Windows 7 et 8.x : Google dévoile de nouveau les détails d’une faille non corrigée
Je t'aime, moi non plus
Le 19 janvier 2015 à 13h10
3 min
Internet
Internet
L'histoire se répète ces temps-ci : Google vient de dévoiler les détails d'une faille débusquée dans Windows 7 et 8.1, mais pas encore corrigée par Microsoft. Le problème se situe dans la fonction CryptProtectMemory qui, comme son nom l'indique, permet de chiffrer la mémoire.
Il y a quelques jours à peine, Microsoft fustigeait Google pour avoir dévoilé publiquement les détails d'une faille qui pouvait conduire à une élévation des privilèges et dont le correctif sortait deux jours plus tard. Cette semaine, rebelote avec la mise en ligne des détails d'une faille sur la fonction CryptProtectMemory qui s'occupe de chiffrer les données de la mémoire, notamment lors de l'échange d'informations entre deux processus.
Quand la fonction CryptProtectMemory fait parler d'elle
Le fond du problème est lié à l'implémentation de cette fonction dans CNG.sys qui ne vérifie pas correctement le niveau d'accréditation d'un utilisateur, ce qui pourrait conduire à une augmentation de privilège et à l'accès aux informations stockées en mémoire. Notez que cela concerne à la fois Windows 7 et 8.1 en versions 32 et 64 bits.
Google a identifié cette faille le 17 octobre 2014. Le chercheur à l'origine de cette découverte indique que, le 29 octobre, Microsoft aurait confirmé l'existence de ce problème et aurait réussi à la reproduire. La société de Mountain View a mis en ligne un petit fichier permettant de tester la présence de cette faille de sécurité. Le 14 janvier, Google demandait des nouvelles à Microsoft, précisant que la faille serait quoi qu'il en soit rendue publique le lendemain. Microsoft aurait alors informé Google qu'un correctif était prévu pour la mise à jour de Windows déployée en janvier, mais qu'elle avait été repoussée à cause d'« un problème de compatibilité », sans plus de précision. Elle devrait néanmoins faire partie du lot de correctifs de février.
Un correctif décalé de janvier à février, mais en attendant...
Mais, comme ce fut le cas il y a quelques jours, Google n'a pas changé son fusil d'épaule et, 90 jours après sa découverte, la faille a donc été rendue publique, qu'elle soit ou non corrigé n'entrant pas en ligne de compte pour le géant du web. Cela ne devrait évidemment pas être du goût de Microsoft, tout comme de celui des utilisateurs qui devront vraisemblablement attendre encore un mois avant que la brèche ne soit bouchée, sauf changement de dernière minute.
Certains blâmeront Google de rendre publique une faille de sécurité sans qu'elle ne soit corrigée et sans proposer de solution de contournement, tandis que d'autres fustigeront Microsoft de mettre plus de trois mois à corriger une faille. Dans tous les cas, il faudra trouver une solution, d'autant plus que les cas ont tendance à se multiplier ces dernières semaines.
Windows 7 et 8.x : Google dévoile de nouveau les détails d’une faille non corrigée
-
Quand la fonction CryptProtectMemory fait parler d'elle
-
Un correctif décalé de janvier à février, mais en attendant...
Commentaires (332)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 19/01/2015 à 14h04
Le 19/01/2015 à 14h05
La très large majorité du parc Android aujourd’hui, c’est celui qui est fournit par le constructeur du smartphone en question qui contient entre autres :
Et ce qui est libre c’est majoritairement pas fait par eux (kernel linux + libs bas niveau standard).
Le 19/01/2015 à 14h05
Le 19/01/2015 à 14h05
De la a dire que MS joue les glandu pars que la majorité des sysadmin Windows sont des fainéant pleurnicheurs …
" />
Je sens que je vais pas me faire de amis la
Le 19/01/2015 à 14h08
Le 19/01/2015 à 14h08
Certains blâmeront Google de rendre publique une faille de sécurité sans qu’elle ne soit corrigée et sans proposer de solution de contournement, tandis que d’autres fustigeront Microsoft de mettre plus de trois mois à corriger une faille.
En attendant, Nxi se frotte les mains et compte les vues :)
Le 19/01/2015 à 14h08
A la conf en Australie sur le noyau Linux, Torvalds a indiqué que pour Linux 5 jours est raisonnable mais qu’il comprend que d’autres aient besoin de plus de temps.
Le 19/01/2015 à 14h09
Le 19/01/2015 à 14h11
Le 19/01/2015 à 14h12
C’est à dire que Google n’a absolument pas les moyens d’intégrer dans l’AOSP un update manager qui serait capable de recevoir les mises à jour de sécurité (limitons cela aux mises à jour de sécurité uniquement pour pas froisser les partenaires commerciaux) ?
Et le but de ma remarque était de montrer que bien qu’Android est un projet open source, la version installée sur la grande majorité des smartphones ne l’est pas totalement.
Pour reprendre les arguments des libristes : les trucs de Google ont beau être maintenu et à jour, on ne sait pas s’ils sont sécurisé et s’ils corrigent toutes les failles qu’ils voient.
Le 19/01/2015 à 14h12
Cool si MS et Google se mettent à teste les OS de chacun les bug n’en serons que plus vites corrigés!
Chacun va se mettre la pression pour que l’autre fasse du correctif rapide et efficace!
Le 19/01/2015 à 14h13
Le 19/01/2015 à 14h14
A supprimer
Le 19/01/2015 à 14h16
Si Google ne publie pas ce qu’il ne corrige pas et qu’on a pas accès aux sources, comment veux qu’on réponde à ta question ^^
" />
Le 19/01/2015 à 14h16
Hahaha ! La réponse qui tue, j’en ai pas vu, donc ça n’existe pas.
Le 19/01/2015 à 14h19
Le 19/01/2015 à 14h53
Parce que tu penses que si tu dis ça à ton voisin il mettra plus de 3 mois à changer de coffre fort ou à se plaindre au constructeur pour le faire remplacer ?
" />
Là Ms dit “on a une faille grave dans l’OS, si Google l’a découvert, des pirates peuvent l’avoir découvert aussi depuis plusieurs mois, mais bon, on va attendre encore un peu avant de la corriger”.
Et là Google a mis la deadline à 3 mois, Ms n’arrive pas à la tenir … il faut mettre quoi pour que ça passe ? 6 mois ? un an ?
Que la correction soit complexe, c’est une chose, mais dire “oh une faille de sécurité peut bien attendre 6 mois que Ms prenne son temps” … j’ai quand même un peu de mal
Le 19/01/2015 à 14h54
Le 19/01/2015 à 14h56
Elle l’est clairement, et il faut être soit incompétent (ce qui ne semble pas être ton cas) soit mal connaitre ce domaine pour le comprendre.
Déjà, à tous ceux qui hurlent que 3 mois pour régler une faille est scandaleux : c’est faux.
Là il s’agit d’un composant bas-niveau, complexe à mettre en place, sur plusieurs systèmes & architectures, tout ça en prenant en compte que ça impact directement, ou pas, des centaines de millions d’ordinateurs dans le monde … bref.
Ensuite Google est totalement irresponsable dans ce sujet. Et tout parallèle avec Microsoft sur ce sujet est totalement malvenu : entre une société qui propose des majs uniquement sur quelques années, et encore ; et une autre qui soutient ses produits sur environ 10 ans, y’a un monde, un univers même.
Publier une faille de sécurité qui touche potentiellement l’énorme majorité des ordinateurs personnels de la planête est irresponsable, j’irais jusqu’à dire que c’est un comportement dangereux, en plus sachant que le patch est presque dans la boite et qu’il va sortir sous peu.
Je vois surtout ça comme une façon pour Google de se faire mousser et de buzzer sur le fait que “Microsoft c’est pas sécurisé et qu’ils prennent 27 ans pour combler une faille : alors viendez chez nous !”.
Une belle bande d’abrutis.
Le 19/01/2015 à 14h57
Je me met à la place de l’utilisateur lambda qui n’est pas dev. Autant je comprends ce que tu me racontes, autant je suis aussi certain qu’un utilisateur classique ne comprendra rien de la logique mise en place par Google.
Le 19/01/2015 à 14h58
Désolé, je m’y suis pris comme un pied.
C’était plus pour dire que sur le principe, que ça concerne une faible population (ramené à l’unitaire ici) ou une grande, ça reste un fonctionnement que je qualifierais de sale. Ne serait que pour la protection des utilisateurs.
Perso, j’ai l’impression que google crie sur les toits que ms fait de la merde et qu’il faut les rejoindre car ça n’arrivera pas chez eux. (mais rien ne le garanti malheureusement)
Le 19/01/2015 à 14h58
On peut voir le problème inverse aussi. MS dit “on a une faille grave dans l’OS, si Google l’a découvert, des pirates peuvent l’avoir découvert aussi depuis plusieurs mois, il va falloir se dépêcher de la corriger”
Si en 3 mois ils ont pas pu mettre au point un patch qui puisse corriger la vuln sans créer d’effets de bord, c’est pas parce que tu vas publier la vulnérabilité que les problèmes vont miraculeusement disparaitre.
A la limite ça peut forcer MS a publier un patch qui peut faire planter certaines machine. Et là c’est pas cool non plus.
Le 19/01/2015 à 14h59
Le 19/01/2015 à 14h59
Le 19/01/2015 à 14h59
“shellshock, le patch a été immédiat il me semble.”
Ars Technica
Ars Technica
Non pas du tout. Il y a eu des “hotfix” rapidement mais qui ne corrigeait pas le problème.
Le 19/01/2015 à 14h59
Le 19/01/2015 à 15h00
Le 19/01/2015 à 15h01
A qui alors? Ms peut dire : ah non celle là on s’en fout, interdit de la publier ?
" />
Donnez nous 2 ans ?
Ce sont les chercheurs de Google qui font le boulo, ils envoient à Ms bien à l’avance, donnent une date de disclosure.
Et je connais pas de loi en particulier qui leur impose de ne pas publier tant que le constructeur ne veux pas
Le 19/01/2015 à 15h01
Donc on laisse la faille ?
Le 19/01/2015 à 15h01
Le 19/01/2015 à 15h02
Le 19/01/2015 à 15h02
Si le coffre fort pèse 320 kg et que la moitié de son corps est fixé dans un mur porteur… oui.
