois mal comment tu peux utiliser l’argument p2o pour dire que IE+EMET est plus sécurisé que FF ou Chrome (même si c’est le cas, p2o n’est pas une preuve en soi).


C’est un peu comme dire que parce que Usain Bolt détient le record du monde sur 100m il peut battre n’importe quel coureur sur n’importe quelle course.

Alors qu’en fait ça ne présage rien de ses résultats sur marathon par exemple.







EMET est un outil de protection système global et pas browser only, donc IE+EMET sera forcément toujours plus sécurisé que IE, FF ou Chrome sans. Ce qui ne veut pas dire que FF+EMET ne sera pas plus sécurisé que IE+EMET, mais là c’est une question de navigateur uniquement.



taralafifi
Le 28/04/2014 à 10h 36

Faut être un fou furieux pour surfer avec IE sur Windows XP <img data-src=" />


zefling Abonné
Le 28/04/2014 à 10h 51







ra-mon a écrit :



Oui, rassure-toi <img data-src=" /> D’autant qu’Opera bénéficie encore de mises à jour de sécurité. Bon après il parait qu’il y a aussi des utilisateurs du nouvel Opera, ce qui ne parait pas anormal, puisque c’est devenu un genre de Chrome (donc de Firefox ou d’IE).







La dernière fois que je l’ai testé, j’avais l’impression d’un truc encore plus light que Chrome… Bref, un truc qui fait pas grand-chose. Par rapport à l’ancien Opera, c’était… étrange.



charon.G
Le 28/04/2014 à 11h 12







hadoken a écrit :



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.



<img data-src=" />









jmanici a écrit :



et un openSSL .NET aussi ;)

(ou en java)





Je plussoie <img data-src=" />









zefling a écrit :



La dernière fois que je l’ai testé, j’avais l’impression d’un truc encore plus light que Chrome… Bref, un truc qui fait pas grand-chose. Par rapport à l’ancien Opera, c’était… étrange.





Disons que l’absence de gestionnaire de favoris est un no-go pour beaucoup (moi y compris).

Et le fait d’avoir jeté à la poubelle 15 ans de dév… Remplacer Presto par Webkit (Blink au final) je comprenais l’idée, mais virer tout le reste (UI et 90% des features…) c’est juste n’importe quoi. Beaucoup sont encore en 12.x, et quand la 12.x ne sera plus maintenue et/ou trop outdatée pour afficher correctement du web, beaucoup passeront surement à autre chose qu’Opera.



EDIT: lien vers les commentaires de l’annonce de la 12.17<img data-src=" />

http://blogs.opera.com/desktop/2014/04/opera-12-17/#disqus_thread



XMalek
Le 28/04/2014 à 11h 55







hadoken a écrit :



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.



<img data-src=" />







Oui mais bon le surcout mémoire + preformance d’un OS managé est non négligable. Cela provoquera une montée en puissance des petites machines, et selon moi ce n’est pas une bonne idée d’avoir tout l’os en managé.



Ce qu’il faudrait c’est la possiblité d’avoir des programmes critiques en managés (ie : les navigateurs ,les clients mails, les visionneuses, etc) et d’autres programmes qui sont eux en natif (Jeux, applications critiques en ressources, Programmes utilisant des instructions très bas niveaux). Après si les créteurs de navigateurs refusent de jouer le jeu on restera au même point.



*


jmanici
Le 28/04/2014 à 12h 35







XMalek a écrit :



Oui mais bon le surcout mémoire + preformance d’un OS managé est non négligable. Cela provoquera une montée en puissance des petites machines, et selon moi ce n’est pas une bonne idée d’avoir tout l’os en managé.



Ce qu’il faudrait c’est la possiblité d’avoir des programmes critiques en managés (ie : les navigateurs ,les clients mails, les visionneuses, etc) et d’autres programmes qui sont eux en natif (Jeux, applications critiques en ressources, Programmes utilisant des instructions très bas niveaux). Après si les créteurs de navigateurs refusent de jouer le jeu on restera au même point.







+1

si au moins on avait des navigateurs web 100% en java ou .net ça éliminerait pas mal de problèmes. Pas juste pour les particuliers, mais surtout pour les entreprises victimes d’attaques ciblées. Les exploits 0day ont beau devenir de plus en plus difficile à développer, ça n’empêche pas les hackers d’arriver à leur fin lorsqu’il s’agit de cibles intéressantes.



je suis sûr que bon nombre de personnes accepteraient d’avoir un navigateur qui utilise 30% de resource CPU/RAM en plus si en contre partie ils ont la garantie qu’ils n’y aura plus de failles permettant d’exécuter du code arbitraire. Vu le temps nécessaire au transit des données par internet, sur un PC moyen on ne verrait pas la différence entre un navigateur en C et un navigateur en code managé dans des scenarios de navigation web classique.



malheureusement en ce moment les éditeurs font la course aux benchmarks et aux nouvelles fonctionnalités. La sécurité ne semble pas leur priorité numéro 1 (quand on voit que Firefox n’a toujours pas de sandbox… Ouch).



malock
Le 28/04/2014 à 12h 45







jmanici a écrit :



(…)

je suis sûr que bon nombre de personnes accepteraient d’avoir un navigateur qui utilise 30% de resource CPU/RAM en plus si en contre partie ils ont la garantie qu’ils n’y aura plus de failles permettant d’exécuter du code arbitraire.

(…)







Étonnamment, face à un argument du type “en contrepartie, on vous garantie qu’il n’y a plus de failles permettant exécuter du code arbitraire”, je souris puis je m’en vais.



levhieu
Le 28/04/2014 à 12h 50







malock a écrit :



Étonnamment, face à un argument du type “en contrepartie, on vous garantie qu’il n’y a plus de failles permettant exécuter du code arbitraire”, je souris puis je m’en vais.







Pourtant, 30% c’est 70 points de moins qu’un Norton, non ?



malock
Le 28/04/2014 à 12h 54







levhieu a écrit :



Pourtant, 30% c’est 70 points de moins qu’un Norton, non ?







Peut-être bien, je ne sais pas.

C’est surtout la garantie ici, qui m’interpelle…



sniperdc
Le 28/04/2014 à 13h 05

Bon on patch, ça ne m’étonne même plus une faille dans IE.








malock a écrit :



Peut-être bien, je ne sais pas.

C’est surtout la garantie ici, qui m’interpelle…





Tu t’assures déjà de virer tous les hacks basés sur du buffer overflow. Je n’ai pas de stats là dessus, mais je dirais au pif que bien 75% des failles de sécurité sont liées de près ou de loin à çà.



