pasBill pasGates a écrit 16169 commentaires

Perso je pencherais plutot pour AmigaOS, mais j'ai pas envie de recreer une guerre entre Amigaistes et Ataristes frustres d'avoir un OS moins bon

Il ne peut pas etre sur, c'est techniquement impossible.

Mais il peut mettre une barriere assez haute pour empecher la grosse majorite des malwares, c'est deja bien plus que ne rien faire.

C'est le genre de test qui devrait faire partie de la suite de test d'OpenSSL.

Si ca se trouve le projet OpenSSL a ce test, mais clairement Debian ne faisait pas tourner ces tests si ils existent, et ca montre justement ce que je disais dans un autre journal: sous Linux les testeurs sont les utilisateurs.

Et pour un soft dont le job est justement un acces reseau a ce serveur donne tu vas faire quoi ? Lire chaque byte qui passe sur le reseau pendant des mois pour etre sur que rien ne se passe ?

Quand au crash, justement, le but est que cela ne crashera pas, cela executera du code venant du serveur par contre, et tu n'y verras donc rien du tout.

Et ca en dit justement long sur les procedures de test...

C'est pas une hypothese, c'est la realite, et c'est bien le probleme.

Il suffit de regarder le nombre de failles que les distribs corrigent, voir depuis combien de temps ces failles etaient la, et voir comment elles ont ete trouvees, pour se rendre compte que la grosse majorite est trouvee par fuzzing, et pas par des contributeurs ayant revu le code peu apres qu'il ait ete ecrit.

Si moi, qui l'ai inseree dans mon code volontairement, l'exploitera, c'est ca qui en fait un malware.

Quelle chance supplementaire ? Sachant que personne ne trouvera la faille, comme l'experience de tant d'annees a montre.

Ta mailing-list elle va faire quoi ? Elle va refuser mon soft ? Donc elle a des restrictions sur les softs legitimes, car la faille est le seul element qui fait que mon soft est un malware plutot qu'un soft legitime, et ils ne savent pas que la faille est la.

Elle va accepter mon soft ? Donc c'est fini, j'ai gagne.

Mais qui te parles de cacher l'appel ? Je te mets l'entree pour mon site par defaut, l'enorme majorite des gens le laissera ou ne saura pas l'enlever.
Sinon, qui te dit que mon soft est un lecteur RSS ou multimedia ? Il y a plein de cas ou le soft va aller chercher differents types d'infos, acceder a une gallerie de fichiers, etc...

Tu veux me faire croire qu'il n'y a aucun soft dans les depots des distribs qui par defaut accede a un serveur externe ? On parie ?

Meme pour Windows, il est meilleur que d'autres systemes pour certaines choses, moins bon pour d'autres.

L'OS miraculeux qui est meilleur a tous les plans, ca n'existe pas

Des softs qui accedent a des serveurs externes il y en a plein, je te parles pas d'une update de code hein, mais par exemple des extensions, sons, flux RSS ou autres. Ca manque pas les raisons d'acceder a un serveur externe hein.

Et c'est tout ce dont il y a besoin pour qu'une faille que j'ai laisse dans mon code libre soit declenchee selon mes envies, et que mon malware soit execute sur ta machine.

Non, je sous-entends que l'acces au code source des distribs et autres n'amene rien niveau securite en pratique.

Ca ne veut pas dire que le code source ouvert est pire a cause de ca hein, rien n'empeche d'utiliser les memes techniques de pen testing et analyse dynamique ou autre sur du code libre.

Je parles purement du mythe "code source dispo = meilleure securite"

J'ecris un soft libre, qui telecharge des updates de differents types depuis mon serveur a moi (images ou autres conneries au hasard) et fait un traitement dessus quel qu'il soit.

Le soft a une chance d'etre dans le depot de la distrib ?

