Le 15/05/2014 à 15h 23

lincruste_2_la vengeance a écrit :



Les 10% c’est une spécification requise par MS pour la certification du jeu avant la vente.







non, c’est l’hyperviseur qui définit combien chaque VM peut utiliser.



avec le SDK actuel, c’est figé. En gros 90% pour la VM qui fait tourner le jeu, et 10% pour la VM Windows qui gère Kinect et les applis snappées genre IE ou twitch.



avec un futur SDK, les jeux pourront demander à l’hyperviseur de leur donner accès aux parties non utilisées des 10%, si aucune appli n’est snappée.

Le 15/05/2014 à 15h 16

Le revirement de politique engagé par Microsoft au sujet de Kinect pourrait avoir des conséquences bien plus importantes qu’une simple baisse du prix d’appel de la Xbox One. Jusqu’ici, 10 % des ressources de la console, (notamment côté GPU) étaient mises de côté pour les interactions avec Kinect et les développeurs n’y avaient pas accès pour d’autres fonctions. Mais cette barrière pourrait tomber.





cet article est complètement bidon.



bien avant l’annonce du SKU sans Kinect, il était déjà question d’un prochain SDK qui permettrait:

-d’utiliser dynamiquement une partie des 10% de CPU et GPU réservés à Kinect et au multitasking. Nul besoin de débrancher Kinect pour cela. Si le jeu n’utilise pas Kinect, Kinect ne consommera pas ces resources.

-d’utiliser plus facilement l’ESRAM. La première génération du SDK nécessite une prise en compte spécifique qu’ont ignoré certain devs. Et avec directx12 et ses different profils (qui automatisent plus ou moins la gestion des ressources memoire/gpu selon les souhaits des développeurs) on peut espérer que tous les jeux, même multiplateformes, tireront au maximum partie du hardware de la Xbox one.



bref, il y a des gains de perfs possible avec le HW actuel.



et mon opinion est que la Xbox one est avant tout une plateforme logicielle. Le matériel, lui, est à mon avis conçu pour évoluer sur les 10 prochaines années. On pourrait voir arriver une nouvelle version de la Xbox one tous les deux ans (sans changement de nom) avec un CPU/GPU plus rapide, plus de ram, un support du 4K, …



et les devs auront l’obligation de continuer à cibler toutes les versions de la Xbox one pour avoir le droit de publier leurs jeux.



en gros ce serait un peu le modèle du PC, mais avec la maitrise des composants spécifique aux consoles: tjs le même SDK, le même constructeur GPU (pour réduire les risques d’ incompatibilités).



ce qui me fait penser cela est le fait qu’avec le prochain SDK, les jeux devront tenir compte que les 10% de resources CPU/GPU seront parfois disponibles, parfois non (si une appli est snappé ou que le jeu est streamé via twitch). En gros, on s’éloigne de l’aspect traditionnel des consoles où les jeux avaient la garantie d’avoir toujours accès exactement aux mêmes resources CPU/GPU. Les devs n’ont donc plus le droit de coder comme des porcs avec des timers basés sur la vitesse CPU (les fans d’émulation en ont surement déjà fait l’expérience).



et vu la concurrence sur le marché des set top box, une évolution régulière du hardware me semble plus réaliste qu’un matos figé pendant 10ans sur les mêmes spécifications.

Le 29/04/2014 à 16h 54

concept a écrit :



Ben voyons.



Je suis parfaitement au courant du programme “Bullrun and Edgehill” et il n’en reste pas moins que l’open est la seule et unique voie sure, car les failles dans les programmes à sources ouvertes si elles existent peuvent être facilement repérées par la plupart des développeurs.







comme l’a prouvé la faille OpenSSL qui est restée ouverte pendant deux ans malgré le fait qu’il s’agit d’une des lib open source les plus importantes et une des plus utilisées au monde, cet argument c’est juste du pipeau.



concrètement, la plupart des failles qui résident dans les produits open source sont découvertes des années, parfois 20ans, après leur introduction.





Dans les programmes à sources fermées c’est en revanche non seulement beaucoup plus difficile mais également à la portée d’un très petit nombre car nécessite des compétences beaucoup plus pointues.





c’est faux.

tu t’imagines peut être que ceux qui cherchent des failles dans les produits open source le font en lisant le code source?



eh ben non. La plupart des failles sont découvertes via des méthodes de fuzzing qui se font au moment de l’exécution, sur du code déjà compilé. Le fait que le code soit open source ou non n’a aucune importance.





Alors je ne vois pas très bien comment rester dans la configuration la moins fiable peut être la meilleure option, tu nous expliqueras ce trait de génie j’espère.



D’ici là je maintiens que cette news est inutile. Les personnes pour qui la sécurité importe n’utilisent pas IE et les autres se moquent bien des failles à mon avis. Tant qu’ils ne voient rien de concret, ça ne leur fait ni chaud ni froid.





les faits parlent d’eux même.



IE avec EMET5 (ou 4.1 avec deep hook actif): aucun exploit connu, ni en liberté, ni PoC.



chrome, Firefox, safari, peu importe la plateforme (win, Android, osx, linux) ont tous déjà eu des exploits 0day ou sous forme de PoC.



peut être que la NSA possède un exploit 0day qui marche contre EMET et IE11?

mais une chose est sûre, la NSA a déjà accès à des exploits 0day contre tous les navigateurs sur toutes les plateformes sans EMET, puisque des sociétés sont spécialisées dans la création et la revente d’exploits clefs en main.



les backdoors dans Windows, c’est un fantasme de libriste debile. S’il y avait des backdoors, on les aurait déjà trouvé.



les failles, en revanche, sont présentes dans tous les logiciels, et représentent la forme la plus discrète et la plus efficace de backdoor.



maintenant libre à toi de continuer à vivre dans l’ignorance et à penser que tu es plus en sécurité avec ton Firefox open source. Mais les faits ont montré le contraire.

Le 29/04/2014 à 09h 39

Emralegna a écrit :



J’ai eu une mise à jour ce soir à propos de Flash Player et Internet Explorer, je suppose qu’il corrige cette faille.







non, ça corrige une faille 0day dans flash player qui a été utilisée contre les utilisateurs de Firefox (grâce à son manque de sandboxing) ces dernières semaines dans le cadre d’attaque ciblées.

