Belle pub pour Chrome. Le navigateur de Google va certainement profiter des résultats du concours Pwn2Ow organisé durant la conférence canadienne sur la sécurité informatique CanSecWest.
Attirés par des récompenses de plusieurs milliers de dollars, des hackers se sont attaqués à tous les navigateurs.
Safari, Internet Explorer et Firefox ont tous succombé aux attaques des participants en quelques minutes. Des mises à jour de sécurité avaient pourtant été installées... A noter qu'une faille de Safari a permis à deux hackers de mettre la main sur tous les SMS d'un iPhone.
Résultat, un seul s'en sort car il n'a pas été ... attaqué par les pirates : Chrome. Pourquoi ? Selon certains participants du concours, Chrome sous Windows (mais c'est encore plus vrai sous GNU/Linux) présente une convergence de plusieurs facteurs qui rendent le logiciel plus délicat à mettre à genoux : pas d’exécution sur la pile, la sandbox (bac à sable) créée par Google et les protections de Windows (DEP et ASLR).
Il faut dire aussi que Google avait pris les devants. Il avait corrigé plusieurs failles importantes quelques jours avant ce concours...
Affichage des articles dont le libellé est Firefox. Afficher tous les articles
Affichage des articles dont le libellé est Firefox. Afficher tous les articles
jeudi 25 mars 2010
mardi 23 mars 2010
Pourquoi il faut utiliser Firefox
L'actualité des navigateurs est agitée. L'arrivée de Google, avec Chrome, a réveillé le petit monde des navigateurs.
La révélation de nombreuses failles touchant ces dernières semaines Internet Explorer a aussi jeté un trouble sur le navigateur le plus utilisé dans le monde. Il ne se passe pas une semaine sans la révélation d'une faille plus ou moins grave touchant le logiciel de Microsoft.
Pour être honnête, il faut préciser que les autres navigateurs sont aussi touchés par des vulnérabilités. MAIS il y a une différence de taille : la rapidité des éditeurs à colmater ces brèches dans lesquelles pourraient s'engouffrer des pirates.
En 48 heures, Google et la Fondation Mozilla ont montré qu'ils étaient de bons élèves (ou des as de la com'...). Hier, Google a colmaté de nombreuses failles, plus ou moins inquiétantes, touchant Chrome.
Aujourd'hui, c'est la Fondation Mozilla qui explose le chrono. Mise à l'index par l'Office Fédéral Allemand pour la Sécurité des Systèmes d'Information (Bundesamt für Sicherheit in des Informationtechnik, BSI) - qui avait pointé du doigt il y a quelques semaines certaines versions d'Internet Explorer - la dernière version de Firefox a bénéficié d'une mise à jour "exceptionnelle" (la version 3.6.2).
A la différence de Microsoft, la Fondation Mozilla a très vite réagi. C'est la preuve d'un sérieux et aussi du respect de l'internaute.
Bravo.
La révélation de nombreuses failles touchant ces dernières semaines Internet Explorer a aussi jeté un trouble sur le navigateur le plus utilisé dans le monde. Il ne se passe pas une semaine sans la révélation d'une faille plus ou moins grave touchant le logiciel de Microsoft.
Pour être honnête, il faut préciser que les autres navigateurs sont aussi touchés par des vulnérabilités. MAIS il y a une différence de taille : la rapidité des éditeurs à colmater ces brèches dans lesquelles pourraient s'engouffrer des pirates.
En 48 heures, Google et la Fondation Mozilla ont montré qu'ils étaient de bons élèves (ou des as de la com'...). Hier, Google a colmaté de nombreuses failles, plus ou moins inquiétantes, touchant Chrome.
Aujourd'hui, c'est la Fondation Mozilla qui explose le chrono. Mise à l'index par l'Office Fédéral Allemand pour la Sécurité des Systèmes d'Information (Bundesamt für Sicherheit in des Informationtechnik, BSI) - qui avait pointé du doigt il y a quelques semaines certaines versions d'Internet Explorer - la dernière version de Firefox a bénéficié d'une mise à jour "exceptionnelle" (la version 3.6.2).
A la différence de Microsoft, la Fondation Mozilla a très vite réagi. C'est la preuve d'un sérieux et aussi du respect de l'internaute.
Bravo.
mercredi 10 mars 2010
Internet Explorer : nouvelle faille de sécurité
Les internautes qui utilisent, encore, Internet Explorer, devraient se faire du soucis ! Les révélations de failles de sécurité visant ce navigateur web se multiplient.
Ainsi, Microsoft a averti mardi que des pirates informatiques profitaient d'une faille nouvellement mise au jour dans certaines versions anciennes de son navigateur.
Selon une dépêche de l'AFP, la société américaine a précisé que cette faille permettant aux pirates informatiques de lancer des cyberattaques était présente sur les versions IE 6 et IE 7 d'Internet Explorer.
"Nous sommes au courant d'attaques ciblées tentant d'utiliser cette vulnérabilité", a indiqué Microsoft. "Nous allons continuer à surveiller cette menace et mettrons à jour cet avertissement si la situation change".
Des hackers pourraient tirer parti de ce défaut pour prendre le contrôle d'ordinateurs à distance.
Il faut donc encore répéter le même conseil : passez à la concurrence. Elle est diversifiée et de qualité. Il y a bien sûr Firefox mais aussi Opera ou Chrome, plutôt Chromium que je préfère car il n'intègre pas les outils d'espionnage de Google.
Pour être objectif, précisons que la dernière version d'Opera n'est pas non plus parfaite.
La société Secunia, spécialisée dans les failles de sécurité logicielles, vient d'annoncer qu'une faille importante - évaluée à 4 sur 5 sur son barème - touchait ce navigateur.
Cette faille permettrait d’exécuter du code malveillant à distance. Mais Windows Vista et 7 seraient capable de réduire les dégâts engendrés par cette faille, si celle ci venait à être exploitée, grâce au Data Execution Prevention.
Résultat de cette révélation de Secunia : la sortie de cette dernière version d'Opera sur GNU/Linux est retardée. Une version Mac devrait arriver prochainement.
Ainsi, Microsoft a averti mardi que des pirates informatiques profitaient d'une faille nouvellement mise au jour dans certaines versions anciennes de son navigateur.