" />
Plusieurs personne le répètent, il y a :
la faille à combler (ça doit être le plus rapide de la liste)
les test unitaires à valider
les tests de régression à valider
les test sur x config différentes hardware + logicielles
les validations de process (on reste dans une entreprise, et ça c’est sans doute un des trucs les plus longs)
Vu qu’on parle d’un OS, qu’il est en prod sur des millions de machines, et que si la maj pète, c’est catastrophique en terme d’image, 3 mois, c’est pas si long que ça…
Le 19/01/2015 à 15h49
Sans doute que non mais c’est ce qu’on appel “la priorisation”
Le 19/01/2015 à 15h51
Waip, sauf qu’elle a potentiellement un impact sur des centaines de millions d’utilisateurs, voir plus d’un milliard possiblement selon le produit.
" />
A partir de là, on fait attention où on fout les pieds, surtout avec des failles comme celle-ci, et on évite d’imposer ses propres règles à une entreprise qui en a d’autres et qui a incomparablement plus d’expérience dans ce domaine
Le 19/01/2015 à 15h51
C’est sympa le monde des bisounours ? 
" />
" />
Dans quel monde une entreprise n’a pas le droit de “pointer du doigt” les faiblesses de son concurrent ?
Ms a bien les pubs Scroogle ? Apple montre à chaque conf à quel point la fragmentation d’Android est horrible.
Là Google “paye” des mecs pour trouver des failles, et les proposent à son concurent pour qu’il les corrige et lui laisse 3 mois pour y remédier …
Après je dis pas que ce sont des chevaliers blanc
Mais que dans un panier de crabe, tout le monde se bat avec les armes qu’ils ont.
Le 19/01/2015 à 15h52
Et bien de toute évidence, ils ne considéraient pas cette faille “prioritaire”.
Le 19/01/2015 à 15h52
Puisque tu aime bien les histoire avec des SI, le système de Google a un gros désavantage c’est que si les équipes de MS sont en train de travailler pour corriger une autre faille plus dangereuse que celle qui a été remontée par Google, ils auront pas le temps de s’occuper de cette dernière (qui sera publiée), ou alors ils laissent tout tomber et s’occupe de celle de Google (ce qui laisse la vuln’ plus grave sans correctif pour encore 3 mois), ou alors ils traitent les deux en même temps en prenant le risque de sortir à la bourre les deux patchs.
Bref le coup du 3 mois non négociable, c’est vraiment pas pratique !
Le 19/01/2015 à 15h53
Le 19/01/2015 à 15h54
oui mais c’est pas grave.
Je pense que si elle a été considéré comme non critique ou faible chez MS c’est qu’il ya des raisons.
MS sait ce qu’il fait.
C’est pas des hippies dans un van VW
Le 19/01/2015 à 15h55
Le 19/01/2015 à 15h55
Alors il faut qu’ils fassent un choix. Ils ont choisi de laisser tomber cette faille, et on choisi la plus importante … en effet, c’est une bonne chose 
" />
Le 19/01/2015 à 15h57
C’est quelle partie du mot négociable que tu n’as pas comprise?
Le 19/01/2015 à 15h59
En tout cas je me marre bien avec tout ça, il y en a des experts de la gestion des failles et de la complexité des codes OS (qui plus est bas-niveau). Bref avec des si on en refait des mondes.
Le 19/01/2015 à 16h00
T’es gentil, mais le patch tuesday ca existe depuis bien longtemps. Et bizarrement il y avait déjà des correctifs tous les mois, sans avoir besoin de maitresse Google qui vienne agiter le baton.
Donc les “ca serait bien plus long sans ca”, tu peux tranquillement les ranger parce que tu n’en sais rien.
Le 19/01/2015 à 16h04
Quelle partie d’ultimatum tu n’as pas comprise ? 
" />
A partir du moment où il suffit que MS dise “on est dessus” si on rajoute 3 mois, ça veux dire que la deadline est à 6 mois.
Le 19/01/2015 à 16h05
La photo >>>>>> Sous titre
" /> 
" /> 
" />
Le 19/01/2015 à 16h15
Yep, et il y a aussi des zero day, où est ce que tu veux en venir ? 
" />
Le 19/01/2015 à 16h17
Nouvelle règle de divulgation : “divulgation au soir du premier patch tuesday qui est à plus de 90 jours de la découverte de la faille”
Tout le monde est content.
Le 19/01/2015 à 13h14
Un beau foutage de gueule quand eux-mêmes refusent de corriger des failles critiques sous Android.
Le 19/01/2015 à 13h15
Et au final se sont les utilisateurs qui trinquent.
" /> aux 2!
Le 19/01/2015 à 13h18
Lol google.
Le 19/01/2015 à 13h18
T’as des exemples ?
Le 19/01/2015 à 13h18
Franchement … quel est l’intérêt de Google de faire ça ?
Le 19/01/2015 à 13h18
Sinon, c’est quand qu’ils corrigent leur faille de sécurité sur Android qui va toucher des millions de personnes ?
Le 19/01/2015 à 13h20
Qu’une faille sur un composant de bas niveau comme cela prenne plus de trois mois à être corrigée n’a rien d’étonnant…
Google est une bande de guignols qui a envie de pousser ses minitels chromebooks par tous les moyens même les plus evil. S’ils espèrent passer pour des gens sérieux auprès des pros avec ça…
Le 19/01/2015 à 13h20
Le 19/01/2015 à 13h21
Microsoft chiffre la mémoire ?
" />
Visiblement, ils ont des choses à cacher
Le 19/01/2015 à 13h21
Le 19/01/2015 à 13h22
La même chose que chaque nuit, Minus. Tenter de conquérir le monde !
" />
Sinon d’accord pour publier les détails de failles, mais avant leur correction c’est vraiment mesquin…
Le 19/01/2015 à 13h22
http://www.zone-numerique.com/android-4-3-une-faille-qui-ne-sera-pas-corrigee-par-google.html
Et la méthode de Google pour se laver les mains c’est “ben c’est pas de notre faute, c’est les constructeurs qui mettent pas à jour vers 4.4”. (j’ai pas poussé plus loin mais ça doit pas être la seule).
Le 19/01/2015 à 13h22
guéguerre stupide gogol vs grosoft
Le 19/01/2015 à 13h23
Il faut faire appelle à Chuck Norris, les failles de sécurités fuient devant Chuck Norris !
" />
Le 19/01/2015 à 13h24
Le 19/01/2015 à 13h25
<troll>Normal que ca prenne du temps, faut laisser le temps a la NSA d’ouvrir une autre faille si on bouche celle-ci.</troll>
C’est peut être pas plus mal, si cela n’avait pas ete public, la faille serait reste ouverte combien de temps ???? ET pour le coup, les “clients” seraient en danger, car les “exploitants” de cette failles eux sont déjà surement au courant depuis longtemps. La ils vont etre force de la corriger….
Le 19/01/2015 à 13h25
Ça leur fait de la “pub”.
Déjà ça met en avant l’efficacité de leur équipe de chercheurs en sécurité (regardez on trouve plein de vuln) et ça leur donne un côté “rebelle” (regardez, on va forcer les méchantes entreprise à corriger leur vulns le plus vite possible en les publiant).
Autant publier une vulnérabilité 2 jours avant le patch tuesday, je trouve ça très con, autant là… ça me choque pas énormément.
3 mois sont déjà passés et s’il faut attendre un 4e pour que les vulns soient corrigées, ça commence à faire long.
Le 19/01/2015 à 13h26
Le 19/01/2015 à 13h27
Le 19/01/2015 à 13h27
Euuu… corriger une vulnérabilité sur Windows c’est pas aussi simple et rapide que faire disparaître un bug sur un site web.
Le 19/01/2015 à 13h27
Le 19/01/2015 à 13h28
Le 19/01/2015 à 13h28
Quand je pense qu’on a entendu les gens gueuler suite à l’arrêt des corrections des failles sur XP qui a plus de 10 ans, alors que l’autre géant laisse tomber ses versions 2 ans après…
" />
Le 19/01/2015 à 13h30
Le 19/01/2015 à 13h40
Le 19/01/2015 à 13h41
Le 19/01/2015 à 13h41
Le 19/01/2015 à 13h44
Je trouve que c’est ms qui chie dans la colle.
Ils ont une politique de mise a jour qui ne correspond pas à ce qu’on est censé attendre d’une boite d’informatique de ce niveau la.
Le premier mardi du mois, c’est peut-être pratique pour eux mais, dans des cas comme celui-ci, on voit très bien les limites du système…
Le 19/01/2015 à 13h45
Les distributions font de l’intégration en très large majorité, pas de la correction de faille.
Corriger une faille, c’est autre chose qu’intégrer un patch. D’abord faut trouver pourquoi la faille existe, il faut voir si c’est une erreur dans les specs ou si c’est une erreur dans le code. Il faut trouver comment faire la correction, l’effectuer, et voir si elle n’introduit pas de nouveaux comportements tordus en rejouant les tests avec un certain nombre de configurations. Alors sur un OS qui doit être de l’ordre de 80 millions de lignes aujourd’hui (au pifomètre par rapport à l’accroissement de ce genre de système, et du fait que 7 c’était environ 70 millions de lignes) c’est pas franchement de la tarte.
Le 19/01/2015 à 13h47
Je sais pas si tu es dev, mais si c’est le cas, tu devrai savoir que ce qui prend le plus de temps n’est pas la correction de faille, mais plus les tests de non régression, pour un programme pas trop complexe ça peut déjà prendre un certain temps, alors sur un os (quel qu’il soit, d’ailleur si tu penses que c’est plus court sur les autres, c’est une erreur, c’est juste que certain test sont déportés)…
Le 19/01/2015 à 13h48
Si la faille était importante et que le patch était prêt il ferait un hotfix. la c’est pas le cas.
Le 19/01/2015 à 13h48
Le 19/01/2015 à 13h49
par exemple.
Dans ce cas précis (de la news), Google se défend aussi en disant qu’il vaut mieux que les utilisateurs soient au courant de la faille, pour essayer de s’en protéger. Leur point de vue, c’est que s’ils l’ont trouvée, d’autres la trouveront aussi, et autant que les gens le sachent. Pas complètement débile non plus, ca se discute..
Le 19/01/2015 à 13h49
Bah pour le coup je trouve que Google outrepasse clairement “ses droits”.
Balancer des failles de sécurité comme ça sur le net, c’est sûr que c’est top pour les utilisateurs. A part aider les hackeurs à exploiter ces failles , je vois pas trop l’intérêt pour l’utilisateur lambda.