Le 29/04/2014 à 09h 37

concept a écrit :



vu que windows, internet explorer, outlook et tous les produits microsoft contiennent une porte dérobée, je ne vois pas trop ce que cette faille va changer



ceux qui continuent à utiliser ces logiciels ne se préoccupent pas du tout de sécurité et je ne crois pas trop que cette news va les inquiéter







poursuis ton raisonnement jusqu’au bout et bannis également les produits open source.



après la faille OpenSSL restée ouverte deux ans, on voit bien que si le NSA le veut, elle a pu introduire des failles dans n’importe quelle appli open source sans que personne ne s’en aperçoive.



mais au final, est ce vraiment nécessaire d’introduire volontairement des failles quand on sait que la NSA achète régulièrement aux sociétés de recherche en sécurité des failles dans IE/chrome/safari/firefox avec les exploits qui vont avec pour windows/osx/linux?



au final les plus naïfs sont les gens comme toi qui croient qu’il y a des backdoors dans Windows et que l’open source est la réponse à tous leurs problèmes.



la NSA n’a probablement pas introduit la faille heartbleed dans OpenSSL, mais certains l’accusent de l’avoir découverte et d’en avoir profité pendant 2ans.

Le 28/04/2014 à 18h 38

arno53 a écrit :



A noter que le moteur de rendu Servo de Mozilla et Samsung codé en Rust vient récemment de passer l’Acide Test 2. Le 1 avait été passé en aout dernier donc j’imagine que ce type de langage permet d’avancer plus vite que le C/C++ …



Coté Microsoft Charon avait trouvé une offre d’emploi pour le navigateur de Midorien 2009 donc j’imagine qu’ils doivent déjà être bien avancé …







intéressant, j’avais complètement oublié ce projet.



mais vu que Rust autorise le code unsafe, est ce que le projet Servo y a eu recours? Si oui, on perd au final la garantie de sécurité que seul du 100% managé pourrait apporter.

Le 28/04/2014 à 18h 33

malock a écrit :



Si je veux bien croire qu’une exécution de code dans un programme qui le gère type VM limite (largement) les dépassements de tampons, il ne faut pas non plus oublier que ce programme peut lui aussi en contenir des failles…







en pratique, je ne me souviens pas avoir déjà vu de faille RCE dans le .net Framework ou java exploitable à travers une appli légitime (hors failles dans des composants natifs comme les decodeurs d’image) pendant son exécution.



l’immense majorité des failles dans java/.net sont exploitables via des applets java ou des assemblies “malveillants” qui ont pour but de sortir de la VM hébergée dans le navigateur ou en hosting web.

Le 28/04/2014 à 18h 10

RaoulC a écrit :



Hum, tu rêves tout éveillé.

Déjà que l’on se plaint de la conso CPU/RAM des navigateurs actuels, alors en demander encore plus " />



Après, tout dépend de ce que tu entend par “bon nombre”.

Les décideurs IT un peu sérieux, peut être (encore que…faut avoir la machine qui tient la charge supplémentaire et souvent c’est une question de moyen)

Les geeks (les vrais, pas “je suis geek a COD mdr xdr lol”) surement.



Mais la vaste majorité des gens, si ca bouffe plus de RAM /CPU, ca passe à la trappe. " />







c’est marrant mais je pense le contraire.



si on expliquait bien aux utilisateurs lambda qu’ils auront potentiellement moins de malwares, ils accepteraient une légère réduction de performance. Franchement, 30% d’usage cpu/ram en plus c’est que dalle quand tu vois des core i5 avec 4go de ram qui passent 95% de leur temps avec 2go de ram libre et un usage cpu moyen de 5% durant la navigation web.

il n’y aurait pas de différence visible aux yeux de l’utilisateur lambda.



par contre les gros geeks qui pensent uniquement à faire un gros score aux benchmarks voudront absolument avoir le browser le plus rapide.



quant aux entreprises, si ya pas un acteur majeur genre MS ou Google, même si c’est plus sécurisé, ils ne voudront pas d’un browser managé créé par un petit éditeur.

Le 28/04/2014 à 13h 15

sniperdc a écrit :



Bon on patch, ça ne m’étonne même plus une faille dans IE.







parce que tu t’imagines que Firefox et chrome ont moins de failles?

c’est beau la naïveté

Le 28/04/2014 à 13h 12

malock a écrit :



Étonnamment, face à un argument du type “en contrepartie, on vous garantie qu’il n’y a plus de failles permettant exécuter du code arbitraire”, je souris puis je m’en vais.







si ton code est 100% managé, il ne peut pas être vulnérable à des buffer overflows ou des use-after-free qui conduisent souvent à la possibilité d’executer du code.



après ton code peut toujours avec des failles d’autre nature, mais déjà les failles RCE les plus graves sont évitées.



mais par 100% managé, j’entend qu’il faut avoir sa propre implementation des librairies de décodage d’image ou de SSL en code managé, sinon le code est potentiellement vulnérable aux failles de l’OS sous-jacent (puisque le .net Framework utilise le GDI ou WIC pour traiter les images par exemple)

Le 28/04/2014 à 12h 35

XMalek a écrit :



Oui mais bon le surcout mémoire + preformance d’un OS managé est non négligable. Cela provoquera une montée en puissance des petites machines, et selon moi ce n’est pas une bonne idée d’avoir tout l’os en managé.



Ce qu’il faudrait c’est la possiblité d’avoir des programmes critiques en managés (ie : les navigateurs ,les clients mails, les visionneuses, etc) et d’autres programmes qui sont eux en natif (Jeux, applications critiques en ressources, Programmes utilisant des instructions très bas niveaux). Après si les créteurs de navigateurs refusent de jouer le jeu on restera au même point.







+1

si au moins on avait des navigateurs web 100% en java ou .net ça éliminerait pas mal de problèmes. Pas juste pour les particuliers, mais surtout pour les entreprises victimes d’attaques ciblées. Les exploits 0day ont beau devenir de plus en plus difficile à développer, ça n’empêche pas les hackers d’arriver à leur fin lorsqu’il s’agit de cibles intéressantes.



je suis sûr que bon nombre de personnes accepteraient d’avoir un navigateur qui utilise 30% de resource CPU/RAM en plus si en contre partie ils ont la garantie qu’ils n’y aura plus de failles permettant d’exécuter du code arbitraire. Vu le temps nécessaire au transit des données par internet, sur un PC moyen on ne verrait pas la différence entre un navigateur en C et un navigateur en code managé dans des scenarios de navigation web classique.



malheureusement en ce moment les éditeurs font la course aux benchmarks et aux nouvelles fonctionnalités. La sécurité ne semble pas leur priorité numéro 1 (quand on voit que Firefox n’a toujours pas de sandbox… Ouch).

