Je ne comprends toujours pas comment cela peut être légal de faire cela. Les pauses sont autorisées, les coups de fils perso (raisonnable) aussi. Pourquoi une boite aurait le droit d’espionner complètement ses employés lorsqu’ils vont sur leur mail, ou leur banque par exemple ?
du moment que les employés sont au courant, il n’y a pas de problème.
personne ne les force à utiliser leurs comptes perso au travail.
c’est normal que la DSI veuille être capable de surveiller les flux sortants, étant donné que les firewalls entrants ne servent plus à grand chose face à des botnets qui communiquent via des flux sortants en https.
Le
10/12/2013 à
13h
36
franchement ça m’étonnerait beaucoup qu’il y ait un wifi interne à la DGT.
je ne demande qu’à me tromper, mais ça me parait “trop gros”. ^^
quant au matos non administré, même chose.
ou alors les gars sont d’énormes tanches à la SSI.
à la lumière de cette news, des choses qui paraissaient totalement improbable semblent être plus courantes qu’on ne pourrait le craindre.
qu’il y ait un réseau wifi et une politique autorisant les hauts fonctionnaires à utiliser leur iPad perso me semble tout à fait probable en comparaison…
Le
10/12/2013 à
13h
28
En tout cas, ça soulève un problème: seul chrome a un mécanisme de détection des certificats non-attendus sur un nom de domaine. Firefox, IE et Safari font quoi pour ce genre de problème ?
attention, le certificate pinning se base sur une liste hard codée.
Google chrome protege les différents domaines appartenant à Google, ainsi que d’autres connus comme Twitter.com
mais si quelqu’un généré un certificat pour le site de ta banque, le certificate pinning de chrome n’y verra que du feu.
idem pour EMET qui permet de rajouter le support du certificate pinning dans IE. EMET dans sa config par défaut ne protège que les domaines de Microsoft et Skype.
cela dit, contrairement à chrome, l’utilisateur peut rajouter des domaines dans EMET.
du coup c’est normal que le certificate pinning ne soit pas généralisé.
pour que ce soit efficace, il faudrait une liste mise a jour dynamiquement. Et il faudrait surtout aux webmasters un moyen de signaler un changement légitime de certificat. Sinon les sites se retrouveraient bloqués suite à un changement de certificat.
autrement dit: il faudrait un standard à part entière pour définir le mécanisme de distribution de ces infos.
Le
10/12/2013 à
13h
20
Come toi, j’aimerai savoir comment Google a pu s’apercevoir de ceci précisément
il suffit qu’une seule personne utilise Chrome pour que google soit avertit que le certificat ne correspond pas à celui qui a été hardcodé dans chrome pour le domaine de google.
il est possible meme que des utilisateurs d’android connectés en wifi aient pu envoyer cette info si les applis google disposent d’un mecanisme similaire à celui de chrome en cas de detection d’un certificat inattendu.
en tout cas je ne serais pas étonné que d’autres certificats aient été générés pour Hotmail, Yahoo mail, Facebook…
je serais même étonné du contraire. Pourquoi ne voudraient ils ne surveiller QUE gmail/google?
le plus pathétique dans l’affaire, c’est qu’il n’y avait nullement besoin de générer de tels certificats. Dans un environnement administré, il est simple de déployer un certificat racine pour une autorité de certification interne à l’entreprise sur toutes les machines , ce qui permet aux connections d’être relayées et examinées par un proxy interne sans causer d’erreurs https.
deux raisons qui expliqueraient la non utilisation de cette méthode:
-incompetence
-volonté de supporter les devices non administrés (iPad, …)
Googlecette faq confirme ce que je pensais, chrome pour iOS ne supporte pas le JIT.
malgré cela on voit des gens dire que Chrome est plus rapide que Safari sur iOS (ce qui est bien evidemment faux).
comme quoi un navigateur sans JIT peut offrir un experience utilisateur correcte en 2013.
et donc s’il le veut, google peut porter chrome sur WP en utilisant son propre moteur de rendu, et avec un mode incognito qui fonctionne reellement (contrairement à ios)
Le
04/12/2013 à
16h
36
Un bon navigateur sans JIT en 2013 ?
si ton but est d’avoir le score le plus gros dans les benchmarks, l’absence de JIT est un probleme.
mais pour de la navigation web, pas de soucis.
le navigateur le plus utilisé au monde (IE8) ne supporte pas le JIT, et 20% des internautes s’en servent sans se plaindre de lenteur.
pour les autres navigateurs, Il me semble que Firefox nightly 64bit (que bon nombre de geeks utilisent) ne supporte pas le JIT dans sa version windows.
idem pour safari dans iOS lorsqu’il est utilisé en mode web app ou integré dans une application tierce (au final je me demande comment s’en tire chrome sur ios)
au final sur des applis web classiques (99% du web) la difference entre du code JITé et du code executé par un interpreteur bien optimisé n’est probablement pas visible à l’oeil nu.
donc oui, les editeurs tiers peuvent faire des navigateurs sous WP et WindowsRT.
et si leur produit repond à une demande, je suis sûr qu’à terme MS ouvrira la possibilité de faire du JIT à certains developpeurs approuvés. Un peu comme les comptes enterprise qui ont plus de droits sur le store que les comptes particuliers.
Le
04/12/2013 à
12h
24
La règle est la même que sur iOS, où faut utiliser webkit, il faut utiliser Trident.
c’est faux, MS n’interdit pas le portage d’un autre moteur de rendu.
la preuve, il y a au moins un navigateur basé sur gecko dans le marketplace (Nokia xpress).
la seule chose qui est interdite c’est la compilation JIT, ce qui n’empeche nullement de faire un bon navigateur. IE9 sur WP7 ne supporte pas la compilation JIT mais il est malgré tout tres rapide à l’utilisation. Donc rien n’empeche le portage de chrome ou Firefox.
Au fait, RC n’est pas considéré comme étant un brouillon. LC et WD c’est du brouillon.
au final brouillon ou pas, le RC n’apporte pas le même niveau de stabilité dans le temps que les spec finales.
sinon quel serait l’intérêt d’une RC?
et même quand une spec passe en RC ou en finale, il faut laisser le temps de l’implémenter. Ton @support n’est supporté que depuis quelques mois dans chrome. Le code de IE11 est figé depuis juillet. C’est normal que IE11 ne le supporte pas.
Le
02/12/2013 à
14h
45
Tu veux la liste de ce qui est maintenant utilisé par tout le monde est est encore en draft ?
ta justification c’est de faire comme tous les webmasters qui programment comme des porcs qui et s’attendent à ce que MS et Mozilla supportent tout le code foireux conçu spécifiquement pour chrome?
t’es libre d’utiliser du code non standard. Mais ne gueule pas contre les navigateurs qui ne le supportent pas. A toi de trouver des solutions pour supporter tous les navigateurs, ou alors abstiens toi d’utiliser les dernières propriétés css à la mode.
Le
02/12/2013 à
14h
10
@support est justement là pour voir ce qui est supporté ou non, de fait tout le monde l’a très vite intégré… sauf IE.
le lien que t’as posté (site de Mozilla) dit que ce n’est pas non plus supporté par safari.
tu ne peux t’en prendre qu’à toi même si tu rencontres ce genre de problème. Personne ne te force à utiliser des technos encore en draft.
au contraire, c’est même recommandé d’attendre.
tu as fais le choix d’utiliser du css en draft, à toi de faire le boulot nécessaire pour supporter correctement chaque navigateur.
Le
02/12/2013 à
13h
34
C’est vrai. Et comme disait un autre contributeur : en entreprise la même IP publique peut être partagée par moult postes (au niveau perso aussi, mais les proportions sont moindres), donc ça reste un peu fantaisiste l’ensemble au final
le comptage des visiteurs uniques tel qu’il est fait par net applications se base sur des cookies il me semble, et non sur les ip.
au final derrière une même ip, tous les utilisateurs sont comptabilisés correctement.
dans le cas contraire, il serait impossible de comptabiliser correctement le traffic depuis les operateurs mobiles puisqu’ils utilisent souvent la même ip publique pour des milliers d’utilisateurs.
Le
02/12/2013 à
13h
17
Afin de faciliter votre navigation nous vous recommandons la procédure suivante :
Appuyez ou cliquez sur le bouton Outils d’IE 11 , puis appuyez ou cliquez sur Paramètres d’affichage de compatibilité
c’est quoi ces webmasters en carton?
ils forcent l’utilisateur à faire une manip qui pourrait être évitée en demandant coté serveur à IE de charger les pages en mode IE7 (ou autre) via un simple header.
Le
02/12/2013 à
13h
12
Ben non, un type qui visite beaucoup de pages a plus d’importance qu’un Michu qui visite une page par mois
pas si simple
entre un geek qui passe des heures à comparer les prix sur des dizaines de sites, et un michu qui se contente de visiter seulement quelques pages dans le mois mais qui se décide très rapidement à faire un achat en ligne, lequel va rapporter le plus d’argent aux sites marchants?
sans oublier que chrome precharge en arrière plan des pages qui ne seront pas forcement visitées par l’utilisateur, ce qui avantage artificiellement chrome dans le comptage des pdm “par pages chargées”.
Pourquoi avoir développé windows RT à part de Windows phone alors que ce dernier en est très proche et que son principal défaut était d’être en retard sur la concurrence? (retard qui eut pu être comblé plus vite avec plus de forces concentrées sur un seul système on peut imaginer…)
office pour winRT n’etait pas encore prêt. WP ne supporte pas les périphériques usb.
bref, plein de raisons pour lesquelles WP n’est pas encore l’idéal sur tablette.
en attendant c’était plus simple d’avoir un clone de Windows8 sur ARM, plutôt que de rester 3ans sans OS pour tablette qui soit pleinement sandboxé (et donc sans malwares).
Le
25/11/2013 à
17h
05
Non plus à un élargissement des capacités de Windows Phone pour gérer les tablettes… En espérant que le snap ne disparaisse pas dans la manoeuvre… Surtout que le snap aurait sa place sur les phablettes aussi..
+1
et aussi que cet OS supporte l’usb (imprimantes, stockage, clavier, souris)
avant que certains ne s’enflamment pour rien, précisons que ça ne veut pas dire que les produits comme SurfaceRT sont condamnés. Les mêmes apps continueront à fonctionner. C’est juste le nom de l’OS qui va changer, et le bureau disparaitra (office sera porté en appli Metro d’ici là).
en tout cas c’est une bonne chose si certaines capacités de Windows RT se retrouvent sur les téléphones.
