Discussion :

[Hinault Romaric]

Les applications de Microsoft quatre fois moins vulnérables que les autres
Selon Secunia, les utilisateurs devraient plus s’inquiéter des applications tiers


La firme danoise de sécurité informatique et de suivi des vulnérabilités logicielles vient de publier son rapport annuel d’analyse des menaces sur l’année 2010.

De ce rapport et de la conférence de presse de présentation de celui-ci par Stefan Fei, directeur de Secunia, il ressort que les utilisateurs devraient moins s’inquiéter des vulnérabilités des produits Microsoft que celles des logiciels tiers.

Le rapport dévoile que le nombre de vulnérabilités découvertes a légèrement diminué au cours des deux dernières années. 84% des vulnérabilités découvertes en 2010 sont exploitables à distance et 64 % sont liées à des produits tiers qui n’ont pas un mécanisme de sécurité de qualité.

Le rapport révèle également que 55 % des utilisateurs ont plus de 66 programmes installés, programmes édités en moyenne par plus de 22 fournisseurs différents. Parmi les 50 logiciels les plus couramment installés, 26 ont été réalisés par Microsoft.

Selon le rapport, les applications développées par les autres entreprises seraient environ quatre fois plus vulnérables que celles développées par Microsoft.

D’après Frei cette différence vient du processus de mise à jour des applications de Microsoft qui est relativement simple pour les utilisateurs. Les autres entreprises utilisent des systèmes différents et seulement quelques-uns utilisent un mécanisme de mises à jour automatiques similaire à celui-ci de Microsoft.

L’absence d’un véritable processus de mises à jour fréquentes et adaptées aux habitudes des utilisateurs dans les entreprises créerait des véritables opportunités pour les pirates.

« Il y a un énorme décalage entre la période ou les vulnérabilités sont découvertes et exploitées par les pirates et celle ou les équipes de sécurité des entreprises mettent à la disposition des utilisateurs finaux des mises à jour appropriées » affirme Frei, « les petites entreprises ont moins de ressources à consacrer à la mise sur pied d’une fonction de mise à jour automatique de leurs produits ».

Le rapport montre que pour conserver leurs systèmes informatiques sécurisés, les utilisateurs doivent maitriser en moyenne 14 mécanismes différents de mise à jour des applications. La plupart des utilisateurs ne sont même pas informés de l'existence des mises à jour à leurs sorties. D'autres sont tout simplement dépassés par la complexité et la fréquence des mesures à prendre en rapport avec ces applications tiers pour protéger le système.

Secunia en conclue que l’exploitation des vulnérabilités des autres applications devrait beaucoup plus attirer les pirates que les vulnérabilités des technologies de Microsoft.

Un rapport qui va à l'encontre de bon nombre d'idées reçue.


Source : Le rapport Secunia (PDF)

Et vous ?

Que pensez-vous du processus de mise à jour des autres fournisseurs ?

Partagez-vous cette analyse de Secunia sur la meilleure sécurité des technologies de Microsoft ?


En collaboration avec Gordon Fowler

[manudwarf]

Que pensez-vous du processus de mise à jour des autres fournisseurs ?

La critique est facile, puisque MS ne permet pas aux éditeurs tiers de profiter de son système de mises à jour, lui.

Partagez-vous cette analyse de Secunia sur la meilleure sécurité des technologies de Microsoft ?

Ça me conforte dans l'idée qu'un système de mise à jour centralisé et ouvert offre une meilleure sécurité.

[Anomaly]

Prenez Ubuntu, mais c'est aussi le cas de la plupart des autres distributions Linux, et vous disposez d'un système capable de mettre à jour automatiquement l'ensemble du système, applications comprises, sans aucune action autre de la part de l'utilisateur que la confirmation de l'installation des mises à jour. Et la plupart du temps sans avoir à réaliser le moindre reboot.

[Neko]

Prenez Ubuntu, mais c'est aussi le cas de la plupart des autres distributions Linux, et vous disposez d'un système capable de mettre à jour automatiquement l'ensemble du système, applications comprises, sans aucune action autre de la part de l'utilisateur que la confirmation de l'installation des mises à jour. Et la plupart du temps sans avoir à réaliser le moindre reboot.

Et qu'est-ce qui empêche tout ces éditeurs tiers de se regrouper pour faire un système de mise à jour commun sous Windows, justement comme sous Ubuntu et autre distributions Linux ?

[Sunsawe]

Et qu'est-ce qui empêche tout ces éditeurs tiers de se regrouper pour faire un système de mise à jour commun sous Windows, justement comme sous Ubuntu et autre distributions Linux ?

