Aller au contenu

ce vieux troll...


sky99

Messages recommandés

bonjour a tous.

Je voudrais avoir votre avis sur ce vieux troll qui traine depuis quelques etudes gartner selon lequel linux aurait beaucoup plus de failles que windows et qu'il serait donc moins "secure"...

je n'ai pas posté ailleurs justement pour ne pas que ça reparte en troll

(les HaX0r 3l33t [c'est ironique bien sur! pour ceux qui ne comprennent pas de quoi je parle allez la : http://membres.lycos.fr/azerty0/ c'est a mourir de rire] ne trainant pas dans le forum linux en général)

donc pensez vous que ce truc soit un minimum fondé?

pensez vous que cette comparaison ait un sens?

pensez vous qu'il s'agisse la d'un complot conspirationiste de mircosoft :keskidit: (je déconne, mais quand on voit que c'st microsoft qui a payé les avocats de SCO pour les conneries recentes que cette boite a entreprises, y'a de quoi douter :keskidit: )

meme chose pour la stabilité, meme si de ce coté c'est encore plus difficle à croire...

Lien vers le commentaire
Partager sur d’autres sites

C'est complètement ridicule, parce qu'on compare pas des chose comparables.

D'un côté on a un windows qui s'installe avec un certain nombre de services par défaut, un certain nombre de programmes, un démineur, etc... ;-)

De l'autre, on a plusieurs distributions linux, dont la sécurité par défaut est différente. Ensuite si on prend une redhat par exemple, est-ce qu'on installe tout ? est-ce qu'on installe par défaut ? oui mais dans ce cas là, en mode serveur ou poste de travail ? Est-ce qu'on compare uniquement la sécurité du noyau linux, ou est-ce qu'on ajoute les services classiques (Web, ftp, DNS (!!), sendmail (!!), samba, et j'en passe et des meilleurs....)

Bref, faut pas mélanger les poireaux et les navettes spatiales. Toute étude qui prend pas un maximum de précautions (genre dire "linux a plus de trous que windows !!!" sans rien préciser) ne vaut absolument rien.

Il parait que dans pas très longtemps MS va faire une expo ou ils vont montrer en public les failles de linux (ils ont embauché des experts pour ça). Et pour démontrer que les bugs moyennement graves ne sont pas réparés plus vite dans le monde de l'open-source que dans le monde propriétaire (lire : chez microsoft). Je crois qu'il est bon de rappeler ça : http://continue.to/trie (c'est con la liste originelle a été fermée à la demande de MS.....)

Mais ce qui me ferait vraiment le plus marrer, c'est qu'ils trouvent vraiment des failles (ils ont embauché des experts et ils ont la source, quand même), et qu'il en parlent au public. Et que le lendemain, ils reçoivent un mail comme ça :

"Bug fixed. Thanks for contributing. You can find the updated version here : http://kernel.org"

:byebye::eeek2::roll::mdr:

A+

Gauret

Lien vers le commentaire
Partager sur d’autres sites

Le problème de savoir s'il y a plus de Bug chez l'un que chez l'autres n'est pas vraiment le problème car on ne le saura jamais .... il faut comparer ce qui est comparable

d'un coté Windows avec une install par defaut et des milliards d'utilisateurs et de l'autres Linux qui laisse le choix de la customization de l'install et des millions d'utilisateurs ...

Un principe est que plus un logiciel est diffusé et utilisé plus les failles de sécurité et autres bug sont trouvé et exploiter. Aujourd'hui un pirate qui veut faire une attaque va porter sont attention en priorité sur les machines Windows pas parce qu'elle sont bourré de trous de sécurité ( enfin si quand même :byebye: ) mais parce qu'il a plus de chance d'en trouvé une non sécurisé. Si demain la proportion de platforme linux dépasse celui des machines Windows les gens porteront leur attention sur les machines linux et là je suis plus que sur que les liste de bug et autres trous de sécu vont s'alonger....