Tu veux du multimédia, tu montes un EePC que tu branche à ta TV, point.
peut être valable pour un geek, mais pas pour 99% de la population.
une Xbox one n’a aucun besoin de maintenance logicielle, et offre un hardware adapté au salon (silencieux, ne surchauffe pas). Et tout fonctionne out of the box.
ce n’est absolument pas la même philosophie que le pc.
même moi étant un ancien utilisateur de pc de salon media center j’en ai eu marre et je préfère une set top box.
(marre des drivers foireux qui font planter la sortie de mise en veille une fois sur 10).
Le
25/11/2013 à
15h
19
Si le volume est suffisamment fort la console comprends “Xbox diminuer le volume” sans avoir à hurler ?
non ^^
vaut mieux mettre le contenu en pause d’abord (par exemple avec la navigation par la main reconnue par la camera de Kinect.)
Ce ne sont pas des arguments valable ça, faut trouver mieux.
Car pour youtube et consort, on a ça sur PC et en direct, rien à installer.
Contrôle geste+voix, idem, avec une télécommande universelle logitech tu fais la même chose… Sauf la voix mais osef de ça…
Et le reste, inutile de continuer à argumenter…
parce que tu trouves qu’un pc de salon se débrouillerait aussi bien avec un navigateur web qu’une Xbox avec des applis dédiées pour Youtube, pluzz, canalsat, …?
quant à la reconnaissance des gestes Kinect et la reconnaissance vocale, c’est des trucs que tu peux faire en théorie sur ton pc en bricolant et avec un résultat un peu foireux, mais c’est loin d’égaler Kinect.
mais bon inutile d’argumenter si tu as déjà ton opinion toute faite sans même avoir essayé une Xbox one.
Le
25/11/2013 à
14h
32
Faudrait pas oublier que pas mal de gens qui ont précommandé la xb1 se sont retrouvés sans console vendredi aprèm car les magasins avaient tout écoulé le matin, et qu’ils n’avaient même pas reçu assez de consoles pour satisfaire toutes les précommandes.
rajoutez en plus ce qui l’ont pas précommandé et qui avaient envie de l’acheter, ça fait pas mal de ventes en attente.
et même chez MS France ils n’ont pas encore la possibilité d’acheter la xb1 au tarif employé car les stocks sont insuffisants et partent en priorité aux magasins.
D’ailleurs, si quelqu’un pouvait m’éclairer : Pourquoi acheter une X1 ou une PS4 (si ce n’est pour jouer aux jeux qui sortent dessus parce qu’ils ne sortent pas ailleurs, hein.
la xb1 offre des capacités multimédia super intéressantes:
-allumage de la tv, Xbox, et décodeur audio juste en disant “Xbox démarrez”
-contrôle vocal et via les gestes
-applis canal+/canalsat, Youtube, tv orange, …
-hdmi in pour afficher la tv de sa box adsl tout en restant connecté et en recevant les notifications en overlay (appels Skype, messages,…)
-et dans quelques mois la possibilité de zapper entre les chaines grâce au contrôle vocal (guide tv dispo uniquement aux usa pour le moment).
-snapper des applis en jouant (pour regarder la tv du coin de l’oeil par exemple).
-contrôle via smartglass
bref, c’est quelques uns des avantages que la xb1 a par rapport à la ps4 ou un pc branché à la tv.
moi qui ai cassé la télécommande de mon kit 5.1 Logitech z5500 je suis ravi de pouvoir contrôler le volume juste en disant “Xbox augmenter le volume”.
Ont-ils eut le culot de dire à l’ouverture “bonjour vous venez pour quoi ? vous venez pour un renseignement ” lol
haha non, ils ont juste gueulé “vous en faites pas, y en aura pour tout le monde!” avant d’ouvrir la grille , histoire d’éviter l’émeute… mais sur ce coup chuis pas sûr qu’ils disaient la vérité!
par contre une heure de file d’attente car les vendeurs passent du temps à essayer de refourguer des extensions de garantie à chaque client –’
mais bon c’est comme ça partout, c’est le nouveau business model des magasins qui vendent de l’électronique
Le
22/11/2013 à
15h
18
En tout cas content d’avoir été à un micromania (de Toulon) à 8h30. On était plus de 20 à attendre devant la grille comme des zombies affamés :p
Plus de monde qu’en 2005 le matin de la sortie de la 360.
quant aux ruptures de stock, MS avait dit qu’il n’y en aurait pas, que l’approvisionnement serait suffisant. Reste à savoir si les pénuries sont dûes à un succès inattendu ou des problèmes de logistique (ou les deux).
Le
22/11/2013 à
15h
17
On a reçu aucune alerte par mail. Quel est le souci avec la news ?
plusieurs commentaires en ont parlé.
le problème de Xbox live de cette nuit n’a rien a voir avec le lancement de la Xbox one.
c’est juste une coïncidence qu’il y ait eu un soucis de DNS qui a causé l’inaccessibilité de tous les services MS, pas juste Xbox live.
Le
22/11/2013 à
14h
48
Franchement PCI est décevant ces derniers temps.
faire une erreur dans la news, ça passe. Mais ne pas publier d’update pour rectifier le tir, c’est vraiment un manque de professionnalisme.
entre ça et la news d’hier sur exchange, on se croirait sur clubic ou theverge.
Mouahaha Android sécurisé? J’aurais un truc compromettant à dire, je ne le dirais pas à côté de mon téléphone
Android en lui même est sécurisé.
le problème c’est les maj de securité. Mais on peut tout a fait imaginer un fork Android sur x86 qui soit mis à jour régulièrement comme n’importe quelle distrib linux.
au final, ça laisserait à l’utilisateur la possibilité d’installer des logiciels tiers sans trop de risque car l’environnement est sandboxé.
comparé à un linux desktop ou à un Windows desktop (hors WP et WindowsRT), c’est plus sécurisé car même en ne donnant pas le mdp admin à l’utilisateur, il peut pourrir son compte avec des malwares tournant en mode utilisateur. Au final pour empêcher cela on est obligé de bloquer tous les logiciels non approuvés (sauf sur win8 entreprise avec applocker où on peut bloquer les applis win32 non approuvées et laisser l’utilisateur installer les applis WinRT qu’il veut sans risque)
avoir un OS où toutes les applis doivent être sandboxées permet de laisser du champ libre à l’utilisateur tout en ne sacrifiant pas sa sécurité.
bref, c’était du HS, mais c’était juste pour rappeler qu’aux mains d’un utilisateur lambda, un linux desktop présente plus de risques qu’un Android.
Le
21/11/2013 à
22h
46
C’est quoi cet Exchange qui, même après avoir cliqué oui par connerie OK, permet qu’on puisse accéder aux emails persos ???
exchange est un logiciel qui tourne coté serveur.
exchange ne demande rien à l’utilisateur, et n’est nullement en cause dans cette attaque.
en l’occurrence, ce sont les smartphones des députés (probablement pas des Windows phones au passage) qui ont été attaqués.
en se connectant automatiquement au réseau wifi du hacker, et en tentant de synchroniser la boite mail, ce n’est pas le serveur exchange qui leur a répondu, mais un faux serveur tournant sur la machine du hacker. Le hacker a utilisé un certificat autogénéré pour répondre à la tentative de synchro du client mail du smartphone (qui exige une connection ssl)
le client mail du smartphone se rend compte que le certificat est bidon, et il demande à l’utilisateur s’il veut quand même envoyer ses identifiants à ce serveur dont le certificat est bidon.
l’utilisateur répond oui, et le hacker récupère les identifiants.
aucune faille n’a été exploitée, juste le fait que la plupart des clients mails autorisent les utilisateurs à se connecter quand même à un serveur mail même si le certificat n’est pas valide.
une telle attaque aurait été faisable de la même façon avec un serveur imap avec ssl actif.
exchange n’y est strictement pour rien. Et Windows n’intervient nullement là dedans.
Le
21/11/2013 à
22h
30
Insinuerais-tu que choisir Microsoft c’est comme être dans une dictature ? :-)
le probleme serait exactement le même avec un écosystème linux si suite à un appel d’offre une migration vers Android était envisagée (car plus sécurisé qu’un linux desktop)
les applis linux desktop ne tournent pas sous Android.
et même si les applis sont codées en java, la transition entre différents OS nécessite des adaptations pour les applis non triviales.
bref, en informatique c’est évident que quand on fait le choix d’un environnement et qu’on investit dessus, on ne change pas facilement sans avoir de solides raisons de vouloir le faire.
Donc pour toi, puisque que Microsoft a été choisi à un moment donné, on ne change rien, on reste chez eux ad vitam eternam ? Tu ne trouves pas que ça pose problème de NE PAS pouvoir changer de fournisseur ?!?…
si une DSI décide d’abandonner Windows, elle peut le faire progressivement (virtualisation et remote desktop).
mais encore faut il avoir des raisons de vouloir quitter Windows, et un réel intérêt à vouloir passer à autre chose.
Un appel d’offre n’est pas un appel à bouleversements inutiles. Si une administration est satisfaite avec Windows, oracle, aix, c’est normal qu’elle ne fasse pas un appel d’offre ayant pour but de tout refaire son SI from scratch.
Le
21/11/2013 à
21h
04
Il n’y a pas 36 fournisseurs dans les environs, alors à quoi bon faire un appel d’offre ? Pourtant il y en a un de fait à chaque fois,
faire un appel d’offre en imposant comme condition que ce soit un OS compatible avec les applis Windows, c’est un peu comme faire une élection démocratique avec 1 seul candidat.
au final les libristes gueuleraient autant, et de l’argent et du temps auront été perdus pour rien avec un appel d’offre inutile. (wine non plus n’aurait pas été un candidat acceptable niveau compat).
S’ils doivent réécrire toutes leurs applications, cela prouve que le choix de windows a été une erreur dès le début. Maintenant, comme tu le dis, ils sont liés à microsoft.
parce que tu crois que si les applis avaient été écrite pour linux, un appel d’offre avec migration vers osx ou Android x86 sur desktop aurait conservé la compatibilité?
