Linux plus sûr que Windows : Un mythe ou pas? (1) L’exemple des clés USB
Comme je l’avais indiqué dans mon article précédent intitulé “Que penser de la sécurité apportée par un antivirus?“, la sécurité d’une machine dépend grandement de la sécurité apportée par le système d’exploitation lui même (avec ses applications de base) ainsi que des connaissances des utilisateurs.
Cet article s’intéresse aux différences qu’il peut y avoir concernant la sécurité sous deux systèmes d’exploitation Microsoft Windows et GNU/Linux, sur l’exemple précis du branchement d’un périphérique de stockage USB (clé USB, disque dur externe). Le titre est une référence à l’opération de FUD orchestrée par Microsoft auprès des commerciaux de Best Buy dont un des supports de formation indique “Linux is safer than Windows” : “Myth”.
Retour sur l’opération de FUD
Selon Wikipédia, le FUD est une “technique rhétorique utilisée notamment dans la vente, le marketing, les relations publiques et le discours politique” qui “consiste à tenter d’influencer la perception de son audience en disséminant des informations négatives, souvent vagues et inspirant la peur”.
Bref c’est un procédé malhonnête, plutôt du côté de la manipulation et du dénigrement caché. C’est tout simplement le contraire d’une argumentation basée sur des faits objectifs.
Microsoft est plutôt connu pour l’usage répété de ce procédé. On pensera notamment à la campagne publicitaire honteusement nommée Get The Facts. Sinon Tristan Nitot, responsable de Mozilla Europe, rapporte également un autre excellent exemple sur son blog.
Bref, pour en revenir à la campagne en question (liens en début d’article), c’est de la vraie désinformation. Elle contient pas mal de comparaisons malhonnêtes et comme indiquée précédemment, l’une de ces comparaisons laisse sous-entendre que le fait que Linux est plus sûr que Windows serait un mythe. Je reviendrais peut-être d’ailleurs dans un prochain article sur les faiblesse de l’argumentation de Microsoft sur les points choisis par Microsoft (qui sont en eux-même plus qu’insuffisants pour juger de la sûreté d’une machine).
Je pense sincèrement qu’un arrêt du FUD répétitif est une condition plus que nécessaire pour que Microsoft puisse être correctement accepté par la communauté du libre (problématique mentionnée sur un des articles du blog de Philippe Scoffoni).
Brancher une clé de façon sûre sous Microsoft Windows : débutants s’abstenir!
Comme je l’ai indiqué précédemment, la sécurité repose en grande partie sur la connaissance et la conscience des utilisateurs.
Quand un programme est lancé, cela doit soit se faire suite à une “demande” qui précède de la part de l’utilisateur, soit être le résultat prévisible d’une manipulation consciente de l’utilisateur exercée quelque temps auparavant. On conçoit ainsi que des “programmes” indispensables puissent automatiquement être lancés (discrètement ou non) s’ils font parti du système (l’utilisateur a a priori choisi d’utiliser le système, ce n’est pas anormal que l’écran de connexion ou le pare-feu soient lancés automatiquement) ou s’ils résultent d’un choix conscient de paramétrage (on peut par exemple décider de lancer automatiquement une application qui rappelle les rendez-vous).
Or, dans l’esprit d’un utilisateur d’un niveau moyen, brancher une clé USB ne veut certainement pas dire “je suis prêt à lancer le programme sur la clé, peut importe ce qu’il fait”. Souvent d’ailleurs un utilisateur veut pouvoir observer le contenu de la clé (documents, images, textes) sans exécuter le moindre programme.
Cependant, Windows a une très forte tendance à lancer sans le consentement de l’utilisateur tout programme présent sur la clé (que ce soit un utilitaire ou du code malveillant), pour peu que la clé contienne également un fichier spécial (”AUTORUN.INF”, fichier éventuellement caché) qui indique quel programme ouvrir.
Suivant les versions de Microsoft Windows il peut y avoir quelques différences mais dans tous les cas la manipulation pour supprimer totalement la menace est loin d’être une manipulation aisée (en fait il y a plusieurs types d’exécution automatique, se débarrasser de celle liée à la boîte de dialogue ne suffit pas).