A la limite un communiqué disant “on a découvert une faille sur tel composant et MS ne l’a pas corrigé en 3 mois”, pourquoi pas (même si ça donnerait surement déjà suffisamment d’infos à un mec qui voudrait exploiter le truc), mais balancer tous les détails…
Après ça force MS ou autre à corriger, mais y a probablement des solutions moins risquées pour l’utilisateur de base.
Au final le plus emmerdé dans l’histoire, ça sera encore une fois l’utilisateur le jour où Google publiera une faille critique qui sera exploitée à grande échelle. Et Google fera le beau en disant “on les avait prévenu”.
Parenthèse à part : je serais assez curieux de savoir si toutes les failles sur leurs OS sont corrigées en moins de 3 mois d’ailleurs. Vu qu’ils diffusent eux mêmes les infos et que (à ma connaissance) personne d’autre ne le fait, de leur côté c’est facile d’être toujours à l’heure sur les corrections.
Le 19/01/2015 à 13h49
Le 19/01/2015 à 13h50
Oui mais là on parle de failles qui touche le système d’exploitation !
3 mois pour reproduire l’exploitation, trouver la faille, la corriger, et s’assurer qu’il n’y a pas d’effets de bord indésirables pour la quasi-totalité des configurations pouvant exister, c’est pas réécrire une condition de 10 lignes de code.
Personnellement, je me souviens pas que quelqu’un ait publié une vulnérabilité sur le noyau Linux depuis longtemps.
Et comme tu dis, les distrib maintiennent aussi des soft comme apache ou openssh, mais elles ne les maintiennent pas entièrement tout comme le noyau Linux.
Le 19/01/2015 à 13h51
Le 19/01/2015 à 13h52
Le 19/01/2015 à 13h52
Le 19/01/2015 à 13h53
Le 19/01/2015 à 15h14
Perso, je trouve aussi irresponsable une boite qui trouve une faille, prévient l’éditeur et après 3 mois la diffuse, que celle qui a une faille importante dans son produit qui est peut être déjà en cours d’exploitation, va mettre tout sous le tapis plus de 3 mois le temps de la corriger.
Perso ce que j’aimerai savoir, c’est sans l’ultimatum de Google combien de temps cette faille aurait “trainé”.
Le 19/01/2015 à 15h15
Si tu as des données ultra confidentielles sur tes frontend c’est pas joli non plus 
" />
Le 19/01/2015 à 15h15
Le 19/01/2015 à 15h16
Le 19/01/2015 à 15h17
Le 19/01/2015 à 15h18
Ben non ils sont parfaits.
Le 19/01/2015 à 15h18
Le 19/01/2015 à 15h18
Je crois qu’on commence à toucher à la vérité là ;)
Surtout que si on lit ton lien, il y a un petit commentaire du 14⁄01 qui montre bien à quel point c’était utile de rendre tout ça public :
Microsoft informed us that a fix was planned for the January patches but has to be pulled due to compatibility issues. Therefore the fix is now expected in the February patches.
Le 19/01/2015 à 15h18
3 mois, quand tu touches au code source d’un système d’exploitation c’est pas si long que ça. Surtout des effets de bords sur d’autres parti du système sont créés et qu’il faut les corriger eux aussi. :/
Le 19/01/2015 à 15h20
Donc si je comprends bien: “Maintenant il y a un nouveau Shérif dans la place et son nom est Google!”
" />
Google décide unilatéralement du temps nécessaire pour colmater une faille sur un système qu’il ne maitrise pas… avec ultimatum à la clé…
C’est beau de se sentir protéger comme cela :larmaloeil:
Bon la en même temps on est un peu moins protégé, mais bon c’est Google qui l’a décidé, donc c’est forcément bien
Le 19/01/2015 à 15h21
Parce qu’un ultimatum n’a du sens que si il est appliqué.
Si Google disait “ok, on repousse de 1 mois” à chaque fois que MS n’est pas pret, au final on revient au modele : on attend 2 ans que Ms finisse son patch.
Le 19/01/2015 à 15h21
Facile, à la préhistoire de l’informatique…
" />
" /> et rien que pour ça, je trouve ça pire que sale, c’est une bande de salaud.
plus sérieusement, je suis ton raisonnement. mais je trouve quand même ça sale… Du coup, je dois me taper l’explication à ma mère
Le 19/01/2015 à 15h22
Le 19/01/2015 à 15h25
Le 19/01/2015 à 15h26
Alors que d’autres considèrent qu’une faille zero day devrait pouvoir rester active pendant 6 mois minimum.
Vos données se font pomper par des pirates ? hey … notre boulo n’est pas simple :((
Tu penses que Ms aurait attendu 6 mois pour cette faille si ça avait été une zero day ?
Le 19/01/2015 à 15h31
Oui enfin, quand les gars t’expliquent qu’ils ont des problèmes de compatibilité et que ça a retardé la sortie du patch. Leur chier à la gueule est pas forcément la bonne solution.
De même, publier une vuln deux jours avant la sortie de la correction, ça fait un peu “super c*nnard” surtout que MS les avaient prévenu que le patch allait sortir.
Ils sont super intransigeant, ne se soucis absolument pas raisons qui font que le patch ne peut être publié dans les 3 mois. Mais par contre quand il s’agit d’eux et d’Android, le discours c’est : “Ah ben nan, les constructeurs vont pas pouvoir mettre à jour, du coup nous on va rien faire du tout.”
Pour une boite qui se préoccupe de la sécurité et qui a la main-mise sur tous ses partenaires constructeurs, ajouter une clause : “2 ans de support minimum pour l’application de correctifs de sécurité” c’est impossible.
Le 19/01/2015 à 16h57
Est-on obligé de dévoiler le fonctionnement d’une faille pour fournir un moyen de s’en protéger ?
Le 19/01/2015 à 17h00
Le 19/01/2015 à 17h02
Le 19/01/2015 à 17h03
Quelle brochette d’emmerdeurs chez Google! Ils comptent passer leur temps à dévoiler la moindre faille non corrigée après 3mois sur windows?
Le 19/01/2015 à 17h06
Le 19/01/2015 à 17h09
Non tu as raison, c’est juste la 3eme faille qui loupe le coche en moins d’un mois à “2 jours pres”.
faut croire que le chiffre magique de réparation des failles pas 90 jours mais 92. pas de bol, ça se joue à 3% …
Le 19/01/2015 à 17h11
Le 19/01/2015 à 17h12
Le 19/01/2015 à 17h14
Le 19/01/2015 à 17h17
En fait, on ne peut pas parler de “White hat” pour Google mais de “Black hat”.
" />
Divulguer des failles (non corrigées) au publique, c’est aussi diffuser ces même failles aux mafias pirates.
Le 19/01/2015 à 17h17
Le 19/01/2015 à 17h20
Le 19/01/2015 à 17h22
Le 19/01/2015 à 17h25
Le 19/01/2015 à 17h25
Lors de la précédente news mes collègues du pôle juridique m’avait dit que Google se tient strictement au délai de 3 mois surement pour éviter des problèmes juridiques.
En effet s’il cède à MS ou un autre et qu’il ne cède pas à une autre entreprise, cette autre entreprise pourra être tenter de faire un procès en disant que Google privilégie MS et qu’il y a une sorte d’entrave à la concurrence.
Le 19/01/2015 à 17h27
Le 20/01/2015 à 00h20
Le 20/01/2015 à 00h23
Tu n’as pas compris que PCI est rempli de spécialistes improvisés en tous genres.
" />
Le 20/01/2015 à 00h24
Le 20/01/2015 à 01h15
Le 20/01/2015 à 01h21
Ça, on n’en sait rien s’ils ont mis 1 ou 90 jours à se mettre sur la faille.
Le 20/01/2015 à 01h27
Sauf que ça ne fonctionne pas comme ça. Pour une faille non exploitée, il ne sert à rien de déployer un patch à l’arrache, non testé qui a de grande chance d’apporter des soucis d’incompatibilité avec certains matériels et/ou logiciels. Les validations suivent des process stricts. Ce n’est pas “on corrige, on compile, on commit, on met en prod”, dans un environnement comme Windows, ce serait suicidaire.
Le 20/01/2015 à 01h31
Le 20/01/2015 à 06h13
Je dis pas le contraire.
Ce que je dis c’est qu’ils ont, de toute évidence, mis la cible de lancement proche de la deadline communiquée, se mettant à risque que l’update arrive après la deadline en cas de souci, ce qui est arrivé.
Le 20/01/2015 à 06h16
C’est toujours pas ça mais c’est pas grave, tu fais vraiment exprès de ne pas comprendre ?
Sinon, si on parlait de la légitimité de google à fixer des dates butoirs en se prenant pour la police de la sécurité alors qu’eux mêmes ne patchent volontairement pas des failles dangereuses pour des centaines de millions de leurs utilisateurs ? Je t’aide, elle est nulle.
Le 20/01/2015 à 06h20
Cette faille en particulier est une élévation de privilège. Destructeur quand tu es dans le système, inutile depuis l’extérieur.
Concrètement, si je ne m’abuse, (mais j’ai pas vraiment suivi les derniers détails) les premiers rapports de la faille de Sony étaient un piratage “depuis l’intérieur”, donc c’est en fait exactement le genre de faille qui aurait pu être utilisée dans le piratage de Sony.
Donc dans l’hypothèse (farfelue, je le conçoit parfaitement), ou l’attaquant aurait eut accès à cette faille “zero day” pendant tout le temps où Ms fait son patch il peut l’exploiter.
Maintenant si Microsoft considérait cette faille comme “prioritaire” (ce qui ne semble pas franchement être le cas), voyant qu’ils avaient loupé la deadline, ils auraient pu publier un hotfix vu qu’ils savaient que Google la publierait.
Le 20/01/2015 à 06h23
3 lignes et autant d’âneries, tu dois détenir un record d’une certaine manière
" />
Le 20/01/2015 à 06h26
Google a patché toutes les failles dans son Os.
LE souci c’est le business model qu’ils ont choisi pour Android laisse toute latitude aux OEM pour customiser l’OS, donc ils n’ont pas de latitude pour pousser un patch hors de :
Et justement la dernière news à la mode qui dit que Google ne “corrigera pas la faille sur les anciennes version” est juste la traduction de :
Ironiquement, donc, ça traduit une avancée par rapport à avant => maintenant ils peuvent AU MOINS patcher la webView … avant ils auraient dit “c’est aux OEM d’appliquer le patch”.
