La Fibre
Télécom => Réseau => 
Attaques informatiques => Discussion démarrée par: octal le 24 février 2017 à 14:01:45
-
La société Avecto qui fournit des solutions de sécurité, a analysé l'intégralité des patchs fournis par Microsoft en 2016 et a pondu un petit rapport que vous pouvez télécharger ici.
(https://lafibre.info/testdebit/windows10/201702_avecto_report_microsoft_vulnerabilities_2016.jpg) (https://lafibre.info/testdebit/windows10/201702_avecto_report_microsoft_vulnerabilities_2016.pdf)
De plus, ils ont noté une augmentation de vulnérabilités made in Microsot de 62% depuis 2013 et bizarrement ou pas, Windows 10 qui est quand même l'OS le plus récent est celui qui a le plus de vulnérabilités. Bien plus que n'importe quel OS concurrent et 46% de plus que Windows 8 ou 8.1.
Je me demande si c'est parce que les failles sont découvertes plus fréquemment grâce à des audits ou du bug bounty ou si c'est parce que les process de dev agile de Microsoft ont réduit la part réservée aux tests sécu.
En tout cas, 100% des failles dans le navigateur Edge et 99% des failles dans Office, trouvées en 2016 sont déjouables en limitant les droits admin sur les comptes utilisateurs.
Bon, vous avez compris ce qu'il vous reste à faire si vous êtes sous Windows ?
Arrêter d'utiliser un compte admin chaque jour de votre vie et vous rendre dans le panneau de config, dans la partie concernant la gestion des comptes utilisateurs pour créer de nouveaux comptes standards sans droits admin (ou basculer vos comptes admin en standards). Et conserver un compte admin que vous utiliserez uniquement pour installer des trucs ou pour des opérations de maintenance.
Tu parles d'un scoop ;-))))
Source (https://korben.info/dejouer-jusqua-94-vulnerabilites-critiques-decouvertes-windows-outils-microsoft.html)
-
Je ne comprend pas vraiment : de nos jours, même sur un compte administrateur, les applications sont lancées un utilisateur simple sauf lancement de l'UAC (sauf bien sûr quand il est désactivé). Donc (ou alors j'ai rien compris) toutes ces failles ne concernent que ceux qui l'ont désactivé, ce qui est bien fait pour eux tellement c'est une mauvaise pratique.
Par contre, j'aurais bien aimé un petit comparatif windows avec/sans EMET pour voir si c'est vraiment efficace.
-
le sujet est les nombreuses failles ::)
-
le sujet est les nombreuses failles ::)
Je réagissais surtout à :
En tout cas, 100% des failles dans le navigateur Edge et 99% des failles dans Office, trouvées en 2016 sont déjouables en limitant les droits admin sur les comptes utilisateurs.
-
moi je ne mesure pas " l'OS parfait " par rapport au nombre de failles....
-
Voici un petit rapport de failles CVE par produit, et l'ordre n'est plus le même. Cela dépend des sources que l'on choisit... Ici l'ordre, pour 2017, c'est le noyau Linux, suivi d'Android, suivi de Iphone OS...
https://www.cvedetails.com/top-50-products.php?year=2017
-
Voici un petit rapport de failles CVE par produit, et l'ordre n'est plus le même. Cela dépend des sources que l'on choisit... Ici l'ordre, pour 2017, c'est le noyau Linux, suivi d'Android, suivi de Iphone OS...
https://www.cvedetails.com/top-50-products.php?year=2017
200 vulnérabiliser sous W10 :
https://www.cvedetails.com/cve/CVE-2016-7295/
-
Ton lien renvoie sur une seule vulnérabilité, de 2016. Si tu veux voir par là, 218 vulnérabilités recensées pour le noyau Linux, pour 2016 :
https://www.cvedetails.com/vendor/33/Linux.html
Cette guerre est absurde. Tous les produits sont affectés par des vulnérabilités, et je ne pense pas que ce soit Windows le plus mal doté. Microsoft a fait de gros efforts depuis au moins 2006, qui avait vu la sortie de Vista repoussée pour renforcer la sécurité, et l'introduction du pare-feu dans XP SP3. On a vu pas mal de problèmes de sécurité dernièrement sous Linux, par exemple dans openssl, pour bash etc...