Le 28/04/2014 à 10h 11

Khalev a écrit :



Mais ça ne veut rien dire sur la sécurité du bouzin. Le plugin java n’avait pas été tenté non plus lors du concours.







le plugin Java n’a pas été hacké durant le dernier pwn2own pour une bonne raison: les règles du concours imposaient que l’exploit fonctionne sans intervention de l’utilisateur, et donc contourne le click to play introduit dans java7.



une contrainte assez extrême, puisque si les devs d’oracle ont fait leur boulot a peu près correctement, il est assez improbable qu’il y ait des failles permettant de bypasser le click to play tant la surface d’exposition aux failles est réduite.



mais pour info, vupen a déclaré avoir un exploit contre java 7. Mais pas de bypass pour le click to play.

Le 28/04/2014 à 10h 05

hadoken a écrit :



Encore une fois tout çà prouve bien qu’il faudrait vraiment avoir un OS Windows codé en managé, histoire d’éviter les hacks sur des dépassement de mémoire et co.



" />







et un openSSL .NET aussi ;)

(ou en java)

Le 28/04/2014 à 09h 59

psikobare a écrit :



??







la plupart des browsers tournent en 32bit même sous Windows 64bit.



par défaut même IE tourne en 32bit (IE Metro tourne en 64bit).



c’est donc une bonne chose que les process 32bits soit mieux protégés par EMET car c’est eux qui en ont le plus besoin.



regarde dans le PDF d’aide de EMET pour plus d’infos.





ou alors sous xp 64 bits





il y a encore des gens sous xp 64bits? Tous les early adopters sont passés à autre chose depuis longtemps.

Le 28/04/2014 à 09h 48

RaoulC a écrit :



SI je comprend bien, il ya une faille dans IE, qui est difficilement exploitable à cause de l’ASLR et du DEP.



Donc on se sert de Flash comme vecteur d’attaque.



Loin de moi l’idée de défendre IE mais vu qu’il existe des mesures de sécurité dans IE censées limiter l’exploitation d’une éventuelle faille… j’ai bien envie de taper sur Flash" />







pas directement la faute à Flash pour une fois.



mais disons que Flash est en train de devenir le moyen privilégié pour contourner ASLR et DEP.



techniquement, adobe pourrait améliorer flash Player pour rendre ce type de contournement plus compliqué à réaliser via flash.

Le 28/04/2014 à 09h 39

YesWeekEnd a écrit :



Il convient d’être moins catégorique.







tu connais des plugins grand public non compatibles EMET?



de ce que je sais, tous les plugins courant sont compatibles avec EMET, du moment que tu n’utilises pas des versions dépassées (mais si tu utilises encore Flash Player 8 tu as d’autres soucis à te faire ;) )

Le 28/04/2014 à 09h 37

YesWeekEnd a écrit :



Faut qd même ne pas perdre de vue que le Pwn2Own voit passer une masse de chercheurs… Donc des gens rompus à l’exercice. Le fait qu’il n’y ait pas eu un seul candidat sur le challenge Unicorn (le grand prix) ne peut pas juste se conclure par “ça n’a intéressé personne”.



Le fait qu’on recommande de mettre en place EMET (notamment pour la faille dont il est question dans l’article), et ce sur divers sites traitant du domaine, n’est pas la conséquence d’une absence de participant au p2o sur ce défi… Je vois bien des mecs de la sécurité dire “y’a pas eu de gagnant donc c’est sécure”.



Oui, Emet a déjà été contourné mais, oui aussi, Emet reste une solution très efficace à mettre en oeuvre et il rend IE plus difficilement exploitable que ses pairs… Ce qui n’est pas rien quand on connaît le niveau “sans Emet”.



Pour finir, la référence au P2O est un brin HS car le grand prix portait sur des critères très précis : Win8.1+ IE 11 + EMET, en x64. C’est encore très loin d’être une grande part de marché.







paradoxalement, EMET offre une meilleure protection sur les processus 32bits que sur les processus 64bits.



donc même si tu utilises un win7 32bits, pas de soucis, la protection fournie par EMET a un niveau comparable à celle des conditions idéales.



par contre sous XP non.

XP ne supporte pas l’ASLR, donc EMET n’est pas aussi efficace sous xp que sous win7.



EMET peut améliorer la sécurité sous xp, mais il sera plus facilement contourné. Donc pas une solution pour se protéger durablement des failles 0day maintenant que le support est terminé.

Le 28/04/2014 à 09h 30

Koxinga22 a écrit :







malgré les idées reçues, ces dernières années, IE est le navigateur qui a eu le moins de failles de sécurité.



mais j’imagine que c’est facile de cracher sur les autres quand on s’imagine qu’il est facile de faire mieux.





Et cette histoire d’EMET, je suis pas convaincu. Leur truc à eux, c’est pas d’être “user friendly” ? S’il faut installer et configurer un soft pour sécuriser un autre soft, ca me semble pas du tout la bonne voie à suivre pour être intuitif vis à vis des utilisateurs non avertis.







EMET pose des problèmes de compatibilité avec certains plugins utilisés en entreprise, ce qui empêche MS d’inclure directement les protections fournies par EMET dans Windows.



mais au fur et a mesure que les éditeurs de plugins incompatible mettent leurs produits à jour, MS peut inclure dans windows/IE des protections qui étaient autrefois réservées à EMET.



c’est le cas de ForceASLR qui est apparu sous IE10 par exemple.



pour les particuliers pas de problème, EMET est compatible avec tous les plugins classiques (flash, Silverlight, java, …)

Le 28/04/2014 à 09h 24

cyrilleberger a écrit :



Ou personne n’ait essayé de développer un tel exploit parce que le nombre d’utilisateurs d’EMET est très faible. Et que donc, cibler IE+EMET n’est pas rentable.