De plus aujourd'hui linux commence à se démocratisé à se démystifié et beaucoup de néophite arrive avec l'envie d'utiliser le pinguoin avec comme idée de retrouver une platforme à la windows donc exit les lignes de commande shell et autres et bonjour l'interface graphique ou tout est fait d'avance donc install par défaut script un peu foireux dont la provenance est douteuse et ainsi de suite ... donc des machines moins sécurisées une multitude de programme à but commerciaux sorti à la va vite avec du code non relu et bourreau de faute bonjour les patchs à tout va qu'on ne vérifie pas....

La révolution linux est en marche j'espère qu'ils vont pas tout casser sur l'hotel de la convivialité et du profit

Lien vers le commentaire
Partager sur d’autres sites

La révolution linux est en marche j'espère qu'ils vont pas tout casser sur l'hotel de la convivialité et du profit

??? On parle toujours de linux, là ? La plupart des applis sont faites par des organismes à but non lucratif...

KDE n'est pas là pour faire de l'argent

GNOME n'est pas là pour faire de l'argent

Apache n'est pas là pour faire de l'argent

....

Linux n'est pas là pour faire de l'argent.

Et si tu as peur que Mandrake, Redhat, et les autres distributions commerciales tombent dans les travers que tu signales, tu as toujours debian, fedora, gentoo......

Bref, on est pas en train de refaire les même erreurs, non, t'inquiètes. (on en fait d'autres à la place :-) )

A+

Gauret

Lien vers le commentaire
Partager sur d’autres sites

Un principe est que plus un logiciel est diffusé et utilisé plus les failles de sécurité et autres bug sont trouvé et exploiter. Aujourd'hui un pirate qui veut faire une attaque va porter sont attention en priorité sur les machines Windows pas parce qu'elle sont bourré de trous de sécurité ( enfin si quand même :D ) mais parce qu'il a plus de chance d'en trouvé une non sécurisé. Si demain la proportion de platforme linux dépasse celui des machines Windows les gens porteront leur attention sur les machines linux et là je suis plus que sur que les liste de bug et autres trous de sécu vont s'alonger....

un argment absolument irrecevable....

La base d'un systeme unix/linux est 100X mieux faite que celle d'un systeme

mircosoft(j'en veux pour preuve le fait que par exemple, un utilisateur

puisse prendre le controle d'une machine parceque son propriétaire

utilise MP9 et DX9 [c'est arrivé il y a peu de temps!, vous vous

souvenez surement de cette faille critique...] alors que quelle que soit la

version de linux,ce genre de choses n'a jamais pu se faire et n'arrivera probablement jamais)

l'argument de l'utilisation de masse ne tient vraiement pas: la cause de cette solidité

est simplement la qualité du systeme... d'ailleurs il suffit de regarder le temps pris pour

sortir une nouvelle version du kernell (le 2.6 est en test depuis combien de temps?)

de meme, la plupart des paquetages installables ne peuvent pas acceder a la machine

en root avec des droits d'acces illimités (comme peut par exemple le faire IE, pourquoi un

browser web aurait il besoin de tels droits? on se rapelle d'une faille critique qui permettait

a un webmaster mal intentionné de faire juste un lien malformé qui entrainait jusqu'au formatage

d'une partition...)

ensuite, inversons les proportions d'utilisateurs.

linux 100X plus utilisé que Win. donc le nombre de personnes qui vont chercher des failles est

potentiellement 100X plus important. mais le nombre de personnes qui vont coriger ces failles

et mettre un patch est aussi 100X plus important...

donc en addmettant qu'on trouve plus de failles en inversant les proportions(je reste pesuadé qu'on trouvera quand meme moins de failles critiques que sous win dans une meme periode, mais addmettons)

les failles decouvertes 100X plus vite seront corrigées egalement 100X plus vite(enfiin plus de failles corigées sur la meme periode) donc le systeme avancerait beaucoup plus vite, et il deviendrait de plus en plus difficile de trouver une faille qui ait un moindre interet...(en gros qui puisse permettre de faire autrechose que de voir quelques petites inofrmations)

Windows 98 a été autant utilisé que windows XP, non?

e maintenant, les proportions ont deu s'inverser.

pourtant windows XP est plus sécurisé que windows 98!

si on suit ton raisonnement le plus utilisé devrait etre celui sur lequel on trouve le plus de trous...

