2 pièce(s) jointe(s)
Notepad++ 7.6.4 est disponible sans le certificat de signature de code surévalué
Notepad++ 7.6.4 est disponible sans le certificat de signature de code surévalué
Mais toujours sécurisé
Le développeur de Notepad++ a annoncé le mercredi dernier la disponibilité immédiate de la version 7.6.4 à plus d’un mois de la sortie de la version précédente. La toute dernière version du très populaire éditeur de texte générique à code source Open Source, fonctionnant sous Windows et intégrant la coloration syntaxique de code source pour divers langages, bénéficie de la correction de quelques problèmes de vulnérabilité et bogues grâce à l'aide de l'équipe HackerOne, a écrit le développeur.
La version précédente a également bénéficié du programme d'audit de logiciels libres et open source de la Commission européenne, le projet EU-FOSSA (EU-Free and Open Source Software Auditing : Programme de prime au bogue), qui a permis d’identifier et d’améliorer certains problèmes de sécurité.
Cependant, le développeur de Notepad++, Don Ho, a annoncé que le programme supprimera la signature de code à partir de cette nouvelle version 7.6.4. En effet, le dernier certificat qu’utilisait le projet et qui lui avait été offert il y a 3 ans par DigiCert, une autorité de certification privée américaine, a expiré depuis le début de cette année.
Le temps perdu à essayer d'obtenir un nouveau certificat de signature et le prix déraisonnable d'un tel produit étaient les deux principales causes évoquées par Don Ho qui ont conduit à la décision d'abandonner la signature de code de la version Notepad+++ 7.6.4 et des versions ultérieures.
Dans la note de version, le développeur a exprimé sa décision en ces propres termes :
« J'essayais d'acheter un autre certificat à un prix raisonnable. Cependant, je ne peux pas utiliser « Notepad+++ » comme CN pour signer parce que Notepad++ n'existe pas en tant que société ou organisation. J'ai perdu des heures et des heures pour obtenir un certificat approprié au lieu de travailler sur des choses essentielles – projet Notepad++. Je me rends compte que le certificat de signature de code n'est qu'un jouet masturbateur surévalué des auteurs de FOSS – Notepad++ se passe de certificat depuis plus de 10 ans, je ne vois pas pourquoi je devrais ajouter la dépendance maintenant (et être un complice de cette industrie surévaluée). Je décide de m'en passer. », a écrit Don Ho sur le site officiel du projet.
En effet, la signature de code est la signature numérique de fichiers exécutables et de scripts pour confirmer l'identité de l'auteur du code et garantir que le code n'a pas été modifié ou corrompu depuis qu'il a été signé. Les développeurs de logiciels utilisent ces certificats pour signer numériquement les logiciels qu'ils créent (applications, pilotes, etc.) afin de permettre à leurs utilisateurs de vérifier que le binaire ou le code qu'ils exécutent ou téléchargent n'a pas été modifié ou compromis par un tiers. Ces certificats comprennent des informations sur le développeur du logiciel signé, y compris une signature, le nom de la société et un horodatage.
De plus, les certificats de signature de code sont vérifiés par Windows lorsque le logiciel est lancé et, lorsqu'il n'est pas présent, le système d'exploitation affiche un avertissement de contrôle de compte d'utilisateur (UAC) pendant l'installation ou au démarrage du programme. Toutefois, selon le développeur, l’absence du certificat de signature de code ne signifie pas qu'il n'y aura plus de sécurité dans Notepad++ 7.6.4 et dans les versions à venir.
« Le hachage SHA256 de l'installateur et d'autres paquets seront fournis pour chaque version comme d'habitude. », a écrit Don Ho dans la note de Version. « Notepad+++ vérifiera le SHA256 de tous les composants (SciLexer.dll, GUP.exe et nppPluginList.dll) utilisés par le programme. », a-t-il ajouté.
La note de version dit également que le langage de balisage Markdown est parfaitement intégré à Notepad++ 7.6.4. « Markdown est censé fonctionner dans la version 7.6.3, mais le fichier nécessaire n'est pas déployé correctement par l'installateur. Le bogue est corrigé dans cette version. De plus, Markdown est disponible dans chaque paquet de cette version. », est-il écrit dans la note de version de Notepad++ 7.6.4.
Si vous voulez essayer la nouvelle version de Notepad++, téléchargez-la ici.
Source : Site Officiel
Et vous ?
:fleche: Qu’en pensez vous ?
:fleche: Que risque NotePad++ 7.6.4 est se passant du certificat de signature de code ?
:fleche: Avez-vous déjà utilisé Notepad++ ? Que pensez-vous de l’éditeur open source ?
Lire aussi
:fleche: Notepad ++ : la version 7.6.2 de l'éditeur open source pour Windows est disponible, avec l'estampille « édition gilets jaunes »
:fleche: Notepad++ : la mise à jour 7.3.3 corrige la faille exploitée par la CIA, mais est-elle suffisante pour assurer la sécurité des utilisateurs ?