Si oui, alors je peux aisement te poser un gros malware dedans a travers une faille dans la communication avec mon serveur, et je peux te garantir a 99.9% que personne le verra (suffit de voir le nombre de failles de ce type decouvertes dans les distribs qui etaient la depuis des annees)

Si non, ben ton depot ne remplit pas son boulot, une application legitime n'y est pas acceptee (en imaginant que je fais cette appli sans malware)

Allez tu as raison, winwin c'est le mieux du monde de l'univers et un code fermé c'est plus sur qu'on code ouvert.

Ah si seulement... Le probleme est que j'ai jamais dit cela...

Qu'un etudiant ou autre developpeur aleatoire le lise, c'est tres tres legerement mieux que ne pas le lire.

J'ai une bonne petee de cas ou a moins d'etre un gars qui s'y connait en securite, qui comprend tres bien comment le composant fonctionne, et etre en train de lire le code specifiquement pour y trouver des failles, tu passeras par dessus et n'y verra rien.

Et une faille, c'est l'equivalent d'un malware hein. Suffit que ton soft se connecte au serveur pour X raison, et tu mets la faille dans la communication/parsing/...

Lire le code n'est pas suffisant.

Tu as les connaissances et l'experience pour deceler la plupart des types de faille ? Non ? Donc un malware decent te passera sous le nez.

Moi je vais simplement te dire que trouver des failles ca a ete mon boulot pendant 6 ans, j'etais paye pour et malgre toute mon experience et celle de mes collegues, nombre de failles nous passaient sous le nez pour n'etre trouvees que par un fuzzer pendant le pen testing.

Alors compte combien de developpeurs ont une expertise en securite(parce qu'un non-expert, le nombre de failles qui lui passeront sous le nez est enorme), et compte combien d'entre eux vont aller relire le code de ces applications libres. Le compte est vite fait.

Oh qu'on se comprenne bien, c'est pas la faute d'Android, c'est la faute de Google qui ne signale pas clairement aux utilisateurs les dangers d'utiliser un appstore qui ne procede a aucun controle sur le contenu.

Dans ton monde parfait, le appstore que tu decris serait identique a ce qu'Apple fait (restrictions sur image de c*l et autres en moins), car de nouveau, personne n'irait relire le code de toute facon.

Ils font comme Apple

C'est certainement pas parfait, mais ca sera toujours plus efficace au total que la possibilite theorique de lire le code source que personne ne fait.

Ce sera un avantage le jour ou, en pratique, cela sera fait.

Les avantages theoriques ne valent absolument rien tant qu'ils ne sont pas mis en pratique.

Parce que relire le code c'est bien joli, mais si je veux te cacher un malware dans le code source et que personne le voie, je le ferai sans probleme, cacher un buffer overflow qui est mis en route par une communication avec mon serveur il n'y a rien de plus simple, et personne(= 99.99% de la population qui lit le code) ne le remarquera vu les differentes manieres de cacher cela et les connaissances requises pour detecter les cas pernicieux de buffer overflow.

C'est bien vrai ca.

Mais au fait, si tu tiens cet avis, pourquoi donc est-ce que tu ne dis pas la meme chose sur les innombrables journaux/articles sur MS & Windows ?

Ils sont pas libres non plus hein...

Si demain j'uploade un malware libre sur le marketplace, avec lien sur les sources ou bien entendu le cote malware est un peu cache, tu crois qu'il va se passer combien de temps avant que quelqu'un remarque le probleme ?

Cette histoire de disponibilite du code source qui empecherait ce genre de probleme est un gros gag, ca n'empeche rien du tout, notamment parce que quasiment personne ne lit les sources, encore moins attentivement, et definitevement pas rapidement.

Le probleme se verra plus rapidement par analyse du comportement du soft que par analyse du code source.

De nouveau, tu inverses.

Le constructeur il passera cet accord le jour ou il estimera qu'il y a un marche, qu'il va pouvoir vendre des machines grace a Ubuntu (ou autre distrib)

Ce n'est pas grace au constructeur que Linux va se vendre, mais grace a ses qualites qui font que le constructeur voudra l'installer.