D’une manière générale, il est vraisemblablement plus sécure d’utiliser un navigateur plein de failles, mais qui a peu d’utilisateurs qu’un navigateur avec peu de failles mais plein d’utilisateurs. Les pirates cibleront toujours celui avec plein d’utilisateurs, mais si c’est plus facile d’attaquer l’autre.







dans le cadre d’une attaque générique qui a pour but d’infecter un max d’utilisateurs, oui.



mais dans le cadre d’une attaque ciblée, non!



si une cible de valeur utilise un navigateur rarement utilisé, ça n’a aucune importance puisque le hacker cherche à infecter une cible spécifique, et non une large population.







Ce qui ne veut pas dire qu’IE+EMET n’est pas fiable. C’est juste une cible pas intéressante pour les pirates.





dans la population générale, l’utilisation d’EMET est assez rare en effet.



mais l’utilisation de chromeOS est encore plus rare, et pourtant deux équipes de hackers se sont donné la peine de le hacker lors du dernier pwn2own (même recompense que pour IE11/EMET: $150 000)



ce qui laisse penser que EMET apporte un réel plus niveau sécurité, c’est les attaques ciblées comme la faille dont il est question dans cet article.



EMET est de plus en plus utilisé en entreprise et dans les agences gouvernementales (qui sont justement les cibles de ces attaques 0day) car MS encourage fortement à son adoption, offrant même officiellement un support technique pour ce produit.



jusqu’ici on n’a entendu parler que d’un seul PoC contournant EMET4.1 (donc pas une attaque réelle), et aucun contournant EMET5 ou EMET 4.1 avec deep hook et anti détour activés.

Le 28/04/2014 à 09h 01

Khalev a écrit :



C’est bien ce que je dis, le concours p2o ne permet pas de savoir ce qu’il en est concernant la sécurité de IE avec EMET. Juste que ça ne rentrait pas dans les cases du concours p2o.







bah en tout cas pour des sommes moins élevées que 150 000$, tous les navigateurs sans EMET se sont fait “pwner” à plusieurs reprises, y compris safari sous osx.



donc à choisir, mieux vaut faire confiance à EMET.



surtout que jusqu’ici, on a jamais vu d’exploit en liberté qui contourne EMET.

même sur des cibles de haute valeur dans le cadre d’attaque ciblées comme on a pu le voir ici.



évidemment EMET peut être contourné, c’est déjà arrivé dans le passé.



mais tout laisse à penser que les hackers ont beaucoup plus de mal à attaquer un navigateur protégé par EMET, que n’importe quel navigateur sous windows/linux/osx sans EMET.

Le 28/04/2014 à 08h 54

Jean_Peuplus a écrit :



Au final c’est pas si long que ça, 99 % des utilisateurs d’internet ont un nombre de site courants qui tient sur 2 digits, sans parler des sites (genre site d’info) qui affiche l’essentiel sans script ni javascript







contrairement aux idées reçues, pas besoin de trainer sur des sites pornos ou warez pour être la cible d’attaque.



de plus en plus souvent, des sites et des blogs parfaitement légitimes se font hacker et servent des malwares au dépens de leur webmaster et de leurs visiteurs.

notamment ceux qui utilisent des solutions genre Wordpress pas à jour.



c’est suffisamment fréquent hélas pour invalider l’idée même de “site de confiance”.

Le 28/04/2014 à 08h 50

Khalev a écrit :



Ça n’a rien montré puisque ça n’a même pas été tenté.







personne n’a tenté d’exploiter IE11 avec EMET lors du Pwn2own parce que personne n’avait d’exploit à présenter.

(ou alors si quelqu’un en avait un, il estimait que $150 000 est une trop faible recompense pour le divulguer).



j’ai l’impression que tu ne comprends pas le principe du pwn2own. Les hackers ne s’enregistrent pas aux différentes compétitions s’ils n’ont pas déjà un exploit sous la main. Ils ne vont pas pondre un exploit en public en 30minutes.



donc le fait que personne n’ait “tenté” ne veut pas dire que personne n’ait essayé de développer un tel exploit.

Le 28/04/2014 à 08h 32

Jean_Peuplus a écrit :



Même Firefox avec NoScript ? " />







si tu utilises Windows 2000 ou une version de linux un peu ancienne sans ASLR et DEP, les failles sont exploitables même avec Noscript.



par contre, avec ASLR/DEP la possibilité d’exploiter des failles de corruption mémoire si le support de javascript est désactivé devient effectivement moins réaliste.



mais Noscript n’a pas grand intérêt quand on considère que la plupart des sites nécessitent JS pour marcher correctement. Au final, tu te retrouves à whitelister tellement de trucs que tu finiras pas whitelister aussi les exploits 0day sans t’en apercevoir.



les pédophiles qui utilisent Firefox avec TOR l’ont appris à leur dépens lorsque le FBI est venu frapper à leur porte l’été dernier ;)

(noscript était pourtant activé par défaut)

Le 28/04/2014 à 08h 25

concernant la faille elle même, pour ceux qui pensent “encore une faille dans IE!”, gardez à l’esprit qu’il s’agit d’une attaque ciblée contre des entreprises ou des agences gouvernementales qui utilisent IE9/10 ou 11.

les hackers qui ont développé cet exploit ne se sont même pas donné la peine de rendre l’exploit compatible XP/IE6/7/8 parce qu’ils ont identifié que leur cible utilisait une version plus récente d’IE.



tout ça pour dire que dans le cadre d’attaques ciblées, peu importe le navigateur que vous utilisez, les hackers qui veulent vraiment s’en prendre à vous (si vous êtes une cible de grande valeur) développeront un exploit pour firefox/chrome si vous n’utilisez pas IE. Et à en juger par l’historique de sécurité de Firefox, je suis sûr que les hackers prefereraient que tout le monde migre vers Firefox, ça leur ferait moins de protections à contourner ;)

Le 28/04/2014 à 08h 09

Pour info, IE Metro n’est pas affecté par l’exploit car l’Enhanced Protected Mode est actif par défaut.