Selon une dépêche de l'AFP, la société américaine a précisé que cette faille permettant aux pirates informatiques de lancer des cyberattaques était présente sur les versions IE 6 et IE 7 d'Internet Explorer.
"Nous sommes au courant d'attaques ciblées tentant d'utiliser cette vulnérabilité", a indiqué Microsoft. "Nous allons continuer à surveiller cette menace et mettrons à jour cet avertissement si la situation change".
Des hackers pourraient tirer parti de ce défaut pour prendre le contrôle d'ordinateurs à distance.
Il faut donc encore répéter le même conseil : passez à la concurrence. Elle est diversifiée et de qualité. Il y a bien sûr Firefox mais aussi Opera ou Chrome, plutôt Chromium que je préfère car il n'intègre pas les outils d'espionnage de Google.
Pour être objectif, précisons que la dernière version d'Opera n'est pas non plus parfaite.
La société Secunia, spécialisée dans les failles de sécurité logicielles, vient d'annoncer qu'une faille importante - évaluée à 4 sur 5 sur son barème - touchait ce navigateur.
Cette faille permettrait d’exécuter du code malveillant à distance. Mais Windows Vista et 7 seraient capable de réduire les dégâts engendrés par cette faille, si celle ci venait à être exploitée, grâce au Data Execution Prevention.
Résultat de cette révélation de Secunia : la sortie de cette dernière version d'Opera sur GNU/Linux est retardée. Une version Mac devrait arriver prochainement.
mardi 2 mars 2010
Internet Explorer : de plus en plus dangereux
Les internautes qui surfent encore avec Internet Explorer sont soit masos, soit naïfs ou enfin soit mal informés.
Utiliser ce navigateur est comme rouler avec une voiture pas révisée depuis des années et qui a plein de problèmes mécaniques.
La dernière information de Microsoft devrait en tous les cas convaincre les internautes d'arrêter d'utiliser Internet Explorer.
Microsoft a en effet publié le 28 février sur son blog MSRC/Technet.com une nouvelle alerte de sécurité frappant son logiciel de navigation et le module Winhlp32.
L’exploitation de la brèche se fait en invoquant winhmp32.exe depuis Internet Explorer 6,7,ou 8 en utilisant VBScript. Une fenêtre apparait sur l’écran de l’internaute victime qui est invité à presser la touche F1, laquelle est normalement dédiée à l’affichage du fichier d’aide. C’est à ce moment-là que la faille est exploitée.
Résultat, un cheval de Troie peut s'y engouffrer et rendre ingérable le PC.... De nombreux outils proposés par des éditeurs d'antivirus détectent le code malveillant mais n'arrivent pas à l'éradiquer.
Passez à la concurrence : Firefox, Chrome (ou Chromium pour ne pas être espionné par les outils de Google) et Opera.
Utiliser ce navigateur est comme rouler avec une voiture pas révisée depuis des années et qui a plein de problèmes mécaniques.
La dernière information de Microsoft devrait en tous les cas convaincre les internautes d'arrêter d'utiliser Internet Explorer.
Microsoft a en effet publié le 28 février sur son blog MSRC/Technet.com une nouvelle alerte de sécurité frappant son logiciel de navigation et le module Winhlp32.
L’exploitation de la brèche se fait en invoquant winhmp32.exe depuis Internet Explorer 6,7,ou 8 en utilisant VBScript. Une fenêtre apparait sur l’écran de l’internaute victime qui est invité à presser la touche F1, laquelle est normalement dédiée à l’affichage du fichier d’aide. C’est à ce moment-là que la faille est exploitée.
Résultat, un cheval de Troie peut s'y engouffrer et rendre ingérable le PC.... De nombreux outils proposés par des éditeurs d'antivirus détectent le code malveillant mais n'arrivent pas à l'éradiquer.
Passez à la concurrence : Firefox, Chrome (ou Chromium pour ne pas être espionné par les outils de Google) et Opera.
jeudi 18 février 2010
Projet Odebian : une arme anti LOPPSI ?
Ce n'est pas une surprise. Face à la montée de la surveillance à outrance du web, des petits "génies" de l'informatique ont décidé de sortir une solution de camouflage.
Son nom : Odebian. Derrière ce terme un peu étrange pour la plupart des internautes se cache un LiveCD basé sur la distribution GNU/Linux Debian.
En clair : un LiveCD est un programme (ou une distribution GNU/Linux) qui peut fonctionner sur un ordinateur sans avoir été installé au préalable. Quant à Debian, c'est l'une des distribution GNU/Linux de référence (stablité, sobriété et efficacité).
« Odebian est une des réponses que nous apportons face aux dérives du pouvoir. Nous remarquons d'ailleurs l'étrange coïncidence qui fait du juge d'instruction le garant de l'emploi du futur mouchard informatique tout en prévoyant la suppression de cette fonction. C'est à terme le procureur de la république, donc le ministère de la justice qui aura la mainmise sur le processus » précise l'association sur son site.
Odebian permettrait d'être protégé contre des "écoutes" grâce notamment au réseau Tor qui permet de bénéficier de connexions chiffrées (c'est-à-dire pour le grand public, cryptées).
Sur la papier, l'annonce est intéressante. Mais elle n'est pas facile à exploiter correctement si on ne maitrise pas un peu l'informatique.
Principal obstacle pour Me Michu, Tor est assez compliqué à mettre en oeuvre !
Or, il existe d'autres façons d'exploiter Tor qui sont un peu plus pratiques. Ce sera l'objet d'un prochain billet sur ce blog.
En attendant, il faut rappeler aux internautes qu'il existe une solution plus accessible : Perseus, un module Firefox dont les versions vont se multiplier dans les prochaines semaines (à suivre aussi dans un prochain billet).
Pour rappel, Perseus permet à deux internautes (qui l'ont installé sur leur navigateur Firefox) de communiquer sans être "écoutés". Mais Perseus est aussi installé par des sites afin de protéger leurs visiteurs...
Son nom : Odebian. Derrière ce terme un peu étrange pour la plupart des internautes se cache un LiveCD basé sur la distribution GNU/Linux Debian.
En clair : un LiveCD est un programme (ou une distribution GNU/Linux) qui peut fonctionner sur un ordinateur sans avoir été installé au préalable. Quant à Debian, c'est l'une des distribution GNU/Linux de référence (stablité, sobriété et efficacité).