Le
21/11/2013 à
20h
46
La calamité Microsoft continue ses ravages.
Oùu comment, à coups de lobbying, comment imposer un système révolu, une passoire informatique.
Ça craint, et c’est désespérant
désespérant en effet, les trolls qui se réjouissent d’avoir lu de fausses informations.
fais au moins l’effort de lire les commentaires avant de poster.
Le
21/11/2013 à
20h
42
Je persiste à dire que les clients ne font que suivre une spec qui ne me semble pas précise (après une lecture de 30 lignes en 3 minutes ;)
en même temps c’est aussi aux devs qui implémentent les spécifications de faire preuve de bon sens.
je me souviens avoir lu il y a quelques années que si les navigateurs web appliquaient les spécifications HTML4 à la lettre, n’importe quel site pourrait provoquer l’upload de n’importe quel fichier via un input file, car le standard ne disait pas explicitement qu’on ne peut pas remplir le champ texte du contrôle input file via javascript.
heureusement, les développeurs de navigateurs web ont tous imposé cette restriction, bien que n’etant pas dictée par le standard.
je pense qu’on est dans un cas de figure similaire ici. Sauf que cette fois ci la restriction ne s’est pas (encore) imposée d’elle même…
cela dit, le fait de laisser l’utilisateur outrepasser l’avertissement de certificat invalide serait moins problématique si le message était effrayant (en rouge, avec un champ texte dans lequel il faut taper “Je comprend le risque” avant de pouvoir cliquer sur “continuer”). Tout ce joue dans la manière de présenter les choses. Un peu comme IE qui pose les questions à l’envers (genre “voulez vous ne pas charger le contenu non sécurisé?”), sachant que l’utilisateur lambda clique toujours sur oui.
Le
21/11/2013 à
20h
11
Ça me pose un gros problème ça… Comment est-il possible de ne pas faire d’appel d’offre public, de ne pas faire de mise en concurrence ?!? En gros un acteur est déjà implanté, alors on reprend le même à chaque fois sans envisager autre chose ? Complètement crétin…
parce que tu crois qu’ils vont réécrire toutes leurs applications métier desktop et serveur tous les 3ans ?
bonjour le gâchis d’argent du contribuable si les politiciens votaient le passage à du full linux, puis 3ans plus tard vers du osx et du solaris, puis 3ans plus tard encore autre chose…
quand on a un parc applicatif existant sous Windows, à quoi bon faire un appel d’offre s’il n’y a pas de concurrent capable de maintenir la comptabilité avec les investissements existants?
ils doivent bien avoir des serveurs unix et oracle, et je doute qu’ils fassent des appels d’offre là dessus lorsqu’ils veulent juste pouvoir upgrader vers des versions plus récentes.
bizarrement ça choque personne dans ce sens là. Cela dit dans l’autre sens ça choque pas grand monde non plus, à part quelques nolifes qui sont en croisade contre MS et le capitalisme ;)
Dans ce cas là, c’est au protocole d’être clair sur la question (au passage, ActiveSync est bien un logiciel, le protocole c’est Exchange ActiveSync).
l’article parle d’activesync, sous entendu EAS (exchange activesync).
c’est évident qu’on ne parle pas du logiciel de synchro de Windows mobile 6 ^^
après que le protocole n’oblige pas le SSL n’est pas choquant. Pour des environnement de test et de debug ça peut être utile.
mais a partir du moment où une entreprise exige un certain niveau de sécurité, c’est emmerdant que les client mails autorisent l’utilisateur à ignorer les erreurs de certificat.
il aurait fallu que ce soit une option désactivée par défaut, cachée dans les options avancées pour éviter toute activation accidentelle.
Le
21/11/2013 à
19h
19
Autant je trouve que c’est n’importe quoi de dire qu’il y a une faille dans Exchange, autant je trouve que c’est n’importe quoi de dire que c’est la faute du client. C’est un principe bien connu de remonter une alerte lorsqu’un certificat SSL n’est pas valide, c’est à l’utilisateur d’être formé pour savoir réagir en conséquence. PEBKAC ici, selon moi.
pour le web ça me semble raisonnable de laisser l’utilisateur outrepasser l’avertissement de sécurité, car pas mal de sites légitimes présentent des erreurs de certificat.
mais pour un client mail (ou tout autre logiciel qui utilise des certificats), il ne faut pas laisser le choix à l’utilisateur. Il me semble qu’outlook laisse le choix, et c’est une mauvaise chose (au moins pour imap sur ssl, pour exchange je sais pas)
ça ne sert à rien au final d’implémenter des sécurités si on laisse la possibilité à des script kiddie de pousser l’utilisateur à effectuer une connexion non securisée.
c’est évident que l’utilisateur va accepter… Même un utilisateur confirmé se dira que c’est le service IT qui a dû laisser expirer le certif et acceptera d’ignorer le certif sans se soucier du risque potentiel.
bref, je blâme d’avantage les clients mails que les utilisateurs.
je peux pas blâmer l’utilisateur qui ne sait pas ce qu’est un certificat et qui appuie sur OK parce qu’il comprend pas la question et qu’il veut juste que ça marche parce qu’il a du boulot à faire.
Le
21/11/2013 à
18h
55
D’après l’article de Numerama :
(Mise à jour : en fait la technique consisterait à simuler un serveur Exchange sur le faux hotspot, auquel cas ActiveSync prévient que le serveur n’est pas celui attendu, et demande confirmation à l’utilisateur s’il souhaite tout de même s’y connecter… ce que beaucoup accepteraient. La responsabilité est donc partagée)
ActiveSync n’est pas un logiciel, c’est juste le protocole de synchronisation.
la “faille” vient donc en réalité du client mail utilisé, certainement le client mail d’iOS ou android qui offre à l’utilisateur la possibilité de mettre à mal sa sécurité en acceptant de faire confiance à un certificat non valide.
la responsabilité n’est donc pas partagée avec active sync, mais partagée entre le client mail ios ou android (accepter un certif non valide n’aurait jamais dû être proposé à l’utilisateur) et l’utilisateur.
bref, Mediapart et ce script kiddie se font une joie de cracher sur MS. Et ce n’est pas la première fois que Mediapart sort des conneries sur MS. Bonjour la crédibilité.
en plus ils enchainent sur un speech anti MS à base de “ya des backdoors partout” qui n’a rien à voir avec l’objet de l’article.
probablement des journaleux qui ne trouvent rien à reprocher à l’imac à 2000€ qui trône sur leur bureau. Parce qu’Apple est trop cool pour se soumettre au patriot act probablement?
enfin, gros carton rouge à PCI qui reprend la fausse info selon laquelle il y a une faille dans Exchange sans réfléchir.
Bah IE n’a pas vraiment de plateforme pour les extensions … Des extensions existent comme Web Of Trust ou Adblock mais je sais pas doit y’en avoir une centaine face a des milliers chez Chrome/FF…
De plus IE Metro ne permet pas l’installation d’extension a ma connaissance … Donc au final ouais j’ai bien l’impression que IE veut bannir Plugin et Extension …
IE supporte les extensions, parfois appelées Browser Helper Object depuis au moins IE3.
ça implique de coder en natif, donc c’est pas la meme facilité que sur chrome/fx.
mais de toutes façons MS veut se débarrasser des plugins ET des extensions.
sur windows RT ça n’existe deja plus, et sur IE metro non plus.
j’ai du mal à comprendre pourquoi google bâtirait sa stratégie autour des extensions alors qu’ elles ont la capacité d’anéantir tout les efforts que google a fait en matière de securité.
en gros, quelqu’un pourrait tout à fait créer une extension malveillante sur chrome OS et contaminer par social engineering un certain nombres d’utilisateurs avant que google la bannisse.
c’est franchement pas dur quand on voit le nombre d’utilisateurs qui installent des soit disant “vlc plugins”…
Le
13/11/2013 à
14h
49
Humn, sauf que c’est plus fin que cela et tu le sait bien .
Tu peut choisir de n’autoriser que les script du site lui même (et pas ceux hébergés ailleurs). La plupart des sites hébergent encore la majorité des scripts donc pour le cassage..
je sais que c’est possible, mais je vois mal l’utilisateur (meme geek) faire ça.
c’est comme les protections par analyse des comportements des antivirus.
en theorie ça permet de mieux proteger, mais,en pratique c’est terriblement lourd d’autoriser à tout bout de champ des actions d’apparence inoffensives, et au final ça n’apporte aucune garantie.
dans le cas de noscript, si le script malceillant est hebergé sur le domaine d’un site de confiance qui vient de se faire hacker, au final la protection vole en eclat meme si tu t’es fait chier à n’autoriser que le strict minimum.
Le
13/11/2013 à
12h
01
@Emralegna
preuve que l’EPM etait actif par defaut et qu’il a ete desactivé:
L’intitulé est présent deux fois, une fois dans l’onglet Sécurité, et une fois dans l’onglet Avancé, mais ce sont deux options différentes. Dans l’onglet sécurité ça active la sandbox, dans l’onglet avancé ça n’autorise que le LAN.
Dans l’onglet avancé, l’activation de l’enhanced protected mode remplace le protected mode classique (celui introduit dans vista) par celui introduit dans windows 8.0.
il est actif par defaut dans windows 8.1 RTM.
mais il a ete desactivé par la maj publiée hier.
pour rappel, il etait desactivé par defaut dans win8.0, et il n’est pas supporté dans win7.
quant à ta derniere phrase selon laquelle l’Enhanced Protected Mode ne supporte que le LAN, ça n’a aucun sens.
c’est exactement le contraire en fait, l’EPM empeche l’acces au LAN si ton reseau est en mode privé/bureau.
il n’empeche bien entendu pas l’acces à internet.
Le
13/11/2013 à
09h
38
En effet, surtout de ta part
on est plus en maternelle mon gars!
si t’as une critique, developpe la.