IE Mobile pour wp7/8 n’est pas affecté par la faille car il ne supporte plus VML (qui est une technologie dépréciée)







La solution la plus efficace est d’utiliser temporairement un autre navigateur, même si des mesures spéciales peuvent être mises en place





la solution la plus efficace est plutôt d’installer EMET pour ceux qui ne l’ont pas déjà fait, et ce, même s’ils n’utilisent pas IE.



comme l’a montré le dernier concours de sécurité Pwn2Own, mieux vaut utiliser IE avec EMET malgré cette faille, plutôt que d’utiliser Firefox ou Chrome.



pour rappel, la seule cible à ne pas avoir été attaquée lors de ce concours était IE11 avec EMET, malgré les 150 000$ de recompense.

Firefox, lui, avait été hacké 5fois, et ChromeOS 2fois…



comme quoi Microsoft sait comment s’y prendre pour développer un navigateur sécurisé. Malheureusement, à cause de la volonté de continuer à supporter des vieux plugins utilisés dans certaines entreprise, MS ne peut pas inclure les protections apportées par EMET directement dans Windows.



plus d’infos sur EMET pour ceux qui ne connaissent pas encore le principe de cet outil:

http://www.julien-manici.com/blog/EMET-protection-against-flaws-Internet-Explore…

Le 29/04/2014 à 10h 24

luxian a écrit :



Il me faudrait juste … un PC portable qui fasse 0,7 cm d’épaisseur comme ce Mac Mini, qui tienne ses 9 heures de charges, un écran 1080p (que n’a pas cette merveille), deux / trois prises USB 3 et le tout reconnu sous GNU/Linux … et un bel effet brossé métal car : yep, les mac ont quand même de la gueule sur ce point.

Qui a une idée ?









tu as regardé du coté des Sony VAIO Pro 11 et 13?



l’épaisseur du MBA c’est pas 0.7cm hein, c’est 0.68inches, soit 1.7cm.



http://www.engadget.com/products/apple/macbook/air/11-inch/mid-2013/specs/



pour la même épaisseur et un poids plus léger:

http://www.engadget.com/products/sony/vaio/pro/11/specs/



avec sa batterie supplémentaire, il fait a peu près le poids du MBA11 et a une autonomie de 14h (sinon c’est 8h d’autonomie).

évidemment c’est les chiffres sous Windows, donc avec linux t’auras moins.

Le 28/04/2014 à 13h 33

atomusk a écrit :



Ca fait une poignée de modèles … en quoi est-ce que c’est sencé être représentatif de la diversité des tablettes Windows RT ?

Aussi encore une fois, si le support est assuré jusqu’en 2017, ça ne veux pas non plus dire que la Surface 1 sera portée sur un hypothétique Windows 10 …



Wait & see " />





J’aime comment ils sont “plutôt bon” alors que l’Os n’a pas 2 ans " />

Pour l’instant, en l’état, le support de winRT est similaire à celui d’une Nexus 10 (surface 1 sorti à peu de choses près en même temps que la Nexus10).



On verra combien de mises à jour majeurs de plus Microsoft appliquera à la RT …





Et après on me dit que passer par Cyanogen, pour mettre à jour mon Galaxy S1, c’est “pas pareil” " />.

:









toutes les tablettes WindowsRT continuent à recevoir des maj, même celles dont les OEMs ont abandonné Windows RT: Asus, Dell, Lenovo.



et de toute évidence, elles recevront des maj sécurité aussi longtemps que SurfaceRT.





quant à la maj de ton tel Android, t’as quand même plus de chance d’avoir des bugs, de bricker ton appareil, ou de risque de malwares en passant par une rom custom qu’en passant par le programme developer preview de MS.



en entreprise, le programme developer preview serait tolerable, alors qu’une rom tierce pas franchement.



perso j’irai jamais installer une rom ou un OS provenant d’un tiers.

Le 28/04/2014 à 13h 20

atomusk a écrit :



Ca fait une poignée de modèles … en quoi est-ce que c’est sencé être représentatif de la diversité des tablettes Windows RT ?

Aussi encore une fois, si le support est assuré jusqu’en 2017, ça ne veux pas non plus dire que la Surface 1 sera portée sur un hypothétique Windows 10 …



Wait & see " />





J’aime comment ils sont “plutôt bon” alors que l’Os n’a pas 2 ans " />

Pour l’instant, en l’état, le support de winRT est similaire à celui d’une Nexus 10 (surface 1 sorti à peu de choses près en même temps que la Nexus10).



On verra combien de mises à jour majeurs de plus Microsoft appliquera à la RT …





Et après on me dit que passer par Cyanogen, pour mettre à jour mon Galaxy S1, c’est “pas pareil” " />.

Et non, je confirme, mon Lumia 800 ne passera jamais à Windows Phone 8 " />





Vive les positions dominantes " />







source ? " />

Et au passage, les mises à jour du play store permettent de corriger des failles … sur les services Google " />







un exemple:

Ars Technica

Le 28/04/2014 à 12h 50

atomusk a écrit :



Avant d’annoncer des mises à jour pendant 5 ans sur plateforme ARM, attendons de voir ce que Microsoft fera concretement " />



Parce que entre windows Phone 7 qui a “forké” sur 7.8 perdant toute compatibilité avec les nouvelles apps et les mises à jour qui ne sont plus “assurés” sur windows Phone8 si le constructeur ne le désire pas … calmons nous un peu " />







en tout cas SurfaceRT sorti en 2012 est supporté jusqu’en 2017.



coté Android, la plupart des tablettes sorties depuis fin 2012 ne sont pas compatibles avec Android 4.4 à cause de l’absence de support officiel leur SoC.



donc coté tablette, sans l’obligation de passer par les opérateurs, MS est plutôt bon niveau support.



coté téléphone, WP8 peut être mis à jour de manière officielle par tout le monde, au pire en passant par l’outil developer preview via un compte appstudio gratuit.



c’est pas une situation parfaite, mais quand MS aura assez de PDM sur les mobiles, il pourra imposer ses conditions aux operateurs comme le fait Apple, et mettre à jour sans leur accord. On peut s’attendre à un support similaire à WindowsRT.





J’attendrai de juger sur pièce les mises à jour proposés par Ms " />



Et au passage, les téléphones 2.3 continuent à recevoir des mises à jour, en particulier par le biais des Play services.





les maj Play services ne résolvent en rien les failles de sécurité et bugs des Android 2.3 vieillissants.



il y a quand même pas mal de failles 0day non corrigées, dont certaines exploitables via le browser.