« Odebian est une des réponses que nous apportons face aux dérives du pouvoir. Nous remarquons d'ailleurs l'étrange coïncidence qui fait du juge d'instruction le garant de l'emploi du futur mouchard informatique tout en prévoyant la suppression de cette fonction. C'est à terme le procureur de la république, donc le ministère de la justice qui aura la mainmise sur le processus » précise l'association sur son site.
Odebian permettrait d'être protégé contre des "écoutes" grâce notamment au réseau Tor qui permet de bénéficier de connexions chiffrées (c'est-à-dire pour le grand public, cryptées).
Sur la papier, l'annonce est intéressante. Mais elle n'est pas facile à exploiter correctement si on ne maitrise pas un peu l'informatique.
Principal obstacle pour Me Michu, Tor est assez compliqué à mettre en oeuvre !
Or, il existe d'autres façons d'exploiter Tor qui sont un peu plus pratiques. Ce sera l'objet d'un prochain billet sur ce blog.
En attendant, il faut rappeler aux internautes qu'il existe une solution plus accessible : Perseus, un module Firefox dont les versions vont se multiplier dans les prochaines semaines (à suivre aussi dans un prochain billet).
Pour rappel, Perseus permet à deux internautes (qui l'ont installé sur leur navigateur Firefox) de communiquer sans être "écoutés". Mais Perseus est aussi installé par des sites afin de protéger leurs visiteurs...
mardi 9 février 2010
Arme anti HADOPI : un logiciel pour faire du P2P caché !
On parle de plus en plus d'HADOPI. Les premières mises en garde des internautes, qui feraient trop de téléchargement illégal, pourraient être envoyées en avril.
Pour ne pas être écoutés par les offices chargées de surveiller les internautes, il existe le module Perseus qui s'installe sur Firefox.
Les développeurs de ce module ne vont pas s'arrêter là. Ils sont en train de préparer un client léger P2P. Il permettra à deux personnes de communiquer - et d'échanger des données - sans risque d'être espionnées...
Une mauvaise nouvelle pour Thierry Lhermitte ;-)
Pour ne pas être écoutés par les offices chargées de surveiller les internautes, il existe le module Perseus qui s'installe sur Firefox.
Les développeurs de ce module ne vont pas s'arrêter là. Ils sont en train de préparer un client léger P2P. Il permettra à deux personnes de communiquer - et d'échanger des données - sans risque d'être espionnées...
Une mauvaise nouvelle pour Thierry Lhermitte ;-)
mercredi 3 février 2010
Anti HADOPI : nouvelle version du module Firefox
Comme prévu, le module Perseus pour Firefox 3.6 (Windows et Linux) est disponible depuis le 31 janvier.
Pour rappel, cette technologie est destinée à protéger les flux de toutes natures contre l'écoute abusive ou illégale et ainsi assurer, avec un un excellent niveau de sécurité, interdisant sauf à y consacrer des moyens très importants (plusieurs dizaines d'heures de supercalculateur) d'accéder aux données échangées.
Perseus a été développée par Eric Filiol et Eddy Deligne, de l'ESIEA.
En clair, cette solution est une mauvaise nouvelle pour les officines (dont TMG qui a notamment pour actionnaire l'acteur Thierry Lhermitte...) chargées de traquer les internautes. Elles ne pourraient pas "voir" ce qu'ils téléchargent !
Mais Perseus ne doit pas être considéré uniquement comme une efficace arme anti-HADOPI.
Cette solution permet aussi :
1- Une protection contre l'activité d'espionnage de codes malveillants à grande échelle (par exemple, les botnets qui pour éviter la détection préfèrent écouter sur les ports non standards plutôt que de hooker des ressources surveillées par les antivirus, enfin ceux qui le font réellement).
2- Une protection des communications à partir de pays "non démocratiques" vers des pays démocratiques.
3- Une protection des communications professionnelles discrètes dans des pays où le contrôle de la cryptographie est fort.
Perseus semble tellement intéressant que Google a créé une page spéciale.
Pour rappel, cette technologie est destinée à protéger les flux de toutes natures contre l'écoute abusive ou illégale et ainsi assurer, avec un un excellent niveau de sécurité, interdisant sauf à y consacrer des moyens très importants (plusieurs dizaines d'heures de supercalculateur) d'accéder aux données échangées.
Perseus a été développée par Eric Filiol et Eddy Deligne, de l'ESIEA.
En clair, cette solution est une mauvaise nouvelle pour les officines (dont TMG qui a notamment pour actionnaire l'acteur Thierry Lhermitte...) chargées de traquer les internautes. Elles ne pourraient pas "voir" ce qu'ils téléchargent !
Mais Perseus ne doit pas être considéré uniquement comme une efficace arme anti-HADOPI.
Cette solution permet aussi :
1- Une protection contre l'activité d'espionnage de codes malveillants à grande échelle (par exemple, les botnets qui pour éviter la détection préfèrent écouter sur les ports non standards plutôt que de hooker des ressources surveillées par les antivirus, enfin ceux qui le font réellement).
2- Une protection des communications à partir de pays "non démocratiques" vers des pays démocratiques.
3- Une protection des communications professionnelles discrètes dans des pays où le contrôle de la cryptographie est fort.
Perseus semble tellement intéressant que Google a créé une page spéciale.
vendredi 22 janvier 2010
Les meilleurs navigateurs web
Pris dans la tempête mediatico-demago de l'affaire Google China, Microsoft vient de publier un correctif pour son navigateur Internet (version 6, 7 et 8).
Si vous avez configuré Windows pour qu'il se mette à jour automatiquement vous n'avez rien à faire. Sinon, il faut lancer "Windows Update" (accessible depuis le menu « Démarrer/Tous les programmes » de Windows).
Cette correction ne doit pas vous empêcher d'aller voir ailleurs et de tester d'autres navigateurs parmi lesquels Firefox bien sûr mais il y a aussi l'excellent Opera et Google Chrome (ou sa version libre appelée Chromium).
Essayez Chromium : rapide, efficace, disponible en français et sans Google Big Brother !!
En effet, Google Chrome, c'est Chromium plus le nom et logo Google, un système de mise à jour automatique appelé GoogleUpdate et RLZ, qui informe Google de la façon dont vous avez installé Google Chrome.
mercredi 20 janvier 2010
Faille Internet Explorer : les vautours
C'est un fait : Microsoft va moins vite que Mozilla pour colmater les failles de IE.