Faut être fou pour utiliser encore IE sur XP pour un particulier, autant installer un navigateur moderne au moins, et bénéficier d’un confort de navigation sans commune mesure.


jmanici
Le 28/04/2014 à 13h 12







malock a écrit :



Étonnamment, face à un argument du type “en contrepartie, on vous garantie qu’il n’y a plus de failles permettant exécuter du code arbitraire”, je souris puis je m’en vais.







si ton code est 100% managé, il ne peut pas être vulnérable à des buffer overflows ou des use-after-free qui conduisent souvent à la possibilité d’executer du code.



après ton code peut toujours avec des failles d’autre nature, mais déjà les failles RCE les plus graves sont évitées.



mais par 100% managé, j’entend qu’il faut avoir sa propre implementation des librairies de décodage d’image ou de SSL en code managé, sinon le code est potentiellement vulnérable aux failles de l’OS sous-jacent (puisque le .net Framework utilise le GDI ou WIC pour traiter les images par exemple)



PauloHeaven
Le 28/04/2014 à 13h 15

Si IE est installé mais que je ne l’utilise pas je n’ai pas à me faire de souci ? La faille qu’exploite le virus est une action du navigateur ?


jmanici
Le 28/04/2014 à 13h 15







sniperdc a écrit :



Bon on patch, ça ne m’étonne même plus une faille dans IE.







parce que tu t’imagines que Firefox et chrome ont moins de failles?

c’est beau la naïveté



RaoulC
Le 28/04/2014 à 13h 18







taralafifi a écrit :



Faut être un fou furieux pour surfer avec IE sur Windows XP <img data-src=" />







Ou juste un michu qui s’en fou



sniperdc
Le 28/04/2014 à 13h 21







jmanici a écrit :



parce que tu t’imagines que Firefox et chrome ont moins de failles?

c’est beau la naïveté







Moins de faille na mais plus réactif oui.



amusez vous avec la version personnal… vous seriez étonné et IE vous semblera bien loin dans le top parade.



http://secunia.com/vulnerability_scanning/personal/


RaoulC
Le 28/04/2014 à 13h 24







jmanici a écrit :



je suis sûr que bon nombre de personnes accepteraient d’avoir un navigateur qui utilise 30% de resource CPU/RAM en plus si en contre partie ils ont la garantie qu’ils n’y aura plus de failles permettant d’exécuter du code arbitraire.







Hum, tu rêves tout éveillé.

Déjà que l’on se plaint de la conso CPU/RAM des navigateurs actuels, alors en demander encore plus <img data-src=" />



Après, tout dépend de ce que tu entend par “bon nombre”.

Les décideurs IT un peu sérieux, peut être (encore que…faut avoir la machine qui tient la charge supplémentaire et souvent c’est une question de moyen)

Les geeks (les vrais, pas “je suis geek a COD mdr xdr lol”) surement.



Mais la vaste majorité des gens, si ca bouffe plus de RAM /CPU, ca passe à la trappe. <img data-src=" />



Lafisk
Le 28/04/2014 à 13h 26







sniperdc a écrit :



Moins de faille na mais plus réactif oui.





Non plus … et clairement niveau reactivite, FF est le bon dernier de la classe <img data-src=" />



C’est bien de cracher sur un truc que tu n’as pas utiliser depuis au moins 3 versions majeures



sniperdc
Le 28/04/2014 à 13h 28







Lafisk a écrit :



Non plus … et clairement niveau reactivite, FF est le bon dernier de la classe <img data-src=" />



C’est bien de cracher sur un truc que tu n’as pas utiliser depuis au moins 3 versions majeures







<img data-src=" /> Je ne suis pas suicidaire Fini les IE depuis le 9 <img data-src=" />



BrainBSOD
Le 28/04/2014 à 13h 31

donc il faut flash et vml pour que l’attaque soit faisable, comme toujours quand c’est pas java c’est flash, ça serait interressant que ces spécialistes mettent autant de volonté à hacker d’autres navigateurs…


malock
Le 28/04/2014 à 13h 32







jmanici a écrit :



si ton code est 100% managé,et qu’il n’y a pas de failles côté machine virtuelle qui le gère, il ne peut pas être vulnérable à des buffer overflows ou des use-after-free qui conduisent souvent à la possibilité d’executer du code.

(…)







Si je veux bien croire qu’une exécution de code dans un programme qui le gère type VM limite (largement) les dépassements de tampons, il ne faut pas non plus oublier que ce programme peut lui aussi en contenir des failles…



Lafisk
Le 28/04/2014 à 13h 35







sniperdc a écrit :



<img data-src=" /> Je ne suis pas suicidaire Fini les IE depuis le 9 <img data-src=" />





C’est bien ce que je dit, meconnaissance total du sujet, et pour ta gouverne, le 9 etait deja pas mal en train de remonter la pente. Aujourd’hui entre FF et IE ou meme chrome, c’est clairement IE pour moi entre l’un qui est gourmand comme pas possible et l’autre a mi chemin entre le spyware et le crapware <img data-src=" />



Tu vas me dire “ouai mais y’a pas d’extension sur IE” ouai, mais je m’en fou je m’en sers pas perso, ca alourdi le navigateur encore plus les 3⁄4 du temps



ra-mon Abonné
Le 28/04/2014 à 13h 38







zefling a écrit :



La dernière fois que je l’ai testé, j’avais l’impression d’un truc encore plus light que Chrome… Bref, un truc qui fait pas grand-chose. Par rapport à l’ancien Opera, c’était… étrange.





C’est vrai que c’est un gros choc pour celles et ceux qui profitaient de la richesse fonctionnelle et la personnalisation de la suite Internet Opera Desktop, mais sinon, le p’tit navigateur Opera 20, simple et extensible, en fait autant que Chrome, Firefox ou IE… Il fait certes pas tout pareil (gestion des signets par exemple et Speed Dial différent de ceux de Firefox/Chrome…), fait certains trucs que d’autres font pas et vice-versa, mais c’est peu ou prou la même came.







hadoken a écrit :



Disons que l’absence de gestionnaire de favoris





Il y a un gestionnaire de “favoris”, le Speed Dial. C’est évidemment déroutant si on cherche du “qui fait tout comme Firefox ou IE” et ça ne convient pas à mon usage de nombreux signets mais c’est en définitive pas si con pour des utilisateurs qui n’ont pas 5000 signets à ranger/gérer (typiquement : Mme Michut). Il est aussi possible de caser des sites favoris dans le calepin ou dans la barre de signets ou même d’utiliser des extensions pour gérer ses signets ; cool, non, pour les amateurs d’extensions <img data-src=" /> ?





quand la 12.x ne sera plus maintenue et/ou trop outdatée pour afficher correctement du web, beaucoup passeront surement à autre chose qu’Opera.