C’est con ? yep ! Ils auraient du faire un business model à la MS pour forcer les OEM à utiliser à 95% leur design de réference ? sans doute.
En attendant leur business model leur donne des parts de marché confortable. On verra si le business model de Microsoft arrivera à remonter la pente.
Le 20/01/2015 à 06h38
Le 20/01/2015 à 07h29
Je ne connais ni l’étendue ni la complexité du code incriminé, mais ça ne devrait pas leur prendre autant de temps.
C’est peut-être encore du code hérité des anciens process de production.
Le 20/01/2015 à 07h43
Le 20/01/2015 à 15h40
Je parle toujours pas du travail des dev, mais d’une stratégie décidée par MS pour ne pas répondre.Mais apparemment les devs qui fréquentent ce sites souffrent d’un tel complexe, qu’ils se sentent martyrisés même quand ils ne sont pas concernés
Et non, je ne suis pas pro libre, je m’en bats les steacks et si la faille apparaissait dans une distribution avec des salariés (Red Hat, par exemple), je tiendrais le même discours.
Quant à postuler… Pourquoi pas… Mais mes sujets actuels, s’ils payent beaucoup moins, me stimulent beaucoup plus que d’essayer d’expliquer à une direction générale d’un grand groupe du soft qu’ils devraient revoir leur sens des priorités, avec diagrammes et chiffres à l’appui. Me battre contre des vrais problèmes est plus sympa que d’essayer de convaincre un fou de ne plus se tirer dessus tout seul.
Le 20/01/2015 à 15h43
Le 20/01/2015 à 17h52
Oui, très balèze
" />
" />
Ou peut être que je sais malgré tout de quoi je parle
Le 20/01/2015 à 21h13
That’s very cool here!
Ok, you’re right we will try to modify our process to make you proud to use W7 again. I’m so sorry for all these new lazy young developers. No stocks for Nadel this year. That’s right our market share is so huge (90 percent) that we thought that’s possible to abuse our clients but today you threat us with IOS and Android. Of course not afraid by Linux communist unpaid mad guys. Lucky John Doe can’t believe that 5 days is possible, so we can continue to mew.
Reboot first, think afterwards!
Le 20/01/2015 à 22h48
Le 20/01/2015 à 23h28
Le 21/01/2015 à 14h12
je suis trop vieux, je me résigne devant la bêtise 
" />
Le 21/01/2015 à 14h18
Ben là vu que c’est dans les couches basses de Windows aucun utilisateur ne peut s’en protéger sans patch MS je pense au risque de pourrir l’exécution des programmes…
Faire de la publication non qualitative de vulnérabilités à 90 jours est bien une connerie dogmatique, ni un moyen de changer l’admin sys mondialement, ni un moyen d’obliger la concurrence à bosser plus vite. C’est de la connerie pure (et probablement pleine d’arrières pensées marketing).
Le 21/01/2015 à 14h23
Et pour tes collègues le fait de publier des vulnérabilités publiquement n’est pas un souci juridique?
Le 21/01/2015 à 14h38
Le 21/01/2015 à 14h39
Alors dans ce cas précis, la faute ne revient pas entièrement sur MS.
Certes MS était au courant de cette vulnérabilité depuis longtemps, mais ils ont pas refusé de la corrigé. Ils l’ont ajouté à la liste des vulnérabilités détectées à corriger. Alors oui, 5 mois ça fait long mais on va juste rappelé que entre octobre et février MS a corrigé 28 vulnérabilités dont 13 critiques. Ils se sont pas juste dit “on va attendre qu’il ait un vrai problème pour la corriger”
Ensuite juste, la faille a été exploitée via du phishing d’utilisateur possédant des droits administrateurs… Sérieusement ? A aucun moment on se dit que quelque part ces gens sont cons ?
Après celle que tu cite en particulier est critique et aurait du être corrigé rapidement je suis d’accord.
Mais celle de l’article est loin d’être critique et peut bien attendre février.
Le 21/01/2015 à 14h41
El l’occurrence dénigrer les gens n’est pas un argument.
S’il y avait un dev noyau windows dans les commentaires on peut présumer que la personne se serait exprimée.
Maintenant sans être expert sécurité ou dev noyau windows tu peux comprendre comment marche un ordinateur, comment marche l’adressage mémoire, et comment fonctionnent les OS et en déduire assez facilement qu’une faille impactant un composant aussi universel que les droits d’accès à la mémoire vive est moins simple à patcher sans affecter tout l’écosystème Windows qu’un dépassement de tampon dans un pilote d’imprimante…
Potentiellement tout un tas d’autres composants système ne fonctionnent plus si on bloque la faille et doivent être redéveloppés intégralement. Et là c’est plus de trois mois de correction sans que ça ne soit choquant, anormal, le fruit d’un laxisme ou d’une incompétence particulière chez Microsoft.
On peut présumer qu’ils n’ont pas envie que leur OS soit une passoire et donc leur accorder le bénéfice du doute.
Le 21/01/2015 à 14h45
Le 21/01/2015 à 14h51
Toi? tu bosses sur le noyau des produits MS ?
Le 21/01/2015 à 14h52
Le 21/01/2015 à 14h58
Han mais le monde Unix est (à raison d’ailleurs) bien plus cloisonné niveau droits et bien plus modulaire.
" />
Tu dois le savoir forcément
Et le délais de correction te semble anormalement long néanmoins?
Le 19/01/2015 à 13h30
oui sur que ça doit être simple à corriger
Pour certaines ok pour d autres ….
Le 19/01/2015 à 13h31
Le 19/01/2015 à 13h32
Chez Google on dirait qu’ils ne savent pas comment marche la gestion de projet informatique…
3 mois pour corriger une faille de ce type sur un OS, ça me parait limite impossible sans risquer de foutre en l’air des tonnes de trucs à côté.
Après MS n’est pas forcément clean non plus, mais la moindre des choses serait de se mettre d’accord sur une date de correction, puis si la date est dépassée balancer le truc publiquement. Car la solution arbitraire me semble un peu radicale.
Le 19/01/2015 à 13h32
Quel est l’intérêt de dénoncer publiquement les corruptions des politiciens ?
Le 19/01/2015 à 13h33
Le 19/01/2015 à 13h34
Peut etre que MS n’a plus de PQ pour bouché les failles !
Le 19/01/2015 à 13h34
Le 19/01/2015 à 13h36
Ah oui comment ? (ne pas répondre cyano machin truc rom bidule chose)
Le 19/01/2015 à 13h36
Le 19/01/2015 à 13h37
Le 19/01/2015 à 13h37
Le 19/01/2015 à 13h37
Le 19/01/2015 à 13h37
Le 19/01/2015 à 13h38
Le 19/01/2015 à 13h39
Le 19/01/2015 à 13h40
Je ne vois pas la différence entre un ordinateur et un smartphone si ce n’est que le smartphone est un ordi embarqué. Il fonctionne sur le même principe.
De plus le verrouillage de l’os par les constructeurs empêche la mise à jour sauf autorisation du constructeur. (flash du bios, root et cie ne rentrent pas dans les solutions standards)
Le 19/01/2015 à 15h06
Le 19/01/2015 à 15h06
Le 19/01/2015 à 15h07
Ces environnements sont encore plus fermés que ceux de MS ! Un téléphone qu’on ne peut plus mettre à jour au bout de 2 ans après sa sortie commerciale, c’est du n’importe quoi.
Et bizarrement, Google ne cherche pas à arranger la situation auprès de ses partenaires, parce que ça le concerne pas et qu’il s’en fout.
Le 19/01/2015 à 15h08
Le 19/01/2015 à 15h09
Le 19/01/2015 à 15h09
Le 19/01/2015 à 15h10
“la faille à combler” -> le dev hors RTU.
Tests unitaires, le patch mis en place ne plante pas.
Tests de régression, on n’a rien pété qui fonctionnait AVANT
“les test sur x config différentes hardware + logicielles” -> Tests d’intégration
“validations de process” -> Etapes purement administratives.
Ce sont bien des choses distinctes.
Le 19/01/2015 à 15h10
Le 19/01/2015 à 15h10
Le 19/01/2015 à 15h11
J’ai jamais dit ça. Mais tu tiens un raisonnement plus ou moins radical, je te présente son équivalent de l’autre camp.
La meilleure solution aurait été que les deux boîtes travaillent ensemble sur la gestion du patch. Pas que l’un joue au con avec l’autre (que ce soit MS qui prenne son temps ou Google pour qui l’heure c’est l’heure et rien d’autre)
Le 19/01/2015 à 15h11
Si c’est le cas, si le mec qui a un coffre fort n’est pas irresponsable, il sera heureux de savoir que les données de son coffre sont en danger, et fera tout ce qu’il peux pour sortir ses données de ce “coffre en papier” pour les mettre dans un vrai coffre le temps que la faille soit corrigée.
Oh on peut faire une parallele ! Les administrations/sociétés peuvent étudier la faille et voir à sécuriser les accès si c’est possible. Dans ce cas, si c’est une élevation de privilége si les données sont trop critiques, un admin consciencieux peux bloquer les acces externes le temps que la faille soit corrigée.
Il sera heureux d’être mis au courant pour ne pas se retrouver “3 mois apres” quand MS aura réussi à corriger sa faille, pour s’appercevoir que ses données ont été pillés à l’occasion d’une Zero day …
Le 19/01/2015 à 15h11
Difficile de juger MS ici, sans plus de détails sur les raisons du report de cette MAJ, même si 3 mois semblent une éternité.
Le 19/01/2015 à 15h12
Le 19/01/2015 à 15h12
Le 19/01/2015 à 15h13
Ben si ce sont des frontends que ta solution c’est de les mettre hors ligne, ça va être beau.
" />
Le 19/01/2015 à 15h14
Si tous les dev faisaient de meme, tout le monde se bougerais un peu plus le fion, niveau patachage de failles.
Ca reviens plus ou moins a faire du debug gratuit pour des concurrents.