Mais Microsoft n'est pas la seule boite à prendre son temps pour colmater des failles : Apple, Adobe et même des éditeurs d'antivirus (très rapides en ce moment à communiquer sur leur produit protégeant contre les failles de IE... Un super coup marketing pour eux !)
L'affaire Google china est une aubaine pour de nombreuses boites qui en profitent pour se faire une réputation de sérieux sur le dos de Microsoft ! Mais tous ces profiteurs, rois du marketing, devraient d'abord balayer devant leur porte et investir un peu plus en R&D que sur le marketing...
L'important pour l'utilisateur est d'être vigilant et de faire des mises à jour automatiques.
Mais Microsoft n'est pas la seule boite à prendre son temps pour colmater des failles : Apple, Adobe et même des éditeurs d'antivirus (très rapides en ce moment à communiquer sur leur produit protégeant contre les failles de IE... Un super coup marketing pour eux !)
L'affaire Google china est une aubaine pour de nombreuses boites qui en profitent pour se faire une réputation de sérieux sur le dos de Microsoft ! Mais tous ces profiteurs, rois du marketing, devraient d'abord balayer devant leur porte et investir un peu plus en R&D que sur le marketing...
L'important pour l'utilisateur est d'être vigilant et de faire des mises à jour automatiques.
lundi 18 janvier 2010
Internet Explorer, c'est de la M...
Les pirates chinois travaillent-ils pour la fondation Mozilla ? En tous, si c'est eux qui ont attaqué le site chinois de Google - en exploitant une faille présente sur les différentes versions d'Internet Explorer -, c'est réussi.
Firefox profite ainsi d'un super coup de pub. C'est mérité !
Tout le monde connait et a utilisé au moins une fois Internet Explorer puisqu'il est disponible sur tous les PC avec Windows pré-installé.
Mais aujourd'hui, la donne a changé. Le grand public sait qu'il y a des logiciels concurrents plus performants et plus sûrs. S'il ne le sait pas encore, l'affaire de Google en Chine va l'informer.
Parmi les très bonnes alternatives, il y a donc Firefox (citons aussi Opera et Chrome). Développé par la Fondation Mozilla, il détient aujourd'hui environ 30% de part de marché en France. Disponible gratuitement et en français, ce logiciel a aussi des failles de sécurité comme Internet Explorer (IE). Mais il y a une différence essentielle : les développeurs de Mozilla les corrigent plus rapidement que le géant Microsoft.
Les pirates savent profiter des lenteurs de Microsoft. Il y a quelques jours, la version chinoise de Google a été attaquée. Les assaillants ont utilisé une vulnérabilité présente sur les différentes versions de IE et qui n'était pas colmatée.
La menace a été suffisamment sérieuse pour que, le 15 janvier, le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (Certa) émette un bulletin d'alerte dans lequel il préconise d'utiliser un navigateur alternatif à Internet Explorer en attendant le correctif de sécurité de Microsoft.
Il est aussi conseillé de naviguer avec un compte utilisateur aux droits limités et de désactiver JavaScript et ActiveX.
Firefox profite ainsi d'un super coup de pub. C'est mérité !
Tout le monde connait et a utilisé au moins une fois Internet Explorer puisqu'il est disponible sur tous les PC avec Windows pré-installé.
Mais aujourd'hui, la donne a changé. Le grand public sait qu'il y a des logiciels concurrents plus performants et plus sûrs. S'il ne le sait pas encore, l'affaire de Google en Chine va l'informer.
Parmi les très bonnes alternatives, il y a donc Firefox (citons aussi Opera et Chrome). Développé par la Fondation Mozilla, il détient aujourd'hui environ 30% de part de marché en France. Disponible gratuitement et en français, ce logiciel a aussi des failles de sécurité comme Internet Explorer (IE). Mais il y a une différence essentielle : les développeurs de Mozilla les corrigent plus rapidement que le géant Microsoft.
Les pirates savent profiter des lenteurs de Microsoft. Il y a quelques jours, la version chinoise de Google a été attaquée. Les assaillants ont utilisé une vulnérabilité présente sur les différentes versions de IE et qui n'était pas colmatée.
La menace a été suffisamment sérieuse pour que, le 15 janvier, le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (Certa) émette un bulletin d'alerte dans lequel il préconise d'utiliser un navigateur alternatif à Internet Explorer en attendant le correctif de sécurité de Microsoft.
Il est aussi conseillé de naviguer avec un compte utilisateur aux droits limités et de désactiver JavaScript et ActiveX.
mercredi 2 décembre 2009
HADOPI : un plug-in Firefox pour Windows
Comme prévu, les développeurs de ce plug-in appelé Perseus viennent de sortir une version compatible avec Windows.
Pour rappel, ce petit programme permet de se connecter sans être "écouté". Une solution très efficace contre l'activité d'espionnage de codes malveillants à grande échelle (menés par ceux qui utilisent des botnets) et les écoutes des officines chargées de traquer les "mauvais" internautes.
A noter que ce module ne permet qu'une protection du flux HTTP en direct download (un serveur doit être installé sur l'une des machines.
La librairie open source (langage C) sera disponible début janvier. Elle permettra à quiconque le souhaite d'intégrer la technologie pour le flux de son choix (FTP, Torrent, Mail...).
Pour rappel, ce petit programme permet de se connecter sans être "écouté". Une solution très efficace contre l'activité d'espionnage de codes malveillants à grande échelle (menés par ceux qui utilisent des botnets) et les écoutes des officines chargées de traquer les "mauvais" internautes.
A noter que ce module ne permet qu'une protection du flux HTTP en direct download (un serveur doit être installé sur l'une des machines.
La librairie open source (langage C) sera disponible début janvier. Elle permettra à quiconque le souhaite d'intégrer la technologie pour le flux de son choix (FTP, Torrent, Mail...).
mercredi 25 novembre 2009
Vérifiez gratuitement le niveau de sécurité de votre PC
Bonne idée de l'éditeur d'antivirus F-Secure. Il propose de télécharger gratuitement une application appelée F-Secure Health Check. Elle va scanner votre ordinateur et vérifier le bon fonctionnement des logiciels de sécurité que vous avez installés (antivirus, firewall, antispyware...). Le principal intérêt de cet outil (en anglais) est de vous indiquer si votre navigateur web (Internet Explorer, Firefox...) et votre système d’exploitation Windows (XP, Vista ou même Seven) sont à jour.