Il vous faut en effet vous assurer que le fichier AUTORUN.INF ne sera pas utilisé qu’il soit situé sur une partie de la clé au format CD/DVD ou non (modifications dans le registre, pas pour les débutants) , renoncer à accéder à la clé à l’aide d’un double-clic, ne jamais utiliser l’option de type “Ouvrir le dossier de la clé” / “Ouvrir à l’aide de l’explorateur” car dans les dernières versions de Windows (Vista et peut être Seven) c’est un dialogue qui peut être contrefait (AUTORUN.INF configuré pour afficher la même icône et le même texte qui si c’était une ouverture “normale”), et être très prudent dès qu’un invité non initié s’approche de votre machine. Bref c’est pas la joie…
Pour ceux qui veulent un peu plus de détails, je conseillerais entre autre le numéro 45 du magazine MISC que j’ai survolé en kiosque. À compléter avec au moins trois pages différentes d’un guide du registre (ici celui sur pctools.com), trois autres lectures sur us-cert.gov, une sur cert.org et pleins d’autres lectures que j’oublie tellement l’autorun sous Windows semble avoir des points communs avec l’Hydre de Lerne…
Mal au crâne, pensez GNU/Linux et ça s’arrange tout de suite…
Autorun sous GNU/Linux
Bon tout d’abord un rappel essentiel, LInux ce n’est qu’un noyau de système d’exploitation. Le comportement au final de votre machine dépend de tout ce qu’il y a autour, autrement dit ça dépend de votre distribution (Ubuntu, Fedora, etc.).
À une époque, la mode était de ne même pas proposer le montage de la clé : il fallait le faire manuellement pour accéder à son contenu. Quoiqu’on en dise question simplicité, je préfère ça à Windows… Enfin passons, les temps ont changés et c’est souvent bien plus simple.
La plupart des distributions vous proposent en effet une liste d’actions types lorsque vous branchez votre clé, ce qui est en soit utile. Et dans tous les cas que je connais, aucun programme de la clé n’est lancé par défaut sans un choix préalable de l’utilisateur.
Bref, sur cet exemple la sécurité élémentaire devient tout de suite plus simple…
Conclusion
En conclusion je suis plus que tenté de dire que la campagne de propagande de Microsoft, ce fut du grand n’importe quoi.
Tout d’abord, j’espère en avoir convaincu beaucoup que la sécurité élémentaire sous Windows n’est pas accessible à l’utilisateur type de niveau moyen. La gestion de l’exécution automatique sur les clés USB est bien entendu un point que Microsoft n’a pas eu idée de mentionner dans sa campagne de FUD auprès de Best Buy.
Mais si l’on veut on peut même aller plus loin : les arguments ciblés, déjà choisis arbitrairement par Microsoft, sont en plus à la fois un tissu de mensonge et de formulations trompeuses.
Peut-être que cela fera l’objet d’un nouvel article dans la série “Linux plus sûr que Windows : Un mythe ou pas?”, mais au cas où que l’envie me manque, je vais évoquer de façon très brève la vérité sur un des points évoqués par Microsoft.
Il est évoqué en parlant de GNU/Linux : “There’s no guaranty that when security vulnerabilities are discovered, an update will be created. Users are on their own.”. Cela signifie que les utilisateurs n’ont aucune garantie de la création d’une mise à jour en cas de vulnérabilité.
Premièrement, et argument qui casse tout : c’est le cas avec Windows. Selon theregister.co.uk, il est connu depuis juillet qu’une faille dans une bibliothèque logicielle Microsoft rend caduque la protection apportée par https et SSL (en gros les pages sécurisés avec “un cadenas”) : les windowsiens utilisateurs d’Internet Explorer, Google Chrome et Safari sont touchés et auront du mal à reconnaître une vrai page d’un phishing bien élaboré. Selon l’article, en date du 5 octobre, la faille (pourtant critique) n’est toujours pas corrigée. Bref, après on se demande comment Microsoft peut parler de sécurité… Et ne pensez pas que les autres exemples manquent…
Au contraire parlons de GNU/Linux, cible de l’attaque de Microsoft : bien qu’il n’y ait aucune “garantie” de création d’une mise à jour, il est évident que dès qu’une vulnérabilité sera connue, une bonne quantité de personnes passionnées s’intéresseront à la création d’un patch (enfin ça a l’air pour l’instant d’être comme ça…). Et la force de la communauté me parait de ce côté là plus convaincante que le discours de Microsoft.
De plus, même si ce n’était pas le cas, vous pourriez embaucher quelqu’un pour bosser sur le problème (si vous ne savez pas le faire vous même) : bien sûr ça ne risque pas en pratique de concerner beaucoup de monde, mais vous pouvez le faire dans de bonnes conditions (contrairement à Windows), car GNU/Linux est un logiciel libre et opensource.