Le
13/11/2013 à
09h
36
Y a pas de Noscript pour IE, du moins à ma connaissance, et c’est de loin le plus important des deux, puis y a les autres extensions, et là aussi IE est à la bourre
quel est l’intérêt de noscript si tu dois mettre tous les sites que tu visites en liste blanche sous peine d’avoir un fonctionnement cassé?
au final s’il y a une faille dans Firefox, suffit qu’un site malveillant demande gentiment d’activer JS pour que l’utilisateur le mette en whitelist et se fasse exploiter. C’est exactement ce qui s’est passé avec la NSA qui a exploité une faille dans le Firefox intégré au package tor malgré la présence de noscript.
bref, mieux vaut miser sur des fonctionnalités de sécurité qui améliorent la sécurité sans casser les fonctionnalités JS comme les sandbox d’IE et chrome. Noscript c’est juste une illusion de sécurité.
cela dit, il existe un équivalent de noscript sous IE, suffit de mettre la zone internet en sécurité élevée, et lorsqu’on veut réactiver les scripts sur un site, faut le mettre dans la liste de la zone de confiance. C’est la config par défaut sous Windows server 2003 et +.
pas besoin de plugin additionnel pour ça.
concernant le manque d’extensions, c’est normal, les extensions sont une source d’instabilité, de ralentissements, et posent de graves problèmes de sécurité. Microsoft va à terme les supprimer totalement.
déjà sous Windows RT les applis tierces ne peuvent pas installer d’extension sur IE desktop, et sous win8 IE Metro ne supporte plus du tout les extensions.
c’est une bonne chose compte tenu du bordel que les extensions installées par les adwares foutent sur les PC/MAC des utilisateurs lambdas.
MS essaye de migrer les utilisateurs vers des systèmes 100% sandboxés, sans malware: WP et WindowsRT. Il est évident que sur ce modèle les extensions ne peuvent pas exister, sous peine d’offrir aux développeurs malveillant un moyen alternatif d’infecter les utilisateurs avec des trojan ou des injecteurs de pub.
Le
13/11/2013 à
09h
17
Je viens juste(enfin, hier) de faire la mise à jour IE 10 –> IE 11, et IE est toujours le seul navigateur qui à la première ouverture de page, t’affiche un “sapin de noël” le truc qui te plonge en crise d’épilepsie dans la seconde
wow la mauvaise foi n’a aucune limite de nos jours! Maintenant c’est la faute à IE si ya de la pub sur internet!
t’es conscient que IE est le seul navigateur a être capable de bloquer les pubs sans plugin additionnel? (via des tracking protection lists).
et si ce n’etait pas assez, il existe adblockplus pour IE depuis quelques mois.
Le
13/11/2013 à
09h
07
Fausse information. D’une part cette option n’a jamais été activée par défaut dans IE10/11+ (j’inclus les mises à jour récentes), parce qu’on perd toute connexion en HTTP ce qui aurait rendu le navigateur inutilisable par défaut à l’installation fraiche de Windows
tu confonds avec la sécurité active par défaut sous Windows server qui bloque javascript et les téléchargements.
rien à voir avec le mode protégé amélioré qui, lui, était actif par défaut sous win8.1 rtm.
il est désormais désactivé par défaut depuis l’update d’hier.
Le
12/11/2013 à
23h
46
Au passage, la faille d’IE dont il est question dans cet article n’etait en réalité pas une faille d’IE, mais une faille de Cardspace.
la faille n’a pas été corrigée, Microsoft ayant décidé de “tuer” le contrôle activex de cardspace pour éviter son usage dans IE.
voila qui explique pourquoi MS a été si rapide a reagir (cardspace est déprécié et n’a jamais été massivement utilisé, c’était donc l’occasion de le tuer pour de bon).
en tout cas la faille n’aurait pas été exploitable avec IE Metro puisque ce type de contrôle activex ne peut pas fonctionner sur cette version.
Le
12/11/2013 à
23h
09
Muahaha le Web et les utilisateurs ne sont pas prêts pour avoir un navigateur trop sécurisé
dommage que MS ait plié face au mécontentement de certaines entreprises (à cause de JAVA peut être? Vu qu’oracle n’a pas publié de version compatible EPM)
à ce train là on va se retrouver avec le user agent d’IE10 dans IE11 par défaut ^^
quoi qu’il en soit IE Metro reste encore le plus sécurisé (64bit, EPM, et interdiction des plugins sauf Flash).
pour rappel, MS avait déjà fait des sacrifices en n’activant l’EPM qu’en 32bit sur IE desktop sous win8.1 (le 64bit était activable dans les options).
Le
12/11/2013 à
12h
23
Et cette news te précise que la fameuse sandbox d’IE a été rendue inutile, tu pisse contre le vent, à force tu va être éclaboussé.
la firme qui a découvert cet exploit n’a pas parlé d’un contournement de sandbox. Je ne sais pas d’où PCI sort cette info.
pour rappel, la sandbox de vista/ie7 (utilisée jusqu’à win7) ne protège que contre les accès disque en écriture (la lecture reste autorisée). La sandbox intégrée à IE10 sous win8 empêche désormais aussi la lecture et l’accès au LAN.
le malware dont il est question ici reste en mémoire vive pour rester indétectable et disparait après fermeture de session. Il n’a donc pas besoin de sortir de la sandbox pour faire du vol d’information.
cela dit, la sandbox de vista a déjà été contournée, tout comme celle de chrome. Un contournement est possible en cas de faille, mais au moins ça rajoute de la difficulté pour les créateurs d’exploits.
Le
12/11/2013 à
12h
08
Les versions concernées vont de la 7 à la 10, affectant ainsi cinq systèmes d’exploitation : Windows XP, Vista, Windows 7, Windows 8 et Windows RT.
precision importante: la faille n’est exploitée que sous IE8 sous XP, et sous IE9 sous win7.
bien que la faille existe dans IE10, les hackers n’ont pas réussi à l’exploiter sur cette version, à priori. Lors de la dernière faille IE il y a deux mois c’était pareil, IE10 n’a pas pu être ciblé grâce à la protection mémoire ForceASLR qui empêche les méthodes classiques de contournement de ASLR de fonctionner.
Je profite du sujet proche parce que je vois rien passer, y’en a avec une surface RT (la vieille) qui ont des soucis avec IE depuis le passage en 8.1 (type freezes sur certaines pages, impossible de scroller/changer d’onglet/… pendant plusieurs secondes) ?
essaye de créer un nouveau profil utilisateur. Partir sur un profil “propre” élimine souvent pas mal de soucis de ce genre.
Le
13/11/2013 à
13h
16
Et quand est-il de miracast sur la 1ere surface RT ?
pas dispo car non supporté par le tegra3.
il faut du tegra4 minimum.
idem pour les atom clover trail sur x86 helas. Le support miracast necessite du bay trail.
Le
13/11/2013 à
13h
13
Oui mais sur Win 8 ENTREPISE, tu n’auras pas la MAJ dans le store quoi qu’il arrive. MS à décidé qu’il fallait passer par une installation d’un win8.1 (via un DVD ou USB avec l’iso).
tu peux faire une maj il me semble.
tu mets l’iso de 8.1 sur le bureau, tu la montes, et tu lances le setup.
normalement il supporte l’upgrade.
quant au fait qu’il soit pas dispo sur le store, c’est normal, la maj 8.1 entreprise n’est pas gratuite, il faut avoir un contrat genre software assurance et utiliser une clef differente de 8.0 entreprise.
Et c’est vraiment mérité. Un bon modèle de collaboration ouverte qui l’emporte contre des systèmes ultra fermés. Enfin !
c’est très naïf comme point de vue quand on sait que google fait tout pour rendre les briques propriétaires d’android de plus en plus incontournables pour les OEMs.
voir aussi acer qui a été contraint par google d’annuler le lancement d’un terminal android en chine car il incluait des composants concurrents à google.
android est juste suffisamment open source pour éliminer la concurrence en matière d’OS, et suffisamment fermé pour éviter qu’on fasse concurrence à google en matière d’ecosysteme (lire l’article d’ars pour voir à quel point il est difficile pour amazon de créer un OS android sans composants google propriétaires).
plus grave encore, l’absence de support à long terme et de déploiement des maj de sécurité.
meme les nexus ne sont supportés qu’ 1 an et demi.
quant aux autres terminaux, la moyenne est de quelques mois seulement.
c’est quand meme catastrophique comme approche de la sécurité. Mais google s’en fou, du moment que ça inonde le marché et que ça rapporte de l’argent grace aux pubs.
google a de quoi sabrer le champagne, mais les utilisateurs, pas vraiment.
Perso, j’avoue que ça risque de me faire chier. Mais je vais faire une modif dans mes filtres pour que IE 11 soit bien reconnu comme IE 11.
pourquoi as tu besoin de traiter IE11 comme un IE?
du code standard devrait faire l’affaire.
le but est justement d’éviter de donner à bouffer à IE11 des hacks de l’époque IE6/7/8.
évidemment si tu as utilisé du css avec des préfixes -moz et -webkit dans ton code “standard”, va falloir modifier ton code.
en attendant tu peux toujours passer IE11 en mode ie10 via la balise meta appropriée.
Le
08/11/2013 à
14h
12
@dosibox
c’est normal, le support de Windows 8 se termine dans 2ans.
Windows 8.1 est une maj obligatoire pour les utilisateurs de Windows 8. Windows 8.0 est voué à disparaitre rapidement, il n’y a donc pas de raison de backporter IE11 dessus.
Le
08/11/2013 à
14h
06
Les préfixe sont justement là pour indiquer qu’il ne faut pas utiliser ces fonctionnalités en prod…
si c’était vraiment le cas, ces fonctionnalités ne seraient utilisables qu’après avoir activé manuellement le support de technologies expérimentales dans les paramètres du navigateur.
or dans les faits, on voit bien que les webmasters n’ont aucun problème à utiliser du -webkit, surtout sur les sites mobiles.
tout le monde utilise de l’experimental en s’auto persuadant que c’est standard compliant.
871 commentaires
Blocage des certificats par Google : interview de Patrick Pailloux (ANSSI)
10/12/2013
Le 10/12/2013 à 13h 43
Je ne comprends toujours pas comment cela peut être légal de faire cela. Les pauses sont autorisées, les coups de fils perso (raisonnable) aussi. Pourquoi une boite aurait le droit d’espionner complètement ses employés lorsqu’ils vont sur leur mail, ou leur banque par exemple ?
du moment que les employés sont au courant, il n’y a pas de problème.
personne ne les force à utiliser leurs comptes perso au travail.
c’est normal que la DSI veuille être capable de surveiller les flux sortants, étant donné que les firewalls entrants ne servent plus à grand chose face à des botnets qui communiquent via des flux sortants en https.