C'est important car des logiciels qui ne sont pas mis à jour régulièrement (pour être tranquille, choisissez l'option "mise à jour automatique" de vos logiciels) sont vulnérables à des failles repérées. Et qui dit "failles", dit possibilité d'être infecté.
C'est évidence en matière de sécurité. Mais apparemment pas pour tout le monde. Dans un communiqué de l'éditeur, Olivier Quiniou, Country manager France de F-Secure, indique que "nos données démontrent qu’un tiers des utilisateurs n’a pas installé d’antivirus, de firewall ou d’antispyware, ou procédé aux mises à jour".
Une fois, l'analyse de votre ordinateur réalisée, F-Secure propose bien sûr d'acheter ses solutions. C'est de bonne guerre... commerciale. Mais rien ne vous oblige à acheter les produits F-Secure.
Vous pouvez aussi installer, sans risques, sur votre PC l'outil développé par la cabinet spécialisé dans la sécurité Secunia. Son outil appelé "Secunia Personal Software Inspector (PSI)" fait la même chose mais peut-être en plus objectif et de façon plus pratique : quand le scan est terminé, PSI vous affiche une liste de liens internet permettant de récupérer la dernière mise à jour du ou des logiciels qui ne sont pas à jour.... En anglais mais facile à utiliser.
A télécharger et à tester sans modération !
mardi 17 novembre 2009
Module anti HADOPI : les explications du développeur
Cinq questions à Eric Filiol, Directeur de la recherche de l’ESIEA (Ecole Supérieure d’Informatique Electronique Automatique) et du laboratoire de cryptologie et virologie
opérationnelles :
1-Est-ce que ce plug-in est compatible avec Windows et Mac ? Quand on arrive sur la page de téléchargement de Mozilla c'est indiqué « pour Linux ».
Pour le moment, l'extension Perseus est uniquement disponible pour les distributions GNU/Linux, le portage vers les systèmes d'exploitation Windows et Mac est prévu pour bientôt dès que la version Linux sera complètement stable. Perseus étant programmé en langage C++, celle-ci doit-être compilée pour chaque OS différents, contrairement à beaucoup d'autres extensions qui sont écrites en Javascript et qui marchent nativement sur toutes les plateformes. Le choix du C++ à été motivé par le fait que Firefox est lui-même écrit en C++, et que notre extension pourra, peut-être, être intégrée nativement dans ce navigateur.
2-Des internautes ont constaté des bugs, même sous Linux. Il ne s'agit pas encore de la version définitive mais d'une version bêta ?
L'écriture de programmes n'empêche en aucun cas les bugs. Il s'agit d'une première version bêta, qui permet de tester l'extension. D'ailleurs, il est précisé sur le site de Mozilla que celle-ci comporte surement des bugs et que toute personne peut nous les signaler. Plusieurs personnes ont déjà rapporté différents bugs et une nouvelle version les corrigeant est sortie ces derniers jours. Les développeurs intéressés par cette extension peuvent bien sûr rejoindre le projet, celui-ci étant entièrement Open-source. Créer une communauté autour de cette extension permettra sans aucun doute de faire progresser le projet encore plus vite. L'avantage de l'Open source est de permettre à quiconque de lire, corriger le programme ou d'apporter de nouvelles idées. La priorité était de valider la technologie.
3-Une autre version devrait sortir d'ici quelques mois afin de coder les connexions FTP et les emails ? Il s'agira alors d'un module pour Thunderbird et d'un autre pour les logiciels FTP ?
Le principe peut-être appliqué à différents protocoles (Ftp, Pop/Smtp pour les emails, torrent…). Nous somme en train de développer une libraire qui reprend le principe de codage de Perseus et ajoute encore plus de puissance au concept (et donc encore plus de sécurité). Elle pourra être intégrée dans différents logiciels au gré de la communauté des développeurs. Le but, en étant Open Source est que la technologie soit accessible à tous et que tout le monde puisse se l’approprier. Le plus difficile était de valider la technologie. Le reste sera simplement du développement.
4-Des internautes reprochent un peu la lenteur de l'application à faire le codage. D'ailleurs, quelle est la différence entre codage et cryptage ?
Quelques problèmes de vitesse ont été repérés, ceux-ci vont être corrigés très rapidement. Il ne faut pas oublier que, pour l'instant, le module est en version bêta. La librairie, dont la sortie est prévue pour bientôt, a d’ores et déjà corrigé ce problème. Le cryptage aurait lui aussi été lent. Chiffrer consiste à transformer le texte clair en bruit aléatoire et c’est hyper visible parmi d’autres échanges de données. Le codage consiste à ajouter de la redondance et, dans notre cas, du bruit de manière dosée. Conclusion : le trafic Perseus ressemble à une communication normale.
5-Les organisations professionnelles défendant les ayant-droits – et celles en faveur d'HADOPI - vous ont-elles contacté pour vous reprocher le développement de ce module ?
Le développement de ce module n'a pas été motivé pour la protection des personnes téléchargeant des contenus illégaux. Le but de Perseus est la protection des données privées contre l'écoute automatique par des botnets ou malwares qui se servent de ces données pour le spam, le vol de compte, etc. Mais aussi contre les écoutes sauvages, illégales ou faites par des officines privées qui se multiplient. Sauf pour l'État, qui dispose de capacité de calcul suffisante, tout autre acteur ne pourra pas accéder aux données. Et les capacités de l'État étant limitées, il les consacre en priorité aux cas les plus graves (atteinte à la sécurité nationale). A ce titre, la réaction récente des services britanniques contre les effets d’Hadopi montre tout l’intérêt de la technologie Perseus
opérationnelles :
1-Est-ce que ce plug-in est compatible avec Windows et Mac ? Quand on arrive sur la page de téléchargement de Mozilla c'est indiqué « pour Linux ».