Le 19/01/2015 à 16h19
Le 19/01/2015 à 16h20
Pardon, j’avais pas compris que sur les 90 jours laissés, c’est les 2 ou 3 dernièrs jours les plus importants …
à moins que … comme tout être humain, on commence à bosser serieusement sur quelquechose que “juste avant la deadline”, et du coup au 1er souci on se retrouve à la bourre … donc c’est pas 2 jours de plus qui changeront grand chose …
Le 19/01/2015 à 16h23
J’ai peur que tes interlocuteurs, qui ont déjà lu au moins trois fois cette information dans les commentaires précédents ne fasse obstruction mentale juste pour pouvoir dégueuler sur les vilains Microsoft…
Le 19/01/2015 à 16h25
Bon alors je t’explique : quand je parle négociation, ça sous-entend qu’on cherche un accord sur la base du donnant-donnant. Rien ne dit que Microsoft pourrait se permettre n’importe quoi dans cette négociation, Google peut tout à fait exiger des preuves que ça avance et des justification des délais avant de donner son accord.
Quelque chose de pas complètement binaire, quoi.
Après, c’est pas certain que Microsoft accepterait de jouer le jeu (si j’étais dev chez MS, ça me ferait mal au fondement de devoir rendre des comptes à Google!).
Le 19/01/2015 à 16h26
Ca envoi du lourd ici
" /> .
A la place de Microsoft je sort le patch et si il y a effet de bord je fait une annonce pour remercier Google d’avoir mis en danger les OS. Parce qu’encore parler de Mme Michu soit … Mais le pire dans l’histoire c’est de divulger un faille qui va potentiellement affecter des entreprises ….
Je suis sysadmin et quand je lis ça je me dis : Heu vu le comportement de Google qu’ils aillent se faire me… pour que je déploie de leur solution chez moi.
De plus Microsoft sait sortir des patch en dehors du Tuesday Patch …. Arrêtez de délirer que c’est une fois par mois. Si ça se trouve elle sortira en dehors du cycle !
Enfin bref c’est le pot de terre contre le pot de fer ! comme d’hab. Microsoft est et trainera toujours son image de méchant et Google son image de gentil qui vous veux du bien.
Le 19/01/2015 à 16h26
Le 19/01/2015 à 16h35
Je fais du bruteforce, je change la formulation à chaque message des fois qu’à un moment ça fasse tilt ^^”
Ou alors je dois leur dir d’aller voir la différence entre le code de Linux et celui de openSSL pour qu’ils aient un ordre de grandeur
Le 19/01/2015 à 16h42
L’exploitation de la faille n’a pas l’air si simple.
Chez moi sur un 8.1 l’outil de test de la faille ne marche pas
Le 19/01/2015 à 16h43
Nan ce qui compte c’est la p* de date fixe des patch tuesday. C’est ce qui fait leur valeur.
Mais réveille toi ! Tu crois que si MS commencait à sortir des patch au pif en permanence les boites se mettrait à jour aussi tôt ? Tu as vu le peu de motivation que mettent les intégrateurs mobile à diffuser les nouvelles version d’android alors que tu en as 3 fois par an ?
Si tu veux le “bien commun”, tu veux une solution applicable, ce qui veut dire applicable en entreprise. Et “une fois par mois”, c’est applicable. “Quand je veux” ca ne l’est pas. Donc MS se doit d’avoir un calendrier fixe et les patch tuesday en font parti depuis des années.
Le 19/01/2015 à 16h45
Le 19/01/2015 à 16h49
Le 19/01/2015 à 16h51
Très bien Google !
Microsoft doit apprendre à être plus réactif dans ces développements. Quand on voit la vitesse avec laquelle Internet explorer a évolué (et évolue) on commence à croire que Crosoft vit encore dans les années 90 lorsqu’il fallait une release de produit chaque 3 ans (ou chaque 10 ans pour XP :P)
Aller Crocro, au boulot !
Le 19/01/2015 à 16h51
Le 19/01/2015 à 16h52
Le 19/01/2015 à 16h56
C’est de la gestion de risque après.
Est ce que MS prend le risque de sortir un patch corrigeant la vuln mais faisant planté un poste sur deux, ou alors MS se dit que de toute façon la faille reste compliqué à trouver ET à exploité, et que du coup ils peuvent prendre leur temps et s’assurer que le correctif ne fait pas régresser le système.
Le 19/01/2015 à 17h28
Le 19/01/2015 à 17h29
Le 19/01/2015 à 17h32
Le 19/01/2015 à 17h33
Le 19/01/2015 à 17h36
Le 19/01/2015 à 17h41
Le 19/01/2015 à 17h41
Le 19/01/2015 à 17h42
Le 19/01/2015 à 17h50
Le 19/01/2015 à 18h00
Le 19/01/2015 à 18h02
Le 19/01/2015 à 18h07
Le 19/01/2015 à 18h19
Merci pour les utilisateurs et clients.
Le 19/01/2015 à 18h27
Pour moi la reponse est claire : si microsoft n est pas assez bon dans sa reactivite , google est clairement un malfaisant que je boycotte auant que possible !
Le 19/01/2015 à 19h04
90 jour c’est une “deadline” pas une “cible”.
Petit rappel du concept de “responsible disclosure” :
Hackers and computer security scientists have the opinion that it is their social responsibility to make the public aware of vulnerabilities with a high impact. Hiding these problems could cause a feeling of false security.
Alors, oui, il semble que cette partie manque : “[…] the involved parties join forces and agree on a period of time for repairing the vulnerability and preventing any future damage. “
Autant la soltuion de Microsoft étant : laissez nous tranquille, vous vous asseyez sur la faille (http://technet.microsoft.com/en-us/security/dn467923 ), le temps qu’on fasse notre boulo, j’ai des doutes qu’un “accord” soit possible … Google veux du “responsible”, Microsoft du “Coordinated” …
Maintenant si c’est pour se retrouver avec une faille en “zero day” qui avait été remontée 6 mois avant :
http://searchsecurity.techtarget.com/news/2240221143/Microsoft-fails-to-address-…
Le 19/01/2015 à 19h06
Et je sais que c’était “la” chose que tu attendais pour finalement te décider à boycotter Google 
" />
Le 20/01/2015 à 08h13
Donc en gros, tu ne connais rien du problème (comme tout le monde ici), mais tu es malgré tout sûr que ça ne devrait pas être aussi long. Balèze quand même …
Le 20/01/2015 à 09h14
Donc on a une entreprise privée qui a sur un outil de tracking une faille que tu dis critique, avec différents employés qu’on ne peux pas controler completement, avec un système qui peut tres bien avoir des failles de sécurité …
et on laisse trainer 3-6 mois sans prévenir personne alors que la faille est (comme tu le dit, encore) critique ?
Est ce que c’est la solution idéale ? non. Est ce que c’est une solution pour mettre la pression sur Ms pour publier au plus vite un correctif. Assurement.
Le 20/01/2015 à 09h15
Le 20/01/2015 à 09h24
Et quand MS dit que le correctif est prêt mais qu’il est pas encore publiable pour des soucis de compatibilité, est-ce que c’est la bonne solution pour se foutre royalement de centaines millions d’utilisateurs et les mettre encore plus en danger qu’ils ne l’étaient ? Assurément.
Le 20/01/2015 à 09h28
Encore une fois, 90 jours c’est la deadline, pas la cible.
Le 20/01/2015 à 09h29
AOSP n’envoit aucune données. C’est quand on ajoute les play services et qu’on inscrit son compte Google, par contre 
" />
Le 20/01/2015 à 09h31
Mais on s’en fout de cette deadline. Elle a été fixée arbitrairement sans aucun fondement autre que la volonté de google qui se prend pour un spécialiste de la sécurité.
Si demain google a encore plus envie de faire chier le monde et la fixe à 3 jours “parce que ca doit être facile à réparer quand même” (comme le disent tous les experts ici présents), on fait quoi ?
Le 20/01/2015 à 09h37
Le 20/01/2015 à 09h38
Le 20/01/2015 à 09h43
Le 20/01/2015 à 09h45
Le 20/01/2015 à 09h46
Alors vu qu’apparemment tout le monde est expert dans la correction de failles de sécurités de bas niveau (mais que personne n’a jamais du lire le post de Google), voilà ce que l’on sait sur la failles en question :
This might be an issue if there’s a service which is vulnerable to a named pipe planting attack or is storing encrypted data in a world readable shared memory section.
Donc déjà la faille pourrait être un problème si les services qui utilisent la fonctionnalité en question sont vulnérable à une attaque spécifique (j’ai pas réussi à trouve de détail sur cette attaque) ou qu’il stocke des données chiffrées dans des sections de mémoire partagées lisibles par tous (coucou je garde mon coffre fort juste à côté de ma boite aux lettres).
Bref si MS voulait faire son “Google”, il pourrait très bien dire : “nos services utilisant cette fonction sont sécurisés et donc non vulnérables, c’est aux développeurs de faire attention à ce qu’ils font”.
Pour revenir sur mon argument principal, on a donc une vulnérabilité exploitable uniquement dans 2 cas bien précis, qui ne (contrairement à ce qui a été dit) permet une élévation de privilège que très limitée (un attaquant ne va pas pouvoir devenir admin de la machine grâce à ça), et touche une fonction qui est très certainement utilisée par plein de services différents. Donc le moindre changement pourrait causer un dysfonctionnement des services qui l’utilisent.
Il est probable que MS soit également obligé de modifier le code de tous ses services utilisant cette fonction.
Donc au final la vulnérabilité reste assez difficile à exploiter (difficile à industrialiser et à produire des script en masse), et la charge de travail nécessaire pour fournir un patch qui ne plombe pas tout l’OS peut dépasser les 3 mois.
Le 20/01/2015 à 09h48
wtf 
" />
" />
Voilà sans doute l’analogie la plus bidon au monde
Google n’a pas volé de données … techniquement Google a annoncé que cette faille avait un potentiel de mettre en danger les utilisateurs, et a dit que si des actions n’était pas prise pour corriger cette faille sous 90 jours elle sera publique.
Si tu donne une faille dans le fonctionnement de la sécurité d’une voiture qui permet de faciliter grandement le car jacking, que tu prévient le constructeur -et qu’il a un moyen de corriger (genre update du firmware sur internet)- , je ne considère pas que c’est une prise d’otage que de dire : sous 90 jours je publie la faille .
Le danger est là, il est réél, n’importe qui peut le trouver, et les impacts potentiels sont largement plus importants que de se faire voler une voiture.
Quand tu vois les dégats qu’on fait l’attaque sur Sony ..
