La suppression des droits admin aurait pu réduire l'impact de 97 % des vulnérabilités critiques

Version imprimable

Voir 40 message(s) de cette discussion en une page

05/04/2015, 22h19
Matthieu Vergne

Ça me rappelle les discussions sur l'expertise. Le fait est que c'est bien joli de dire il faut ceci ou il faut cela, mais la pratique n'est pas un doux rêve où il existe des règles de bonnes pratiques pour éviter de se faire avoir. C'est l'inverse : il y a une manière naturelle de faire et ceux qui veulent en profiter font des coups bas. Quand on sait que telle manière de faire est à risque, on en invente une autre, l'idée se propage, à force d'en parler ça fini par faire partie des bonnes pratiques et des habitudes, y compris chez les esprits mal placés qui s'en inspirent pour mettre en place un nouveau type de coup bas qui s'appuie dessus.

La sécurité, c'est un jeu de stratégie : tu gagnes si ta stratégie considère un coup d'avance sur ton adversaire. Et ça n'a rien de trivial comme une liste de règles de bonnes pratiques à appliquer.
09/04/2015, 17h08
Chuck_Norris

Citation:

Envoyé par sazearte

Si le logiciel et connu et a bonne réputation, (le cas de filezilla), je considère ce logiciel comme "sain".

Ah, dans ce cas tu devrais savoir que le téléchargement recommandé de Filezilla (via Sourceforge) incluait jusqu'à il y a peu un virus en cadeau bonus : http://www.developpez.com/actu/82986...-des-plaintes/
12/04/2015, 22h29
Citrax

On devrait laisser a ms tous nos droits d'admin, alors , puisqu'ils sont si balaize a denoncer les incompetences de l'utilisateur !?

PAr contre leur incompetences et failles a repetitions, elles provoquent quoi deja ???
14/04/2015, 13h36
Saverok

Citation:

Envoyé par Citrax

On devrait laisser a ms tous nos droits d'admin, alors , puisqu'ils sont si balaize a denoncer les incompetences de l'utilisateur !?

A ton avis, qui est plus apte pour recenser toutes les mauvaises pratiques / utilisations d'un logiciel / OS que l'éditeur de la dudit solution ?
14/04/2015, 18h51
Matthieu Vergne

Citation:

Envoyé par Saverok

A ton avis, qui est plus apte pour recenser toutes les mauvaises pratiques / utilisations d'un logiciel / OS que l'éditeur de la dudit solution ?

Il parle de droits d'administration, pas de bonnes pratiques. Les bonnes pratiques, c'est de l'ordre du "évitez de supprimer définitivement de manière systématique". Les droits d'admin, c'est de l'ordre du "ce fichier là, je veux plus le voir, même pas dans la corbeille". Encore heureux que MS n'a pas les droits d'admins sur les machines de ses clients.
15/04/2015, 14h09
Excellion

C'est avant tout un problème de culture d'entreprise.

Combien de fois j'ai eu à faire à "Je suis responsable (directeur-trice...), je dois avoir accès à tout...(ou en tout cas plus que les subordonnés)" (version gentille, qui peut se transformer en convocation, avec lettre recommandée, puis licenciement en cas d'objections réitérées).
Arrivé à un certain niveau, on a tendance à confondre accès informatiques et prérogatives dans l'entreprise.
Plus on a de droits, plus on est important dans l'entreprise.
Oubliant par la même occasion qu'au moindre problème celui-ci se trouve démultiplié par les droits d'accès.

Donner les bons droits à la bonne personne n'existe pas dans les entreprises (françaises).
Des fois, on marque même un air surpris, quand on apprend que vous avez plus de droits que le PDG.
Vous êtes en sous-ordre avec une dénomination de poste miteuse.
Impossible que vous soyez aussi important !

Par ailleurs, il existe des logiciels, quasi-artisanaux, qui nécessitent clairement des droits d'administration élevés pour fonctionner.
Soit on met l'utilisateur admin de sa machine, soit il se passe de ses logiciels pour travailler.
Ce qui peut poser un sérieux cas de conscience, des heures de négociations, et de sérieuses migraines en perspectives pour ouvrir les droits adéquats.
Et bien sûr ce logiciel est le logiciel fétiche de la personne qui en a A-BSO-LU-MENT besoin pour travailler (et les concurrents sont évidemment tous moins bien).

