Ce que je retiens surtout de ces deux articles, c'est que le problème se situe encore entre la chaise et le clavier. Que ce soit par des paquets infectés téléchargés hors des dépôts officiels (et signés), des macros pour OOo supplémentaires téléchargées à gauche et à droites, des extensions pour Firefox (qui ne sont pas signées, elles), des lanceurs qui téléchargent et exécutent des scripts automatiquement... dans tous les cas, la "faille" est le jugement de l'utilisateur. Et ça, on ne peut rien y faire : y'a pas de protection absolue contre les mauvais jugements des utilisateurs. (Même les plus expérimentés peuvent se faire prendre de temps à autres...)
Et c'est ce qui a surtout attiré mon attention dans l'article que lie Tyhldar :
You think this is not possible under Linux? Of course it is. It just requires one or two more steps. However, there is nothing fundamental about the architecture of Linux that prevents user stupidity or ignorance, which is of course the main ingredient in any attack vector like this.
"Vous croyez que ce n'est pas possible sous Linux [faire exécuter un fichier directement depuis un client email / depuis le bureau] ? Bien sûr que c'est possible. Cela nécessite seulement une ou deux étapes supplémentaires. Toutefois, il n'y a rien dans les fondements architecturaux de Linux qui protège de la stupidité ou de l'ignorance de l'utilisateur, ce qui est le principal ingrédient de n'importe quel vecteur d'attaque de ce genre."