Le 20/01/2015 à 09h49
De tout façon, je pense qu’on va devoir s’accorder sur notre désaccord 
" />
Le 20/01/2015 à 09h55
Le 20/01/2015 à 09h57
J’ai trouvé des trucs sur les “Named Pipe Attack”
Alors apparemment ce sont des attaques qui sont connues depuis assez longtemps sur les systèmes Windows, et MS a publié il y a quelques années (au moins 8 ans) des mesures de protection permettant de se prémunire contre elles.
Donc j’ai envie de dire que si des devs créés des services Windows vulnérables sans utiliser les outils fournit par MS… C’est de leur faute si cette vuln’ est exploitable.
Le 19/01/2015 à 13h53
Le projet Android (AOSP) est open source.
La version Android présente sur la majorité des smartphones avec les services/features/API de Google, elle ne l’est pas (ou alors très peu). Et c’est celle là qui est le plus utilisée.
Le 19/01/2015 à 13h54
Google, inspecteur des travaux finis.
" />
Le 19/01/2015 à 13h55
L’intérêt de divulguer les failles quand elles sont corrigées, c’est la connaissance. Typiquement si tu veux faire de la recherche en sécurité, comprendre comment les autres ont fait avant toi c’est un bon moyen d’apprendre plus vite et de trouver des méthodes plus générales.
Les divulguer avant qu’elles soient corrigées, deux possibilités : si tu les vends, ça peut valoir cher, si tu les mets en ligne gratuitement, ça montre que tu as la plus grosse.
Le 19/01/2015 à 13h55
Le 19/01/2015 à 13h57
Le 19/01/2015 à 13h57
J’ai l’impression que celui qui commente le plus cette news n’est pas forcément celui qui en connaît le plus sur le sujet
" />
Le 19/01/2015 à 14h00
Le 19/01/2015 à 14h00
Le 19/01/2015 à 14h00
Qui te dit que je suis Normand ?
" />
Le 19/01/2015 à 14h01
Le 19/01/2015 à 14h01
Le 19/01/2015 à 14h01
Le 19/01/2015 à 14h02
Le 19/01/2015 à 14h02
Cuck Norris patche les failles de sécurités avant même qu’elles n’aient été crées ;)
Le 19/01/2015 à 14h02
Le 19/01/2015 à 14h03
Cachez ce bug que je ne saurais voir
Le 19/01/2015 à 15h31
Sauf que ça aurait du sens de prendre en compte le fait que la faille est réellement traitée, et pas ignorée (ce qui est le but recherché). Dans les deux cas, google sait qu’un patch arrive “rapidement” (calendrier ms, donc dans le mois suivant le second mardi, car failles non critiques). Aucune raison raisonnable d’en douter.
Imposer son propre calendrier est une connerie, ils ont intérêt à être irréprochables de leur côté, sinon ça sent le retour de bâton …
Le 19/01/2015 à 15h32
Il me parait évident qu’il ne faut pas laisser trainer les failles pendant des mois, mais un peu plus de retenue me parait essentiel sur ce type de sujet qui peut avoir des conséquences énormes.
Genre là, si on regarde la faille et le truc que j’ai quoté dans mon message précédent, MS a répondu le 14⁄01 en disant que la correction avait pas pu passer ce mois-ci en raison de problèmes de compatibilité, mais qu’elle serait corrigée en février.
Ca me parait pas dingue dans ce cas précis de laisser plus de temps pour la correction, vu qu’il y a une réponse de MS comme quoi ils bossent dessus.
Après c’est sûr que s’ils refont le coup le mois prochain, à moins d’avoir une très bonne excuse, ça le ferait pas. Mais dans tous les cas je persiste à dire que publier le détail complet d’une faille reste du grand n’importe quoi, il y a moyen de publier moins de choses pour obtenir le même effet.
Le 19/01/2015 à 15h33
De se faire de la pub et de se venger, ils doivent pas avoir aimé les trolls que crosoft leur ont fait dans certaines de leurs campagnes publicitaires, Scroogle et tout ça ;)
Enfin moi je trouve ça dégueulasse personnellement, surtout que Android est pas non plus un modèle de sécurité car il y a des tas de terminaux pas a jours et qui sont tout de même largement utilisés…
Le 19/01/2015 à 15h34
Le 19/01/2015 à 15h34
Le 19/01/2015 à 15h35
Encore une fois, si c’était une zero day active et que des machines étaient entrain de se faire hacker, est ce que Ms aurait “attendu encore un mois” ?
Le 19/01/2015 à 15h36
Le 19/01/2015 à 15h37
Le 19/01/2015 à 15h38
Ou bien Google met une double deadline : 3 mois pour qu’on leur propose un patch, jusqu’à 3 mois de plus négociable si les travaux avancent (genre si le patch existe mais n’est pas encore validé).
On est pas obligé d’être binaire dans la vie.
Le 19/01/2015 à 15h38
non, ms fait dans ce cas un patch rapide, sans les tests longs que ça implique, donc potentiellement des soucis sur pas mal de postes, mais qui corrige la faille, et un patch correctif ensuite pour stabiliser le tout. Mais ils vont pass ‘amuser à casser des machines chez les clients toutes le semaines … Donc ils ont un rythme plus lent, et plus de tests pour éviter les milliards de trucs qui peuvent foirer ..
Le 19/01/2015 à 15h39
car on n’a pas d’argument … Donc il faut inventer
Le 19/01/2015 à 15h41
Ça n’explique toujours pas pourquoi le date de parution d’un post sur un blog a plus d’importance à 2 jours près que la sécurité de centaines de million de PC…
Avoir des deadlines est nécessaire pour faire bouger l’éditeur concurrent, que cette deadlines ne puisse pas s’adapter a un minimum de contraintes pointe une certaine irresponsabilité chez Google …
Apres MS n’est pas tout rose non plus … Vu leur implantation dans l’informatique professionnel et grand public, avoir un “jour de patch” qu’une fois par mois n’est plus adapté … Peut être qu’en avoir 1 toutes les 2 semaines serait déjà plus intéressant sans avoir a prendre au dépourvu toutes les équipes d’admins du monde professionnel avec des parutions surprises.
En tout cas, personnellement, j’ai l’impression que ça montre clairement que Google n’agit pas comme une société de software et qu’elle n’en a strictement rien a foutre du monde de l’entreprise (et les DSI qui ont opté pour une flotte de Samsung bas de gamme sous Android <4.4 peuvent l’attester ..).
Le 19/01/2015 à 15h43
Mais j’en sais rien, tu n’en sais rien et Google non plus n’en sait rien.
La situation ne se pose pas, donc on ne peut qu’imaginer la réponse. Si ça te réconforte, tu peux croire que MS envoie chier Google et ses clients parce qu’ils le peuvent, et que Google est un philanthrope qui fait ça uniquement avec des bonnes intentions.
Moi je vais partir la solution la plus simple : MS travaille aussi vite que possible, et si en 3 mois ils ont pas sorti le patch, qu’ils ont prévenu Google, c’est pas parce que Google publie la vuln que le correctif sortira plus vite.
C’est même irresponsable de la part de Google. Si dans un autre domaine, un concurrent allumait un feu chez son concurrent parce que des règles de prévention anti-incendie n’ont pas été respectée, je suis sûr qu’on se poserais pas la question : mais si c’était un vrai incendie est ce qu’ils auraient pas réagit plus vite ?
Le 19/01/2015 à 15h44
Le 19/01/2015 à 15h45
Traduction : on est passé officiellement à 6 mois … vu qu’on leur offre 3 mois, Ms dira toujours “on travaille dessus”.
Le 19/01/2015 à 15h48
C’est quand même marrant de se prendre la tête sur un truc où l’équipe à l’origine de la parution dit elle-même qu’elle étudie l’inpact de leur politique de 90 jours et voir si elle a besoin de la faire évoluer.
L’équipe de Goolge a moins de 10 mois, et jusqu’à présent j’ai pas l’impression que leur politique de 90 jours ait posé problème. Pourtant c’est pas le seul bug qu’ils ont publié avant qu’il ne soit corrigé.
Le 19/01/2015 à 19h57
La réponse de ms a été : “on a bossé dessus et on déploie le patch dans 2 jours, vous pouvez attendre deux jours ?”
et cette fois : “on a fait un patch mais si on l’envoie tel quel, ca flingue une partie des machines sur lesquelles il va être déployé, vous pouvez attendre le temps qu’on fixe ca ?”
Alors qu’à chaque fois celle de google a été : “gnagnagna on entend pas, fuck tout le monde”
Bref, yen a un des deux qui essaye de limiter les dégâts (pas assez vite au gout de l’autre), et l’autre que ca ne dérange pas de mettre des milliards d’utilisateurs en danger (que ce soit en divulguant des failles des autres, lu en ne patchant les siennes).
Le point positif de ces histoires, c’est que de plus en plus de gens commencent à voir le vrai visage de google, loin de l’image de chevalier blanc que beaucoup en ont.
Le 19/01/2015 à 20h07
On parle de faille qu’existe depuis au moins 4 ans… Ou des fois depuis XP c’est pas un mois qui va changer quelque chose.
Sinon les antivirus ne corrigent pas les failles, ils ne font , dans la majorité des cas, que scanner ton PC avec les “signatures des virus connus”.
Donc divulguer la faille ne changera pas grand chose pour eux.
Et pour les IDS c’est la même chose.
Quand aux admin sys, ils se disent qu’il va encore falloir redémarrer leurs WS2003 et que ca va encore être la galère.
Perso je pense que comme tout décision radicale et généraliste, elle est complètement stupide. Et elle peut pousser n’importe quelle boite à faire moins de test avant de pousser la MAJ et de se retrouver avec des millions de PC transformés en brique à 500$
Le 19/01/2015 à 20h10
Ah qu’il est bien loin le “don’t be evil” …
Le 19/01/2015 à 20h33
Le 19/01/2015 à 21h12
Non je boycotte depuis longtemps…. mais il est toujours bon de rappeler aux fan boys bien naif à quel point google est evil,
Le 19/01/2015 à 21h59
Sérieusement: il y en a qui croit réellement que Google fait cela pour le bien de la collectivité ?
" />
Le 19/01/2015 à 22h04
Non, ce qu’a dit Google c’est : il faut que ça soit corrigé avant dans 90 jours
" />
Ms a dit : non, vous allez attendre qu’on ait fini
Google a dit : 90 jours
90 jours arrive, Ms a pas fini, ils disent : au sujet des 90 jours, ça passera pas
Et Google s’en est tenu à ce qu’ils ont dit depuis le début … c’est con ? Yep.