En clair, ce qui est dit est sûrement vrai, mais de là à l'appliquer en entreprise, il existe une marge infranchissable...
15/04/2015, 14h35
Saverok

Citation:

Envoyé par Matthieu Vergne

Il parle de droits d'administration, pas de bonnes pratiques. Les bonnes pratiques, c'est de l'ordre du "évitez de supprimer définitivement de manière systématique". Les droits d'admin, c'est de l'ordre du "ce fichier là, je veux plus le voir, même pas dans la corbeille". Encore heureux que MS n'a pas les droits d'admins sur les machines de ses clients.

La gestion des droits utilisateurs est une fonctionnalité centrale de l'OS et Microsoft est parfaitement légitime pour conseiller sur la bonne utilisation des fonctionnalités de ses solutions

Je dirai même que Microsoft a le devoir de le faire
15/04/2015, 18h28
Matthieu Vergne

Citation:

Envoyé par Saverok

La gestion des droits utilisateurs est une fonctionnalité centrale de l'OS et Microsoft est parfaitement légitime pour conseiller sur la bonne utilisation des fonctionnalités de ses solutions

Je dirai même que Microsoft a le devoir de le faire

Mais avoir un rôle de conseiller n'est pas avoir un rôle d'administrateur, or c'est précisément de cela qu'il parle :

Citation:

Envoyé par Citrax

On devrait laisser a ms tous nos droits d'admin, alors , puisqu'ils sont si balaize a denoncer les incompetences de l'utilisateur !?

Il ne parle pas de "demander à ms comment gérer nos droits d'admin", ce qui est bien entendu conseillé, tout comme il est conseillé de lire le manuel d'un appareil avant de l'utiliser. Il parle de les lui déléguer. Ou sinon c'est que je ne connais plus mon français.
13/05/2015, 11h35
ec

Tout seul dans mon activité je travaille toujours depuis des années sur un compte sans droit admin

Je suis indépendant et cela fait belle lurette que je travaille systématiquement dans un compte standard. Quand j'ai besoin de faire une opération qui exige le droit d'admin, soit je tape le mot de passe demandé, soit j'ouvre l'utilisateur admin. C'est une sécurité que j'ai adoptée et je m'en porte très bien.

Il serait beaucoup plus sûr pour les entreprises dont les utilisateurs sont en admin de les mettre tous en utilisateur standard et de leur donner le mot de passe admin de leur poste. En plus il réfléchiraient un peu plus avant de saisir le mot de passe admin plutôt que de cliquer si facilement sur OK à la moindre demande d'autorisation.
13/05/2015, 13h52
patads

Citation:

Envoyé par ec

Je suis indépendant et cela fait belle lurette que je travaille systématiquement dans un compte standard. Quand j'ai besoin de faire une opération qui exige le droit d'admin, soit je tape le mot de passe demandé, soit j'ouvre l'utilisateur admin. C'est une sécurité que j'ai adoptée et je m'en porte très bien.

Il serait beaucoup plus sûr pour les entreprises dont les utilisateurs sont en admin de les mettre tous en utilisateur standard et de leur donner le mot de passe admin de leur poste. En plus il réfléchiraient un peu plus avant de saisir le mot de passe admin plutôt que de cliquer si facilement sur OK à la moindre demande d'autorisation.

Bonjour,

Je suis d'accord avec ta méthode (standard+admin si besoin), seulement, de leur demander de rajouter un mot de passe ne constituera pour l'utilisateur lambda qu'une autre étape supplémentaire/chiante qu'ils s'empresseront d'outrepasser.

Je conseille vivement aux gens d'utiliser un compte utilisateur standard, et de ne rentrer un mot de passe que lorsqu'ils ont choisis d'installer un logiciel par ex. , de ne pas croire les sites qui leur apprend que leur pc est infectés, et de ne pas ouvrir les mails de personnes inconnus -entre autres-. Après, je n'hésite pas non plus à leur faire peur (vraiment) des risques s'ils ne respectent pas "le code"

A mon sens, la solution passera -en grande partie- par l'éducation de l'utilisateur

Voir 40 message(s) de cette discussion en une page