Tu trouves plus logique de fédérer des milliers d'éditeurs pour faire un système de mise à jour commun, plutot que d'avoir un outil fournit par le point commun à tous, à savoir, le système d'exploitation...?

[Neko]

Tu trouves plus logique de fédérer des milliers d'éditeurs pour faire un système de mise à jour commun, plutot que d'avoir un outil fournit par le point commun à tous, à savoir, le système d'exploitation...?

Tu réussi bien à fédérer ces éditeurs pour tous les autres standards, pourquoi ne pas en créer un pour ça ?

[Anomaly]

Je suis d'accord avec Sunsawe, le mécanisme de mise à jour du système et des applications devrait être idéalement intégré au système d'exploitation.

Linux y arrive bien (certes c'est facilité par le fait que la majorité des applications sont fournies par l'OS lui-même, mais même les applications externes comme par exemple Opera savent s'installer dans les mises à jour du système pour être mises à jour par le système).

Actuellement, sous Windows, c'est chacun pour soi. Certaines sociétés fournissent leur propre logiciel de mise à jour spécifique (Microsoft, Apple, Adobe, HP, Java, ...), ce qui prend de la RAM, de l'espace, et une interface différente pour chaque. D'autres incluent le mécanisme dans l'application elle-même au lancement (Firefox, Chrome, Notepad++, ...). Et enfin certaines n'offrent tout simplement aucun moyen de mise à jour automatique.

Bref, sous Windows y'a sacrément du retard par rapport à Linux sur ce point.

[huit_six]

+1

[boris2587]

C'est justement à Microsoft de mettre sa plateforme de mise à jour à la disposition des autres éditeurs de logiciels de Windows

[Djef-69]

bonjour,

Centraliser la distribution des maj de logiciel tiers par le biais de microsoft. j'abonde dans ce sens.
Faut se mettre à la place de l'utilisateur lambda pour qui un ordinateur se limite à son côté fonctionnel. il en a cure d'avoir un système configuré aux petits oignons, tout ce qu'il veut c'est que ça marche! pour la majorité l'installation des maj est plus une contrainte qu'autre chose! Sur ce point les distrib Linux ont un avantage indéniable mais on est dans le monde merveilleux de l'open-source.

Par contre cela soulève d'autre questions cette centralisation. On était, jsqu'ici, dans un système ou chaque éditeur avait toute liberté (et responsabilité!) de gestion de ses correctifs, monté de version et distribution. Intégrer un acteur supplémentaire dans ce système rajoute des contraintes supplémentaires que certains ne sont peut-être pas prêt à suivre, le frein ne vient peut-être pas de cro$oft.

Mais là ou ça devient plus délicat c'est que la mouvance actuelle tend à l'intégration d'une plateforme de distribution complète, appstore&Cie. Ubuntu fait même une avancée dans ce domaine et j'ai un peu peur de passer d'un système souple, mais bordélique, à un système rigide et dictatorial ou on sera dépendant de son système... ou nous, pauvre petit développeur, on sera contraint de suivre les standards d'un système pour construire nos applications, contraint d'intégrer des boutons au "look" du système afin de passer d'éventuel processus de validation, contraint d'utiliser x certificats pour pouvoir développer, installer sur des plateformes de test, distribuer, contraint de devoir payer une licence "développeur" afin de pouvoir accéder au suprême privilège de créer des applications pour telle plateforme... j'en ai des sueurs froides... sombre avenir vous ne trouvez pas

[manudwarf]

bonjour,

Centraliser la distribution des maj de logiciel tiers par le biais de microsoft. j'abonde dans ce sens.
Faut se mettre à la place de l'utilisateur lambda pour qui un ordinateur se limite à son côté fonctionnel. il en a cure d'avoir un système configuré aux petits oignons, tout ce qu'il veut c'est que ça marche! pour la majorité l'installation des maj est plus une contrainte qu'autre chose! Sur ce point les distrib Linux ont un avantage indéniable mais on est dans le monde merveilleux de l'open-source.

Par contre cela soulève d'autre questions cette centralisation. On était, jsqu'ici, dans un système ou chaque éditeur avait toute liberté (et responsabilité!) de gestion de ses correctifs, monté de version et distribution. Intégrer un acteur supplémentaire dans ce système rajoute des contraintes supplémentaires que certains ne sont peut-être pas prêt à suivre, le frein ne vient peut-être pas de cro$oft.