Si c’est pour passer à IE, FIrefox, Safari ou Chrome, autant rester fidèle à la marque d’origine puisqu’elle fabrique désormais un clone de ces IE-Killers <img data-src=" />

Mais sinon, il reste effectivement des trucs comme SeaMonkey, otter-browser ou qupzilla qui pourraient peut-être se montrer de bonnes alternatives un peu plus riches fonctionnellement…



sniperdc
Le 28/04/2014 à 13h 41







Lafisk a écrit :



C’est bien ce que je dit, meconnaissance total du sujet, et pour ta gouverne, le 9 etait deja pas mal en train de remonter la pente. Aujourd’hui entre FF et IE ou meme chrome, c’est clairement IE pour moi entre l’un qui est gourmand comme pas possible et l’autre a mi chemin entre le spyware et le crapware <img data-src=" />



Tu vas me dire “ouai mais y’a pas d’extension sur IE” ouai, mais je m’en fou je m’en sers pas perso, ca alourdi le navigateur encore plus les 3⁄4 du temps







C’est justement ce qu’il me manque FF est très clairement boulimique de mémoire vive.



Pour un web développer quand il travail sur de l’Ajax (DHTML) il manque très clairement certains outils clés.



Mais bon IE j’ai décroché depuis le 9 mais je ne luis dit pa, jamais.



J’espère que MS détache IE de Microsoft et lui propose une évolution constante à la façon d’un FF ou d’un Chrome.



Comme ça adieux les problèmes de version, fini l’itération 11, 12… 999 999



On évolue dans le respects des standards du web .



Lafisk
Le 28/04/2014 à 13h 46







sniperdc a écrit :



J’espère que MS détache IE de Microsoft et lui propose une évolution constante à la façon d’un FF ou d’un Chrome.







Faut pas rever tout haut non plus <img data-src=" />



Et pour le versionning, honnetement, je prefere celui de IE que de chrome ou FF, avec leur versionning t’a l’impression que les trucs sont la depuis la nuit des temps alors qu’en fait ils sont pas si vieux quand meme …



Par contre un versionning similaire a l’actuel avec des gros 11.xx intermediaires pour les majs minoritaire, je dis pas non.









ra-mon a écrit :



Il y a un gestionnaire de “favoris”, le Speed Dial.

Si c’est pour passer à IE, FIrefox, Safari ou Chrome, autant rester fidèle à la marque d’origine puisqu’elle fabrique désormais un clone de ces IE-Killers <img data-src=" />

Mais sinon, il reste effectivement des trucs comme SeaMonkey, otter-browser ou qupzilla qui pourraient peut-être se montrer de bonnes alternatives un peu plus riches fonctionnellement…





Pour le speed dial, franchement c’est juste pourri comme unique endroit de stockage des favoris :




  • Pour des power users c’est absolument insuffisant (power users = base d’utilisateur historique d’Opera).

  • Pour l’utilisateur lambda c’est totalement insuffisant aussi de ce que j’en sais. Pour avoir appris à quelqu’un qui ne connaissait rien à l’informatique à se servir d’un PC pour aller sur Internet, ce que je vois c’est que la barre d’adresse qui fait recherche google et affichage de l’historique et des favoris c’est très apprécié, et le menu qui affiche la liste des favoris également. Les personnes agées et/ou pas douées ne retiennent pas les noms des sites web, elles vont voir dans l’historique ce qu’elles ont “gardé de côté”!



    Sinon perso quand Opera 12.x sera trop vieux, je n’utiliserai juste plus du tout Opera. Je préfère l’original à la copie. Opera 15+ est une vaste blague, c’est vraiment le Chrome du pauvre avec les bugs en plus et les fonctionnalités en moins. Et j’ai pas du tout apprécié (comme beaucoup d’Opera users) l’annonce du jour au lendemain des modifications apportées qui cassent totalement 10 ans d’habitudes. Les types qui ont décidé çà sont sur une autre planète, faut quand même savoir qu’à la base ils avaient prévu de ne pas du tout implémenter de favoris (!)http://blogs.opera.com/desktop/2013/07/ctrl-z-of-ctrl-d/



sniperdc
Le 28/04/2014 à 14h 07







Lafisk a écrit :



Faut pas rever tout haut non plus <img data-src=" />



Et pour le versionning, honnetement, je prefere celui de IE que de chrome ou FF, avec leur versionning t’a l’impression que les trucs sont la depuis la nuit des temps alors qu’en fait ils sont pas si vieux quand meme …



Par contre un versionning similaire a l’actuel avec des gros 11.xx intermediaires pour les majs minoritaire, je dis pas non.







Si l’évolution est constante en quoi le versioning est important ?



Je travail avec un prestataire (Amadeus Selling Platform) spécialisé dans le GDS pour la vente de titres de transports aérien.



Ils utilisent Internet Explorer avec un système de certificat pour permettre la réservation par les agences de voyages et les tours opérator de manière “sécurisée”.



Il sont partenaire avec Microsoft depuis la fin des années 90 et Windows 2 000.

en 2013 face au profonds changements de IE et de MS (Windows 8) les chefs de projets ont pris la décision d’arrêter le partenariat et de transformer à la façon d’une webapp leurs logiciel de réservation.



Une décision lourde financièrement car il s’agit ici de 100 hommes/ans et 10 Millions d’euros d’investi.



A terme il souhaite se défaire de la plateforme Microsoft en proposant son ses services sur trois OS, MS Windows Apple et Linux.



Lafisk
Le 28/04/2014 à 14h 12







sniperdc a écrit :



Si l’évolution est constante en quoi le versioning est important ?







Raison personnelle et totalement infondee





Je travail avec un prestataire (Amadeus Selling Platform) spécialisé dans le GDS pour la vente de titres de transports aérien.



Ils utilisent Internet Explorer avec un système de certificat pour permettre la réservation par les agences de voyages et les tours opérator de manière “sécurisée”.



Il sont partenaire avec Microsoft depuis la fin des années 90 et Windows 2 000.

en 2013 face au profonds changements de IE et de MS (Windows 8) les chefs de projets ont pris la décision d’arrêter le partenariat et de transformer à la façon d’une webapp leurs logiciel de réservation.



Une décision lourde financièrement car il s’agit ici de 100 hommes/ans et 10 Millions d’euros d’investi.