Ca fait chier MS ? yep
Mais la prochaine fois Quand Google dira 90 jours, ils mettront pas une étoile sur +90, mais sur +60
Le 19/01/2015 à 22h05
Mais non. Ca leur fait de la pub à Google.
Au bout d’un certain moment ils vont publiés leurs stats disant : “Alors MS a été prévenu x fois, n’a jamais corrigé y vuln, et à mis plus de 3 mois à corriger z vulns.
Vous voyez ? Nous on les prévient, on leur laisse 3 mois pour tout corriger et eux ils se permettent de faire les difficiles”
Le 19/01/2015 à 22h09
Non, clairement c’est une méthode pour mettre la pression à Ms et faire passer un message de “les experts en sécu sont chez nous”, donc ils se font une image de boite sécure et pourraient même attirer des jeunes talents.
" />
Ils dépensent du fric pour payer les chercheurs, ils trouvent de vrai failles, qui “au final” améliorent la sécurité de leurs produits et des produits concurrents.
Derrière ils mettent en place des deadline “réalistes” (vu qu’on me dit qu’il suffisait de 2 jours et pouf, c’était parfait) et font de la news dessus … où c’est eux qui sont les experts et Ms les “mauvais élevés”.
C’est toujours mieux que de dépenser des dizaines de milliers d’euro pour faire des pubs pour dire à quel point le concurrent est EVIL
Le 19/01/2015 à 22h17
Le 19/01/2015 à 22h46
La question est bonne …
" /> on ne fait pas news plus délicieuse … (surtout après la série de mauvaise news autour de la sécurité de “bases de l’open source” 
" />).
" /> … mais d’un sens pas mal de DSI de grosses boites doivent se dire que si on peut éviter d’avoir une faille critique qui traine 3 mois sur le bureau de devs de MS pendant que des pirates sont entrain de me violer mes données “Sony Style” ils seraient pas contre 
" />.
Pour moi les experts en sécurité sont plutot du coté de Google (mais si je suis d’accord que ca reste discutable), parce que voir Ms ne rien faire sur une faille de sécurité remontée il y a plus de 3 mois doit faire “bouillir”.
La communauté “Open source” doit être entrain de mouiller leur pantalon
Les entreprises ça doit être bien moins positif
Au moins publier clairement quels sont les risques et si c’est “trop grave” potentiellement fermer des services (comme avec Sony par exemple). Quand on voit le “full disclosure” de HeartBleed, ça a fait un SACCRE bordel, mais au moins tout le monde a pris ses responsabilités.
Reste pour moi l’image du :
Le 19/01/2015 à 22h48
Je ne comprends vraiment pas l’objet de vos disputes.
" />
" />
Une faille de plus ou de moins dans Windows…
Le 20/01/2015 à 00h01
La “communauté” open-source s’en contre-fout tout du moins en tant que majorité. Et ils pensent pas tous pareil, truc énorme.
Les experts en sécurité ne sont pas “plutôt” du côté d’android. En tout cas pas depuis que microsoft à décider de se charger de sécuriser ses OS et une bonne partie du web (après plus ou moins que google…)
Les failles 0-day qui ne sont pas en “full-disclosure” ne sont généralement pas celle utilisées par les scripts kiddies pour pirater le site web du DSI moyen. Une 0-day sur windows non découverte ca tournait dans les 100k$ au marché noir l’année dernière.
Sortir un patch de chiffrement de la mémoire (je suis pas dev, je suis p-e le seul dans les commentaires à ne pas être à la fois dev, expert sécu et ingé sys) et s’assurer que ca transforme pas ton PC en brique ca m’étonnerait pas que ca prenne plus de 3 mois.
Y’a strictement aucun rapport avec l’affaire sony.
Tout le monde n’a pas pris ses responsabilités sur heartbleed une partie des serveurs sont encore exploitable.
Pour résumer :
Le 20/01/2015 à 00h16
Le 20/01/2015 à 00h18
Le 19/01/2015 à 14h20
S’ils se concentraient sur la résolution des failles au lieu de s’en gueuler
Le 19/01/2015 à 14h23
Ca va se terminer en procès, et j’espère bien que Ggle va s’en prendre plein la gueule, parce que là c’est vraiment abusé je trouve.
C’est un peu comme si moi je publiais sur internet “mon voisin qui habite XXXX a un coffre fort plein à coté de ses toilettes et la fenêtre de ses toilettes a un petit trou qui permet de faire passer un fil de fer qui permet d’ouvrir la fenêtre, et sinon il a le système de protection YYY qu’on peut couper en envoyant un petit hélico par le conduit d’aération”.
Ah oui c’est légal, je n’ai rien fait de mal…
Le 19/01/2015 à 14h23
Le 19/01/2015 à 14h24
Le 19/01/2015 à 14h27
Concernant la sécurité d’un produit commercial utilisé massivement dans le monde… Je dirais que l’initiative est pas totalement scandaleuse.
Le 19/01/2015 à 14h28
Le 19/01/2015 à 14h32
Le 19/01/2015 à 14h41
Le 19/01/2015 à 14h42
Le 19/01/2015 à 14h46
Pour comprendre un peu la position de Google (ou du moins du Project Zero) sur le sujet (en anglais) :
Google
Le 19/01/2015 à 14h48
Tu veux dire comme les patchs pour shellshock ou heartbleed qui sont sortis en quelques jours mais ne corrigeait pas le problème ? Les vrais patchs sont sortit plusieurs semaines plus tard.
C’est bien beau de gesticuler pour faire croire qu’on est au taquet, mais la réalité c’est qu’à ce niveau de complexité la un correctif ça ne se fait pas en quelques jours, que ce soit linux ou windows. Il ne faut pas croire que les devs systèmes sont des crétins, faire du bon travail prends juste du temps.
Le 19/01/2015 à 14h48
C’est vrai que personne n’achète de smartphones sortis il y a 1 an ou 2 pour des raisons de coût, forfait subventionné ou non.
" />
Le 19/01/2015 à 14h49
Facile, La plupart des gens ont un logement et ont généralement des biens de valeur. une personne bien organiser peut évaluer le moment où l’occupant es régulièrement absent. La plupart des logement peuvent être forcer… etc etc…
Le 19/01/2015 à 14h51
Le 19/01/2015 à 14h52
Le 19/01/2015 à 14h52
ça reste triste car je doute sincèrement que le commun des mortels soit en mesure de passer sur cyanogen de manière autonome…
Et changer de modèle pour rester à la page…
Le 20/01/2015 à 10h02
Dans le cas présent, oui :)
Vu que le patch de MS n’est pas obligatoire pour se protéger de cette vuln. Une mise à jour du service qui empêche une exploitation via une Named Pipe Attack et qui stocke les données chiffrées sur des sections de la mémoire qui ne sont pas en accès libre, pourrait faire l’affaire)
Et c’est cohérent (dans le cas présent aussi) de la part de MS de prendre plus de 3 mois pour la corriger (pas très grave, et affecte tous les services utilisant la fonction de chiffrement de la mémoire)
Le 20/01/2015 à 10h24
Le 20/01/2015 à 10h34
Le 20/01/2015 à 10h50
M’enfin, comme la plupart des utilisateurs ne verront pas (immédiatement ou pas?) si leur bécane est devenu un zombie ou qu’ils sont en train de se faire “siphonner” leurs données personnelles et/ou leurs identifiants et mots de passe, impossible de juger de l’impact…
Il n’est peut-être pas indispensable de risquer de rajouter aux pirates “de métier” quelques paquets de script-kiddies qui viendront ajouter leur souk au reste, les mesures de sécurité palliatives étant hélas toujours totalement incompréhensibles pour le lambda, particulièrement en prenant en compte le fait que le nombre d’objets “connectés” par utilisateur grimpant à une telle vitesse qu’il n’aura bientôt plus matériellement le temps de s’occuper les mise à jour, de la sécurité et autres babioles…
On en arrivera bientôt à la véritable obsolescence programmée, car il deviendra dans certains cas impossible de réaliser une montée de version par sécurité, le matériel ne “suivant plus”. Cela a déjà été la cas pour les PC à une époque, et c’est hélas de plus en plus courant pour les smartphones…
Sur le fond, il ne faut pas rêver! Au niveau de la sécurité, nous n’avons pas en face un seul “grand méchant”, mais justement une accumulation de malfaisants qui cherchent en permanence, soutenu par l’argent illégal. La moindre porte entrouverte, et on augmente le nombre potentiel de malfaisants, justement lorsqu’en plus, on leur donne la clef!
Le 20/01/2015 à 10h53
je suis censé dire oui là ?
Le 20/01/2015 à 10h54
Le 20/01/2015 à 10h55
Le 20/01/2015 à 10h56
Dans l’absolue ils ont pas tort. C’est juste des conn*rd c’est tout ^^”
Peu importe l’argument d’un camp, il peut être utilisé dans l’autre : “Vous auriez pu attendre 2 jours de plus ça aurait rien changé”
“Ca fait longtemps que la faille existe, si on la publie 2 jours avant que le correctif ne sorte ça changera rien”
Si deux jours ne change rien dans les deux cas, ça fait quand même un peu “foutage de gueule de gamin” !
Par contre, je viens de remarquer. MS ne s’est jamais plein de la durée de 90 jours pour la correction des failles.
MS s’est plaint que Google a publié une faille 2 jours avant sa correction, mais il a jamais dit que 90 jours c’était pas assez. Il n’a jamais demandé à Google de ne pas publier la faille sur la fonction de chiffrement de la mémoire, il leur a juste dit : on a des problèmes, ça sortira en février point.
Mais le débat sur “est ce que 90 jours fixe est une bonne chose ?” mérite quand même d’avoir lieu (avec les concerné je parle).
Et j’aimerais aussi savoir si un jour Google trouve une faille très critique chez MS, mais également très délicate à corriger (qui se fait en plus de 3 mois), est ce qu’il la publiera quand même ?
Le 20/01/2015 à 10h59
Il y a quand même eu communication. Faut pas confondre avec un pauvre gars qui a envoyer X mail a MS pour signaler une faille sans jamais avoir de retour et que le mec publie la vuln au bout de X mois sans réponse.