Mais là ou ça devient plus délicat c'est que la mouvance actuelle tend à l'intégration d'une plateforme de distribution complète, appstore&Cie. Ubuntu fait même une avancée dans ce domaine et j'ai un peu peur de passer d'un système souple, mais bordélique, à un système rigide et dictatorial ou on sera dépendant de son système... ou nous, pauvre petit développeur, on sera contraint de suivre les standards d'un système pour construire nos applications, contraint d'intégrer des boutons au "look" du système afin de passer d'éventuel processus de validation, contraint d'utiliser x certificats pour pouvoir développer, installer sur des plateformes de test, distribuer, contraint de devoir payer une licence "développeur" afin de pouvoir accéder au suprême privilège de créer des applications pour telle plateforme... j'en ai des sueurs froides... sombre avenir vous ne trouvez pas

Tu confonds l'AppStore d'iOS et APT je pense

Sur Ubuntu ça reste un système décentralisé où tu peux ajouter des dépôts tiers à volonté au processus de mise à jour, le tout sans validation ou autre restriction ! Le logiciel d'Ubuntu t'indique même les dépôts supplémentaires à gauche.

Ce qui me fait rire, c'est qu'avant iOS, tout le monde critiquait le modèle des dépôts, mais maintenant que le système s'est démocratisé c'est devenu un must-have. Techniquement, il n'a pas changé d'un iota, hein

[Elepole]

Ce qui me fait rire, c'est qu'avant iOS, tout le monde critiquait le modèle des dépôts, mais maintenant que le système s'est démocratisé c'est devenu un must-have. Techniquement, il n'a pas changé d'un iota, hein

Je me marre bien aussi

Mais a vrai dire, moi ce que je verrait bien c'est un système a la portage (le coté compilation en moins sur Windows biens sur)

Avec portage, pas de dépôt a rajouté, tout est listé, ensuite portage va juste chercher les source (ou le binaire dans certain cas) directement sur le site du logiciel. Je croix que pas loin de 90% des logiciel disponible sous Linux le sont a travers portage. (en fait, pour l'instant, les seul que j'ai pas trouve d'origine dans portage sont, les bêta (Firefox 4) et certain logiciel professionnel considéré comme instable (dans mon cas de la MAO) )

Un système similaire serait vraiment bien sous Windows.

[Rayek]

C'est marrant mais on retrouve toujours les mêmes phrases.
Et pour le dépôt centralisé d'application sous windows ca existe déjà et ca s'appelle LiberKey, qui mets à jour les logiciels de la suite et ce ne sont que des logiciels gratuits.

[dams78]

bonjour,

Centraliser la distribution des maj de logiciel tiers par le biais de microsoft. j'abonde dans ce sens.
Faut se mettre à la place de l'utilisateur lambda pour qui un ordinateur se limite à son côté fonctionnel. il en a cure d'avoir un système configuré aux petits oignons, tout ce qu'il veut c'est que ça marche! pour la majorité l'installation des maj est plus une contrainte qu'autre chose! Sur ce point les distrib Linux ont un avantage indéniable mais on est dans le monde merveilleux de l'open-source.

Par contre cela soulève d'autre questions cette centralisation. On était, jsqu'ici, dans un système ou chaque éditeur avait toute liberté (et responsabilité!) de gestion de ses correctifs, monté de version et distribution. Intégrer un acteur supplémentaire dans ce système rajoute des contraintes supplémentaires que certains ne sont peut-être pas prêt à suivre, le frein ne vient peut-être pas de cro$oft.

Comme le disais manudwarf sous apt tu as une liste de dépôts, du coup tu peux très bien imaginer que chaque éditeur aura son propre dépôt ce qui lui permettra de gérer lui même ses mise à jours, c'est ce que fait VirtualBox par exemple.

[Elepole]

C'est marrant mais on retrouve toujours les mêmes phrases.
Et pour le dépôt centralisé d'application sous windows ca existe déjà et ca s'appelle LiberKey, qui mets à jour les logiciels de la suite et ce ne sont que des logiciels gratuits.

Oui mais non, ça n'utilise pas les répertoire d'installation standard de Windows (moi je veux tout dans Program Files, et nul par ailleurs), Sa ne comprend pas tout les logiciel dont j'ai besoin, sa s'applique qu'au logiciel gratuit (et les payant on fait comment ?).

J'avais vue un logiciel bien meilleur que sa, qui au moins installait dans les répertoire standard de Windows, malheureusement, lorsqu'on passait par lui pour installer certain logiciel livre avec des barre d'outil ou autre il offrait pas d'option pour les désactivé.