Le 28/04/2014 à 12h 41

Cara62 a écrit :



Pourquoi j’ai les maj Android moi ? " />







profite bien de tes 6mois de chance ;)

Le 28/04/2014 à 12h 19

ffm76600 a écrit :



Les mecs, vous etes pour un tel système mais vous avez pensé à la confidentialité, ce qu’il se passerait si on était en panne d’internet et aussi que beaucoup ont un debit tres faible en up voir en download ???



A mort ce type de projet !!! Et DLC Windows Cloud







quand tu achetés office 365, tu installes office en local et tu peux stocker tes fichiers en local, comme si tu avait acheté une license classique.



un Windows par abonnement sera certainement similaire.

Le 28/04/2014 à 12h 17

pyro-700 a écrit :



je pense que je vais passer a linux ou a mac os x, windows utilisable seulement avec un abonnement ça craint.

…et pourquoi pas windows en streaming??? " />









le Windows de base sera certainement gratuit et sans abonnement.



c’est pour les usages plus poussés (compatibilité win32, partages réseau, ..) qu’on peut imaginer une upgrade payable une fois ou par abonnement.



cela dit, qu’est ce qui est mieux?

-un Android gratuit sans abonnement et sans maj (ni de sécurité, de ni maj de l’OS)

OU

-un Windows qui propose des maj pendant 5 ans, sur plateforme ARM comme x86, avec des options payantes facultatives par abonnement (ou payable en une fois)?



peut être qu’il serait temps d’accepter de dépenser un peu plus d’argent pour le software, plutôt que d’acheter du hardware jetable car l’OS gratuit est abandonné rapidement par l’OEM (moins écologique)

Le 28/04/2014 à 12h 06

Les implications d’un Windows par abonnement sont intéressantes:



le Windows “de base” (Home?) serait gratuit. Et probablement, il sera capable d’exécuter uniquement des applications WinRT.



en gros ce serait un Windows RT sur x86/x64/ARM.



ça permettrait de tuer ChromeOS dans l’oeuf, et d’éviter que les utilisateurs lambda se retrouvent avec des toolbars et autre malwares parce qu’ils installent naïvement tout ce que les sites/pubs leurs proposent d’installer. Avec seulement la possibilité d’installer des applis WinRT, pas de risque puisque tout est sandboxé.



et pour ceux qui veulent la compatibilité avec les applis Win32, soit payer une fois (comme Windows Anytime Upgrade) pour upgrader Windows vers l’édition Pro, soit payer un abonnement.



ce serait intéressant comme méthode pour tuer rapidement win32 chez le particuliers, et par la même occasion ça règlerait le pb de la vente liée si Windows Home est gratuit.

killer63 a écrit :



pas mal comme idée



ca permettrait de toujours garder son windows à jour pour les entreprises



mais quid du prix …







ça existe déjà, c’est la software assurance.

Le 04/04/2014 à 18h 19

charon.G a écrit :



Enfin je donne juste mon avis perso. Ca devrait pousser le .NET plus vers le multiplateforme. C’est une bonne chose cela devrait augmenter le nombre de développeurs .NET et augmenter la cible d’utilisateurs.



Il y avait pas mal de rumeurs sur un portage sur android et diverses choses du même acabit. Mais au vu de ces informations récentes ça parait plus crédible.



Microsoft a commencé le virage sur devices+services et s’adapte en conséquence :)







on dirait bien que MS espère que les solutions proposées par Xamarin sur ios vont faire de Windows la plateforme primaire de développement d’application, et qu’ensuite les devs feront un portage rapide et facile de leur appli Windows vers iOS.



quand Windows aura écrasé iOS niveau PDM sur les tablettes (c’est déjà en train de se produire en Europe sur les Smartphones), la plupart des devs devraient considerer ios comme une plateforme secondaire, et éviter objective-C au profit de .net.

Le 04/04/2014 à 18h 08

arno53 a écrit :



C’est surtout une etape nécessaire a la disparition complète de Win32 des futur SKU Modern pour Windows 9 …



Ca va pouvoir aboutir à des Windows avec une base technique semblable a WP avec une version phone, tablette avec un Bureau WinRT (metro 2.0) qui ne s’active qu’en présence d’un clavier par exemple, et une version PC ARM Modern (là aussi sans Win32) concurrençant les chromebooks avec des apps WinRT fénétré, sandboxé, sans virus etc …



Le bureau Win32 ne sera plus que sur les version pro (et gamer " />) et entreprise.



La disparition de Win32 sur les SKU Modern c’est aussi un gain en termes d’espace de stockage sur tablettes …



La seul chose que j’attends d’Office WinRT, c’est l’interface pensé pour PC. Ca sera surement annoncé en meme temps que Windows 9 et son metro 2.0 et ca ouvrira la voie a des applications de production moderne (comme AutoCAD, Photoshop, l’explorateur du bureau etc).



Bref le rouleau compresseur Microsoft est en marche et Android va avoir du mal a résister vu qu’ils n’ont pas de pied sur le PC excepté Chrome… Le seul espoir de Google reside dans sa techno NaCl qui pourrait faire le lien entre Android et Chrome (OS) … Mais Google n’a plus qu’un an pour se bouger " />







+1

et vivement le SKU “modern” de Windows 9 sur x86/x64 sans compatibilité win32! Ca fera de cette édition de Windows le premier OS desktop à ne pas être vulnérable aux malwares et à la bêtise des utilisateurs!



et vu la direction prise par MS, ce SKU sera probablement gratuit même sur laptop et desktop.



par contre Office touch ne sera probablement pas gratuit et nécessitera une license office 365.



raison de plus pour profiter dès maintenant de l’office gratuit (pour usage perso) sur Windows RT et sur les tablettes win8 <10.1”, car ça ne durera pas.

Le 04/04/2014 à 17h 57

Yzokras a écrit :



La dernière fois qu’ils nous ont présenté un Windows pensé pour le tactile ça n’a pas été une réussite.







Windows 8 est une réussite sur le tactile. L’interface est réellement adaptée aux tablettes, contrairement à Android et iOS qui ressemblent d’avantage à des OS de Smartphone.



là où ça gueule avec win8, c’est sur le desktop. Pas sur le tactile. Pas de raison que cette version touch d’office soit mal reçue.



au final elle me semble tout à fait utilisable sur desktop avec clavier et souris, surtout que MS offrira la possibilité de la faire tourner en mode fenêtré sur le bureau.



mais elle ne remplacera de toute évidence pas la version desktop d’office, du moins à court terme.