Le 10/12/2013 à 13h 36
franchement ça m’étonnerait beaucoup qu’il y ait un wifi interne à la DGT.
je ne demande qu’à me tromper, mais ça me parait “trop gros”. ^^
quant au matos non administré, même chose.
ou alors les gars sont d’énormes tanches à la SSI.
à la lumière de cette news, des choses qui paraissaient totalement improbable semblent être plus courantes qu’on ne pourrait le craindre.
qu’il y ait un réseau wifi et une politique autorisant les hauts fonctionnaires à utiliser leur iPad perso me semble tout à fait probable en comparaison…
Le 10/12/2013 à 13h 28
En tout cas, ça soulève un problème: seul chrome a un mécanisme de détection des certificats non-attendus sur un nom de domaine. Firefox, IE et Safari font quoi pour ce genre de problème ?
attention, le certificate pinning se base sur une liste hard codée.
Google chrome protege les différents domaines appartenant à Google, ainsi que d’autres connus comme Twitter.com
mais si quelqu’un généré un certificat pour le site de ta banque, le certificate pinning de chrome n’y verra que du feu.
idem pour EMET qui permet de rajouter le support du certificate pinning dans IE. EMET dans sa config par défaut ne protège que les domaines de Microsoft et Skype.
cela dit, contrairement à chrome, l’utilisateur peut rajouter des domaines dans EMET.
du coup c’est normal que le certificate pinning ne soit pas généralisé.
pour que ce soit efficace, il faudrait une liste mise a jour dynamiquement. Et il faudrait surtout aux webmasters un moyen de signaler un changement légitime de certificat. Sinon les sites se retrouveraient bloqués suite à un changement de certificat.
autrement dit: il faudrait un standard à part entière pour définir le mécanisme de distribution de ces infos.
Le 10/12/2013 à 13h 20
Come toi, j’aimerai savoir comment Google a pu s’apercevoir de ceci précisément
il suffit qu’une seule personne utilise Chrome pour que google soit avertit que le certificat ne correspond pas à celui qui a été hardcodé dans chrome pour le domaine de google.
il est possible meme que des utilisateurs d’android connectés en wifi aient pu envoyer cette info si les applis google disposent d’un mecanisme similaire à celui de chrome en cas de detection d’un certificat inattendu.
en tout cas je ne serais pas étonné que d’autres certificats aient été générés pour Hotmail, Yahoo mail, Facebook…
je serais même étonné du contraire. Pourquoi ne voudraient ils ne surveiller QUE gmail/google?
le plus pathétique dans l’affaire, c’est qu’il n’y avait nullement besoin de générer de tels certificats. Dans un environnement administré, il est simple de déployer un certificat racine pour une autorité de certification interne à l’entreprise sur toutes les machines , ce qui permet aux connections d’être relayées et examinées par un proxy interne sans causer d’erreurs https.
deux raisons qui expliqueraient la non utilisation de cette méthode:
-incompetence
-volonté de supporter les devices non administrés (iPad, …)
Google travaille sur la portabilité des Chrome Web Apps sur Android et iOS
04/12/2013
Le 04/12/2013 à 17h 01
malgré cela on voit des gens dire que Chrome est plus rapide que Safari sur iOS (ce qui est bien evidemment faux).
comme quoi un navigateur sans JIT peut offrir un experience utilisateur correcte en 2013.
et donc s’il le veut, google peut porter chrome sur WP en utilisant son propre moteur de rendu, et avec un mode incognito qui fonctionne reellement (contrairement à ios)
Le 04/12/2013 à 16h 36
Un bon navigateur sans JIT en 2013 ?
si ton but est d’avoir le score le plus gros dans les benchmarks, l’absence de JIT est un probleme.
mais pour de la navigation web, pas de soucis.
le navigateur le plus utilisé au monde (IE8) ne supporte pas le JIT, et 20% des internautes s’en servent sans se plaindre de lenteur.
pour les autres navigateurs, Il me semble que Firefox nightly 64bit (que bon nombre de geeks utilisent) ne supporte pas le JIT dans sa version windows.
idem pour safari dans iOS lorsqu’il est utilisé en mode web app ou integré dans une application tierce (au final je me demande comment s’en tire chrome sur ios)
au final sur des applis web classiques (99% du web) la difference entre du code JITé et du code executé par un interpreteur bien optimisé n’est probablement pas visible à l’oeil nu.
donc oui, les editeurs tiers peuvent faire des navigateurs sous WP et WindowsRT.
et si leur produit repond à une demande, je suis sûr qu’à terme MS ouvrira la possibilité de faire du JIT à certains developpeurs approuvés. Un peu comme les comptes enterprise qui ont plus de droits sur le store que les comptes particuliers.
Le 04/12/2013 à 12h 24
La règle est la même que sur iOS, où faut utiliser webkit, il faut utiliser Trident.
c’est faux, MS n’interdit pas le portage d’un autre moteur de rendu.
la preuve, il y a au moins un navigateur basé sur gecko dans le marketplace (Nokia xpress).
la seule chose qui est interdite c’est la compilation JIT, ce qui n’empeche nullement de faire un bon navigateur. IE9 sur WP7 ne supporte pas la compilation JIT mais il est malgré tout tres rapide à l’utilisation. Donc rien n’empeche le portage de chrome ou Firefox.
Déjà 3,27 % de parts de marché pour Internet Explorer 11 depuis sa sortie
02/12/2013
Le 02/12/2013 à 14h 50
Au fait, RC n’est pas considéré comme étant un brouillon. LC et WD c’est du brouillon.
au final brouillon ou pas, le RC n’apporte pas le même niveau de stabilité dans le temps que les spec finales.
sinon quel serait l’intérêt d’une RC?
et même quand une spec passe en RC ou en finale, il faut laisser le temps de l’implémenter. Ton @support n’est supporté que depuis quelques mois dans chrome. Le code de IE11 est figé depuis juillet. C’est normal que IE11 ne le supporte pas.
Le 02/12/2013 à 14h 45
Tu veux la liste de ce qui est maintenant utilisé par tout le monde est est encore en draft ?
ta justification c’est de faire comme tous les webmasters qui programment comme des porcs qui et s’attendent à ce que MS et Mozilla supportent tout le code foireux conçu spécifiquement pour chrome?
t’es libre d’utiliser du code non standard. Mais ne gueule pas contre les navigateurs qui ne le supportent pas. A toi de trouver des solutions pour supporter tous les navigateurs, ou alors abstiens toi d’utiliser les dernières propriétés css à la mode.
Le 02/12/2013 à 14h 10
@support est justement là pour voir ce qui est supporté ou non, de fait tout le monde l’a très vite intégré… sauf IE.
le lien que t’as posté (site de Mozilla) dit que ce n’est pas non plus supporté par safari.
tu ne peux t’en prendre qu’à toi même si tu rencontres ce genre de problème. Personne ne te force à utiliser des technos encore en draft.
au contraire, c’est même recommandé d’attendre.
tu as fais le choix d’utiliser du css en draft, à toi de faire le boulot nécessaire pour supporter correctement chaque navigateur.
Le 02/12/2013 à 13h 34
C’est vrai. Et comme disait un autre contributeur : en entreprise la même IP publique peut être partagée par moult postes (au niveau perso aussi, mais les proportions sont moindres), donc ça reste un peu fantaisiste l’ensemble au final
le comptage des visiteurs uniques tel qu’il est fait par net applications se base sur des cookies il me semble, et non sur les ip.
au final derrière une même ip, tous les utilisateurs sont comptabilisés correctement.
dans le cas contraire, il serait impossible de comptabiliser correctement le traffic depuis les operateurs mobiles puisqu’ils utilisent souvent la même ip publique pour des milliers d’utilisateurs.
Le 02/12/2013 à 13h 17
Afin de faciliter votre navigation nous vous recommandons la procédure suivante :
Appuyez ou cliquez sur le bouton Outils d’IE 11 , puis appuyez ou cliquez sur Paramètres d’affichage de compatibilité
c’est quoi ces webmasters en carton?
ils forcent l’utilisateur à faire une manip qui pourrait être évitée en demandant coté serveur à IE de charger les pages en mode IE7 (ou autre) via un simple header.
Le 02/12/2013 à 13h 12
Ben non, un type qui visite beaucoup de pages a plus d’importance qu’un Michu qui visite une page par mois
pas si simple
entre un geek qui passe des heures à comparer les prix sur des dizaines de sites, et un michu qui se contente de visiter seulement quelques pages dans le mois mais qui se décide très rapidement à faire un achat en ligne, lequel va rapporter le plus d’argent aux sites marchants?
sans oublier que chrome precharge en arrière plan des pages qui ne seront pas forcement visitées par l’utilisateur, ce qui avantage artificiellement chrome dans le comptage des pdm “par pages chargées”.
Microsoft : « Nous n’allons pas garder trois systèmes »
25/11/2013
Le 25/11/2013 à 17h 10
Pourquoi avoir développé windows RT à part de Windows phone alors que ce dernier en est très proche et que son principal défaut était d’être en retard sur la concurrence? (retard qui eut pu être comblé plus vite avec plus de forces concentrées sur un seul système on peut imaginer…)
office pour winRT n’etait pas encore prêt. WP ne supporte pas les périphériques usb.
bref, plein de raisons pour lesquelles WP n’est pas encore l’idéal sur tablette.
en attendant c’était plus simple d’avoir un clone de Windows8 sur ARM, plutôt que de rester 3ans sans OS pour tablette qui soit pleinement sandboxé (et donc sans malwares).
Le 25/11/2013 à 17h 05
Non plus à un élargissement des capacités de Windows Phone pour gérer les tablettes… En espérant que le snap ne disparaisse pas dans la manoeuvre… Surtout que le snap aurait sa place sur les phablettes aussi..
+1
et aussi que cet OS supporte l’usb (imprimantes, stockage, clavier, souris)
avant que certains ne s’enflamment pour rien, précisons que ça ne veut pas dire que les produits comme SurfaceRT sont condamnés. Les mêmes apps continueront à fonctionner. C’est juste le nom de l’OS qui va changer, et le bureau disparaitra (office sera porté en appli Metro d’ici là).
en tout cas c’est une bonne chose si certaines capacités de Windows RT se retrouvent sur les téléphones.
