Discussion :

[yoyo88]

Toi, t'as tout compris aux principes habituels dans le monde de la sécurité :

"In the case that a vendor is notified and a fix is not produced within a reasonable time, disclosure is generally made to the public. Opinions differ on what constitutes a reasonable time. Fourteen to thirty days is typical [...]"

sauf qu'on parle de Windows, pas du petit site web de l'association des retraités de St jean sur gneugneu.

Corriger une faille dans Windows c'est quand même plus ardu que de balancer un correctif sans l'avoir tester sous prétexte que c'est urgent.

14 à 30 jours c'est typique comme délai raisonnable, laisser à l'éditeur pour corriger le problème.

http://en.wikipedia.org/wiki/Full_disclosure
http://en.wikipedia.org/wiki/Responsible_disclosure

surtout que la publication est sortie 5 jour après sa découverte...

[stardeath]

...

Et j'ajouterais à ta liste : "Tous les 6 mois" ;-)

Sauf que personne de sensé ne met à jour une machine sensible (serveur, machine de prod, etc) tous les 6 mois, ça serait juste suicidaire.

[Louis Griffont]

lorsque tu passes à la version supérieure, tu n'as pas besoin d'aller te racheter un PC et tu gardes la compatibilité avec tous tes logiciels. ça c'est un argument, plus fort que le (1). En effet, si les gens restent sur un OS vieux de 9 ans, ce n'est pas une question de prix de l'OS mais de lourdeur du bouzin (eh, oui, c'est gourmand en ressources ces petites bêtes là) et aussi de compatibilité de logiciels, même si je dois reconnaitre que M$ a fait des progrès de ce côté là (si on compare la compatibilité entre 95 et 2000 par exemple).

Je ne suis pas sûr que le dernier Ubuntu tourne super bien sur une machine vieille de 9 ans !

[lukeni2]

Je pense que publier cette faille 5 jours après est une preuve suffisante de la mauvaise foi dont a fait preuve tavis ormandy. En plus, je suis convaincu qu'il l'a fait avec la bénédiction de google.

[kain_tn]

Sauf que personne de sensé ne met à jour une machine sensible (serveur, machine de prod, etc) tous les 6 mois, ça serait juste suicidaire.

On ne parle pas de mettre à jour la machine tous les six mois. Non, les mises à jours dites de sécurités ("update") se font bien plus souvent que ça (heureusement).

En revanche, on ne fait pas "d'upgrade" tous les six mois, c'est évident . C'est bien pour cette raison qu'il existe des versions dites "LTS (Long Term Support)" avec un support de 5 ans pour la version "server". Après, mettre à jour l'OS d'un parc (quasi-automatiquement) tous les trois ans quand tu n'as pas le coût de licence à payer et pas à changer ta configuration, c'est assez raisonnable à mon goût.

Je ne suis pas sûr que le dernier Ubuntu tourne super bien sur une machine vieille de 9 ans !

Fais le test si tu es prêt à mettre ta mauvaise foi légendaire de côté
(non, plus sérieusement, si tu as besoin d'aide pour ça, n'hésites pas)


Mais on dévie un peu du sujet là...

[stardeath]

...

non je parlais justement des mises à jour, et pas du passage à la version supérieure. c'est extrêmement rare (pour ainsi dire, j'ai jamais rencontré personne le faisant) qu'un admin mette à jour régulièrement une machine sensible. mais après ce n'est pas parce que je connais personne qui le fait que c'est comme ça partout.

[singman]

Je pense que tout le monde est d'accord sur un point :
Publier un PoC 5 jours c'est une mauvaise chose, le publier après avoir laissé 30 à 40 jours pour une correction c'est nécessaire.

La seule question valable est donc : quel délai a eu Microsoft pour corriger la faille ? 5 jours ou 40 jours ?

[Médinoc]

Si j'ai bien compris le tweet, ils ont eu 5 jours pour accepter de corriger la faille dans les 60 jours.

[pascalfares]

Bonsoir

De toute manière il faut bien admettre de vivre avec les défauts des systèmes informatique! Nous acceptons bien de vivre avec des Humains malades!

[badabadoo]

Source : La publication de la découverte de Tavis Ormandy

Est-ce normal que le lien renvoie vers un EXPLOIT.CVE-2010-1885.b ?

[henolivier]

Sur ce point tu as raison, sauf que pour Ubuntu, tu peux passer à la version suivante:

1. lorsque tu passes à la version supérieure, tu n'as pas besoin d'aller te racheter un PC et tu gardes la compatibilité avec tous tes logiciels. ça c'est un argument, plus fort que le (1). En effet, si les gens restent sur un OS vieux de 9 ans, ce n'est pas une question de prix de l'OS mais de lourdeur du bouzin (eh, oui, c'est gourmand en ressources ces petites bêtes là) et aussi de compatibilité de logiciels, même si je dois reconnaitre que M$ a fait des progrès de ce côté là (si on compare la compatibilité entre 95 et 2000 par exemple).

Tiens, c'est marrant,
je suis passé de 9.04 a 9.10 hier (en attendant de passer en 10.04 aujourd’hui)
et donc le passage de l'un a l'autre m'a fait planter mysql sur ma machine (car une librairie obsolète avait été désinstallée).
La correction était assez aisée (une fois que l'on a trouvé le problème) mais pas automatique...

[Invité1]

Bonjour,

Je pense qu'il y a deux façons de voir la chose :

1 - Le publicateur annonce qu'il a laissé plus de temps que les 5 jours pour faire un patch (vrai ou faux ?), le fait indépendamment de son employeur (vrai ou faux). N'oublions pas que l'un comme l'autre utilise le public en témoin via des affirmations, désinformations, contre-vérité pour être soit pour une cause, ou contre une autre...