Lien vers le commentaire
Partager sur d’autres sites

(j'en veux pour preuve le fait que par exemple, un utilisateur

puisse prendre le controle d'une machine parceque son propriétaire

utilise MP9 et DX9 [c'est arrivé il y a peu de temps!, vous vous

souvenez surement de cette faille critique...] alors que quelle que soit la

version de linux,ce genre de choses n'a jamais pu se faire et n'arrivera probablement jamais)

C'est malheureusement arrivé, en février de cette année. C'était la faille "ptrace". Avec un programme fait exprès, tu pouvais devenir root sur la machine non patchée. (j'ai essayé, c'est assez impressionnant.)

Personne n'est à l'abri d'une faille critique comme celle-là. Mais ce qu'il faut retenir, c'est la vitesse à laquelle elle a été corrigée. Et même avant l'apparution de packages correctifs, les distributions indiquaient la ligne de commande à taper pour désactiver la faille (qui est une solution pas propre, mais une bonne solution temporaire). De mémoire c'était un "echo 0 > /proc/modules" ou quelquechose du genre.

Les failles critiques, ça arrive à tout le monde. Par contre, le système de sécurité de Linux est quand même énormément mieux conçu que celui de Windows. C'est normal d'ailleurs, parce que Linux et fondé sur les principes d'Unix, qui a été pensé comme multi-utilisateurs, avec un admin (ou un groupe d'admins -- voir le groupe wheel). Windows a été pensé comme ordinateur personnel, mono-utilisateur, et auto-administré.

Ca c'est pour le design. Mais il y a aussi une phrase qui est souvent répétée dans le monde du libre :

"Plus il y a d'yeux pour regarder le code, plus les bugs sont visibles."

C'est pour ça que le système qui est au top en matière de sécurité est un système libre : openbsd.

A+

Gauret

Lien vers le commentaire
Partager sur d’autres sites

au fait le serveur du concours OpenBSD (une histoire de prime si qq'un viole le serveur) il tient toujours??? ou ma mémoire me fait défaut

Open BSD a été concu de manière remarquable... J'ai discuté avec des dev OpenBSD aux journée mondiales du libre cet été... et c'est impressionnant en terme de boulot...

Ya NetBSD qui me scie aussi... par le nombre d'archi qu'il gère... indifférement...

Lien vers le commentaire
Partager sur d’autres sites

mais ptrace permettait de prendr el controle de la machine lorsqu'on effctuait des actions aussi anodines que lire du multimedia?

tu dis qu'il fallait executer un programme.

mais ça demande a l'utilisateur de faire un truc special qu'il ne fait pas habituellement, non?

sinon milo qu'apelles tu "les serveurs de microsoft"?

moi j'ai lu sur le ent que depuis la DDoS engendrée par blaster ils avaient juste mis linux...

sinon pour open BSD... je veux bien ,mais c'est pas ce qu'il y a de plus simple a utiliser :)

Lien vers le commentaire
Partager sur d’autres sites

mais ptrace permettait de prendr el controle de la machine lorsqu'on effctuait des actions aussi anodines que lire du multimedia?

tu dis qu'il fallait executer un programme.

mais ça demande a l'utilisateur de faire un truc special qu'il ne fait pas habituellement, non?