Plus d’un million de Xbox One vendues, des ratés sur le lecteur Blu-ray
25/11/2013
Le 25/11/2013 à 16h 24
Tu veux du multimédia, tu montes un EePC que tu branche à ta TV, point.
peut être valable pour un geek, mais pas pour 99% de la population.
une Xbox one n’a aucun besoin de maintenance logicielle, et offre un hardware adapté au salon (silencieux, ne surchauffe pas). Et tout fonctionne out of the box.
ce n’est absolument pas la même philosophie que le pc.
même moi étant un ancien utilisateur de pc de salon media center j’en ai eu marre et je préfère une set top box.
(marre des drivers foireux qui font planter la sortie de mise en veille une fois sur 10).
Le 25/11/2013 à 15h 19
Si le volume est suffisamment fort la console comprends “Xbox diminuer le volume” sans avoir à hurler ?
non ^^
vaut mieux mettre le contenu en pause d’abord (par exemple avec la navigation par la main reconnue par la camera de Kinect.)
Ce ne sont pas des arguments valable ça, faut trouver mieux.
Car pour youtube et consort, on a ça sur PC et en direct, rien à installer.
Contrôle geste+voix, idem, avec une télécommande universelle logitech tu fais la même chose… Sauf la voix mais osef de ça…
Et le reste, inutile de continuer à argumenter…
parce que tu trouves qu’un pc de salon se débrouillerait aussi bien avec un navigateur web qu’une Xbox avec des applis dédiées pour Youtube, pluzz, canalsat, …?
quant à la reconnaissance des gestes Kinect et la reconnaissance vocale, c’est des trucs que tu peux faire en théorie sur ton pc en bricolant et avec un résultat un peu foireux, mais c’est loin d’égaler Kinect.
mais bon inutile d’argumenter si tu as déjà ton opinion toute faite sans même avoir essayé une Xbox one.
Le 25/11/2013 à 14h 32
Faudrait pas oublier que pas mal de gens qui ont précommandé la xb1 se sont retrouvés sans console vendredi aprèm car les magasins avaient tout écoulé le matin, et qu’ils n’avaient même pas reçu assez de consoles pour satisfaire toutes les précommandes.
rajoutez en plus ce qui l’ont pas précommandé et qui avaient envie de l’acheter, ça fait pas mal de ventes en attente.
et même chez MS France ils n’ont pas encore la possibilité d’acheter la xb1 au tarif employé car les stocks sont insuffisants et partent en priorité aux magasins.
D’ailleurs, si quelqu’un pouvait m’éclairer : Pourquoi acheter une X1 ou une PS4 (si ce n’est pour jouer aux jeux qui sortent dessus parce qu’ils ne sortent pas ailleurs, hein.
la xb1 offre des capacités multimédia super intéressantes:
-allumage de la tv, Xbox, et décodeur audio juste en disant “Xbox démarrez”
-contrôle vocal et via les gestes
-applis canal+/canalsat, Youtube, tv orange, …
-hdmi in pour afficher la tv de sa box adsl tout en restant connecté et en recevant les notifications en overlay (appels Skype, messages,…)
-et dans quelques mois la possibilité de zapper entre les chaines grâce au contrôle vocal (guide tv dispo uniquement aux usa pour le moment).
-snapper des applis en jouant (pour regarder la tv du coin de l’oeil par exemple).
-contrôle via smartglass
bref, c’est quelques uns des avantages que la xb1 a par rapport à la ps4 ou un pc branché à la tv.
moi qui ai cassé la télécommande de mon kit 5.1 Logitech z5500 je suis ravi de pouvoir contrôler le volume juste en disant “Xbox augmenter le volume”.
Le Xbox Live victime d’une panne de DNS lors du lancement de la Xbox One
22/11/2013
Le 22/11/2013 à 16h 16
Ont-ils eut le culot de dire à l’ouverture “bonjour vous venez pour quoi ? vous venez pour un renseignement ” lol
haha non, ils ont juste gueulé “vous en faites pas, y en aura pour tout le monde!” avant d’ouvrir la grille , histoire d’éviter l’émeute… mais sur ce coup chuis pas sûr qu’ils disaient la vérité!
par contre une heure de file d’attente car les vendeurs passent du temps à essayer de refourguer des extensions de garantie à chaque client –’
mais bon c’est comme ça partout, c’est le nouveau business model des magasins qui vendent de l’électronique
Le 22/11/2013 à 15h 18
En tout cas content d’avoir été à un micromania (de Toulon) à 8h30. On était plus de 20 à attendre devant la grille comme des zombies affamés :p
Plus de monde qu’en 2005 le matin de la sortie de la 360.
quant aux ruptures de stock, MS avait dit qu’il n’y en aurait pas, que l’approvisionnement serait suffisant. Reste à savoir si les pénuries sont dûes à un succès inattendu ou des problèmes de logistique (ou les deux).
Le 22/11/2013 à 15h 17
On a reçu aucune alerte par mail. Quel est le souci avec la news ?
plusieurs commentaires en ont parlé.
le problème de Xbox live de cette nuit n’a rien a voir avec le lancement de la Xbox one.
c’est juste une coïncidence qu’il y ait eu un soucis de DNS qui a causé l’inaccessibilité de tous les services MS, pas juste Xbox live.
Le 22/11/2013 à 14h 48
Franchement PCI est décevant ces derniers temps.
faire une erreur dans la news, ça passe. Mais ne pas publier d’update pour rectifier le tir, c’est vraiment un manque de professionnalisme.
entre ça et la news d’hier sur exchange, on se croirait sur clubic ou theverge.
Un hacker accède aisément aux emails de députés européens
21/11/2013
Le 22/11/2013 à 07h 38
Mouahaha Android sécurisé? J’aurais un truc compromettant à dire, je ne le dirais pas à côté de mon téléphone
Android en lui même est sécurisé.
le problème c’est les maj de securité. Mais on peut tout a fait imaginer un fork Android sur x86 qui soit mis à jour régulièrement comme n’importe quelle distrib linux.
au final, ça laisserait à l’utilisateur la possibilité d’installer des logiciels tiers sans trop de risque car l’environnement est sandboxé.
comparé à un linux desktop ou à un Windows desktop (hors WP et WindowsRT), c’est plus sécurisé car même en ne donnant pas le mdp admin à l’utilisateur, il peut pourrir son compte avec des malwares tournant en mode utilisateur. Au final pour empêcher cela on est obligé de bloquer tous les logiciels non approuvés (sauf sur win8 entreprise avec applocker où on peut bloquer les applis win32 non approuvées et laisser l’utilisateur installer les applis WinRT qu’il veut sans risque)
avoir un OS où toutes les applis doivent être sandboxées permet de laisser du champ libre à l’utilisateur tout en ne sacrifiant pas sa sécurité.
bref, c’était du HS, mais c’était juste pour rappeler qu’aux mains d’un utilisateur lambda, un linux desktop présente plus de risques qu’un Android.
Le 21/11/2013 à 22h 46
C’est quoi cet Exchange qui, même après avoir cliqué oui par connerie OK, permet qu’on puisse accéder aux emails persos ???
exchange est un logiciel qui tourne coté serveur.
exchange ne demande rien à l’utilisateur, et n’est nullement en cause dans cette attaque.
en l’occurrence, ce sont les smartphones des députés (probablement pas des Windows phones au passage) qui ont été attaqués.
en se connectant automatiquement au réseau wifi du hacker, et en tentant de synchroniser la boite mail, ce n’est pas le serveur exchange qui leur a répondu, mais un faux serveur tournant sur la machine du hacker. Le hacker a utilisé un certificat autogénéré pour répondre à la tentative de synchro du client mail du smartphone (qui exige une connection ssl)
le client mail du smartphone se rend compte que le certificat est bidon, et il demande à l’utilisateur s’il veut quand même envoyer ses identifiants à ce serveur dont le certificat est bidon.
l’utilisateur répond oui, et le hacker récupère les identifiants.
aucune faille n’a été exploitée, juste le fait que la plupart des clients mails autorisent les utilisateurs à se connecter quand même à un serveur mail même si le certificat n’est pas valide.
une telle attaque aurait été faisable de la même façon avec un serveur imap avec ssl actif.
exchange n’y est strictement pour rien. Et Windows n’intervient nullement là dedans.
Le 21/11/2013 à 22h 30
Insinuerais-tu que choisir Microsoft c’est comme être dans une dictature ? :-)
le probleme serait exactement le même avec un écosystème linux si suite à un appel d’offre une migration vers Android était envisagée (car plus sécurisé qu’un linux desktop)
les applis linux desktop ne tournent pas sous Android.
et même si les applis sont codées en java, la transition entre différents OS nécessite des adaptations pour les applis non triviales.
bref, en informatique c’est évident que quand on fait le choix d’un environnement et qu’on investit dessus, on ne change pas facilement sans avoir de solides raisons de vouloir le faire.
Donc pour toi, puisque que Microsoft a été choisi à un moment donné, on ne change rien, on reste chez eux ad vitam eternam ? Tu ne trouves pas que ça pose problème de NE PAS pouvoir changer de fournisseur ?!?…
si une DSI décide d’abandonner Windows, elle peut le faire progressivement (virtualisation et remote desktop).
mais encore faut il avoir des raisons de vouloir quitter Windows, et un réel intérêt à vouloir passer à autre chose.
Un appel d’offre n’est pas un appel à bouleversements inutiles. Si une administration est satisfaite avec Windows, oracle, aix, c’est normal qu’elle ne fasse pas un appel d’offre ayant pour but de tout refaire son SI from scratch.
Le 21/11/2013 à 21h 04
Il n’y a pas 36 fournisseurs dans les environs, alors à quoi bon faire un appel d’offre ? Pourtant il y en a un de fait à chaque fois,
faire un appel d’offre en imposant comme condition que ce soit un OS compatible avec les applis Windows, c’est un peu comme faire une élection démocratique avec 1 seul candidat.
au final les libristes gueuleraient autant, et de l’argent et du temps auront été perdus pour rien avec un appel d’offre inutile. (wine non plus n’aurait pas été un candidat acceptable niveau compat).
S’ils doivent réécrire toutes leurs applications, cela prouve que le choix de windows a été une erreur dès le début. Maintenant, comme tu le dis, ils sont liés à microsoft.
parce que tu crois que si les applis avaient été écrite pour linux, un appel d’offre avec migration vers osx ou Android x86 sur desktop aurait conservé la compatibilité?
