dricks a écrit :



Perso j’ai désactivé cette saloperie de mon Firefox, et hop, plus jamais de brèche.

Et pour les sites qui auraient la mauvaise idée de vouloir utiliser le plugin Java, tant pis pour eux, je ferai sans eux.



Je me suis débarassé de ces saloperies d’activeX en faisant mes adieux à IE, c’est pas pour me faire infecter par des plugins alacon.



" />







Tu vas sûrement halluciné mais les activeX sont beaucoup plus sécurisés que les plugins type Firefox (NPAPI) depuis IE8 : c’est une légende fausse qui existe depuis de nombreuses années et qui rèste figée parce que les gens croient tout et n’importe quoi.



Certains sites traitant la sécurité du web en parle de cette réalité mais j’avoue qu’ils y en a peu.



Je ne dis pas ça parce que je l’ai lu quelques part mais parce que j’ai développé les deux types de plugins.

• ActiveX s’exécute dans une sandbox très cloisonnée, aucun accès fichier, process sans l’autorisation explicite de l’utilisateur (mettre le site en site de confiance est le moyen le plus rapide)
  


• les plugins Firefox sont dans une sandbox non cloisonnée ! Le plugin qui charge dynamiquement une dll placé à côté du plugin, il peut exécuter n’importe quoi sans aucune autorisation de l’utilisateur (accès fichier, boot de la machine…)
  
  
  
  D’après toi lequel type de plugin tu préfères ? " />

CaptainDangeax a écrit :



Je prends FF / Linux parce que ton ActiveX sécurisé dans sa sandbox qui s’éxécute sur un système qui traite tout comme étant exécutable par défaut (exemple : charge malveillante dans les en-têtes de fichiers JPG, AVI…) et dont seul C:\PROGRAM FILES est protégé par UAC (à condition qu’il n’ait pas été désactivé) ne sera jamais aussi sécurisé qu’un FF qui s’exécute sur une machine où TOUT le système de fichier est protégé à l’exception du dossier utilisateur, qu’on peut lui-même rendre globalement non-exécutable par une simple option à l’installation, ou après ; ce système gère par défaut tous les fichiers comme non-exécutable, une bonne sécurité. Après, tu peux toujours admirer les rustines de ton bac à sable…







Tu changes de sujet là, on parle sécurité de plugin et toi tu parles de sécurité de l’OS… " />

CaptainDangeax a écrit :



Amusant, ton petit smiley. N’oublie pas que l’exploit se passe sur une machine virtuelle, qui est un plugin d’un explorateur, qui s’exécute dans un système d’exploitation sur un ordinateur. Ce que je veux dire, c’est que tu peux mettre toutes les sécurités que tu veux, la résistance de la chaîne est celle de son maillon le plus faible. En d’autres termes, il faut renforcer L’ENSEMBLE des maillons, pas seulement un seul, et éliminer les maillons faibles. Allez, au revoir…







Je suis d’accord avec toi qu’il faut corriger les failles à tous les niveaux mais il faut toujours garder en tête que la source du problème est à colmater en 1er, ici le plugin.