A terme il souhaite se défaire de la plateforme Microsoft en proposant son ses services sur trois OS, MS Windows Apple et Linux.





Pour moi, quiconque de nos jours ce lie volontairement a une plateforme, peu importe laquelle, est inconscient. Faire un code multiplateforme est enfantin de nos jours, le plus chiant restant de faire l’interface dediee par contre.



sniperdc
Le 28/04/2014 à 14h 23







Lafisk a écrit :



Raison personnelle et totalement infondee







Pour moi, quiconque de nos jours ce lie volontairement a une plateforme, peu importe laquelle, est inconscient. Faire un code multiplateforme est enfantin de nos jours, le plus chiant restant de faire l’interface dediee par contre.







Oui de nos jours.

Traîner une tel contrainte depuis 20 ans est lourde cependant enfantin pas tant ce ça quand il faut reprendre les fonctionnalités avec un tel niveau d’exigence (1 erreur permises toutes les 1 000 lignes de code).



Souvent quand je vois par exemple la carte bancaire NFC sans sécurité, si on est bien en 2014 ?



Pourquoi ou du moins comment pour le simple principe d’aller plus vite on ne met pas par défaut un mécanisme de sécurité.



Un petit tour dans le métro de Paris au quartier de la défense, avec un téléphone sous Android, une antenne pour augmenter son signal et la bonne application…



Et voilà une belle connecte d’empreinte NFC : http://www.nikopik.com/2012/06/une-application-android-pour-pirater-les-cartes-b…



Bon allez mettre sa CB dans un porte carte de visite en métal ou contre deux feuilles de plomb suffit à réduite les risques mais tout de même <img data-src=" />



Lafisk
Le 28/04/2014 à 14h 29







sniperdc a écrit :



Oui de nos jours.

Traîner une tel contrainte depuis 20 ans est lourde cependant enfantin pas tant ce ça quand il faut reprendre les fonctionnalités avec un tel niveau d’exigence (1 erreur permises toutes les 1 000 lignes de code).



Souvent quand je vois par exemple la carte bancaire NFC sans sécurité, si on est bien en 2014 ?







Sur du vieux code, oui c’est plus difficile, raison de plus pour suivre les technologies et ce rendre independant le plus tot possible. Tu as des langages tout a fait capable de le faire c/c++ depuis longtemps.



J’ai meme l’impression qu’on decouvre le multi plateforme depuis l’avenement des smartphones en fait alors que le principe du multiplateforme etait le meme avant …





Pourquoi ou du moins comment pour le simple principe d’aller plus vite on ne met pas par défaut un mécanisme de sécurité.



Un petit tour dans le métro de Paris au quartier de la défense, avec un téléphone sous Android, une antenne pour augmenter son signal et la bonne application…



Et voilà une belle connecte d’empreinte NFC : http://www.nikopik.com/2012/06/une-application-android-pour-pirater-les-cartes-b…



Bon allez mettre sa CB dans un porte carte de visite en métal ou contre deux feuilles de plomb suffit à réduite les risques mais tout de même <img data-src=" />



Perso, le nfc est desactive et je ne compte pas m’en servir. mon Smartphone n’a aucun code bancaire enregistre non plus. Pas folle la guepe non plus …



ra-mon Abonné
Le 28/04/2014 à 14h 31







hadoken a écrit :



Pour le speed dial, franchement c’est juste pourri comme unique endroit de stockage des favoris :





Je reconnais que le concept originel du Speed Dial, qui permettait réellement un accès rapide à quelques sites favoris parmi les favoris, en a pris un sacré coup, mais ça faisait un moment qu’ils lui faisaient faire tout et n’importe quoi, aussi mettre des favoris dedans n’est pas surprenant. Et pas si pourri. Tu peux faire des dossier, y stocker une quinzaine de signets par dossier… C’est visuel et il y a une possibilité de recherche basique.

Je connais plein d’utilisateurs d’IE/Firefox/Chrome qui gèrent très très peu de signets et qui n’ont pas besoin de plus.





Pour des power users



Opera n’est plus pour les power-users. Faut se faire une raison. Il pourra donc aisément remplacer un IE qui ne serait plus très sécurié sous XP <img data-src=" />





base d’utilisateur historique d’Opera



Malheureusement trop peu nombreux pour être pris en considération (on avait déjà l’habitude avec quelques sites Web)





La barre d’adresse qui fait recherche google et affichage de l’historique et des favoris c’est très apprécié, et le menu qui affiche la liste des favoris également.



La barre d’adresses d’Opera 20 permet de retrouver des signets, des pages péalablement visitées et de faire des recherches. Le menu de signets est remplacé par des vignettes et des dossiers de vignettes représentant des signets. Pour l’avoir fait tester à des néophytes, c’est étonnemment utilisable et le coté visuel est apprécié. Certains m’ont fait remarquer qu’ils utilisaient déjà une extension pour Firefox qui faisaient “comme ça”







Les personnes agées et/ou pas douées ne retiennent pas les noms des sites web, elles vont voir dans l’historique ce qu’elles ont “gardé de côté”!



Elles devraient pouvoir le faire facilement avec Opera 20, compatible désormais avec les maisons de retraite <img data-src=" />





Opera 15+ est une vaste blague, c’est vraiment le Chrome du pauvre avec les bugs en plus et les fonctionnalités en moins



Ça devrait s’améliorer… Chrome n’est pas si riche en fonctionnalités !





Et j’ai pas du tout apprécié (comme beaucoup d’Opera users) l’annonce du jour au lendemain des modifications apportées qui cassent totalement 10 ans d’habitudes.



Je comprends. J’avais plus de quinze ans d’habitude. Donc, comme toi, je ne peux pas encore m’habituer à Opera 20, ni à Chrome, ni à Firefox, ni à IE… Et je ne pourrais surement pas plus lorsqu’Opera12 ne sera plus mis à jour. Mais bizarrement, lorsqu’Opera 12 est refusé sur un site, j’utilise maintenant Opera 20 pour y accéder au lieu de IE/Firefox ou Chrome (souvent conseillés par ces sites à la con) <img data-src=" />





Les types qui ont décidé çà sont sur une autre planète



Ils ont enfin décidé d’habiter la même planète que Mozilla, Microsoft, Google et Apple et faire la même soupe, voire chercher les parts de marché, oui…





,faut quand même savoir qu’à la base ils avaient prévu de ne pas du tout du tout implémenter de favoris



Oui, bon, ça c’est leur coté innovant et original et leur volonté d’user le Speed Dial jusqu’à la corde… je pense qu’ils ont compris maintenant qu’il fallait pas faire trop différent d’IE ou Firefox, pas changer de planète. On verra <img data-src=" />



sniperdc
Le 28/04/2014 à 14h 33







Lafisk a écrit :



Sur du vieux code, oui c’est plus difficile, raison de plus pour suivre les technologies et ce rendre independant le plus tot possible. Tu as des langages tout a fait capable de le faire c/c++ depuis longtemps.



