Infos sécurité

Internet Explorer, Firefox, SP2 de XP, logiciels espions : entretien avec un expert en sécurité
Les internautes sont-ils en sécurité avec Internet Explorer? Le SP2 de Windows XP améliore-t-il leur sort? Les autres navigateurs sont-ils plus sécurisés? Un expert en sécurité informatique répond aux interrogations de BRANCHEZ-VOUS.com.

Prenant pour prétexte le lancement récent de la version finale de Firefox 1.0, un fureteur Web qui est présenté par ses développeurs comme étant plus sécurisé qu'Internet Explorer, BRANCHEZ-VOUS.com a eu l'idée de questionner un expert en sécurité informatique sur des sujets reliés à la navigation sur Internet.

Chaouki Bekrar (C.B. par la suite), consultant expert en sécurité informatique et co-fondateur de K-Otik Security, une firme française de recherche, de veille en vulnérabilités et de surveillance des cyber-menaces, a gentiment accepté de répondre aux questions de BRANCHEZ-VOUS.com (affichées en caractères gras). Notez que son point de vue ne reflète pas nécessairement celui de BRANCHEZ-VOUS.com.

Disons que j'utilise Internet Explorer, avec sa configuration par défaut, sous Windows 95, 98, Me, 2000 ou XP (mais sans le SP2). Je navigue tranquillement sur le Web. Y a-t-il des dangers? Quels sont-ils?

C.B. : Le nombre de vulnérabilités critiques identifiées ces dernières années dans Internet Explorer est assez élevé. La majorité de ces failles ont été, et sont sans cesse, exploitées à des fins malveillantes telles que les attaques par phishing, ou l'installation de «spywares» (NDLR: logiciels espions), «adwares» (NDLR: logiciels publicitaires), «keyloggers» (NDLR: enregistreurs de frappe au clavier) et autres «trojans» (NDLR: chevaux de Troie), vers et virus.

L'utilisation de ce navigateur est devenue aujourd'hui très risquée et par conséquent fortement déconseillée.

Les sites qui exploitent les «faiblesses» d'Internet Explorer pour installer des logiciels espions, publicitaires et autres nuisances, sont-ils nombreux? Autrement dit, les risques d'infection sont-ils importants ou bien ne s'agit-il que d'événements rarissimes?

C.B. : Il existe aujourd'hui des centaines de sites illicites ou adultes utilisant les faiblesses d'Internet Explorer comme vecteur d'installation de logiciels malveillants (avec plus ou moins d'interaction avec l'utilisateur).

Cependant, même si un internaute ne fréquente pas ces «sites à risque», il n'est pas pour autant à l'abri car les pirates peuvent, dans certains cas, compromettre et utiliser des sites de confiance comme base d'attaque contre les utilisateurs (cf. Scob/Download.Ject).

En quelques mots, quelles sont les conséquences et manifestations visibles de l'installation de logiciels espions ou publicitaires?

C.B. : Les effets secondaires visibles sont nombreux, on peut citer : le changement de la page de démarrage, les difficultés à accéder à certains sites, l'apparition de fenêtres publicitaires, redirection automatique vers des sites non sollicités, apparition de messages d'erreurs, baisse des performances ou ralentissement de la machine. Mais les conséquences les plus dangereuses sont celles qui ne sont pas visibles, comme la collecte de données et informations personnelles ou l'enregistrement des saisies au clavier.

Maintenant, dans mon PC sous Windows XP, j'installe le «service pack» 2. Suis-je mieux protégé contre les menaces d'Internet?

C.B. : Le «service pack» 2 a été un pas important dans le renforcement de la sécurité des systèmes Windows; il corrige plusieurs dizaines de vulnérabilités et introduit un certain nombre de fonctionnalités sécuritaires importantes, d'où la nécessité de l'installer sans délai. Malheureusement, croire qu'un système est à cent pour cent sécurisé est une utopie, et le SP2 ne déroge pas à cette règle. D'ailleurs plusieurs problèmes de sécurité y ont d'ores et déjà été décelés par des «hackers».

http://www.branchez-vous.com/actu/04-11/08-334302.html

***

Internet Explorer, Firefox, SP2 de XP, logiciels espions : entretien avec un expert en sécurité (suite)
Suite de l'entretien avec Chaouki Bekrar, consultant expert en sécurité informatique et co-fondateur de K-Otik Security.

