La récente faille 0-Day d’Internet Explorer déjà exploitée

non
c'est un texte standard qui est copié collé dans chaque bulletin de sécurité affectant IE

d'ailleurs ya deux ans ils mentionnaient meme pas le mode protégé alors qu'il existe depuis plus de 3ans.

le texte dit que dans le pire des cas, on peut executer du code avec les privileges de l'utilisateur MAIS si l'utilisateur tourne sous vista avec l'uac activé, le mode protégé réduit bien le risque.

c'est pas comme si nos députés allaient souvent à l'assemblée...
le peu de temps qu'ils y vont, je doute qu'ils séjournent longtemps dans leur bureau... je doute que la plupart d'entre eux ait même déjà allumé ne serait-ce qu'une seule fois le PC fourni par le service info de l'assemblée nationale




les comptes utilisateur limité ne sont pas la panacée... les malwares tournant en mode utilisateur sont dangereux quand même, car ils peuvent faire énormément de sale boulot (vol d'informations confidentielles, infections de clefs usb, brute force sur le réseau pour trouver le mdp admin d'un serveur, controle à distance, envoi de spam, ...)



effectivement, elle est spécifique à vista et 7.
seul chrome est sandboxé sous xp (mais pas completement, car une faille dans chrome/xp permet quand meme d'ecrire sur les lecteurs formatés en fat, donc au final si une clef usb est branchée ou un lecteur réseau connecté, l'utilisateur se fera rapidement infecter par l'autorun, s'il n'a pas été desactivé)

oui la sandbox protège bien contre les accès en écriture aux fichiers de l'utilisateur.

mais microsoft parle toujours du cas le plus critique lorsqu'il évalue la dangerosité d'une faille, car les utilisateurs qui desactivent l'uac ne sont pas protégés par la sandbox d'IE. Idem sous xp où il n'y a pas de sandbox pour IE7.

Pour informations, il n'y a pas que les députés qui travaillent à l'Assemblée Nationale.
De plus, peu importe qu'ils y séjournent 24H/24 ou pas, cet exemple venait contredire les propos de notre ami qui prétendait que toute migration étaient impossible dans les services publics.
Pour le reste de ton propos, je te laisse penser ce que tu veux.




Edité par saga9 le jeudi 11 mars 2010 à 17:12

microsoft propose des solutions pour rester secure malgré un intranet basé sur IE6.

avec Med-V (http://www.microsoft.com/windows/enterprise/products/mdop/med-v.aspx ) il est possible de déployer sur toutes les machines de l'entreprise une VM invisible aux yeux de l'utilisateur qui va permettre de lancer IE6 sur le bureau de windows vista/7.

L'interet par rapport à ce qui se fait déjà dans les logiciels de virtualisation classique, et d'ailleurs ce qui rend l'utilisation d'IE6 plus secure, c'est que le systeme est basé sur des listes de compatibilité:

si l'utilisateur ouvre l'url d'un site intranet marqué comme compatible IE6 seulement depuis IE7 ou 8, la VM xp va démarrer en arriere plan (si elle n'est pas déjà démarrée) et IE6 va s'ouvrir sur la page demandée par l'utilisateur.
inversement, si l'utilisateur tente d'ouvrir un site internet dans IE6, c'est la fenetre d'IE7/8 qui va s'ouvrir et afficher le site en question, afin de ne pas etre vulnérable aux failles d'IE6.

ce type de solution est vraiment superbe, car l'utilisateur n'a pas besoin de se demander sous quel navigateur il doit ouvrir un site, et il n'y a donc pas de risque qu'il aille accidentellement sur un site malveillant avec IE6.

bref, si les entreprises veulent migrer vers IE7/8, elles le peuvent, à condition d'avoir des pc avec au moins 1go de ram pour la VM xp.

je suppose que beaucoup d'entreprise utiliseront un tel systeme lorsque IE6 ne sera plus supporté, car je doute que d'ici 4ans IE6 ait totalement disparu des entreprises.

cela dit, même aujourd'hui il y a des grosses entreprises qui utilisents des IE6 non patchés, donc la sécurité n'est pas leur préoccupation primaire... dans de telles conditions, elles pourraient très bien encore utiliser IE6 en 2015 lorsqu'il ne sera plus supporté ^^

Qu'est ce qu'on fait pas pour compenser du code mal fait

il n'y a pas tant de failles que ça dans IE6... c'est juste que le peu de failles qu'on trouve est systématiquement exploitée, vu que IE6 a énormément de PDM en entreprise, et que 20% des IE6 ne sont jamais patchés, l'enjeu financier est donc important pour les black hats.

voir mon post d'hier qui expliquait que le code d'IE6 est assez robuste (mais pas autant que celui d'IE8 évidemment)

Ah non je parlais des intranet IE6-only

Il faudrait penser à faire les mises à jour

Quoi? Une news sur un problème de sécurité sous Windows et aucun Windowsien n'a craché sur un autre OS pour dire "c'est pas mieux ailleurs"?

Beu

Mais bon, trois pages sur ce genre de news sans lire les mots "linux" et "mac os", c'est quand même rare.

(Maintenant que j'ai dit les mots magiques, je sens les troll arriver en courant )