J’ai meme l’impression qu’on decouvre le multi plateforme depuis l’avenement des smartphones en fait alors que le principe du multiplateforme etait le meme avant …





Perso, le nfc est desactive et je ne compte pas m’en servir. mon Smartphone n’a aucun code bancaire enregistre non plus. Pas folle la guepe non plus …







Je parlais des cartes bancaire NFC, par défaut elle le sont toutes maintenant.



http://korben.info/les-cartes-bancaires-sans-contact-nfc-ne-sont-pas-securisees….



J’ai opté pour le porte carte de visite métalique… avec une feuille de plomb <img data-src=" />



Si tu veux mouker, installes IceWeasel alias firefox sous DEbian 7.



rulez.



<img data-src=" />


Winderly Abonné
Le 28/04/2014 à 15h 49



Microsoft a de son côté indiqué que ses équipes travaillaient à la création d’une mise à jour de sécurité. Cependant, on sait que le cas de Windows XP est déjà réglé et qu’aucun correctif ne sera proposé. Il s’agit de la première menace sérieuse à voir le jour contre le vieux système depuis la fin de son support technique.



J’étais pessimiste mais pas au point de croire que ça arriverait aussi vite. <img data-src=" />


Emralegna
Le 28/04/2014 à 16h 08

Le problème d’Opera est qu’on peut pas importer les signets d’autres navigateurs dans le speed dial. Perso je vais pas réajouter tous mes 17548961653 signets à la main…



De plus à quoi ça sert d’avoir une grosse barre de recherche Google alors qu’on peut lancer une cherche dans la barre d’adresse ? Y’a pas moyen de s’en débarrasser ? Parce que c’est bon je le connais le logo désormais…









ra-mon a écrit :



La barre d’adresses d’Opera 20 permet de retrouver des signets, des pages péalablement visitées et de faire des recherches. Le menu de signets est remplacé par des vignettes et des dossiers de vignettes représentant des signets. Pour l’avoir fait tester à des néophytes, c’est étonnemment utilisable et le coté visuel est apprécié. Certains m’ont fait remarquer qu’ils utilisaient déjà une extension pour Firefox qui faisaient “comme ça”







Comment tu fais ?



Aussi, y’a le speed dial et le stash, c’est pas un peu redondant ? Du coup j’ai installé l’extension bookmark pour importer ceux de Firefox mais ils ne s’ajoutent nulle part. Il ne me reste plus qu’à ouvrir tous mes signets et à cliquer sur le cœur pour chaque page ? <img data-src=" />



Emralegna
Le 28/04/2014 à 16h 11







ra-mon a écrit :



Mais sinon, il reste effectivement des trucs comme SeaMonkey, otter-browser ou qupzilla qui pourraient peut-être se montrer de bonnes alternatives un peu plus riches fonctionnellement…







Ouch le navigateur qui reprend l’interface de Mozilla Browser Phoenix qui n’a pas changé depuis 20 ans. <img data-src=" />



ra-mon Abonné
Le 28/04/2014 à 16h 43







Emralegna a écrit :



Le problème d’Opera est qu’on peut pas importer les signets d’autres navigateurs dans le speed dial.





Oui, si ils veulent faire du chiffre désormais, faudrait qu’ils pensent à faciliter la migration et l’import simple de données serait un plus à ce niveau !





De plus à quoi ça sert d’avoir une grosse barre de recherche Google alors qu’on peut lancer une cherche dans la barre d’adresse ?



À ne pas avoir à payer son navigateur web <img data-src=" />



Y’a pas moyen de s’en débarrasser ?



Si ! Dans les options pour utilisateurs “avancés” (Un COMBLE puisqu’Opera n’est pas conçu à priori pour eux)…





Comment tu fais ?



Je ne fais pas. Je n’ai pas besoin de signets dans Opera 20 puisque je ne l’ouvre que pour test ou besoin spécifique depuis le menu contextuel d’Opera 12 (ouvrir avec…)

Mais j’ai déjà conseillé d’utiliser le programme Transmute pour convertir des signets de Firefox en signets pour Chrome, copier le fichier de signets de Chrome dans le fichier Bookmarks du profil d’Opera 20 et utiliser l’extension “Tidy Bookmarks” pour gérer ces nouveaux signets, les mettre dans le speed dial ou la barre de signets par exemple, ou les laisser où ils sont. Il y a peut-être moins lourd mais je sais pas faire <img data-src=" />





Aussi, y’a le speed dial et le stash, c’est pas un peu redondant ?



En fait dans Opera, il y a 4 endroits indépendants où stocker des signets : le Slow Dial, la barre de signets, le calepin et le fichier Bookmarks du profil, compatible avec les le format donc les extensions de Chrome.

Le stach, j’m’en suis jamais servi mais si je devais le faire ça serait plus pour un stockage plus temporaire style fonctionnalité/extension “read it later”.

L’avantage du calepin est de pouvoir y faire des recherches sur le contenu de la page mémorisée, pas juste un titre et une url.




ra-mon Abonné
Le 28/04/2014 à 16h 51







Emralegna a écrit :



Ouch le navigateur qui reprend l’interface de Mozilla Browser Phoenix qui n’a pas changé depuis 20 ans. <img data-src=" />





Mozilla a compris bien avant Opera que, pour faire du chiffre, valait mieux faire “comme IE”, donc que la suite Internet n’avait AUCUN avenir <img data-src=" />



Emralegna
Le 28/04/2014 à 17h 01

Merci. <img data-src=" />









ra-mon a écrit :



Si ! Dans les options pour utilisateurs “avancés” (Un COMBLE puisqu’Opera n’est pas conçu à priori pour eux)…







Faut croire que je suis encore moins avancé parce que je ne trouve pas où. <img data-src=" />







ra-mon a écrit :



Mozilla a compris bien avant Opera que, pour faire du chiffre, valait mieux faire “comme IE”, donc que la suite Internet n’avait AUCUN avenir <img data-src=" />







En fait c’est surtout l’interface super grossière qui fait perdre énormément de place que je décriais. <img data-src=" />



ra-mon Abonné
Le 28/04/2014 à 17h 16







Emralegna a écrit :



Faut croire que je suis encore moins avancé parce que je ne trouve pas où. <img data-src=" />





C’est normal, c’est très tordu : dans la page des réglages d’Opera &gt; Navigateur, tu saisis un Konami code à l’issu duquel un dialogue te proposera d’activer ces quelques fameuses options pour “geek de concours”. Je ne sais pas si c’est actif dans la version dite “stable” (20), j’utilise que la “Dev”



jmanici
Le 28/04/2014 à 18h 10







RaoulC a écrit :



Hum, tu rêves tout éveillé.