Ben, c'est bien simple. Tu es user. Tu fais "./moncrack". Tu es root. C'est tout.

sinon pour open BSD... je veux bien ,mais c'est pas ce qu'il y a de plus simple a utiliser :)

C'est clairement pas prévu pour faire un desktop, on est d'accord. Mais par contre, comme firewall, c'est dur de trouver mieux. Comme on dit chez les anglophones : "one size does not fit all". (en gros, la même taille ne va pas à tout le monde, il faut utiliser ce qui est le plus adapté)

A+

Gauret

Lien vers le commentaire
Partager sur d’autres sites

un argment absolument irrecevable....

La base d'un systeme unix/linux est 100X mieux faite que celle d'un systeme

mircosoft(j'en veux pour preuve le fait que par exemple, un utilisateur

puisse prendre le controle d'une machine parceque son propriétaire

utilise MP9 et DX9 [c'est arrivé il y a peu de temps!, vous vous

souvenez surement de cette faille critique...] alors que quelle que soit la

version de linux,ce genre de choses n'a jamais pu se faire et n'arrivera probablement jamais)

alors tu compare une appli Media player à un noyaux :keskidit:

va falloir m'expliquer un peux ce genre de raisonnement non ? Quant à DX9 pas entendu parlé de faille m'enfin je suis peut etre passé à coté...

Mais bon franchment c'est le plus souvent les appli qui merde que le noyaux même sur vos BSD AIX ou autres SOLARIS car sur ce genre de machine qu'est ce qui tourne en définitif des serveurs d'appli ou des serveurs Web derrière des Firewall des proxy ou revers proxy et à ce moment là qu'elle est ton point d'entré ben c'est les appli et plus trop le système et ce genre d'appli sont toujours troué

Ensuite la plus pars du temps on nous parle de trou de sécurité qui ne conserne que les postes clients mais si les Admin systemes dans les sociétés fesait leur taffe ben y aurai pas de prob plutot que d'etre sur Edonkey toute la journée ... :pleure:

Sinon quand on voit la multide de patch pour les appli Linux je pense qu'on se voile un peu la face :byebye:

Lien vers le commentaire
Partager sur d’autres sites

alors tu compare une appli Media player à un noyaux  :pleure:

Non, je compare Windows Media Player à un crack spécifique, les deux permettant de devenir root sur la machine. Enfin ça c'est si j'ai bien compris l'histoire, parce que Windows Media Player c'est pas trop ma tasse de thé...

Mais bon franchment c'est le plus souvent les appli qui merde que le noyaux même sur vos BSD AIX ou autres SOLARIS car sur ce genre de machine qu'est  ce qui tourne en définitif des serveurs d'appli ou des serveurs Web derrière des Firewall des proxy ou revers proxy et à ce moment là qu'elle est ton point d'entré ben c'est les appli et plus trop le système et ce genre d'appli sont toujours troué

J'ai un peu du mal à suivre cette (unique) phrase. Oui, c'est la plupart du temps les applis qui sont trouées, et pas les noyaux. Mais deux choses :

- des fois les noyaux aussi sont troués, et là t'es très mal

- si les noyaux sont bien faits, un trou sur l'appli te permet de faire autant de choses sur le système que si tu avais été l'utilisateur qui a lancé l'appli. Donc à moins de faire tourner l'appli en root, tu es déjà limité.

Sinon quand on voit la multide de patch pour les appli Linux je pense qu'on se voile un peu la face  :francais:

Est-ce quelqu'un a dit ici que Linux et toutes les applis qui tournent sous Linux sont exempts de failles ?

La question n'est pas là. La question c'est : est-ce qu'on peut se fier à ce genre de test ? A mon avis non.

A+

Gauret

Lien vers le commentaire
Partager sur d’autres sites

Non, je compare Windows Media Player à un crack spécifique

Reli le post de Sky99 et tu comprendra mieux prk je parles de comparaison douteuse :craint:

J'ai un peu du mal à suivre cette (unique) phrase.

Pourtant elle est simple prends ta respiration avant de la lire :-D

si les noyaux sont bien faits, un trou sur l'appli te permet de faire autant de choses sur le système que si tu avais été l'utilisateur qui a lancé l'appli. Donc à moins de faire tourner l'appli en root, tu es déjà limité.