Dans Internet Explorer, il est possible d'obtenir une meilleure protection contre les téléchargements automatiques de logiciels en augmentant le niveau de sécurité. Cette façon de faire entraîne-t-elle des inconvénients dans la navigation Web?

C.B. : En effet, il est possible d'obtenir une plus grande sécurité sous Internet Explorer en modifiant les paramètres de configuration, par exemple en désactivant l'Active Scripting et les modules ActiveX. Malheureusement ces modifications entraîneront un dysfonctionnement de certains sites (mêmes sains), il faudra à ce moment les ajouter manuellement dans la zone «Sites de confiance».

Avec leur configuration par défaut, est-il aussi facile d'être «infecté» par des logiciels espions ou publicitaires en navigant avec Firefox, Mozilla ou Opera?

C.B. : Les risques sont considérablement réduits si l'on surfe avec des navigateurs alternatifs puisque ces derniers ne souffrent pas des vulnérabilités exploitées par les sites malveillants.

Il faut parfois plusieurs mois à Microsoft afin de développer des correctifs pour des failles de Windows ou d'Internet Explorer. Trouvez-vous que Microsoft réagit suffisamment rapidement dans sa publication des mises à jour?

C.B. : Le succès d'Internet Explorer auprès du public ([plus de] 90% de part de marché), le rend certainement plus attractif pour les «hackers» et les chercheurs de failles, mais son insécurité est accentuée par un manque de réactivité de la part de Microsoft et une tendance optimiste visant à minimiser les risques encourus par les utilisateurs.

L'écart entre la divulgation d'une vulnérabilité et la publication d'un correctif par Microsoft est «astronomique» (plusieurs mois). Cet écart est considérablement réduit dans le monde «open source», ce qui nous a conduit, en tant que centre de veille, à déconseiller l'utilisation d'Internet Explorer qui souffre régulièrement de plusieurs vulnérabilités non corrigées dont certaines sont hautement critiques.

Il y a quelques mois, Microsoft annonçait que les améliorations d'Internet Explorer introduites par l'installation du «service pack» 2 de Windows XP ne seraient pas offertes aux utilisateurs d'autres versions de Windows (environ 50% des PC dans le monde à l'heure actuelle) détails. Que pensez-vous de cette politique de Microsoft à l'égard des nombreux utilisateurs des versions de Windows antérieures à XP?

C.B. : Je trouve dommage cette tendance à privilégier l'aspect commercial en incitant les utilisateurs à migrer vers Windows XP, aux dépens de la sécurité des systèmes. Microsoft aurait dû publier, en plus du «service pack» 2, des mises à jour individuelles pour chacune des vulnérabilités importantes et pour chacune des versions de Windows, en laissant le choix aux utilisateurs et administrateurs de déployer ou non ces correctifs.

Microsoft devra, dans les mois et années à venir, combattre activement l'insécurité en commençant par se pencher sérieusement sur son manque de réactivité et de transparence vis-à-vis des utilisateurs.

Un cadre de Microsoft déclarait la semaine dernière qu'Internet Explorer n'est pas moins sécurisé que les autres fureteurs. Qu'en pensez-vous?

C.B. : Cette déclaration est infondée, partisane et totalement subjective.

Pendant les cinq dernières années, plus de deux cents vulnérabilités ont été identifiées dans Internet Explorer et, à ce jour, il existe une vingtaine de failles non corrigées, dont certaines jugées «critiques». Chez Mozilla, par exemple, il n'y a actuellement aucune vulnérabilité non corrigée.

Internet Explorer serait aussi sécurisé que certains navigateurs si Microsoft avait la même réactivité que ses concurrents du monde libre.

http://www.branchez-vous.com/actu/04-11/08-334303.html

***