Smon a écritSous Linux, les binaires utilisent le format ELF (et le format a.out il y a très longtemps). Ce format est bien plus complexe que le format PE de Microsoft, rendant son infection plus compliquée mais pas impossible.
Je sais pas où vous avez lu que le problème venait de la chaise là ... Faut pas rêver. Evidemment qu'il y a des failles sous GNU/Linux ... Il faut vraiment que je vous ressorte la liste des EXPLOIT depuis sa création ? :rolleyes:
Les articles décrivent des virus qui s'installent et s'exécutent suite à une action de l'utilisateur : récupération et installation d'un paquet non signé provenant d'une source incertaine, téléchargement et installation d'une extension pour Firefox, création et exécution d'un lanceur.
nOoOb a écritAlors prenons l'exemple de noscript, je croyais qu'il était de notoriété commune que cet addon permettait un surf plus "sûr", c'est un addon non signé pourtant, les gens qui l'installent sont-ils pour autant des abrutis ?
En plus de ce qu'ont dit Days (
#26) et Hermes le Messager (
#28), j'ajouterais que l'installation d'une extension non signée ou d'un paquet non signé n'est pas un signe de débilité. D'ailleurs, si la signature protège mieux, elle n'est pas absolue : ce n'est pas parce que je signe un binaire que j'ai personnellement créé et que je le distribue à grande échelle que ce binaire est totalement sûr. Je peux très bien m'être royalement gouré dans mon code et avoir produit (intentionnellement ou non) un binaire défectueux.
Ce dont il est question, c'est de porter attention à ce que l'on fait, de juger ses propres actions. Bien sûr qu'il est de notoriété commune que NoScript (ou Adblock, ou GreaseMonkey, ou plusieurs autres extensions) est une extension qui propose une navigation plus sûre dans Internet. Mais il faut faire attention à la source d'où provient l'extension et qui l'a produite : il est de notoriété commune que Mozilla Addons catalogue des extensions pour Firefox, que des millions d'utilisateurs y passent chaque jour et que les produits défectueux sont relativement rapidement identifiés ; il est aussi admis que le développeur de NoScript est Giorgio Maone. Alors si l'on veille à charger et installer l'extension écrite à Giorgio Maone depuis le site officiel de NoScript ou via Mozilla Addons, y'a pas de problème. Mais si on se met à charger et installer NoScript depuis une source dans laquelle on n'a pas confiance (annuaire abscon, logiciel de P2P, courriel envoyé en masse...), là, y'a un problème de jugement.
Et le jugement n'est pas infaillible, hein. Même les meilleurs des meilleurs peuvent se faire prendre.
nOoOb a écritLes discours "interface chaise-clavier", ça me fait bien marrer, même si c'est pas faux, il n'empêche que tout le monde est amené à installer des trucs sur son ordi. L'article en anglais explique bien que les vulnérabilités pointées ne sont pas présentes dans le noyau Linux mais dans l'interface graphique, c'est vrai quoi, c'est quoi tous ces blaireaux qui ont besoin d'une interface graphique pour utiliser leur ordi ?!? "Ouf, l'honneur est sauf, il a pas insulté notre noyau" "Quoi ?!?? Il insulte mon GNOME ?" "Mon KDE" "Espèce de débile va, c'est pas le système qui est vulnérable, c'est ton pauvre petit cerveau".
On en revient au bon vieux troll, pour ou contre la démocratisation de GNU-Linux, avec les farouches défenseurs élitistes du GNU-Linux confidentiel pour les gens pas comme les autres, on s'en fout de Madame Michu...
C'est ça le Libre ?
Outre le fait que tu t'es rétracté plus haut en disant que tu avais mal compris ce qu'était l'interface chaise-clavier
(pour ceux qui ne le sauraient pas encore, "interface chaise-clavier" est un surnom péjoratif désignant un utilisateur d'ordinateur), tu soulignes un point important en lien avec
la faiblesse dans les lanceurs relevée dans le billet publié sur Foobar : si effectivement la faiblesse soulignée ne provient pas du noyau Linux lui-même mais plutôt des interfaces graphiques GNOME et KDE, l'utilisation bureautique quotidienne repose surtout sur l'utilisation d'une interface graphique... généralement GNOME et KDE. Et dire qu'il y a un problème mais ne pas y chercher de solution, c'est se mettre la tête dans le sable.
Le point de départ de la faiblesse, à l'heure actuelle, reste l'utilisateur, comme je l'ai mentionné plus haut (c'est un mauvais jugement qui le fera télécharger et exécuter un lanceur malveillant). Cependant, il n'est probablement pas impossible qu'une faille dans un logiciel pourrait permettre la création d'un lanceur malveillant dans le poste d'un utilisateur. (Ne me demandez pas comment, je ne suis pas programmeur, mais c'est probablement possible, non ? En prenant supposant qu'un logiciel dispose d'une faille exploitable...) L'auteur de l'article propose une solution simple qui pourrait améliorer la sécurité des lanceurs : exiger que le droit d'exécution soit apposé sur le lancer peut en permettre l'exécution (le droit d'exécution n'étant pas présent dans les fichiers téléchargés depuis Internet). Ça, c'est une proposition qu'il vaut la peine de remonter aux développeurs de KDE et GNOME (ou à FreeDesktop ?) pour que les développeurs évaluent et implémentent la solution, ou la contredisent.
Hermes le Messager a écritInstaller noscript ou tout autre addon de firefox "en cliquant dessus" va l'installer uniquement dans ton home (dans ton .mozilla). Pas de risque d'infection du système.
Peut-être pas du système, mais de ton compte utilisateur, oui. Et
comme le souligne l'auteur de "How to write a Linux virus in 5 easy steps" :
"All the action you are interested in takes place in the user account anyway" (Toutes les actions qui vous intéressent se passent dans le compte utilisateur de toute façon). Traduction à l'arrache :
"Vous n'avez pas besoin d'être root pour 0wner un utilisateur
[Aucune des étapes précédentes] ne nécessite les privilèges du compte système. Et notre script peut maintenant accomplir tout ce qu'il veut faire dans les limites du confinement du compte utilisateur. Confinement peut-être, mais ça n'empêche pas que des dommages significatifs peuvent être produits.
Par exemple, [le script] peut commencer à scruter le carnet d'adresses de l'utilisateur pour collecter des adresses courriel, les envoyer vers notre serveur malicieux, démarrer l'envoi de pourriels et s'envoyer en copie par courriel. Il peut installer une extension à Firefox pour capturer les mots de passe à mesure que l'utilisateur les saisit. Il peut démarrer une session de partage de bureau par VNC sans que l'utilisateur s'en rende compte. Il peut démarrer un service [deamon] qui affiche des popups publicitaires. Un adware pour Linux !
Tout ceci est exécuté en tant que processus par un utilisateur normal. Réellement, dans un poste de travail qui n'est globalement utilisé que par un seul utilisateur, posséder ce compte utilisateur est assez équivalent à disposer du compte root, tant que des dommages peuvent être causés : Toutes les actions qui vous intéressent se passent dans le compte utilisateur de toute façon."
Et si l'on souhaite vraiment être root sous Ubuntu,
un proof-of-concept a été publié dans ce forum, et s'en est suivi une discussion fort intéressante (où justement le problème des lanceurs a été soulevé). En gros, il suffit de faire fonctionner un service qui répète une commande nécessitant les droits root jusqu'à ce que
gksudo ait été exécuté une première fois.