Le 24/03/2014 à 15h 56

d4rkf4b a écrit :



Comment fais-tu sur les consoles nouvelle génération sans être connecté?







pas besoin de connection internet pour jouer à un jeu single player sur les consoles nouvelle génération.



mon problème c’est que mon seul pc capable de faire tourner des jeux récents est ma machine de dev que je ne connecte pas à internet.



donc maintenant je préfère jouer sur console, pas de prise de tête, et ça m’évite d’avoir à installer des cochonneries sur mon pc.

Le 24/03/2014 à 14h 36

d4rkf4b a écrit :



Je n’imagine rien du tout, j’invite simplement les gens à se faire leur propre opinion, chacun avec son vécu et son objectivité, plutôt que de se baser sur celles d’autres personnes.







ouais mais si t’as joué à la version Windows et la version linux dans leur config par défaut, au final ton opinion n’est pas objective puisque tu auras testé deux niveaux de détails differents, même si la différence visuelle ne t’a pas sauté aux yeux.





Si tu ne l’as pas, je te le conseille vivement. Profites d’une promo Steam, tu le trouves souvent à moins de 10 €





je joue plus sur PC, justement en partie à cause de Steam. Devoir être connecté à internet pour lancer un jeu? Sans moi!

Le 24/03/2014 à 14h 07

d4rkf4b a écrit :



Pas du tout…



Je ne me base que sur ma propre expérimentation… mode St Thomas



EDIT: Je t’invite d’ailleurs à faire de même







je n’ai pas ce jeu.



mais tu peux m’indiquer un lien sérieux qui confirmerait tes dires, si tant est que ta comparaison est équitable, sachant que la version linux ne supporte pas physx (ce qui occupe des ressources GPU sous Windows mais se traduit par une amélioration des effets de particules dans les scènes), et sachant que certains effets graphiques ne sont pas supportés par la version linux:

http://www.overclock.net/t/1439965/metro-last-light-windows-vs-linux-graphics-co…



bref, tu es convaincu par ta propre experience qui n’est peut être pas aussi équitable que tu l’imaginais.

Le 24/03/2014 à 13h 51

d4rkf4b a écrit :



Rien ne vaut l’expérimentation…



Essayes “Metro: Last light” qui n’est pas basé sur le moteur de Valve.

Installe un Windows et, en parallèle , Ubuntu, SteamOS ou n’importe quelle distrib’ Linux récente; bien sûr, les deux OS avec les derniers drivers graphiques à jour.

Joue 1 heure sur chacun des OS et reviens nous dire objectivement ton ressenti…









je pense que tu fais référence à cette vidéo trompeuse:

http://www.reddit.com/r/Steam/comments/1t37e4/steam_machine_metro_last_light_win…



en lisant les commentaires tu t’apercevras qu’au début de la vidéo le gars fait tourner le jeu sous Windows en détails élevés, alors que sous linux ils tournent en détail medium, sans moyen de passer en détails élevés apparemment.



une fois qu’il fait passer les détails en mode medium sous Windows (comme sur la version linux), la différence de perf disparait.

Le 23/03/2014 à 12h 18

charon.G a écrit :



+1 j’en avais parlé avec julien manici qui pourra confirmer si il passe sur la news. La xbox 360 utilise une version de windows 2000 modifiée.







oui enfin ça c’est ce qui se dit depuis des années. Chuis pas allé verifier. Et au fond c’est pas très important, car ce serait un noyau NT sans win32 et très modifié, du coup pas grand chose a voir avec un Windows.







divide a écrit :



Gn ? T’es au courant qu’OpenGL a été remis à plat (suppression de l’API vieillissante) depuis OpenGL 3.0 et OpenGL ES 2.0 ?

Et que OpenGL 4.2 qui est dispo depuis plus de 2 ans permet d’atteindre les performances d’un Mantle/DX12 ? ->http://fr.slideshare.net/CassEveritt/approaching-zero-driver-overhead







faut pas exagérer non plus.

si opengl permettait d’atteindre les perfs de mantle ou dx12, alors pourquoi mantle aurait il été créé?



j’ai vu ton slide, et ça a pas grand chose a voir avec mantle et dx12.

c’est surtout des banalités du genre “regroupez les appels openGL plutôt que de faire des appels individuels moins efficaces.”



au final, je crois que le mythe du opengl plus rapide que directx vient de la présentation de la version openGL du moteur source par valve sous linux.

Ils ont comparé leur vieillissant moteur sous dx9 avec une version qu’ils ont réécrite 10ans plus tard sous une version récente d’openGL.

c’est comme comparer les perfs JS de IE6 et chrome 30 et en conclure que IE est un navigateur lent.



au passage, directx11 supportait déjà des APIs de bas niveau, mais certains drivers GPU n’étaient pas assez optimisé pour que ça se traduise par un gain de perf.

dx12 se base sur cet enseignement pour changer la donne.

Le 17/03/2014 à 18h 16

charon.G a écrit :



Ouais mais sans le JIT c’est moins performant que ce fait IE. De toute façon même IE métro est en Win32. Comme je disais il faudra attendre Windows 9 pour ce type d’application.







ça n’a pas découragé google sur ios le manque de support JIT.



je suis sûr que si apple leur laissait les memes possibilités que Ms, google ferait volontier un portage de chrome sur iOS en optimisant au maximum leur interpreteur JS. Ce serait deja mieux que la solution moisie qu’ils sont contraint d’utiliser pour avoir chrome sur ios.

Le 17/03/2014 à 18h 13

bibou65 a écrit :



ça fait vraiment chi" /> depuis que j’ai ma tablette W8.1 j’attendais que ça…



en mode desktop ça marche bien mais de fois on a pas les doigts assez petit pour bien naviguer pénard sans ce louper " />







bah fais comme tout le monde, utilise IE Metro.



sur ars technica en tout cas ya pas mal d’utilisateurs de Firefox qui disent avoir migré sur IE Metro car c’est vraiment top niveau gestion du tactile pour les tablettes.