Le 21/11/2013 à 20h 46
La calamité Microsoft continue ses ravages.
Oùu comment, à coups de lobbying, comment imposer un système révolu, une passoire informatique.
Ça craint, et c’est désespérant
désespérant en effet, les trolls qui se réjouissent d’avoir lu de fausses informations.
fais au moins l’effort de lire les commentaires avant de poster.
Le 21/11/2013 à 20h 42
Je persiste à dire que les clients ne font que suivre une spec qui ne me semble pas précise (après une lecture de 30 lignes en 3 minutes ;)
en même temps c’est aussi aux devs qui implémentent les spécifications de faire preuve de bon sens.
je me souviens avoir lu il y a quelques années que si les navigateurs web appliquaient les spécifications HTML4 à la lettre, n’importe quel site pourrait provoquer l’upload de n’importe quel fichier via un input file, car le standard ne disait pas explicitement qu’on ne peut pas remplir le champ texte du contrôle input file via javascript.
heureusement, les développeurs de navigateurs web ont tous imposé cette restriction, bien que n’etant pas dictée par le standard.
je pense qu’on est dans un cas de figure similaire ici. Sauf que cette fois ci la restriction ne s’est pas (encore) imposée d’elle même…
cela dit, le fait de laisser l’utilisateur outrepasser l’avertissement de certificat invalide serait moins problématique si le message était effrayant (en rouge, avec un champ texte dans lequel il faut taper “Je comprend le risque” avant de pouvoir cliquer sur “continuer”). Tout ce joue dans la manière de présenter les choses. Un peu comme IE qui pose les questions à l’envers (genre “voulez vous ne pas charger le contenu non sécurisé?”), sachant que l’utilisateur lambda clique toujours sur oui.
Le 21/11/2013 à 20h 11
Ça me pose un gros problème ça… Comment est-il possible de ne pas faire d’appel d’offre public, de ne pas faire de mise en concurrence ?!? En gros un acteur est déjà implanté, alors on reprend le même à chaque fois sans envisager autre chose ? Complètement crétin…
parce que tu crois qu’ils vont réécrire toutes leurs applications métier desktop et serveur tous les 3ans ?
bonjour le gâchis d’argent du contribuable si les politiciens votaient le passage à du full linux, puis 3ans plus tard vers du osx et du solaris, puis 3ans plus tard encore autre chose…
quand on a un parc applicatif existant sous Windows, à quoi bon faire un appel d’offre s’il n’y a pas de concurrent capable de maintenir la comptabilité avec les investissements existants?
ils doivent bien avoir des serveurs unix et oracle, et je doute qu’ils fassent des appels d’offre là dessus lorsqu’ils veulent juste pouvoir upgrader vers des versions plus récentes.
bizarrement ça choque personne dans ce sens là. Cela dit dans l’autre sens ça choque pas grand monde non plus, à part quelques nolifes qui sont en croisade contre MS et le capitalisme ;)
Dans ce cas là, c’est au protocole d’être clair sur la question (au passage, ActiveSync est bien un logiciel, le protocole c’est Exchange ActiveSync).
l’article parle d’activesync, sous entendu EAS (exchange activesync).
c’est évident qu’on ne parle pas du logiciel de synchro de Windows mobile 6 ^^
après que le protocole n’oblige pas le SSL n’est pas choquant. Pour des environnement de test et de debug ça peut être utile.
mais a partir du moment où une entreprise exige un certain niveau de sécurité, c’est emmerdant que les client mails autorisent l’utilisateur à ignorer les erreurs de certificat.
il aurait fallu que ce soit une option désactivée par défaut, cachée dans les options avancées pour éviter toute activation accidentelle.
Le 21/11/2013 à 19h 19
Autant je trouve que c’est n’importe quoi de dire qu’il y a une faille dans Exchange, autant je trouve que c’est n’importe quoi de dire que c’est la faute du client. C’est un principe bien connu de remonter une alerte lorsqu’un certificat SSL n’est pas valide, c’est à l’utilisateur d’être formé pour savoir réagir en conséquence. PEBKAC ici, selon moi.
pour le web ça me semble raisonnable de laisser l’utilisateur outrepasser l’avertissement de sécurité, car pas mal de sites légitimes présentent des erreurs de certificat.
mais pour un client mail (ou tout autre logiciel qui utilise des certificats), il ne faut pas laisser le choix à l’utilisateur. Il me semble qu’outlook laisse le choix, et c’est une mauvaise chose (au moins pour imap sur ssl, pour exchange je sais pas)
ça ne sert à rien au final d’implémenter des sécurités si on laisse la possibilité à des script kiddie de pousser l’utilisateur à effectuer une connexion non securisée.
c’est évident que l’utilisateur va accepter… Même un utilisateur confirmé se dira que c’est le service IT qui a dû laisser expirer le certif et acceptera d’ignorer le certif sans se soucier du risque potentiel.
bref, je blâme d’avantage les clients mails que les utilisateurs.
je peux pas blâmer l’utilisateur qui ne sait pas ce qu’est un certificat et qui appuie sur OK parce qu’il comprend pas la question et qu’il veut juste que ça marche parce qu’il a du boulot à faire.
Le 21/11/2013 à 18h 55
D’après l’article de Numerama :
(Mise à jour : en fait la technique consisterait à simuler un serveur Exchange sur le faux hotspot, auquel cas ActiveSync prévient que le serveur n’est pas celui attendu, et demande confirmation à l’utilisateur s’il souhaite tout de même s’y connecter… ce que beaucoup accepteraient. La responsabilité est donc partagée)
ActiveSync n’est pas un logiciel, c’est juste le protocole de synchronisation.
la “faille” vient donc en réalité du client mail utilisé, certainement le client mail d’iOS ou android qui offre à l’utilisateur la possibilité de mettre à mal sa sécurité en acceptant de faire confiance à un certificat non valide.
la responsabilité n’est donc pas partagée avec active sync, mais partagée entre le client mail ios ou android (accepter un certif non valide n’aurait jamais dû être proposé à l’utilisateur) et l’utilisateur.
bref, Mediapart et ce script kiddie se font une joie de cracher sur MS. Et ce n’est pas la première fois que Mediapart sort des conneries sur MS. Bonjour la crédibilité.
en plus ils enchainent sur un speech anti MS à base de “ya des backdoors partout” qui n’a rien à voir avec l’objet de l’article.
probablement des journaleux qui ne trouvent rien à reprocher à l’imac à 2000€ qui trône sur leur bureau. Parce qu’Apple est trop cool pour se soumettre au patriot act probablement?
enfin, gros carton rouge à PCI qui reprend la fausse info selon laquelle il y a une faille dans Exchange sans réfléchir.
Microsoft corrigera ce soir plusieurs failles d’Internet Explorer déjà exploitées
12/11/2013
Le 13/11/2013 à 18h 57
Bah IE n’a pas vraiment de plateforme pour les extensions … Des extensions existent comme Web Of Trust ou Adblock mais je sais pas doit y’en avoir une centaine face a des milliers chez Chrome/FF…
De plus IE Metro ne permet pas l’installation d’extension a ma connaissance … Donc au final ouais j’ai bien l’impression que IE veut bannir Plugin et Extension …
IE supporte les extensions, parfois appelées Browser Helper Object depuis au moins IE3.
ça implique de coder en natif, donc c’est pas la meme facilité que sur chrome/fx.
mais de toutes façons MS veut se débarrasser des plugins ET des extensions.
sur windows RT ça n’existe deja plus, et sur IE metro non plus.
j’ai du mal à comprendre pourquoi google bâtirait sa stratégie autour des extensions alors qu’ elles ont la capacité d’anéantir tout les efforts que google a fait en matière de securité.
en gros, quelqu’un pourrait tout à fait créer une extension malveillante sur chrome OS et contaminer par social engineering un certain nombres d’utilisateurs avant que google la bannisse.
c’est franchement pas dur quand on voit le nombre d’utilisateurs qui installent des soit disant “vlc plugins”…
Le 13/11/2013 à 14h 49
Humn, sauf que c’est plus fin que cela et tu le sait bien .
Tu peut choisir de n’autoriser que les script du site lui même (et pas ceux hébergés ailleurs). La plupart des sites hébergent encore la majorité des scripts donc pour le cassage..
je sais que c’est possible, mais je vois mal l’utilisateur (meme geek) faire ça.
c’est comme les protections par analyse des comportements des antivirus.
en theorie ça permet de mieux proteger, mais,en pratique c’est terriblement lourd d’autoriser à tout bout de champ des actions d’apparence inoffensives, et au final ça n’apporte aucune garantie.
dans le cas de noscript, si le script malceillant est hebergé sur le domaine d’un site de confiance qui vient de se faire hacker, au final la protection vole en eclat meme si tu t’es fait chier à n’autoriser que le strict minimum.
Le 13/11/2013 à 12h 01
@Emralegna
Microsoft
preuve que l’EPM etait actif par defaut et qu’il a ete desactivé:
Le 13/11/2013 à 11h 51
L’intitulé est présent deux fois, une fois dans l’onglet Sécurité, et une fois dans l’onglet Avancé, mais ce sont deux options différentes. Dans l’onglet sécurité ça active la sandbox, dans l’onglet avancé ça n’autorise que le LAN.
Dans l’onglet avancé, l’activation de l’enhanced protected mode remplace le protected mode classique (celui introduit dans vista) par celui introduit dans windows 8.0.
il est actif par defaut dans windows 8.1 RTM.
mais il a ete desactivé par la maj publiée hier.
pour rappel, il etait desactivé par defaut dans win8.0, et il n’est pas supporté dans win7.
http://www.julien-manici.com/blog/important-compatibility-changes-in-IE11-on-Win…
quant à ta derniere phrase selon laquelle l’Enhanced Protected Mode ne supporte que le LAN, ça n’a aucun sens.
c’est exactement le contraire en fait, l’EPM empeche l’acces au LAN si ton reseau est en mode privé/bureau.
il n’empeche bien entendu pas l’acces à internet.
Le 13/11/2013 à 09h 38
En effet, surtout de ta part
on est plus en maternelle mon gars!
si t’as une critique, developpe la.