Il faut arrêter de dire que Linux est supérieur technologiquement à Windows. Dans beaucoup de domaines, ce n'est pas vrai. Je suis plutôt libriste stallmanien. La supériorité de Linux, et d'autres logiciels, c'est d'être libre, de pouvoir modifier le code source, de l'intégrer à divers produits (sous licence GPL bien sûr), à volonté, ce qui a permis la floraison de toutes les distributions, de le voir apparaitre dans les box etc... Mais tu remarqueras justement que beaucoup de boxs grand public, de caméras IP etc... ne sont jamais patchées et participent à des attaques DDOS... Le plus important; c'est le suivi et la mise à jour des systèmes.
Le gros problème d'Android, par ailleurs, c'est que très peu de smartphones sont mis à jour avec les dernières versions de Google, et sont vulnérables à plein de failles, qui de ce fait ne sont jamais corrigées...
Au moins, du côté d'Apple IOS, il y a un meilleur suivi.
-
Le gros problème d'Android, par ailleurs, c'est que très peu de smartphones sont mis à jour avec les dernières versions de Google, et sont vulnérables à plein de failles, qui de ce fait ne sont jamais corrigées...
C'est vrai que y'a plein d'histoires (réelles) et de cas (concrets) de smarphones Android dont on a vraiment exploité les failles...
On oublie un peu trop vite le FUD (https://fr.wikipedia.org/wiki/Fear,_uncertainty_and_doubt)propagé par la presse et les sociétés de sécurité et les concurrents. En gros 'qui profite' de tout ca...
Dans la pratique et la vie réelle, la plupart des failles ne sont pas exploitables facilement et simplement. La plupart ont des conditions quasi pas obtenables en dehors d'un laboratoire. L'utilisateur (qui il est) et son 'comportement' sont des facteurs plus importants.
Ce n'est donc pas parce qu'un OS est en 'théorie' exploitable qu'il le sera. Et Il peut avoir plus de 100 failles connues en tout mais toutes difficiles a exploiter et ne présenter aucun risque concret alors qu'un autre OS peut avoir 2 failles mais tout deux très facilement exploitables...
-
Je suis d'accord avec toi, il y a beaucoup de FUD autour de tout cela. Le but de ces sociétés, en publiant de tels rapports, c'est souvent de vendre derrière des produits de sécurité, en particulier pour windows.
Les attaques DDOS, tout de même, sont tout à fait réelles, mais souvent résultent d'un compte admin resté avec le mot de passe par défaut et accessible directement sur le web, par une interface même en 443 (pas besoin d'intercepter le mot de passe, il est dans la doc).
-
Il y aura toujours des failles ds un OS et j'ai envie de dire "heureusement", sinon comment "jailbreak" un Iphone. ;D
-
Le rapport de Avecto : (cliquez sur la miniature ci-dessous - le document est au format PDF)
(https://lafibre.info/testdebit/windows10/201702_avecto_report_microsoft_vulnerabilities_2016.jpg) (https://lafibre.info/testdebit/windows10/201702_avecto_report_microsoft_vulnerabilities_2016.pdf)
-
Donc (ou alors j'ai rien compris) toutes ces failles ne concernent que ceux qui l'ont désactivé, ce qui est bien fait pour eux tellement c'est une mauvaise pratique.
Donc tu te moques qu'on récupère tous tes mots de passe stockés sur la machine?
-
PEBCAK
-
?
-
PEBCAK : Problem Exists Between Chair And Keyboard
On ne stocke jamais ses mdp sur un quelconque support sauf container sécurisé de mdp :)