sécurité informatique

**afrikha** · 06/01/2006, 20h21

voici la question qui me hante ces derniers jours:
Est-il possible de créer un logiciel sans aucune faille de sécurité?
Je me doute bien que non car sinon le FBI s'en serait doté et n'aurait pas été piraté il n'y a pas si longtemps de ça,mais je suis ,on peut dire,novice en programmation et je constate que dans chaque composant utilisé dans un "simple" logiciel il y a pas mal de système de sécurité: base de données, système d'exploitation avec anti-virus et firewall, les applets en java,....

Je vois mal avec tout ça comment on peut passer outre toutes ses précautions!!, les pirates seraient-ils des génies? à moins que les failles ne soient dù à des erreurs humaines de conception ou d'implementation!

**tiboooo** · 06/01/2006, 20h34

Envoyé par afrikha

Je vois mal avec tout ça comment on peut passer outre toutes ses précautions!!, les pirates seraient-ils des génies?
à moins que les failles ne soient dù à des erreurs humaines de conception ou d'implementation!

Les deux a mon avis!

**StyleXP** · 07/01/2006, 13h29

d'aprés mon avis :

si tout le monde savent que 1+1=2 alors :

un autre peut dire que même 0+2=2

un autre peut dire que même 2+0=2

un autre peut dire que même 0+0+2=2

un autre peut dire que même 4-2=2

un autre peut dire que même -2+4=2
.....................................................

le resultat toujours 2

cela veut dire puisque il y'a pas mal de personnes connaissent la programmation, et que les langages de programmation sont tous disponibles (documentaion). dans ce cas, rien n'echappe au pirate (heckers) (anti-programmeur)

**tiboooo** · 07/01/2006, 13h32

hum euh pas sur d'avoir compris ton résonement

**StyleXP** · 07/01/2006, 13h41

tes pas hackers, donc tampis pour toi

**tiboooo** · 07/01/2006, 13h44

**Louis-Guillaume Morand** · 07/01/2006, 14h35

Envoyé par tiboooo

c'est simple. tu developpe un logiciel. tu veux arriver à un resultat mais tu ne pourras pas penser à toutes les possibilités. c'est pourquoi , ce n'est pas le plus grand hacker qui te hackera, mais celui qui pensera différemment de toi, notament à quelque chose auquel tu n'as pas pensé.

effectivement, si un jour, tu passe du coté AOUDEURGRAOUNDE, tu verras que c'est le principe qui est souvent utilisé (à part les script kiddies)

**tiboooo** · 07/01/2006, 15h10

ah d'accor je comprend l'idée.

**StyleXP** · 07/01/2006, 15h26

Ok de la bonne facon a expliqué, OK pharaonix

**afrikha** · 07/01/2006, 18h54

Envoyé par pharaonix

mais tu ne pourras pas penser à toutes les possibilités

pourquoi

:

**gorgonite** · 07/01/2006, 19h41

mais tu ne pourras pas penser à toutes les possibilités

pourquoi

:

parce que personne n'a la science infuse

ta façon de penser est quand même fortement biaisée par la manière dont tu as appris à programmer, les langages que tu utilises,...

donc à un endroit, tu oublieras un truc
ou alors, tu n'auras pas voulu aller au fond des choses, et il y aura peut-être une faille dans une des "méthodes clé en main" que tu utilises, ta spécialisation, ...

Et souvent savoir cela, ça rend humble... même si tu t'es dedans depuis des années et que rien ne semble t'arrêter.

Le jour où tu arrêtes de te remettre en question, tu finis vite par être enterré... surtout en informatique

**Louis-Guillaume Morand** · 07/01/2006, 20h58

Envoyé par afrikha

Envoyé par pharaonix

mais tu ne pourras pas penser à toutes les possibilités

pourquoi

:

la question est: demontre moi que tu peux penser à tout pour un probleme unique.
maintenant, sachant N le nombre de problemes/fonctionnalités d'un programme, demontre moi, que tu peux penser à tout pour chacun de ses problèmes/fonctionnalités.

il n'y a qu'à voir le fonctionnement de l'équipe sécurité de microsoft. ils ont un petit outil avec toute la liste des failles à cehcker (la plupart sont des failles repetitives) et ils passent les uns derriere les autres sur le code. car l'un verra p-e quelque chose qu'un autre n'a pas vu.

c'est simple: as-tu déjà vu un programme dont l'auteur l'affirme sans failles? (j'en connais qui disent sans bugs connus mais sans failles, aucun)

**afrikha** · 07/01/2006, 23h06

Envoyé par pharaonix

la question est: demontre moi que tu peux penser à tout pour un probleme unique.

j'en suis incapable,en revanche je crois qu'il est aussi impossible de démontrer qu'on ne peut penser à tout pour un problème unique.

c'est simple: as-tu déjà vu un programme dont l'auteur l'affirme sans failles? (j'en connais qui disent sans bugs connus mais sans failles, aucun)

Sun assure qu'il est impossible qu'un virus se propage à travers une applet,et à ma connaissance ça ne s'est jamais produit.

**gangsoleil** · 09/01/2006, 10h02

Envoyé par afrikha

c'est simple: as-tu déjà vu un programme dont l'auteur l'affirme sans failles? (j'en connais qui disent sans bugs connus mais sans failles, aucun)

Sun assure qu'il est impossible qu'un virus se propage à travers une applet,et à ma connaissance ça ne s'est jamais produit.

Deux choses interviennent ici : qu'est-ce qu'un virus, et qu'est-ce qu'une applet (au sens de cette phrase).