C'est déjà trop ...

Est-ce quelqu'un a dit ici que Linux et toutes les applis qui tournent sous Linux sont exempts de failles ?

Pas explicitement mais relis les post un peu plus haut et tu vera qu'on n'est pas loin de cette affirmation :byebye:

La question c'est : est-ce qu'on peut se fier à ce genre de test ?

Nous connaissons tous la réponse c'est du Marketing point final aussi je dis NON

Lien vers le commentaire
Partager sur d’autres sites

Reli le post de Sky99 et tu comprendra mieux prk je parles de comparaison douteuse  :francais:

Pourtant elle est simple prends ta respiration avant de la lire  :D

C'est déjà trop ...

Pas explicitement mais relis les post un peu plus haut et tu vera qu'on n'est pas loin de cette affirmation  :cheat:

Nous connaissons tous la réponse c'est du Marketing point final aussi je dis NON

ou ai je comparé le kernell linux media player?

j'ai juste dit que le kernell MS devait etre plutot mal fichu pour que des applis

puissent tout le temps en prendre le controle...

ensuite pour ce qui est du nombre de patchs pour des applis linux existants:

-1 on parle d'applis linux, mais elles ne sont pas forcement intégrées dans le systeme(contrairement a IE qui l'est OBLIGATOIREMENT)

-2 une quantité bien superieur d'applis est fournie sur les 3CDs d'une distribution;

-3 les failles pour lesquelles on a les patchs sans cesse sont tres souvent critiques

sous windows, ce n'est pas aussi souvent lecas sous nux...

sinon, gauret, pour ta faille, il faut donc executer un progamme specifique

./moncrack ce que je n'ai aucune raison de faire sur ma machine linux :)

donc encore une fois il faut D/L et compiler un programme fait pour exploiter la faille...

mais dans le cas de WMP et direct X, ils sont presque obligatoirement la,

et on a pas besoin de les installer :) donc dans ne utilisation "habituelle" donc sans

rien installer ni executer de nouveau, on peut se retrouver avec de gros problemes...

Pour parler des applications:

comparons un domaine bien connu : les serveurs web.

la part de serveur apache sous linux est bien superieure a la part de serveurs IIS

sous un quelconque OS microsoft.

Pourtant IIS concentre a lui tout seul une grande partie du top 10 des failles critiques les plus exploitées...

d'un autre coté, aucune faille connue pour apache depuis longtemps(apache, hein,

le serveur en lui meme!)

Lien vers le commentaire
Partager sur d’autres sites

La base d'un systeme unix/linux est 100X mieux faite que celle d'un systeme

mircosoft(j'en veux pour preuve le fait que par exemple, un utilisateur

puisse prendre le controle d'une machine parceque son propriétaire

utilise MP9 et DX9 [c'est arrivé il y a peu de temps!, vous vous

souvenez surement de cette faille critique...] alors que quelle que soit la

version de linux,ce genre de choses n'a jamais pu se faire et n'arrivera probablement jamais)

Voila :chinois:

En tout les cas c'est cette phrase qui pour moi n'est pas tres claire.

Sinon jusqu'a preuve du contraire sur des serveur Win en prod tu dégages MP DX et tout ces conneries de plus IE tu t'en sers jamais sur des serveurs de prod.

C'est vrai que IIS est troué mais un petit tour sur google et tu trouves pas mal d'exploit sur apache :francais:

ensuite il ne faut pas confondre machine d'utilisateur et machine de production tu les gères pas de la même manière...

M'enfin bon pour conclure les deux systemes sont troués et l'important reste les hommes qui gère ces machines...