Le 20/01/2015 à 11h05
Le 20/01/2015 à 11h39
Si, j’ai vu passer les résultats d’une etude sur une news d’un autre site (je sais plus lequel) qui montrait justement qu’une fois dévoilée, une faille était beaucoup plus exploitée (ce qui est totalement logique).
Le 20/01/2015 à 11h52
Ceux que ça choque, qui trouvent des excuses à MS “tu comprends, les tests de non regression, c’est difficile et long”, …
90j pour la première boite de soft au monde. Une élévation de privilèges à distance ne devrait pas être traité par l’équipe de stagiaires bulgaro-islandaise au fond d’une cave sombre, mais être une priorité absolue pour tous les dev’ devant les nouvelles fonctions ou les nouveaux produits. Ca, c’est que la sécurité est une priorité face au marketing.
Putain, heureusement que quand on détecte un risque sur la sécurité dans les autres secteurs technologiques, on ne dit pas au bout de 90j “on n’a pas eu le temps”. L’industrie du logiciel me rend toujours admiratif dans sa capacité à nous enfiler des excuses à la con et qui passe tranquillement sans toucher les bords.
Le 20/01/2015 à 12h18
J’ai noté qu’on compare beaucoup les déploiements d’Android et de Windows 7⁄8. Qu’en est-il pour Linux desktop (disons Ubuntu, Debian, Fedora, Mint) et OS X? Quel temps ça prend?
Le 20/01/2015 à 12h20
Pour référence, le CERT/CC ne laisse que 45 jours, qu’un correctif soit disponible ou pas, mais se reverse le droit de moduler en fonction des risques, et de l’importance du patch
Le 20/01/2015 à 12h28
Le 20/01/2015 à 12h48
Le 20/01/2015 à 13h09
Le 20/01/2015 à 13h11
Le 20/01/2015 à 13h24
Merci pour cette intervention, donc toi qui a l’air de bien t’y connaitre, est ce que tu pourrai nous donner la durer nécessaire a la correction de cette faille pour les versions n, n-1 et n-2 s’il te plait ?
De mon coté, je trouve que 90j selon la complexité de la faille et les process engagé, ça peut être un peu court (à moins de sortir un patch de porc a l’arrache qui risque de tuer les 3⁄4 de tes machines, dans ce cas ça peut être fait en 1 semaine), mais ça n’engage que moi.
Le 20/01/2015 à 13h29
Euuu si ! On a des infos sur la complexité de la failles. On a pas toutes les infos, il manque certains trucs notamment sur la complexité de la correction, mais on en a !
GoogleLes infos sont pas accessible au néophyte qui n’y connait rien en développement windows, en mécanisme d’authentification ou en sécurité, mais le billet n’est pas là pour ça.
Après l’initiative de Google est louable. Ils informent les boites de vulnérabilités détectables, exploitables et présentes dans leurs produits. Tout le monde est gagnant dans l’histoire.
Après, concernant l’ultimatum de 90 jours non négociable, quand le patch doit sortir 2 jours après je trouve que c’est vraiment pas cool de leur part.
Concernant la limite de 90 jours en règle générale, si personne ne s’en plaint, au final, pourquoi on irait gueuler ? (après quelques recherches, MS a uniquement reproché à Google de pas avoir attendu 2j avant de publier la vuln. Tout le reste, MS n’a rien dit)
Le 20/01/2015 à 13h32
Le 20/01/2015 à 13h52
Quand t’as pas loin de 100 000 salariés sous la main, il doit y avoir moyen de faire un paquet de test en finalement peu de temps. Au moins 100 000 par jour.
Il y a combien de fois 100 000 tests dans un dev de patch ? Disons 1 mois pour dev le patch, ça nous laisse tranquillement 6 millions de tests (à raison d’un par jour, toujours) avant la fin des 90j.
Je caricature ? Oui pas mal. Mais le principe est là : ils ont une putain d’armée pour faire à peu près ce qu’ils veulent. Et ce qu’ils veulent, ça ne parait pas être la sécurité. Merci à Google de faire la piqure de rappel. Enfin Google… et les autres, parce que Google n’est pas le seul laboratoire de sécurité informatique.
La fin justifie les moyens et des moyens, Microsoft en a… 100000 personnes, 21 000 000 000US$ de bénéfice net, 78 000 000 000 de tréso, … Et pas suffisamment de mec pour corriger une faille ultra critique en 90j.
Le monde du soft est vraiment constitué de magiciens.
Arrêtez de penser à vous et vos équipes de dev de 5-10-50 mecs, on parle de la gestion des priorités d’une boite. Je ne dis d’ailleurs pas que les ingé/dev MS sont des buses, moi c’est à la structure MS que je m’attaque et à sa gestion des priorités.
Le 20/01/2015 à 13h55
Et j’oubliais : la sécurité par l’obscurantisme (car c’est de ça qu’il s’agit en ne dévoilant pas les bugs), ça n’est pas de la sécurité. Au mieux, c’est du dogme, au pire de la bétise.
Dormez tranquille braves gens, la Police, l’Etat et Microsoft veille sur vous.
Le 20/01/2015 à 14h01
Le 20/01/2015 à 14h04
Le 20/01/2015 à 14h09
On peut supposer qu’il a fallut réécrire des services Windows pour corriger cette faille ^^”
Mais effectivement, on ne sait rien de ce qu’il a fallut être implémenté.
Sinon j’ai l’impression que tu confonds les deux affaires : le problème de divulgation de la faille 2 jours avant la publication du patch qui concerne une autre faille, et la divulgation de cette vulnérabilité sur la fonction de chiffrement de la mémoire où MS a eu des problème lors de certains tests et où ils décalent la sortie du patch aux mois de février (et vu les conditions assez stricts pour exploiter cette vulns, je vois pas le problème de décaler le patch à dans un mois)
Le 20/01/2015 à 14h15
Pour le développement de Windows 7 il y’avait 25 équipes d’une quarantaine de devs, pour Windows 8, 35 equipes de 25 à 40 devs, on est loin des 100 000 devs.
Les gens n’étant pas forcément interchangeable, y’a peu de chance que tu puisses débarqué un mec de l’équipe d’office en lui disant “bon maintenant tu vas me faire du test unitaire sur le kernel, ok c’est vrai que tu connais rien de l’archi interne, mais c’est pas grave, tu vas deviner”.
Le 20/01/2015 à 14h33
J’ai pas parlé de 100 000dev. Des dev, il en faut 1 pour corriger, et par nature celui qui a écrit la merde.
Donc 35 équipes de 25 à 40, soit en gros 1100 personnes, c’est pas assez pour mener des tests de non regression ? La qualité des tests, c’est que contrairement à l’écriture du code, ils peuvent être parallèlisé quasiment à l’infini.
90j pour corriger une faille critique quand on est une boite de 100000personnes et 21G$ de benef net, c’est plus qu’assez et ne pas l’avoir fait signifie UNIQUEMENT que les mecs étaient utilisés pour autre chose. C’est une question de priorisation dans la boite.
Après, lune doigt sage, tout ça. L’important dans mon message, c’était probablement les 100000 personnes.
Le 20/01/2015 à 14h44
Le 20/01/2015 à 14h46
Le 20/01/2015 à 14h59
je présume qu’ils ont une équipe pour les faille critique / zero day, qui est conséquente, et dimensionné pour répondre aux besoins de ces taches
Le 20/01/2015 à 15h30
A vrai dire j’en sais rien.
Mais si ce que tu dis est vrai, je pense que l’équipe est surtout dimensionnée pour répondre d’abord à des objectifs internes (x 0day trouvées/corrigées par an).
Il doit y avoir d’un côté les expert en sécurité pour trouver les failles et les mainteneurs Windows pour les corriger. Qu’une roadmap est défini pour corriger le plus vite possible les failles. Et quand Google (ou n’importe qui d’autres), leur présente une nouvelle faille il doivent faire un choix : ils la traitent après les autres ou avant ?
Donc je pense que le choix de MS se fait en fonction de la criticité des failles. C’est pour cela que la faille la plus importante a été corrigée en Janvier et que celle dont il est question dans l’article a un peu pris de retard suite à des soucis et qu’ils se sont permit de repoussé la sortie d’un patch en février.
Le 21/01/2015 à 15h08
Le 21/01/2015 à 15h10
Pas la faute de MS faut le dire vite quand même 
" />
" />
" />
" />
" />
" />
" />
" />), au moins proposer un hotfix (ce qu’ils ont fait tres rapidement après l’officialisation de la faille de sécurité utilisée).
Là où je veux en venir, c’est que les failles de sécurité non corrigés ne concernent pas seulement MS, mais tous les utilisateurs de produits Ms.
Du coup, la question est justement : si Microsoft est tellement débordé qu’il lui faut plus de 5 mois pour corriger une faille critique, il faut prévenir les admins que l’outil touché par la faille n’est pas sécure.
Alors oui, ça ferait chier Microsoft d’annoncer à tout le monde : il y a une faille critique dans IE installez Chrome ou Firefox (
Le 21/01/2015 à 15h16
Le 22/01/2015 à 13h44
A trop faire chier le monde, un jour le monde te chie dessus….
Le 22/01/2015 à 14h52
On parle d’expérience ? 
" />
" />
Tu as vu mon article comme quoi une faille connue chez Microsoft qui a trainé 5 mois a déclanché une serie d’attaque, entre-autre chez Google ?
Donc Google a toujours pas le droit de demander un délais “raisonnable” pour corriger une faille ?
Le 23/01/2015 à 14h50
Et la je te dirais : charité bien ordonnée commence par soi meme. Dans ce contexte, proposer une version 35 de son navigateur pour corriger les vers 1 à 34 n’est pas un comportement normal surtout vis à vis des entreprises. Quant à Android, c’est encore pire…. et des failles beantes existent depuis des années et Google nous sort que c’est la faute aux fabricants…. Heureusement que Microsoft ne nous dit pas que c’est la faute de HP ou de DELL
Le 23/01/2015 à 14h53
et je dirai : les correctifs sont là, les éditeurs Android se reservent le droit de modifier toute partie du code d’Android, donc Google n’a aucun pouvoir d’imposer une update.
Quand la régle est : pas touche, c’est les Google édition, et elles n’ont pas la faille.
Donc c’est aux OEM de faire le boulo, et pour le coup, ironiquement, Google est cohérent avec l’objet de cette news : les failles de sécurité d’Android sont “full disclosed” … Aux sociétés qui gérent les code de faire leur travail.
CQFD