Pour le moment, l'extension Perseus est uniquement disponible pour les distributions GNU/Linux, le portage vers les systèmes d'exploitation Windows et Mac est prévu pour bientôt dès que la version Linux sera complètement stable. Perseus étant programmé en langage C++, celle-ci doit-être compilée pour chaque OS différents, contrairement à beaucoup d'autres extensions qui sont écrites en Javascript et qui marchent nativement sur toutes les plateformes. Le choix du C++ à été motivé par le fait que Firefox est lui-même écrit en C++, et que notre extension pourra, peut-être, être intégrée nativement dans ce navigateur.
2-Des internautes ont constaté des bugs, même sous Linux. Il ne s'agit pas encore de la version définitive mais d'une version bêta ?
L'écriture de programmes n'empêche en aucun cas les bugs. Il s'agit d'une première version bêta, qui permet de tester l'extension. D'ailleurs, il est précisé sur le site de Mozilla que celle-ci comporte surement des bugs et que toute personne peut nous les signaler. Plusieurs personnes ont déjà rapporté différents bugs et une nouvelle version les corrigeant est sortie ces derniers jours. Les développeurs intéressés par cette extension peuvent bien sûr rejoindre le projet, celui-ci étant entièrement Open-source. Créer une communauté autour de cette extension permettra sans aucun doute de faire progresser le projet encore plus vite. L'avantage de l'Open source est de permettre à quiconque de lire, corriger le programme ou d'apporter de nouvelles idées. La priorité était de valider la technologie.
3-Une autre version devrait sortir d'ici quelques mois afin de coder les connexions FTP et les emails ? Il s'agira alors d'un module pour Thunderbird et d'un autre pour les logiciels FTP ?
Le principe peut-être appliqué à différents protocoles (Ftp, Pop/Smtp pour les emails, torrent…). Nous somme en train de développer une libraire qui reprend le principe de codage de Perseus et ajoute encore plus de puissance au concept (et donc encore plus de sécurité). Elle pourra être intégrée dans différents logiciels au gré de la communauté des développeurs. Le but, en étant Open Source est que la technologie soit accessible à tous et que tout le monde puisse se l’approprier. Le plus difficile était de valider la technologie. Le reste sera simplement du développement.
4-Des internautes reprochent un peu la lenteur de l'application à faire le codage. D'ailleurs, quelle est la différence entre codage et cryptage ?
Quelques problèmes de vitesse ont été repérés, ceux-ci vont être corrigés très rapidement. Il ne faut pas oublier que, pour l'instant, le module est en version bêta. La librairie, dont la sortie est prévue pour bientôt, a d’ores et déjà corrigé ce problème. Le cryptage aurait lui aussi été lent. Chiffrer consiste à transformer le texte clair en bruit aléatoire et c’est hyper visible parmi d’autres échanges de données. Le codage consiste à ajouter de la redondance et, dans notre cas, du bruit de manière dosée. Conclusion : le trafic Perseus ressemble à une communication normale.
5-Les organisations professionnelles défendant les ayant-droits – et celles en faveur d'HADOPI - vous ont-elles contacté pour vous reprocher le développement de ce module ?
Le développement de ce module n'a pas été motivé pour la protection des personnes téléchargeant des contenus illégaux. Le but de Perseus est la protection des données privées contre l'écoute automatique par des botnets ou malwares qui se servent de ces données pour le spam, le vol de compte, etc. Mais aussi contre les écoutes sauvages, illégales ou faites par des officines privées qui se multiplient. Sauf pour l'État, qui dispose de capacité de calcul suffisante, tout autre acteur ne pourra pas accéder aux données. Et les capacités de l'État étant limitées, il les consacre en priorité aux cas les plus graves (atteinte à la sécurité nationale). A ce titre, la réaction récente des services britanniques contre les effets d’Hadopi montre tout l’intérêt de la technologie Perseus
vendredi 13 novembre 2009
Firefox serait une passoire
Le célèbre navigateur aurait plein de failles de sécurité. C'est ce qui ressort d'un rapport publié par Cenzic. Selon cette société californienne spécialisée dans la sécurité des applications web, le navigateur de Mozilla aurait mis en cause dans 44% des cas. Le deuxième mauvais élève serait Safari avec 35% des cas, puis Internet Explorer avec 15% des cas. Le bon élève serait Opera avec seulement 6% des cas.
Cette étude s'appuie sur des statistiques effectuées pendant le premier et le deuxième trimestre 2009.
L'analyse faite par une autre société très connue, Secunia, confirme que Firefox 3 présente de nombreuses failles.
Secunia en a repéré 113 depuis le début de l'année. 85% serait importantes. Mais heureusement, elles ont toutes été corrigées.
Si l'on regarde du coté d'Internet Explorer 7, la situation est différentes. Secunia a compté, sur la même période, 92 failles, dont 83% sont graves.
C'est un peu mieux. Oui mais voilà : à la différence de Mozilla, Microsoft n'a pas corrigé 17% de ces failles !
En fait, ce n'est Firefox en lui-même qui serait en cause mais les multiples extensions (modules) que les internautes installent et qui présentent par contre des vulnérabilités.
Il ne faut donc pas installer des extensions (appelées aussi plug-in) depuis n'importe quel site. Il faut les installer depuis le site officiel de Mozilla. La solution la plus simple consiste à lancer Firefox et à cliquer sur Outils, Modules complémentaires. Ensuite, il faut cliquer sur catalogue et taper soit le nom précis d'une extension, soit un thème comme par exemple « sécurité ».
Conclusion :
1- Firefox a peut-être plus de failles mais elles sont toutes corrigées rapidement. Ce n'est pas le cas d'Internet Explorer.
2- Il ne faut pas télécharger n'importe quelle extension. Pour réduire les risques d'infection via des modules « exotiques », Mozilla a mis en ligne la page Plugin Check. Elle permet à tout utilisateur du navigateur de vérifier instantanément l'état de mise à jour d'une quinzaine de plug-in.
jeudi 5 novembre 2009
Commerce électronique : des connexions pas sécurisées ?
Pour le business, pour le gouvernement, pour les FAI... Pour tous ces acteurs de l'internet en France, il est portant de dire (ou de faire croire...? ) que les connexions sont sécurisées. Pas sûr justement !
Le fameux cadenas a des trous. Oui, ce fameux cadenas que vous voyez en bas de votre écran d'ordinateur lorsque vous vous connectez au site de votre banque ou d'un site de commerce électronique. Officiellement, la présence de ce cadenas et des fameuses lettres https (présentes dans l'adresse du site lorsqu'on passe en mode "sécurisé") signifient que la connexion est protégée.