Lien vers le commentaire
Partager sur d’autres sites

justement, une machine de prod sous linux tu pourra retirer tout ce qui ne sert pas...

entre une version serveur de windows et une version desktop,je ne vois presque pas de difference...

on a seulement des trucs rajoutés dessus...

dans tous les cas plein de trucs restent present,et c'est autant de failles potentielles...

pour ce qui est des exploits apache, ils exploitent tous des modules d'apache, mais un apache de base est

pratiquement inpénétrable(la preuve c'est le temps que dure la version en cours...)

dans tous les cas pour ce qui est du precedent post, meme si c'est mal exprimé je ne compare pas le kernell linux a MP9...

en gros mon idée est que le kernell linux doit etre moins sensible aux failles des logiciles qu'il exploite puisque ce genr de choses arrivent moins souvent que sous windows...

Lien vers le commentaire
Partager sur d’autres sites

en gros au niveau de la securité, l'avantage avec linux, c'est sa modularité...

vu qu'on construit le systeme qu'on veut, on obtient la securité qu'on souhaite...

si j'ai besoin d"un serveur web "secure" je me ferai une machine linux avec le minimum:

pas de serveur X, juste apache et quelques modules... voila qui reduit deja grandement les failles

possibles...

Lien vers le commentaire
Partager sur d’autres sites

! Attention revenant !

(en fait j'avais un max de taf et un bug dans Mozilla qui m'empêchait d'utiliser les cookies donc impossible de s'identifier . Bon j'ai pas eu besoin de tout reformater, hein, j'ai juste modifié mon prefs.js).

Bon quelques compléments au débat :

- les "comparatifs" style 01, décision Micro, qui disent "il y a plus de failles ce mois-ci dans Debian et Redhat que Windows" sont irrecevables. +1 sur les poireaux et les mojettes spatiales. Puisque Debian et Redhat informent sur (les mêmes) failles qui concernent TOUS les packages. Comme si M$ informait sur les failles de tous les produits Windows. Auquel cas, suffit de prendre la bugtraq hebdomadaire (tiens d'ailleurs celle d'hier n'a pas été diffusée ?) et comparer ...

- les "remote root shell" (style je deviens root à distance sur la machine sans compte en local) ont existé sur tous les Unix, y compris Linux (m'enfin bon ex-utilisateur d'IRIX, c'était celui là qui détenait la palme). Linus merci, il n'en reste plus, parcequ'en quelques années, la mentalité des développeurs Unix (pour ne pas être restrictif) a évolué : plus de SUID root sauf besoin extrème, boundcheck à tous les étages, plus de race condition sur les tmpfiles ... d'ailleurs même les compilateurs C râlent quand tu utilise des commandes unsecure.

- j'attends toujours LE ver Linux qui va permettre d'oublier (??? mais qui pourrait oublier ???) les Nimda, Codered, Slammer ... pour l'instant, à part dans les fantasmes des inconditionnels de fenêtres ...

- les outils "BSD" utilisés par M$ et d'autres sociétés (et qui détiennent les records d'uptime des serveurs Web) sont souvent non pas la ferme de serveurs, mais l'équipement de load-balancing en amont (ex : Cisco Arrowpoint CSS, Radware, Alteon ...), basé sur un *BSD light, et donc la signature (nmap ...) répond comme telle.

- petite conclusion, un serveur quel qu'il soit se sera jamais plus sécurisé que son administrateur voudra ou pourra bien le sécuriser - j'ai des Windows hébergés qui ne tombent jamais, mais bon ils sont loin d'être les fesses à l'air sur Internet. J'ai plus confiance dans les Linux, mais ça ne m'empêche pas de les auditer ausi souvent que les Windows - sauf que je sais ce que j'ai mis dedans :) En l'occurence les packages Debian que j'ai installé...

PS on sacrifie généralement sur un autel, pas un hôtel :copain:

PPS profitez-en dans 3 semaines je pars un mois au soleil, loin de tout clavier ...

Lien vers le commentaire
Partager sur d’autres sites

Archivé

Ce sujet est désormais archivé et ne peut plus recevoir de nouvelles réponses.

×
×
  • Créer...