Le 13/11/2013 à 09h 36
Y a pas de Noscript pour IE, du moins à ma connaissance, et c’est de loin le plus important des deux, puis y a les autres extensions, et là aussi IE est à la bourre
quel est l’intérêt de noscript si tu dois mettre tous les sites que tu visites en liste blanche sous peine d’avoir un fonctionnement cassé?
au final s’il y a une faille dans Firefox, suffit qu’un site malveillant demande gentiment d’activer JS pour que l’utilisateur le mette en whitelist et se fasse exploiter. C’est exactement ce qui s’est passé avec la NSA qui a exploité une faille dans le Firefox intégré au package tor malgré la présence de noscript.
bref, mieux vaut miser sur des fonctionnalités de sécurité qui améliorent la sécurité sans casser les fonctionnalités JS comme les sandbox d’IE et chrome. Noscript c’est juste une illusion de sécurité.
cela dit, il existe un équivalent de noscript sous IE, suffit de mettre la zone internet en sécurité élevée, et lorsqu’on veut réactiver les scripts sur un site, faut le mettre dans la liste de la zone de confiance. C’est la config par défaut sous Windows server 2003 et +.
pas besoin de plugin additionnel pour ça.
concernant le manque d’extensions, c’est normal, les extensions sont une source d’instabilité, de ralentissements, et posent de graves problèmes de sécurité. Microsoft va à terme les supprimer totalement.
déjà sous Windows RT les applis tierces ne peuvent pas installer d’extension sur IE desktop, et sous win8 IE Metro ne supporte plus du tout les extensions.
c’est une bonne chose compte tenu du bordel que les extensions installées par les adwares foutent sur les PC/MAC des utilisateurs lambdas.
MS essaye de migrer les utilisateurs vers des systèmes 100% sandboxés, sans malware: WP et WindowsRT. Il est évident que sur ce modèle les extensions ne peuvent pas exister, sous peine d’offrir aux développeurs malveillant un moyen alternatif d’infecter les utilisateurs avec des trojan ou des injecteurs de pub.
Le 13/11/2013 à 09h 17
Je viens juste(enfin, hier) de faire la mise à jour IE 10 –> IE 11, et IE est toujours le seul navigateur qui à la première ouverture de page, t’affiche un “sapin de noël” le truc qui te plonge en crise d’épilepsie dans la seconde
wow la mauvaise foi n’a aucune limite de nos jours! Maintenant c’est la faute à IE si ya de la pub sur internet!
t’es conscient que IE est le seul navigateur a être capable de bloquer les pubs sans plugin additionnel? (via des tracking protection lists).
et si ce n’etait pas assez, il existe adblockplus pour IE depuis quelques mois.
Le 13/11/2013 à 09h 07
Fausse information. D’une part cette option n’a jamais été activée par défaut dans IE10/11+ (j’inclus les mises à jour récentes), parce qu’on perd toute connexion en HTTP ce qui aurait rendu le navigateur inutilisable par défaut à l’installation fraiche de Windows
tu confonds avec la sécurité active par défaut sous Windows server qui bloque javascript et les téléchargements.
rien à voir avec le mode protégé amélioré qui, lui, était actif par défaut sous win8.1 rtm.
il est désormais désactivé par défaut depuis l’update d’hier.
Le 12/11/2013 à 23h 46
Au passage, la faille d’IE dont il est question dans cet article n’etait en réalité pas une faille d’IE, mais une faille de Cardspace.
la faille n’a pas été corrigée, Microsoft ayant décidé de “tuer” le contrôle activex de cardspace pour éviter son usage dans IE.
voila qui explique pourquoi MS a été si rapide a reagir (cardspace est déprécié et n’a jamais été massivement utilisé, c’était donc l’occasion de le tuer pour de bon).
en tout cas la faille n’aurait pas été exploitable avec IE Metro puisque ce type de contrôle activex ne peut pas fonctionner sur cette version.
Le 12/11/2013 à 23h 09
Muahaha le Web et les utilisateurs ne sont pas prêts pour avoir un navigateur trop sécurisé
dommage que MS ait plié face au mécontentement de certaines entreprises (à cause de JAVA peut être? Vu qu’oracle n’a pas publié de version compatible EPM)
à ce train là on va se retrouver avec le user agent d’IE10 dans IE11 par défaut ^^
quoi qu’il en soit IE Metro reste encore le plus sécurisé (64bit, EPM, et interdiction des plugins sauf Flash).
pour rappel, MS avait déjà fait des sacrifices en n’activant l’EPM qu’en 32bit sur IE desktop sous win8.1 (le 64bit était activable dans les options).
Le 12/11/2013 à 12h 23
Et cette news te précise que la fameuse sandbox d’IE a été rendue inutile, tu pisse contre le vent, à force tu va être éclaboussé.
la firme qui a découvert cet exploit n’a pas parlé d’un contournement de sandbox. Je ne sais pas d’où PCI sort cette info.
pour rappel, la sandbox de vista/ie7 (utilisée jusqu’à win7) ne protège que contre les accès disque en écriture (la lecture reste autorisée). La sandbox intégrée à IE10 sous win8 empêche désormais aussi la lecture et l’accès au LAN.
le malware dont il est question ici reste en mémoire vive pour rester indétectable et disparait après fermeture de session. Il n’a donc pas besoin de sortir de la sandbox pour faire du vol d’information.
cela dit, la sandbox de vista a déjà été contournée, tout comme celle de chrome. Un contournement est possible en cas de faille, mais au moins ça rajoute de la difficulté pour les créateurs d’exploits.
Le 12/11/2013 à 12h 08
Les versions concernées vont de la 7 à la 10, affectant ainsi cinq systèmes d’exploitation : Windows XP, Vista, Windows 7, Windows 8 et Windows RT.
precision importante: la faille n’est exploitée que sous IE8 sous XP, et sous IE9 sous win7.
bien que la faille existe dans IE10, les hackers n’ont pas réussi à l’exploiter sur cette version, à priori. Lors de la dernière faille IE il y a deux mois c’était pareil, IE10 n’a pas pu être ciblé grâce à la protection mémoire ForceASLR qui empêche les méthodes classiques de contournement de ASLR de fonctionner.
Surface 2 : de multiples améliorations via un nouveau firmware
13/11/2013
Le 13/11/2013 à 18h 22
Je profite du sujet proche parce que je vois rien passer, y’en a avec une surface RT (la vieille) qui ont des soucis avec IE depuis le passage en 8.1 (type freezes sur certaines pages, impossible de scroller/changer d’onglet/… pendant plusieurs secondes) ?
essaye de créer un nouveau profil utilisateur. Partir sur un profil “propre” élimine souvent pas mal de soucis de ce genre.
Le 13/11/2013 à 13h 16
Et quand est-il de miracast sur la 1ere surface RT ?
pas dispo car non supporté par le tegra3.
il faut du tegra4 minimum.
idem pour les atom clover trail sur x86 helas. Le support miracast necessite du bay trail.
Le 13/11/2013 à 13h 13
Oui mais sur Win 8 ENTREPISE, tu n’auras pas la MAJ dans le store quoi qu’il arrive. MS à décidé qu’il fallait passer par une installation d’un win8.1 (via un DVD ou USB avec l’iso).
tu peux faire une maj il me semble.
tu mets l’iso de 8.1 sur le bureau, tu la montes, et tu lances le setup.
normalement il supporte l’upgrade.
quant au fait qu’il soit pas dispo sur le store, c’est normal, la maj 8.1 entreprise n’est pas gratuite, il faut avoir un contrat genre software assurance et utiliser une clef differente de 8.0 entreprise.
Smartphones : Android creuse l’écart avec iOS et Windows Phone
13/11/2013
Le 13/11/2013 à 18h 16
Et c’est vraiment mérité. Un bon modèle de collaboration ouverte qui l’emporte contre des systèmes ultra fermés. Enfin !
c’est très naïf comme point de vue quand on sait que google fait tout pour rendre les briques propriétaires d’android de plus en plus incontournables pour les OEMs.
voir aussi acer qui a été contraint par google d’annuler le lancement d’un terminal android en chine car il incluait des composants concurrents à google.
android est juste suffisamment open source pour éliminer la concurrence en matière d’OS, et suffisamment fermé pour éviter qu’on fasse concurrence à google en matière d’ecosysteme (lire l’article d’ars pour voir à quel point il est difficile pour amazon de créer un OS android sans composants google propriétaires).
plus grave encore, l’absence de support à long terme et de déploiement des maj de sécurité.
meme les nexus ne sont supportés qu’ 1 an et demi.
quant aux autres terminaux, la moyenne est de quelques mois seulement.
c’est quand meme catastrophique comme approche de la sécurité. Mais google s’en fou, du moment que ça inonde le marché et que ça rapporte de l’argent grace aux pubs.
google a de quoi sabrer le champagne, mais les utilisateurs, pas vraiment.
Internet Explorer 11 débarque en version finale sur Windows 7
08/11/2013
Le 09/11/2013 à 14h 27
Perso, j’avoue que ça risque de me faire chier. Mais je vais faire une modif dans mes filtres pour que IE 11 soit bien reconnu comme IE 11.
pourquoi as tu besoin de traiter IE11 comme un IE?
du code standard devrait faire l’affaire.
le but est justement d’éviter de donner à bouffer à IE11 des hacks de l’époque IE6/7/8.
évidemment si tu as utilisé du css avec des préfixes -moz et -webkit dans ton code “standard”, va falloir modifier ton code.
en attendant tu peux toujours passer IE11 en mode ie10 via la balise meta appropriée.
Le 08/11/2013 à 14h 12
@dosibox
c’est normal, le support de Windows 8 se termine dans 2ans.
Windows 8.1 est une maj obligatoire pour les utilisateurs de Windows 8. Windows 8.0 est voué à disparaitre rapidement, il n’y a donc pas de raison de backporter IE11 dessus.
Le 08/11/2013 à 14h 06
Les préfixe sont justement là pour indiquer qu’il ne faut pas utiliser ces fonctionnalités en prod…
si c’était vraiment le cas, ces fonctionnalités ne seraient utilisables qu’après avoir activé manuellement le support de technologies expérimentales dans les paramètres du navigateur.
or dans les faits, on voit bien que les webmasters n’ont aucun problème à utiliser du -webkit, surtout sur les sites mobiles.
tout le monde utilise de l’experimental en s’auto persuadant que c’est standard compliant.