Microsoft fête quinze ans d'insécurité

L'article http://www.theinquirer.net/?article=11108 nous parle des
Quinze ans de sécurité médiocre chez Microsoft
(tiens, cela remonte alors à 1988 !)
Jetez-y un coup d'oeil, svp. (J'implore le pardon à ceux qui connaissent bien l'anglais et qui se risqueraient à lire aussi ma traduction ci-dessous).



Le fait que le ver Blaster se soit propagé si rapidement est la preuve d'une seule chose, c'est la piètre qualité des logiciels de Microsoft.
Dans les premières semaines de 2002, Microsoft a investi huit semaines en formation, en brainstorming, en travail intense pour améliorer la sécurité de leurs logiciels. Quelle farce ! Quelques mois plus tard, on a vu émerger des alertes de sécurité concernant ce que Microsoft était supposé avoir testé exaustivement et corrigé !

Ces affirmations de Microsoft en 2002 n'étaient déjà pas les premières qui clamaient qu'ils avaient résolu le problème et banni les débordement de mémoires-tampon: en Septembre 2001, Jim Allchin, un vice-président de Microsoft déclarait que ce problème avait été éradiqué. Microsoft était censé avoir fait une révision du code de ses systèmes opératoires et avoir retirés tous les tampons qui auraient encore pu déborder.

Microsoft a eu quinze ans pour régler ce problème et est encore incapable de créer un système opératoire qui vous mette à l'abri. En fait en 2002, Microsoft a eu l'honneur de compter pour 87% des systèmes infectés rapportés auprès du bureau australien de Sophos. Cela se rapportait aux 130 vulnérabilités rapportées pour Windows durant l'année 2000, soit une moyenne d'une vulnérabilité découverte tous les trois jours.

Etant donné les mauvais scores de Microsoft, je suis étonné qu'avec notre justice et ses lois protégeant les consommateurs, on n'ai jamais vu un procès d'un groupement de consommateurs contre Microsoft pour livraison de logiciel de piètre qualité. D'autres systèmes opératoires ont atteints des niveaux de sécurité bien meilleurs et ce, dès leur premières versions, alors pourquoi Microsoft n'en est-il pas capable ?

Comme pour les systèmes opératoires sécurisés, demandez aux utilisateurs d'IBM ce qu'il ont subis avant l'introduction par IBM d'AIX qui lui même a introduit les problèmes classiques d'Unix. Ou demandez aux utilisateurs d'OpenVMS de vous parler de sécurité. La liste de bugs est toujours inférieure à 50 après 30 version successives, majeures et mineures confondues en 25 ans ! Quel contraste violent avec Microsoft et ses 130 problèmes rien que pour l'année 2000 !

Microsoft avait pourtant engagé 20 ingénieurs informaticiens en 1989 de Digital Equipment après l'arrêt de leur projet Prism. Ces ingénieurs sont devenus les concepteurs de noyau NT de Microsoft qui empruntait un grand nombre de concepts au produit OpenVMS mais les concepts de sécurité n'avaient pas été inclus. Etait-ce un problème de planning, ou un accord tacite avec d'autres maisons de service informatique, on ne le saura jamais.

Microsoft se repose sur ses clients pour installer le flux de correctifs pour Windows, mais beaucoup d'entre eux n'en sont pas conscients ou ne savent où aller les chercher. Ils n'ont pas vraiment envie de télécharger pendant des heures d'énormes quantités de programmes sur leur bête ligne téléphonique. Vous en seriez débordé de travail alors que les gens ne se soucient que de leurs problèmes. Et l'attitude de Microsoft est jemenfoutiste: tant pis si les virus prolifèrent grâce à nos logiciel, tant que cela ne cause pas de dégât à windows.

Le corollaire tout à fait logique c'est que si Microsoft est bien incapable de vous fournir un logiciel à l'abri des attaques extérieures, pourquoi leur ferait-on confiance dans leur capacité de produire un correctif enfin à la hauteur ?

Dans les dernières années, le département de la défense américaine (qui avait toujous placé la barre trop haut pour eux) leur a attribué un brevet de sécurité ainsi qu'une récompense pour le nouvel outil pour la mise à jour automatique de leurs logiciels. Quelle farce!

Selon moi, le problème fondamental c'est que dans l'architecture de base de Windows il y a deux défectuosités fatales dans la gestion de la mémoire et tant que ces deux problèmes seront présents, les correctifs ne seront jamais assez bons pour en faire un système opératoire fiable.

... [Et là l'auteur vous énumère les deux problèmes]...

Le problème de buffer overflow
[...On y décrit la structure d'un appel de procédure avec passage de paramètres sur l'espace mémoire avec passage de pointeurs en C et C++ de façon grossière sans vérification du nombre de paramètres ni de leur longueur. Il est très simple de créer un petit bout de programme en assembleur qui vous bousille le système puisque rien n'est contrôlé]...

Le problème de contrôle d'accès à la mémoire
[...on y parle de la gestion des zones mémoires, du mode de pagination et de la possibilité pour un programme d'aller écrire dans une autre zone que la sienne et de tout bousiller. Windows XP a finalement implémenté quelques contrôles mais c'est de la responsabilité des programmeurs d'utiliser ces primitives mais la complexité est telle que rares sont les programmes qui les exploitent d'autant que c'est limité à cet O.S. ...]

Une combinaison volatile
[...Combinez la possibilité pour un virus d'écrire du code dans une zone réservées à des données et la seconde, d'exécuter ce code machine en changeant un petit saut du compteur ordinal et vous avez un sérieux problème de sécurité...]

Attitudes face au problème
[...On a tenté de développer plein de solutions à ces problèmes pour la vérification de l'intégrité des stacks d'appels de fonction mais quoi qu'on fasse, un code malicieux pourra le contourner. Et la plupart de unix souffrent du même problème. BSD avait introduit la notion rigide de séparation entre espace de données et espace pour les programmes tirées de l'architecture des ordinateurs PDP. Cette séparation serait indispensable pour windows mais ne suffira pas à résoudre les débordements de stack. Et l'auteur développe des possibilités à implémenter dans les compilateurs de langages de haut niveau, c'est à dire tout foutre à la poubelle et de choisir de nouvelles technologies pour repartir sur des bases saines...]
 :,§_ ç _
(@)=(@)