Déjà que l’on se plaint de la conso CPU/RAM des navigateurs actuels, alors en demander encore plus <img data-src=" />



Après, tout dépend de ce que tu entend par “bon nombre”.

Les décideurs IT un peu sérieux, peut être (encore que…faut avoir la machine qui tient la charge supplémentaire et souvent c’est une question de moyen)

Les geeks (les vrais, pas “je suis geek a COD mdr xdr lol”) surement.



Mais la vaste majorité des gens, si ca bouffe plus de RAM /CPU, ca passe à la trappe. <img data-src=" />







c’est marrant mais je pense le contraire.



si on expliquait bien aux utilisateurs lambda qu’ils auront potentiellement moins de malwares, ils accepteraient une légère réduction de performance. Franchement, 30% d’usage cpu/ram en plus c’est que dalle quand tu vois des core i5 avec 4go de ram qui passent 95% de leur temps avec 2go de ram libre et un usage cpu moyen de 5% durant la navigation web.

il n’y aurait pas de différence visible aux yeux de l’utilisateur lambda.



par contre les gros geeks qui pensent uniquement à faire un gros score aux benchmarks voudront absolument avoir le browser le plus rapide.



quant aux entreprises, si ya pas un acteur majeur genre MS ou Google, même si c’est plus sécurisé, ils ne voudront pas d’un browser managé créé par un petit éditeur.



arno53
Le 28/04/2014 à 18h 11







hadoken a écrit :



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.









jmanici a écrit :









charon.G a écrit :







A noter que le moteur de rendu Servo de Mozilla et Samsung codé en Rust vient récemment de passer l’Acide Test 2. Le 1 avait été passé en aout dernier donc j’imagine que ce type de langage permet d’avancer plus vite que le C/C++ …



Coté Microsoft Charon avait trouvé une offre d’emploi pour le navigateur de Midorien 2009 donc j’imagine qu’ils doivent déjà être bien avancé …



jmanici
Le 28/04/2014 à 18h 33







malock a écrit :



Si je veux bien croire qu’une exécution de code dans un programme qui le gère type VM limite (largement) les dépassements de tampons, il ne faut pas non plus oublier que ce programme peut lui aussi en contenir des failles…







en pratique, je ne me souviens pas avoir déjà vu de faille RCE dans le .net Framework ou java exploitable à travers une appli légitime (hors failles dans des composants natifs comme les decodeurs d’image) pendant son exécution.



l’immense majorité des failles dans java/.net sont exploitables via des applets java ou des assemblies “malveillants” qui ont pour but de sortir de la VM hébergée dans le navigateur ou en hosting web.



jmanici
Le 28/04/2014 à 18h 38







arno53 a écrit :



A noter que le moteur de rendu Servo de Mozilla et Samsung codé en Rust vient récemment de passer l’Acide Test 2. Le 1 avait été passé en aout dernier donc j’imagine que ce type de langage permet d’avancer plus vite que le C/C++ …



Coté Microsoft Charon avait trouvé une offre d’emploi pour le navigateur de Midorien 2009 donc j’imagine qu’ils doivent déjà être bien avancé …







intéressant, j’avais complètement oublié ce projet.



mais vu que Rust autorise le code unsafe, est ce que le projet Servo y a eu recours? Si oui, on perd au final la garantie de sécurité que seul du 100% managé pourrait apporter.



arno53
Le 28/04/2014 à 19h 20







jmanici a écrit :



intéressant, j’avais complètement oublié ce projet.



mais vu que Rust autorise le code unsafe, est ce que le projet Servo y a eu recours? Si oui, on perd au final la garantie de sécurité que seul du 100% managé pourrait apporter.





Même le noyau de Midori ne sera pas à 100% en managé mais ils ont les moyens de prouver la fiabilité du code unsafe mathématiquement … Pour Servo, vu que ce n’est qu’un projet de recherche (et donc sans contrainte de performance vis a vis d’un moteur concurrent), j’imagine qu’ils axent tout sur la sécurité en réduisant la surface d’attaque du code unsafe au minimum si ils en utilisent …



Emralegna
Le 28/04/2014 à 19h 38







ra-mon a écrit :



C’est normal, c’est très tordu : dans la page des réglages d’Opera &gt; Navigateur, tu saisis un Konami code à l’issu duquel un dialogue te proposera d’activer ces quelques fameuses options pour “geek de concours”. Je ne sais pas si c’est actif dans la version dite “stable” (20), j’utilise que la “Dev”







Excellent, ça a marché. :)



Merci !



linkin623 Abonné
Le 28/04/2014 à 19h 46

Encore une fois, l’ICC reste la faille la plus grande dans l’informatique. Si l’ICC réfléchit avant de clicker, et sait ce qu’il doit éviter avec un PC de boulot, les risques ne seraient pas là…


Emralegna
Le 28/04/2014 à 22h 02

J’ai eu une mise à jour ce soir à propos de Flash Player et Internet Explorer, je suppose qu’il corrige cette faille.


psn00ps
Le 29/04/2014 à 00h 30







jmanici a écrit :



il y a encore des gens sous xp 64bits? Tous les early adopters sont passés à autre chose depuis longtemps.





Oh oui, plein de 2003 x64 avec IE8 x64 par ici <img data-src=" />



psn00ps
Le 29/04/2014 à 00h 39







Paulo Paulo a écrit :



Si IE est installé mais que je ne l’utilise pas je n’ai pas à me faire de souci ? La faille qu’exploite le virus est une action du navigateur ?





Certaines applications utilisent Internet Explorer sous le capot.

Cette faille est donc exploitable y compris pour quelqu’un qui ne l’utilise pas.



Exemple: Skype, pour ses publicités Flash, qui font monter la RAM de 100Mo à 800-900Mo.

Elles sont bloquables si on s’y prend correctement.



talrashha
Le 29/04/2014 à 05h 08



Changez de navigateur ou …



Comment ca “ou”? :p


popolski
Le 29/04/2014 à 05h 35



Internet Explorer



ça existe encore ?


concept
Le 29/04/2014 à 06h 25

vu que windows, internet explorer, outlook et tous les produits microsoft contiennent une porte dérobée, je ne vois pas trop ce que cette faille va changer



ceux qui continuent à utiliser ces logiciels ne se préoccupent pas du tout de sécurité et je ne crois pas trop que cette news va les inquiéter


Kaamelott
Le 29/04/2014 à 07h 21







popolski a écrit :



ça existe encore ?