Le 17/03/2014 à 16h 55

charon.G a écrit :



+1

Par contre pour le moment il n’est pas possible de faire de compilation JIT avec WinRT. Il n’existe pas d’équivalent aux api VirtualAlloc et VirtualQuery. Ils seraient obligé d’utiliser le moteur javascript d’IE ce qui limite en partie l’intérêt. J’imagine qu’on verra WinRT évoluer sur Windows 9 mais en l’état ce n’est pas possible.







mozilla et google peuvent quand meme deja porter leur interpreteur JS sur WinRT, pas besoin de JIT pour ça. Et je suis sûr que sous Win9 les grosses boites auront des autorisations speciales dans la sandbox pour faire du JIT.



en tout cas meme maintenant, la situation est deja mieux que sous iOS où chrome n’a pas le droit d’utiliser son propre moteur de rendu, et doit se contenter d’un webview safari qui ne supporte pas le JIT (contrairement à l’appli Safari).



au final, en navigation sur des sites normaux tu ne ressens pas l’absence de JIT (IE9 sur WP7 ne supportait pas le JIT et pourtant il etait considéré comme agreable à utiliser).

Le 17/03/2014 à 16h 31

FunnyD a écrit :



Cool " /> MS a fait des “erreurs” sur W8, mais au moins ils essaient de les rattraper, ils ne refont pas le coup de Win Me" />







la possibilité de lancer des applications Metro en mode fenêtré etait certainement prévue dès le depart.



mais je pense qu’ils attendaient win9 pour pouvoir faire de grosses evolutions sur le desktop en meme temps.



ils ont préféré s’occuper de fournir une base saine avec WinRT uniquement dans l’interface metro plein ecran dans win8 avant de commencer à le mettre en avant aussi sur le desktop.

Le 17/03/2014 à 16h 24

zefling a écrit :



Firefox Metro n’est pas compatible avec Win RT il me semble. D’où le peu d’intérêt de la chose.







exactement

c’est probablement la vraie raison de l’abandon de Firefox Metro. Mozilla a perdu du temps sur un project qui n’avait aucun avenir, car Firefox Metro n’etait rien d’autre qu’une appli win32 intégrée au shell modern UI.



aucun espoir de pouvoir le faire tourner sur des plateformes ne supportant que WinRT, ce qui inclut Windows RT, et plus important son successeur sur x86 (les rumeurs disent que MS va sortir un SKU bas de gamme de Windows 9 sur x86 qui ne supporte que les applis WinRT).



mozilla aurait dû faire comme google, bâcler leur navigateur sur modern UI au lieu de faire trainer une version alpha inutilisable pendant 2ans.



maintenant j’espère pour eux qu’ils se rendent compte que le futur c’est WinRT et qu’ils feraient mieux de commencer dès maintenant pour porter firefox vers WinRT, car c’est un boulot autrement plus compliqué que ce gros hack qu’etait firefox metro.



mais bon, compte tenu de leur historique, incapables de sortir un navigateur sandboxé alors que ça fait 5ans qu’ils en parlent et que tous les concurrents y sont deja passés, je ne me fais pas trop d’illusion sur leur capacité à réagir à temps sur ce coup là.



c’est quand meme assez dingue de voir une boite avec un budget de 300 millions de $ par an incapable de gérer correctement ses projets.

Le 17/03/2014 à 15h 23

GoGator a écrit :



J’essaye de comprendre… en gros si moi, pauvre péon qui ne comprend pas un traître mot de code, j’installe ce pack EMET sur un windows équipé d’IE à jour, j’empêche l’immense majorité des hack disponibles de mon pc à travers le navigateur, c’est ça ?

En contrepartie, y’a des concessions à faire pour la navigation ? (lenteur, scripts bloqués,… ?)



De ce que j’en ai compris jusque-là, ça a l’air d’être un super outil à installer chez toutes les entreprises / inconscients /… pour évite les menaces non ?







oui exactement.

ça ressemble à un scam ou une promesse absurde, mais oui EMET ameliore la securité significativement, et sans contrepartie (pas de diminition des perfs).



le seul risque c’est si tu utilises des vieux plugins incompatibles.

EMET provoquera des plantages aléatoires du navigateur dans ce cas (suffit dans ce cas de desactiver ces plugins, ou virer EMET)



mais si tu es un particulier, il n’y a aucune raison que tu aies des vieux plugins non compatibles avec EMET.



flash, silverlight, adobe reader, java, tout fonctionne correctement avec EMET.



et les navigateurs autres que IE aussi.

Le 17/03/2014 à 15h 18

geekounet85 a écrit :



Rien n’indique que Firefox n’a pas été hacké à cause de Java/flash/Adobe reader…







bah si, puisque c’est dans les regles du concours!



il s’agit de hacker les navigateurs dans leur config par défaut, sans plugin additionnel.



les plugin faisant l’objet d’une épreuve séparée



au passage la recompense pour hacker Flash Player (85 000\() etait plus elevée que la recompense pour hacker firefox (65 000\))



le montant etant choisi par les organisateurs en fonction de la difficulté.





il faudrait plus de précisions. mais effectivement, peut-être que les failles de firefox seules ne valent que 150K\( et donc ils peuvent se permettre de les dévoiler à un concours tel que celui-ci, alors que les grosses failles java/flash/adobe, doivent être autrement plus précieuses, et du coup être monnayées plus cher à d'autres...





les failles Flash sont precieuses et couteuses, mais si elles etaient si faciles trouver, je pense qu'il y aurait eu d'avantage d'exploits. Personne ne cracherait sur 85 000\) si les failles flash etaient facile à trouver.

Le 17/03/2014 à 14h 24

kail a écrit :



Moi je me demande si le montant des récompenses ne va pas ruiner ces boites à force. On parle quand même de 50k à 100k par faille détectée. D’où leur vient tout cet argent? Un navigateur n’est-il pas censé être gratuit ?







deja c’est HP et ZDI qui ont financé ces recompenses.



ensuite, t’es au courant que mozilla gagne 300 millions de \( par an grace à son navigateur gratuit? (grace à google)



donc meme s'ils devaient sortir les 65k\) de leur poche, ils le feraient.

Le 17/03/2014 à 14h 21

Khalev a écrit :



C’était quelle version d’EMET à la conf?







pas trouvé, mais je pense que c’etait EMET4, vu que dans ce genre de concours ils ne testent que les produits commerciaux finis.



(oui on sait que EMET4 a deja été contourné recemment, mais malgré ça le contournement ne semble pas a la porté de tous)