En effet, peut être que la structure même des applets empèche la diffusion des virus, ce qui fait que quoi que tu fasses, il ne sera pas possible à un virus de se propager dans une applet.
En revanche, rien n'empèche que ceci soit faux pour un vers, auquel cas ton applet contient bien un trou de sécurité, tout en restant immunisé aux virus.

Pour ce qui est de la question première :

Est-il possible de créer un logiciel sans aucune faille de sécurité?

La réponse est oui. Mais plus le programme est gros, plus cela devient compliqué, et plus il est attaquable par différentes techinques.

Par exemple, diffficile de comparer un programme affichant "Hello World" à un OS complet qui doit gérer un très grand nombre de profils matériels.

**Celelibi** · 09/01/2006, 14h42

Envoyé par pharaonix

il n'y a qu'à voir le fonctionnement de l'équipe sécurité de microsoft. ils ont un petit outil avec toute la liste des failles à cehcker (la plupart sont des failles repetitives) et ils passent les uns derriere les autres sur le code. car l'un verra p-e quelque chose qu'un autre n'a pas vu.

Je me demande si ceci est très utile. Car pour pouvoir réellement prévoir si il est possible de faire faire au programme quelque chose qui n'est pas prévu, il faut avoir bien compris à quoi sert chaque morceau de code, pourquoi chaque ligne est comme ça et pas autrement. Et dès que le programme devient un peu gros ça devient presque impossible dans un temps raisonnable.

un autre peut dire que même 0+2=2

un autre peut dire que même 2+0=2

un autre peut dire que même 0+0+2=2

un autre peut dire que même 4-2=2

un autre peut dire que même -2+4=2

Et certains te diront 4294967295 + 3 = 2

Sun assure qu'il est impossible qu'un virus se propage à travers une applet,et à ma connaissance ça ne s'est jamais produit.

Oui il y a certaines choses qui sont impossibles. Si par exemple la machine virtuelle interdit aux applets l'accès au disque alors il sera impossible d'écrire sur le disque de manière conventionnelle à travers un applet java.
Mais personnellement je n'exclue pas l'existence d'une faille dans la machine virtuelle.
Et puis ce n'est pas parcequ'il n'y a encore eut aucun virus dans un applet java que ceci est impossible ; mais la probabilité que ça arrive est sûrement inferieur à 0.01%.

Même si l'informatique est à la base quelque chose de purement déterministe (i.e. en connaissant toutes les données d'un système à un moment donné, on peut calculer son évolution), un système complet est tellement complexe qu'il est parfois très difficile de prédire avec une prcision absolue comment il va évoluer.
Par exemple: un petit programme (un hello world), combien de fois va-t-il passer dans l'ordonnanceur ? Ceci dépend de beaucoup de choses, mais on peut dire que dans 90% des cas au moins il y passera entre 0 et 10 fois.

Donc il est impossible pour nous de tout prévoire, mais on pourra toujours dire "il y a peu de chance pour que cette partie du programme présente un bug".

**darklinux** · 11/01/2006, 14h20

c est possible ; attention c ' est un developpement très lourd . tu as des normes comme ISO/ITSEC 15478 ; plus connut sous le patronime Critères Communs .
Tu dois faire un cahier des charges très précis
tu dois crée des éléments les moins dépendants les un des autres
tu dois écrire le code le plus propre et le mieux documenté qui soit .
tu dois prévoir la maintenance de ton code de façon la plus simple qu il soit .
tu dois faire examiné et ton travail par des entreprises d ' audit agrée
etre enfin très patient

Ce n est pas impossible mais il faux etre extrement patient .

**mhooreman** · 11/01/2006, 16h32

Autant demander si la perfection est de ce monde... :twisted:

**darklinux** · 12/01/2006, 09h44

Nous parlons sécurité informatique ...pas d ' une rédaction d ' un scrip^t pour office .

**mhooreman** · 12/01/2006, 10h04

Envoyé par darklinux

c est possible ; attention c ' est un developpement très lourd . tu as des normes comme ISO/ITSEC 15478 ; plus connut sous le patronime Critères Communs .
Tu dois faire un cahier des charges très précis
tu dois crée des éléments les moins dépendants les un des autres
tu dois écrire le code le plus propre et le mieux documenté qui soit .
tu dois prévoir la maintenance de ton code de façon la plus simple qu il soit .
tu dois faire examiné et ton travail par des entreprises d ' audit agrée
etre enfin très patient

Ce n est pas impossible mais il faux etre extrement patient .

Pour les audits ..., va faire un tour du côté des standards PIC (Paiement Card Industry). C'est de la folie...

**darklinux** · 12/01/2006, 10h07

Envoyé par mhooreman

Envoyé par darklinux

c est possible ; attention c ' est un developpement très lourd . tu as des normes comme ISO/ITSEC 15478 ; plus connut sous le patronime Critères Communs .
Tu dois faire un cahier des charges très précis
tu dois crée des éléments les moins dépendants les un des autres
tu dois écrire le code le plus propre et le mieux documenté qui soit .
tu dois prévoir la maintenance de ton code de façon la plus simple qu il soit .
tu dois faire examiné et ton travail par des entreprises d ' audit agrée
etre enfin très patient

Ce n est pas impossible mais il faux etre extrement patient .

Pour les audits ..., va faire un tour du côté des standards PIC (Paiement Card Industry). C'est de la folie...

Attention , je n est jamais dit que les Critères Communs etait faciles....