2 - Il est à noter que Microsoft n'a pas l'habitude de réagir vite. Peut-être est-ce l'occasion de se mettre un peu plus au service des clients. N'oublions pas ses habitudes de vendre des produits non finis qui au nom des bugs impossibles à éviter se moque des conséquences pour ses clients. Se moque également des compatibilités des logiciels onéreux du clients en les rendant inopérant.

Ainsi, s'il est anormal que l'on publie ce qu'il faut pour exploiter une faille, il est aussi anormal de prendre son temps pour corriger des failles importantes. Microsoft a les moyens d'avoir une équipe spécialisé pour les correctifs au même titre qu'il a les moyens d'être condamner pour vole de brevet, copie etc...

Franchement, condamner l'un sans l'autre n'a pas de sens. La mauvaise foi de l'un utilisant la mauvaise foi de l'autre

Moralité : plus la concurrence est forte, plus la morale se fait discrète et moins le client a de valeur (sauf son porte monnaie)

Les deux sont à condamner !

Couik

[OWickerman]

Le problème de base c'est peut-être que des gens continuent à utiliser un os sorti en 2001, non ?

[Invité1]

Le problème de base c'est peut-être que des gens continuent à utiliser un os sorti en 2001, non ?

En changeant de version, il est souvent nécessaire de changer le matériel, les logiciels à coté etc...

On ne peut pas dire que Microsoft soit performant pour la compatibilité

Son OS étant utilisé tant par les professionnels que par les particuliers, ces derniers (les particuliers) ne voient pas forcément l'intérêt de changer d'OS avec tous les soucis que cela comporte et qu'ils n'ont pas nécessairement la compétence pour gérer.

Sachant de plus que changer d'OS, en particulier Microsoft, c'est risquer d'ouvrir son PC à l'extérieur tant il est notoire qu'il y ait un nombre inimaginable de faille. On comprend la réticence du particulier (moi par exemple)

Enfin, ma voiture fonctionne, elle fait ce dont je lui demande... Une nouvelle sort... ben pourquoi en aurais-je plus besoin ?

L'évolution technologique va peut-être plus vite que la mentalité des utilisateurs.

Couik

[cbleas]

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

On ne peut pas dire que Microsoft soit performant pour la compatibilité

Est-il possible d'utiliser office 97 sur seven?
Est-ce microsoft qui ne permet pas la compatibilité ou les développeurs qui utilisent les dernières technologies?
Regardez les jeux qui demandent la carte graphique spécifique.
Tout n'est pas la faute de microsoft.

[hager55]

[CODE]salt,
pour ma part, j'aimerais voir Tavis Ormandy épiloguer sur win7 et win 2008 que sur un vieux système, il est en manque de Pub et il met Google en mauvaise posture face à Microsoft.
take care [CODE]

[Invité1]

est il possible d'utiliser office 97 sur seven?
est ce microsoft qui ne permet pas la compatibilité ou les développeurs qui utilisent les dernières technologies.
Regardez les jeux qui demandent la carte graphique spécifique
Tout n'est pas la faute de microsoft

Oui, m'enfin bon, je veux bien que les produits internes à Microsoft soit compatible (quoique) mais pour le reste, dans la mesure où il faut payer une dime pour avoir le droit de développer sur cet OS...

J'ai trop l'expérience des changements d'OS avec à chaque fois des obligation de changement des soft non MS...

On ne me fera pas croire que changer de version d'OS se fait sans douleur.

Quant aux jeux avec les cartes graphiques, c'est une question intéressante.
À l'extrême, un jeu impose une marque de carte, de l'autre, conseil fortement mais reste jouable avec des paramètres adaptés

Chacun jugera de la pertinence de chacune des méthodes.

[Porkepix]

En changeant de version, il est souvent nécessaire de changer le matériel, les logiciels à coté etc...

On ne peut pas dire que Microsoft soit performant pour la compatibilité.

C'est peut-être vrai avec Windows qui a chaque nouvelle version alourdi considérablement le système (passage XP -> Vista entres autres, au tout début de Vista même les PC vendus avec ramaient comme pas permis). Vista à limite triplé les perfs bouffées par le système, et ça je suis désolé mais ça se voit sur strictement aucun autre OS.....

Microsoft et compatibilité? Tu veux du vieux tu gardes ton viel ordi/OS tu veux du neuf? Tu achètes un nouvel ordi/OS.

[yoyo88]

dans la mesure où il faut payer une dime pour avoir le droit de développer sur cet OS...

Tu as dû faire beaucoup de développement sous Windows toi...

[Louis Griffont]

Fais le test si tu es prêt à mettre ta mauvaise foi légendaire de côté
(non, plus sérieusement, si tu as besoin d'aide pour ça, n'hésites pas)

Aucune mauvaise foi. En plus, le fait que le dernier Ubuntu tournerait moins bien ou pas sur une machine vieille de 9 ans ne me choquerais pas plus que ça. Mais, non je ne ferais pas le test, pour 3 raisons (2 bonnes et une mauvaise).
La première c'est que je n'ai pas le temps.
La seconde c'est que je n'ai pas de machine de ce type pour faire le test
La troisième est que je ne suis pas prêt à ré-essayer un Linux, car certaines personnes ici présentes m'en ont carrément dégouté, et pour longtemps.

Par contre si quelqu'un (de crédible) a essayé, c'est peut être intéressant à savoir, non ?