Concours de pirates : tous les navigateurs à genoux sauf Chrome

Belle pub pour Chrome. Le navigateur de Google va certainement profiter des résultats du concours Pwn2Ow organisé durant la conférence canadienne sur la sécurité informatique CanSecWest.

Attirés par des récompenses de plusieurs milliers de dollars, des hackers se sont attaqués à tous les navigateurs.

Safari, Internet Explorer et Firefox ont tous succombé aux attaques des participants en quelques minutes. Des mises à jour de sécurité avaient pourtant été installées... A noter qu'une faille de Safari a permis à deux hackers de mettre la main sur tous les SMS d'un iPhone.

Résultat, un seul s'en sort car il n'a pas été ... attaqué par les pirates : Chrome. Pourquoi ? Selon certains participants du concours, Chrome sous Windows (mais c'est encore plus vrai sous GNU/Linux) présente une convergence de plusieurs facteurs qui rendent le logiciel plus délicat à mettre à genoux : pas d’exécution sur la pile, la sandbox (bac à sable) créée par Google et les protections de Windows (DEP et ASLR).

Il faut dire aussi que Google avait pris les devants. Il avait corrigé plusieurs failles importantes quelques jours avant ce concours...

Firefox serait une passoire

Le célèbre navigateur aurait plein de failles de sécurité. C'est ce qui ressort d'un rapport publié par Cenzic. Selon cette société californienne spécialisée dans la sécurité des applications web, le navigateur de Mozilla aurait mis en cause dans 44% des cas. Le deuxième mauvais élève serait Safari avec 35% des cas, puis Internet Explorer avec 15% des cas. Le bon élève serait Opera avec seulement 6% des cas.
Cette étude s'appuie sur des statistiques effectuées pendant le premier et le deuxième trimestre 2009.



L'analyse faite par une autre société très connue, Secunia, confirme que Firefox 3 présente de nombreuses failles.
Secunia en a repéré 113 depuis le début de l'année. 85% serait importantes. Mais heureusement, elles ont toutes été corrigées.

Si l'on regarde du coté d'Internet Explorer 7, la situation est différentes. Secunia a compté, sur la même période, 92 failles, dont 83% sont graves.

C'est un peu mieux. Oui mais voilà : à la différence de Mozilla, Microsoft n'a pas corrigé 17% de ces failles !

En fait, ce n'est Firefox en lui-même qui serait en cause mais les multiples extensions (modules) que les internautes installent et qui présentent par contre des vulnérabilités.

Il ne faut donc pas installer des extensions (appelées aussi plug-in) depuis n'importe quel site. Il faut les installer depuis le site officiel de Mozilla. La solution la plus simple consiste à lancer Firefox et à cliquer sur Outils, Modules complémentaires. Ensuite, il faut cliquer sur catalogue et taper soit le nom précis d'une extension, soit un thème comme par exemple « sécurité ».

Conclusion :
1- Firefox a peut-être plus de failles mais elles sont toutes corrigées rapidement. Ce n'est pas le cas d'Internet Explorer.

2- Il ne faut pas télécharger n'importe quelle extension. Pour réduire les risques d'infection via des modules « exotiques », Mozilla a mis en ligne la page Plugin Check. Elle permet à tout utilisateur du navigateur de vérifier instantanément l'état de mise à jour d'une quinzaine de plug-in.