C'est l'objectif du protocole SSL (Secure Sockets Layer). Or, la sécurité de ce protocole ressemble de plus en plus à "une passoire" comme me l'a confié un expert.
Il n'est pas le seul à le penser et à le démontrer.
Aujourd'hui, sur son blog, Marsh Ray, un développeur travaillant pour la société Phone Factor, indique que ce protocole est vulnérable à un certain type d'attaques de pirates.
Cet informaticien confirme qu'il est possible d'intercepter le trafic SSL effectué entre l'autorité délivrant le certificat numérique et un site.
Ensuite, le pirate peut créer un faux certificat capable de leurrer l'utilisateur qui ne sera pas du tout inquiété (cadenas et barre d'adresse verte visibles). Ce type d'attaque pourrait permettre à un pirate de voler des mots de passe, de contrôler un session bancaire en ligne ou d'installer une mise à jour pour Firefox contenant du code malveillant.
Mais une attaque de ce genre n'est pas simple à mettre en place. Il faut à la fois créer un certificat spécifique à chaque cible (le site dont on va usurper l'identité) et rediriger l'internaute vers l'adresse IP illicite (par exemple, un faux site de banque). Sa difficulté explique pourquoi ce genre d'attaque ne peut être déployée à grande échelle.
N'empêche. Il existe des outils qui pourraient aggraver la situation.
Cet été, lors du Black Hat de Las Vegas mais aussi lors du Hack.lu le 30 octobre au Luxembourg, un hacker dénommé « Moxie Marlinspike » a démontré qu'il existait des outils, dont SSLstrip qu'il a développé, permettant d'exploiter les vulnérabilités du SSL et de créer de faux certificats. Il avait montré l'exemple d'un faux Sésame de Paypal.
Mi-octobre, Microsoft avait publié deux correctifs concernant les failles X.509 révélées au Black Hat par Marlinspike. Les navigateurs web et les clients de messagerie avaient également fait des mises à jour.
Pas sûr que cela soit suffisant. Il y a quelques mois, des experts en sécurité avaient créé de faux certificats qui avaient été tous acceptés par les navigateurs web !
Le fameux cadenas a des trous. Oui, ce fameux cadenas que vous voyez en bas de votre écran d'ordinateur lorsque vous vous connectez au site de votre banque ou d'un site de commerce électronique. Officiellement, la présence de ce cadenas et des fameuses lettres https (présentes dans l'adresse du site lorsqu'on passe en mode "sécurisé") signifient que la connexion est protégée.
C'est l'objectif du protocole SSL (Secure Sockets Layer). Or, la sécurité de ce protocole ressemble de plus en plus à "une passoire" comme me l'a confié un expert.
Il n'est pas le seul à le penser et à le démontrer.
Aujourd'hui, sur son blog, Marsh Ray, un développeur travaillant pour la société Phone Factor, indique que ce protocole est vulnérable à un certain type d'attaques de pirates.
Cet informaticien confirme qu'il est possible d'intercepter le trafic SSL effectué entre l'autorité délivrant le certificat numérique et un site.
Ensuite, le pirate peut créer un faux certificat capable de leurrer l'utilisateur qui ne sera pas du tout inquiété (cadenas et barre d'adresse verte visibles). Ce type d'attaque pourrait permettre à un pirate de voler des mots de passe, de contrôler un session bancaire en ligne ou d'installer une mise à jour pour Firefox contenant du code malveillant.
Mais une attaque de ce genre n'est pas simple à mettre en place. Il faut à la fois créer un certificat spécifique à chaque cible (le site dont on va usurper l'identité) et rediriger l'internaute vers l'adresse IP illicite (par exemple, un faux site de banque). Sa difficulté explique pourquoi ce genre d'attaque ne peut être déployée à grande échelle.
N'empêche. Il existe des outils qui pourraient aggraver la situation.
Cet été, lors du Black Hat de Las Vegas mais aussi lors du Hack.lu le 30 octobre au Luxembourg, un hacker dénommé « Moxie Marlinspike » a démontré qu'il existait des outils, dont SSLstrip qu'il a développé, permettant d'exploiter les vulnérabilités du SSL et de créer de faux certificats. Il avait montré l'exemple d'un faux Sésame de Paypal.
Mi-octobre, Microsoft avait publié deux correctifs concernant les failles X.509 révélées au Black Hat par Marlinspike. Les navigateurs web et les clients de messagerie avaient également fait des mises à jour.
Pas sûr que cela soit suffisant. Il y a quelques mois, des experts en sécurité avaient créé de faux certificats qui avaient été tous acceptés par les navigateurs web !
mardi 3 novembre 2009
Module Frefox : l'arme anti HADOPI (suite et scoops)
Suite à mon billet sur ce module Firefox, beaucoup de sites ont repris cette info. Mais il y a eu quelques erreurs ou approximations.
Voici donc quelques précisions et encore quelques scoops.
Premièrement, ce projet n'en est qu'à ses débuts. Compatible avec tous les systèmes d'exploitation (et donc avec Windows contrairement à ce qui a été écrit ici ou là), cette version actuelle ne marche que si les deux (client et serveur) ont le module. Donc, pour fonctionner il faut que le module soit installé aux deux bouts de la ligne. En l'état actuel, ce plug-in ne permet donc que la protection des connexions http en direct download.
Mais d'autres versions vont arriver.
Une version est en cours de finalisation pour intégrer un serveur Apache (parution fin novembre). En clair, cela signifie que tous les sites de P2P et de Bittorent pourront l'utiliser pour protéger les connexions des internautes. Quand cette version sera disponible, ce plug-in sera donc une « arme anti HADOPI ».
Une librairie en « C open source » sera disponible afin que Perseus puisse être utilisée pour tous les flux et pour tous les systèmes. Cette librairie sera disponible au plus tard en mars 2010 mais, si tout va bien, une première version devrait être publiée en décembre. Ainsi, tout développeur pourra l'intégrer au client/serveur pour le protocole de son choix. Cela permettra donc d’appliquer Perseus à tous les autres protocoles de communication (email, FTP…).