Oui toujours et la version 11 est très bien, comme l’a été la version 10.. C’est d’ailleurs le seul navigateur à avoir un scroll (avec la molette de la souris) très réactif et fluide



Le syndrome IE 6 persite encore <img data-src=" />



Flushy
Le 29/04/2014 à 09h 01



Il s’agit de la première menace sérieuse à voir le jour contre le vieux système depuis la fin de son support technique.





Et comme par hasard peu après l’annonce de la Chine de rester sur XP ^^


Flushy
Le 29/04/2014 à 09h 06

Et blague à part comment peut-on savoir si on a été “infecté” ?


jmanici
Le 29/04/2014 à 09h 37







concept a écrit :



vu que windows, internet explorer, outlook et tous les produits microsoft contiennent une porte dérobée, je ne vois pas trop ce que cette faille va changer



ceux qui continuent à utiliser ces logiciels ne se préoccupent pas du tout de sécurité et je ne crois pas trop que cette news va les inquiéter







poursuis ton raisonnement jusqu’au bout et bannis également les produits open source.



après la faille OpenSSL restée ouverte deux ans, on voit bien que si le NSA le veut, elle a pu introduire des failles dans n’importe quelle appli open source sans que personne ne s’en aperçoive.



mais au final, est ce vraiment nécessaire d’introduire volontairement des failles quand on sait que la NSA achète régulièrement aux sociétés de recherche en sécurité des failles dans IE/chrome/safari/firefox avec les exploits qui vont avec pour windows/osx/linux?



au final les plus naïfs sont les gens comme toi qui croient qu’il y a des backdoors dans Windows et que l’open source est la réponse à tous leurs problèmes.



la NSA n’a probablement pas introduit la faille heartbleed dans OpenSSL, mais certains l’accusent de l’avoir découverte et d’en avoir profité pendant 2ans.



jmanici
Le 29/04/2014 à 09h 39







Emralegna a écrit :



J’ai eu une mise à jour ce soir à propos de Flash Player et Internet Explorer, je suppose qu’il corrige cette faille.







non, ça corrige une faille 0day dans flash player qui a été utilisée contre les utilisateurs de Firefox (grâce à son manque de sandboxing) ces dernières semaines dans le cadre d’attaque ciblées.



popolski
Le 29/04/2014 à 12h 40







Kaamelott a écrit :



Oui toujours et la version 11 est très bien, comme l’a été la version 10.. C’est d’ailleurs le seul navigateur à avoir un scroll (avec la molette de la souris) très réactif et fluide



Le syndrome IE 6 persite encore <img data-src=" />





http://www.zdnet.fr/actualites/utilisateurs-d-internet-explorer-changez-de-navig…



Kaamelott
Le 29/04/2014 à 14h 59
concept
Le 29/04/2014 à 15h 31







jmanici a écrit :



au final les plus naïfs sont les gens comme toi qui croient qu’il y a des backdoors dans Windows et que l’open source est la réponse à tous leurs problèmes.







Ben voyons.



Je suis parfaitement au courant du programme “Bullrun and Edgehill” et il n’en reste pas moins que l’open est la seule et unique voie sure, car les failles dans les programmes à sources ouvertes si elles existent peuvent être facilement repérées par la plupart des développeurs. Dans les programmes à sources fermées c’est en revanche non seulement beaucoup plus difficile mais également à la portée d’un très petit nombre car nécessite des compétences beaucoup plus pointues.



Alors je ne vois pas très bien comment rester dans la configuration la moins fiable peut être la meilleure option, tu nous expliqueras ce trait de génie j’espère.



D’ici là je maintiens que cette news est inutile. Les personnes pour qui la sécurité importe n’utilisent pas IE et les autres se moquent bien des failles à mon avis. Tant qu’ils ne voient rien de concret, ça ne leur fait ni chaud ni froid.



charon.G
Le 29/04/2014 à 16h 04







concept a écrit :



Ben voyons.



Je suis parfaitement au courant du programme “Bullrun and Edgehill” et il n’en reste pas moins que l’open est la seule et unique voie sure, car les failles dans les programmes à sources ouvertes si elles existent peuvent être facilement repérées par la plupart des développeurs. Dans les programmes à sources fermées c’est en revanche non seulement beaucoup plus difficile mais également à la portée d’un très petit nombre car nécessite des compétences beaucoup plus pointues.



Alors je ne vois pas très bien comment rester dans la configuration la moins fiable peut être la meilleure option, tu nous expliqueras ce trait de génie j’espère.



D’ici là je maintiens que cette news est inutile. Les personnes pour qui la sécurité importe n’utilisent pas IE et les autres se moquent bien des failles à mon avis. Tant qu’ils ne voient rien de concret, ça ne leur fait ni chaud ni froid.





C’est marrant sur la news OpenSSL il y a deux semaines,on m’a raconté que je mentais ,que jamais personne ne sortait des propos comme les tiens <img data-src=" />



jmanici
Le 29/04/2014 à 16h 54







concept a écrit :



Ben voyons.



Je suis parfaitement au courant du programme “Bullrun and Edgehill” et il n’en reste pas moins que l’open est la seule et unique voie sure, car les failles dans les programmes à sources ouvertes si elles existent peuvent être facilement repérées par la plupart des développeurs.







comme l’a prouvé la faille OpenSSL qui est restée ouverte pendant deux ans malgré le fait qu’il s’agit d’une des lib open source les plus importantes et une des plus utilisées au monde, cet argument c’est juste du pipeau.



concrètement, la plupart des failles qui résident dans les produits open source sont découvertes des années, parfois 20ans, après leur introduction.





Dans les programmes à sources fermées c’est en revanche non seulement beaucoup plus difficile mais également à la portée d’un très petit nombre car nécessite des compétences beaucoup plus pointues.





c’est faux.

tu t’imagines peut être que ceux qui cherchent des failles dans les produits open source le font en lisant le code source?



eh ben non. La plupart des failles sont découvertes via des méthodes de fuzzing qui se font au moment de l’exécution, sur du code déjà compilé. Le fait que le code soit open source ou non n’a aucune importance.





Alors je ne vois pas très bien comment rester dans la configuration la moins fiable peut être la meilleure option, tu nous expliqueras ce trait de génie j’espère.