Adresse de l’original : http://www.daviddallet.com/weblog/posts/2009/10/15/linux-plus-sur-que-windows-tout-sauf-un-mythe-1-autorun-usb/
Article original écrit par David Dallet, sous licence libre CC-BY-SA France 2.0 (texte uniquement) – Pour copier cet article merci de conserver cette notice ainsi que le lien vers l’original. En cas de modification (ou de copie partielle), le lecteur doit être clairement informé.
Salut,
2 remarques en passant :
> Et la force de la communauté me parait de ce côté là plus convaincante que le discours de Microsoft.
C’est surtout la force des 4 libertés, exemple : j’utilise Linux et je suis développeur :
- une faille est découverte
-> J’ai intérêt pour moi que cette faille soit corrigé
-> Je cherche et je trouve le correctif (j’ai accès aux sources et j’ai le droit de modifier les sources)
-> Je peut contribuer , et j’ai avantage à contribuer à la correction de cette faille et de proposer mon correctif (j’ai le droit de le faire, je suis obligé de le faire si je veut vendre ce correctif à des clients; j’ai aussi intérêt que le correctif soit intégré au logiciel principal lors de mise à jour suivante)
Sinon, Vista a était fort critiqué par les utilisateurs lambda parcequ’il demandait l’accord trop souvent. Pour une fois que MS se décidait à demander l’accord avant de lancer un logiciel, ce sont les utilisateurs qui trouvaient ca inintéressant …..
@Shnoulle :
* “c’est surtout la force des 4 libertés” : ça dépend si on s’adresse à quelqu’un capable de mettre les mains dans le cambouis (ou d’embaucher quelqu’un pour le faire). Dans ce cas c’est bien uniquement les 4 libertés. Sinon c’est la force des 4 libertés (indirectement, pour bénéficier d’une modif faut que quelqu’un puisse la faire) et celle de la communauté. Encore qu’on peut toujours argumenter le fait que les forces des communautés sont en parties dues au 4 libertés.
* pour les histoires d’accord demandés aux utilisateurs sous Vista : en fait d’après ce que j’ai lu et entendu, c’est tout sauf innocent ou bien pensé. Déjà http://tech.slashdot.org/tech/08/04/12/006242.shtml laisse clairement apparaitre que la motivation est d’ennuyer l’utilisateur (d’après les propres déclaration d’un responsable MS) et puis sinon, ce système a quand même bien tendance à épargner plus les produits MS que les autres…
[...] This post was mentioned on Twitter by Net Libertaire, David Dallet. David Dallet said: RE #bestbuy #microsoft #fud : http://bit.ly/1wH0mR #Linux + sûr que #Windows : Mythe? Exemple #virus #autorun clés #USB [...]
Bonjour,
Un journal, une publication : cela se “consulte” au kiosque ou chez son marchand de journaux. mais surtout cela s’achète !!!!!!
Ainsi vous permettrez aux éditeurs de presse de survivre dans un contexte difficile…. mais aussi votre diffuseur de presse sans oublier les intermédiaires (Messageries de Presse et dépositaire) sans lesquels la liberté de la presse ne serait pas ce qu’elle est dans notre pays.
Donc, achetez les revues traitant des logiciels libres. Je viens d’acheter le dernier numéro de Linux Pratique sur “Musique & sons” : un vrai régal
:-)
@Shnoulle : Le problème avec le système UAC de Vista, c’est qu’ils l’ont ajouté alors que les applications, dans la longue tradition Windows, sont habituées à disposer de privilèges qu’elles ne devraient pas avoir (après tout ce n’est que depuis XP que la branche de Windows destinée au grand public est multi-utilisateur, et encore avec les comptes créés en admin par défaut). Du coup UAC passe son temps à demander sa permission à l’utilisateur dans des cas où l’application devrait tout simplement pouvoir se passer de droits.
Et plutôt que d’adapter ses propres applications, Microsoft leur crée des passe-droits (sous 7, les applis signées par Microsoft n’ont pas à passer par UAC), créant au passage la possibilité pour les autres applications d’obtenir des privilèges de façon détournée, réussissant ainsi à embêter l’utilisateur avec des prompts sans améliorer la sécurité…
“Or” de ce corps, vil faute d’orthographe ;-)
@utodeb : merci ;) J’allais demander “où ça” quand je me suis rendu compte que je cherchais la faute dans le sens inverse.