Autre précision : contrairement à ce que prétendent certains sites, les éléments initiaux destinés à mettre en place la connexion codée ne sont PAS envoyés "en clair" mais en HTTPS.
Les infos techniques (slides, papier, vidéo) sont disponibles sur le site de l'ESIEA.
Mais, il faut une bonne connaissance technique pour en apprécier tout l'intérêt...
Enfin, il faut rappeler que cet outil a été développé pour éviter que les pirates, contrôlant des réseaux de botnets, ne puissent intercepter les connexions http des internautes.
Voici donc quelques précisions et encore quelques scoops.
Premièrement, ce projet n'en est qu'à ses débuts. Compatible avec tous les systèmes d'exploitation (et donc avec Windows contrairement à ce qui a été écrit ici ou là), cette version actuelle ne marche que si les deux (client et serveur) ont le module. Donc, pour fonctionner il faut que le module soit installé aux deux bouts de la ligne. En l'état actuel, ce plug-in ne permet donc que la protection des connexions http en direct download.
Mais d'autres versions vont arriver.
Une version est en cours de finalisation pour intégrer un serveur Apache (parution fin novembre). En clair, cela signifie que tous les sites de P2P et de Bittorent pourront l'utiliser pour protéger les connexions des internautes. Quand cette version sera disponible, ce plug-in sera donc une « arme anti HADOPI ».
Une librairie en « C open source » sera disponible afin que Perseus puisse être utilisée pour tous les flux et pour tous les systèmes. Cette librairie sera disponible au plus tard en mars 2010 mais, si tout va bien, une première version devrait être publiée en décembre. Ainsi, tout développeur pourra l'intégrer au client/serveur pour le protocole de son choix. Cela permettra donc d’appliquer Perseus à tous les autres protocoles de communication (email, FTP…).
Autre précision : contrairement à ce que prétendent certains sites, les éléments initiaux destinés à mettre en place la connexion codée ne sont PAS envoyés "en clair" mais en HTTPS.
Les infos techniques (slides, papier, vidéo) sont disponibles sur le site de l'ESIEA.
Mais, il faut une bonne connaissance technique pour en apprécier tout l'intérêt...
Enfin, il faut rappeler que cet outil a été développé pour éviter que les pirates, contrôlant des réseaux de botnets, ne puissent intercepter les connexions http des internautes.
mercredi 28 octobre 2009
EXCLUSIF : un module Firefox contre HADOPI et la surveillance
Scoop. Pour ne plus être surveillés, installez ce module (plug-in) pour Firefox !
Le gouvernement va détester ce module pour Firefox. Les fans de téléchargements et de peer-to-peer (P2P) vont adorer. Une première mondiale développée par des Français. Appelé Perseus, il a été développé par l'équipe d'Eric Filiol, Directeur de la recherche de l’ESIEA (École Supérieure d’Informatique Electronique Automatique) et du laboratoire de cryptologie et virologie opérationnelles.
Une fois installé sur le navigateur Firefox de deux internautes, il protège leurs connexions contre toute « écoute ». En clair, ces deux internautes peuvent s'échanger n'importe quelles données sans être inquiétés. La surveillance HADOPI ne pourrait rien faire. Les seuls qui pourraient « écouter » ces connexions sont les services officiels de l'État qui disposent de moyens techniques importants (capacité de calcul) pour mettre à mal ce plug-in.
Quel est le secret de Perseus qui sera présenté pour la première fois lors de Hack.lu (), une conférence sur la sécurité informatique organisée au Luxembourg du 28 au 30 octobre ? « Sans entrer dans le détails, nous pouvons dire que nous codons l'information avec un codeur qui change à chaque fois et nous ajoutons un bruit que ne connait pas l'attaquant. Ce bruit interdit la reconstruction du codeur et donc le décodage », nous explique Eric Filiol. Cette solution ne repose donc pas sur de la cryptologie.
Ce module permet de préserver la vie privée des internautes contre des écoutes plus ou moins légales et contre les pirates qui gèrent des botnets (réseaux d'ordinateurs contrôlés à distance et servant à lancer des attaques contre des sites par exemple). Ce plug-in peut aussi convaindre les entreprises qui peuvent communiquer discrètement sans être espionnées par des officines d'intelligence économique.
Intéressée, la Fondation Mozilla envisagerait d'installer ce plug-in dans les prochaines versions de Firefox.
Vous pouvez télécharger ce plug-in à cette adresse.
Le gouvernement va détester ce module pour Firefox. Les fans de téléchargements et de peer-to-peer (P2P) vont adorer. Une première mondiale développée par des Français. Appelé Perseus, il a été développé par l'équipe d'Eric Filiol, Directeur de la recherche de l’ESIEA (École Supérieure d’Informatique Electronique Automatique) et du laboratoire de cryptologie et virologie opérationnelles.
Une fois installé sur le navigateur Firefox de deux internautes, il protège leurs connexions contre toute « écoute ». En clair, ces deux internautes peuvent s'échanger n'importe quelles données sans être inquiétés. La surveillance HADOPI ne pourrait rien faire. Les seuls qui pourraient « écouter » ces connexions sont les services officiels de l'État qui disposent de moyens techniques importants (capacité de calcul) pour mettre à mal ce plug-in.
Quel est le secret de Perseus qui sera présenté pour la première fois lors de Hack.lu (), une conférence sur la sécurité informatique organisée au Luxembourg du 28 au 30 octobre ? « Sans entrer dans le détails, nous pouvons dire que nous codons l'information avec un codeur qui change à chaque fois et nous ajoutons un bruit que ne connait pas l'attaquant. Ce bruit interdit la reconstruction du codeur et donc le décodage », nous explique Eric Filiol. Cette solution ne repose donc pas sur de la cryptologie.
Ce module permet de préserver la vie privée des internautes contre des écoutes plus ou moins légales et contre les pirates qui gèrent des botnets (réseaux d'ordinateurs contrôlés à distance et servant à lancer des attaques contre des sites par exemple). Ce plug-in peut aussi convaindre les entreprises qui peuvent communiquer discrètement sans être espionnées par des officines d'intelligence économique.
Intéressée, la Fondation Mozilla envisagerait d'installer ce plug-in dans les prochaines versions de Firefox.
Vous pouvez télécharger ce plug-in à cette adresse.
Inscription à :
Articles (Atom)