D’ici là je maintiens que cette news est inutile. Les personnes pour qui la sécurité importe n’utilisent pas IE et les autres se moquent bien des failles à mon avis. Tant qu’ils ne voient rien de concret, ça ne leur fait ni chaud ni froid.





les faits parlent d’eux même.



IE avec EMET5 (ou 4.1 avec deep hook actif): aucun exploit connu, ni en liberté, ni PoC.



chrome, Firefox, safari, peu importe la plateforme (win, Android, osx, linux) ont tous déjà eu des exploits 0day ou sous forme de PoC.



peut être que la NSA possède un exploit 0day qui marche contre EMET et IE11?

mais une chose est sûre, la NSA a déjà accès à des exploits 0day contre tous les navigateurs sur toutes les plateformes sans EMET, puisque des sociétés sont spécialisées dans la création et la revente d’exploits clefs en main.



les backdoors dans Windows, c’est un fantasme de libriste debile. S’il y avait des backdoors, on les aurait déjà trouvé.



les failles, en revanche, sont présentes dans tous les logiciels, et représentent la forme la plus discrète et la plus efficace de backdoor.



maintenant libre à toi de continuer à vivre dans l’ignorance et à penser que tu es plus en sécurité avec ton Firefox open source. Mais les faits ont montré le contraire.



popolski
Le 29/04/2014 à 21h 18







Kaamelott a écrit :



????????





??????????



Kaamelott
Le 30/04/2014 à 09h 38







popolski a écrit :



??????????







Bon en gros tu me balance un lien qui n’a juste rien à voir avec mes propos… J’espérais mieux de ta part en fait, ton troll était moyen et sans argument. Je persiste à dire qu’Internet Explorer à des qualités que d’autre non pas (je peux le dire ??? Je vais aller en prison ?? <img data-src=" />)



Pour infos j’utilise le plus souvent Opera et à l’occasion Firefox alors ton troll sur les utilisateurs d’IE tu te le met.. <img data-src=" />



malock
Le 30/04/2014 à 09h 45







charon.G a écrit :



C’est marrant sur la news OpenSSL il y a deux semaines,on m’a raconté que je mentais ,que jamais personne ne sortait des propos comme les tiens <img data-src=" />







Certains t’ont expliqué que des trolls, y’en a de chaque côté.

Tu entends bien ce que tu veux va !

<img data-src=" />



charon.G
Le 30/04/2014 à 10h 13







malock a écrit :



Certains t’ont expliqué que des trolls, y’en a de chaque côté.

Tu entends bien ce que tu veux va !

<img data-src=" />





Oui il y en a de chaque côté(dans les faits surtout d’un côté hélas <img data-src=" /> …) mais quand on vous écoutez jamais personne ne sortait ce genre de propos. On m’a traite de menteur et de mauvaise foi alors que c’était plutôt vous les êtres de mauvaise foi. Je suis sur PCI depuis des années,des gars comme lui j’en vois plein c’est loin d’être une minorité contrairement à ce que vous disiez.



charon.G
Le 30/04/2014 à 10h 46







jmanici a écrit :



c’est faux.

tu t’imagines peut être que ceux qui cherchent des failles dans les produits open source le font en lisant le code source?



eh ben non. La plupart des failles sont découvertes via des méthodes de fuzzing qui se font au moment de l’exécution, sur du code déjà compilé. Le fait que le code soit open source ou non n’a aucune importance.





Tout a fait, d’ailleurs Microsoft a ses propres serveurs pour le fuzzing depuis 2007. ça a abouti à la découverte de nombreuses failles.

source



Toutes les boites de sécurité font pareil.



malock
Le 30/04/2014 à 10h 57







charon.G a écrit :



Oui il y en a de chaque côté(dans les faits surtout d’un côté hélas <img data-src=" /> …) mais quand on vous écoutez jamais personne ne sortait ce genre de propos. On m’a traite de menteur et de mauvaise foi alors que c’était plutôt vous les êtres de mauvaise foi. Je suis sur PCI depuis des années,des gars comme lui j’en vois plein c’est loin d’être une minorité contrairement à ce que vous disiez.







Jamais personne avec qui il est INtéressant de discuter et avec qui potentiellement on en apprend ne sort ce genre de propos (ou parfois, pour l’humour occasionnelle).



Je trouve toujours étonnant ton besoin de souligner et mettre en valeur ceux qui sont juste des trolls.

“Vous avez vu, hein dites, vous avez vu, c’est un troll !”



Juste, laisse couler…



popolski
Le 01/05/2014 à 06h 13







Kaamelott a écrit :



Bon en gros tu me balance un lien qui n’a juste rien à voir avec mes propos… J’espérais mieux de ta part en fait, ton troll était moyen et sans argument. Je persiste à dire qu’Internet Explorer à des qualités que d’autre non pas (je peux le dire ??? Je vais aller en prison ?? <img data-src=" />)



Pour infos j’utilise le plus souvent Opera et à l’occasion Firefox alors ton troll sur les utilisateurs d’IE tu te le met.. <img data-src=" />





si ça ne t’intéresse pas, personne ne t’oblige à lire et surtout à débiter des âneries ensuite



popolski
Le 01/05/2014 à 06h 20

Extraits :



“Toutes versions confondues, Internet Explorer est le pire (0,25% d’erreur); mais si l’on ne prend en compte que les versions les plus récentes des navigateurs, Safari 6 est le pire et Firefox 22 le meilleur.

…………………

Le meilleur navigateur, selon le critère du plus faible taux de plantage, est Firefox 22 (pas de plantage relevé), suivi par Chrome 27 (moins de 0,02%), IE 10, Opera 12 et Safari 6. Selon Sauce Labs, “la plupart des versions de Chrome ont des taux d’erreur assez bas pour ne pas apparaître dans le graphique. Ni les dernières versions de Firefox. Cela signifie que Chrome et Firefox sont solides en termes de performance. Pour les technophiles, cela n’est guère une surprise.”



http://www.zdnet.fr/actualites/quel-navigateur-plante-le-plus-pas-toujours-inter…


Kaamelott
Le 01/05/2014 à 10h 40







popolski a écrit :



si ça ne t’intéresse pas, personne ne t’oblige à lire et surtout à débiter des âneries ensuite







C’est l’hôpital qui se fout de la charité… C’est toi qui vient m’emmerder. Je t’ai rien demandé <img data-src=" />



De plus tu réponds sans arguments, donc du troll.



Je le répète pour ma part j’utilise tout les navigateurs.. Si ta un problème avec un de ces derniers c’est ton problème. Encore une fois je ne te demande rien alors laisse tombé