:fleche: Quelles sont les entreprises qui contribuent le plus aux projets open source ? Microsoft positionné en tête sur GitHub
:fleche: Un logiciel libre doit-il être en mesure de restreindre les tâches que ses utilisateurs peuvent effectuer avec son aide ? Non, pour Richard Stallman
:fleche: La France sacrée championne d'Europe du logiciel libre et de l'open source, devant l'Allemagne et le Royaume-Uni
1 pièce(s) jointe(s)
La version 7.6.6 de Notepad++ est disponible
La version 7.6.6 de Notepad++ est disponible
elle ajoute la signature GPG pour la vérification de l'authenticité et de l'intégrité des paquetages
Don Ho, le créateur de Notepad++ a annoncé cette semaine la disponibilité générale de la version 7.6.6 de l’éditeur de texte qui est publiée avec les signatures GPG (GNU Privacy Guard). Il a indiqué que les signatures GPG étaient présentes depuis la version 7.6.5 de Notepad ++. Ainsi, les paquetages distributifs sont signés avec une signature numérique en utilisant GnuPG, ce qui permet aux utilisateurs de valider de manière fiable l'authenticité et l'intégrité des packages Notepad ++. Comme présenté par son site Web officiel, GnuPG est une implémentation complète et gratuite de la norme OpenPGP telle que définie par la RFC4880 (également appelée PGP ). GnuPG vous permet de chiffrer et de signer vos données et vos communications. Il comporte un système de gestion de clés polyvalent, ainsi que des modules d'accès pour tous les types de répertoires de clés publiques.
GnuPG, également connu sous le nom de GPG , est un outil de ligne de commande doté de fonctionnalités facilitant l'intégration à d'autres applications. Une multitude d'applications à interface graphique et de bibliothèques sont disponibles. GnuPG prend également en charge S/MIME et Secure Shell (ssh). Depuis son apparition en 1997, GnuPG reste un outil multifonction, libre et gratuit, qui permet de signer et de chiffrer à peu près tout ce qui se présente sous forme numérique. Ainsi, pour pouvoir vérifier l’intégrité des packages téléchargés, les utilisateurs de Windows ont le choix parmi plusieurs logiciels. Si vous utilisez Windows, vous pouvez utiliser l’outil GPG natif en ligne de commande, l’outil d’interface graphique Gpg4Win basé sur GnuPG ou vous avez également la possibilité d’utiliser PGP Desktop qui est un outil de l’éditeur Symantec. Dans le même temps, les utilisateurs des distributions Linux possèdent GnuPG par défaut, mais dans le cas contraire, ils pourront le télécharger via le gestionnaire de paquets de la distribution concernée.
Pour procéder à la vérification de l’intégrité ou l’authenticité d’une signature, vous devez dans un premier temps vous rendre sur la page de téléchargement de l’éditeur pour vous procurer une copie de la clé publique de publication et ensuite l’importer avec votre outil GPG. Lorsque vous utilisez l’outil Gpg4Win, vous pouvez également rechercher une clé sur le serveur de clés via Kleopatra. L'outil PGP Desktop a également cette fonction. Après vous êtes assurés que la clé téléchargée correspond à la clé téléchargée à partir du serveur de clés, vous pouvez l'importer dans votre magasin de clés. Double-cliquez sur le fichier avec la clé de validation, validez ses caractéristiques et assurez-vous qu'elles sont toutes identiques à celles fournies. Ensuite, signez la clé de libération avec votre clé privée et définissez le niveau de confiance que vous aimez.
Après cela, vous devez télécharger le fichier de signature approprié aux packages que vous avez obtenus. Chaque type de téléchargement (installateur, zip, etc.) aura sa propre signature GPG qui sera utilisée pour valider le fichier. Le lien vers le fichier de signature (.sig) se trouve à proximité du lien de téléchargement du package. Après le téléchargement, assurez-vous que les deux fichiers (package et fichier .sig) se trouvent au même endroit. Ensuite, double-cliquez sur la signature pour lancer le processus de validation. Le résultat devrait indiquer que le fichier a été signé par un nom donné. En remarque, lorsque vous utilisez Kleopatra, assurez-vous que l'étiquette a un fond vert. S'il est en rouge, le package est falsifié ou cassé et doit être supprimé immédiatement. (image de Gpg4Win). Dans le cas de PGP Desktop, assurez-vous que le résultat est coché en vert. Sinon, débarrassez-vous du paquet.
Mis à part les signatures GPG, Don Ho a indiqué que la version 7.6.6 de Notepad ++ corrige un problème lié à la détection automatique du langage de codage dans les fichiers. Elle apporte également des correctifs à d’autres bugs précédemment signalés. Enfin, il demande aux utilisateurs de bien vouloir contacter l’équipe de Notepad++ en cas de signature non valide ou tout autre problème. « En cas de signature non valide, ne paniquez pas, mais contactez-nous immédiatement, car il est possible que le fichier malveillant ait été placé sur notre serveur. Votre réponse pourrait nous aider à étudier le problème et à prendre les mesures appropriées », a mis en garde Don Ho.
:fleche: Téléchargez Notepad ++ 7.6.6 ici
Source : Notepad ++
Et vous ?
:fleche: Que pensez-vous de cette nouvelle version de Notepad++ ?
Voir aussi
:fleche: Notepad++ 7.6.4 est disponible sans le certificat de signature de code surévalué, mais toujours sécurisé
:fleche: Notepad++ : la mise à jour 7.3.3 corrige la faille exploitée par la CIA mais est-elle suffisante pour assurer la sécurité des utilisateurs ?
:fleche: Notepad++ : guide pratique