@TuxMips : Oui, quand on a le budget, c’est toujours mieux d’acheter que de consulter sur place. (Mieux pour le vendeur, l’éditeur, les auteurs, et aussi plus confortable pour le client)
Mais ceci dit je rappelle que mes yeux n’ont pas usé la feuille ;) Ceux qui me lisent ici peuvent tranquillement acheter le magazine que j’ai évoqué… (Et à la limite, au rythme où vont les visites aujourd’hui, il n’y aurait pas besoin de faire “un taux de conversion” énorme pour que les chiffres dépassent mon budget librairie annuel. Dommage que je ne touche pas une comm’ là-dessus…)
Oui, j’étais pas loin de la “rue de petites perles” ;-)
[...] http://www.daviddallet.com/weblog/posts/2009/10/15/linux-plus-sur-que-windows-tout-sauf-un-mythe-1-... a few seconds ago from Gwibber [...]
Excellent article. Nous l’avons intégré sur toolinux.com en date du vendredi 16 octobre, en respectant bien entendu les conditions de reproduction fixées.
Ok, merci d’avoir prévenu. J’essaierais de jeter un coup d’œil aux commentaires.
Bonjour,
Petite remarque en passant. L’UAC sous Windows 7 a été repensé.
Par défaut, les messages d’alertes, où les demandes types “Êtes-vous sur de vouloir exécuter le programme ?” n’apparaitrons plus lorsqu’il s’agit d’une intervention utilisateur mais que lorsqu’il s’agira d’une intervention système.
Aussi, lorsqu’un programme sera lancé avec des privilèges d’administrateur. Un message de confirmation apparaitra pour les intervention système mais aussi utilisateur.
Le niveau de sécurité lié à l’utilisateur s’est grandement amélioré avec Seven.
Aussi, parler de la sécurité d’un système en se basant uniquement sur le branchement de périphérique externe est un peu limité.
@Armetiz:
J’espère sincèrement que le niveau de sécurité s’est réellement amélioré avec Seven (et à vrai dire, je crois que la majorité des blogueurs devraient l’espérer : les machines zombies envoyant du spam en commentaire sont un vrai fléau…).
Ceci dit, je n’y crois pas trop. L’historique de Microsoft n’est pas très bon dans le domaine bien que l’historique des prétentions de Microsoft soit autre chose…
Pour voir un exemple flagrant montrant à quel point Windows Seven est proche de l’aboutissement : http://www.clubic.com/actualite-305374-patch-tuesday-premiere-faille-critique-windows-7.html (titre : “Microsoft corrige 34 failles pour Windows, un record”).
As-tu lu aussi l’histoire de la faille concernant le SSL? Penses-tu sincèrement qu’une telle négligence soit un comportement inspirant la confiance?
Pour l’UAC de Seven repensé, je ne pourrais être sensible à l’argument qu’au minimum 2 an après la sortie (et j’ai l’impression que l’histoire montrera que c’est loin d’être parfait, qu’il y a toujours des passes droits, etc). En attendant, on entend surtout les echos des discours commerciaux.
Sinon, je suis 100% d’accord que “parler de la sécurité d’un système en se basant uniquement sur le branchement de périphérique externe est un peu limité”. Par contre, sous Windows de ce côté, c’est l’insécurité qui est plus que démontrée (et si tu attaches un poids à une chaîne, tu comprendra qu’il suffit qu’un seul des maillons puissent casser pour que la chaîne pose problème; en sécurité avec les failles graves, c’est un peu pareil). L’utilisateur ayant un niveau standard ne peut même plus faire une opération de base en toute confiance, et à ce niveau, ça devient sérieux…
Note : adresse du post sur Toolinux (pour voir les autres commentaires qui y sont postés) : http://www.toolinux.com/lininfo/toolinux-information/opinion/article/linux-plus-sur-que-windows-un
Ah !!!
J’ai oublié de dire dans mon premier post que cet article était excellent.
Dans l’entreprise où je travaille, l’environnement est à 98% propriétaire. Alors que nous devons gagner en économie et en sécurité, nous aurions absolument tout à gagner à passer au libre.
Certes un changement de techno sur un gros SI, cela ne se fait pas en claquant des doigts. C’est aussi un énorme chantier et un investissement énorme. Mais sur le long terme ce serait vraiment top. Sauf que je ne suis pas informaticien, que je n’ai quasiment aucun poids sur ce terrain, et que seules quelques personnes prises individuellement ont une idée de ce que c’est que le libre, pour le reste absolument personne ne connais. Surtout parmi les dirigeants. Alors que nous aurions absolument tout à gagner.
Désespérant :-/
Alors en attendant j’essaye à ma petite mesure, de convaincre ici où là quelque personnes en leur proposant de l’aide pour leur PC familial. Et votre article vient précisément à point nommé :-)
Qui, aujourd’hui sous Linux, contrôle les paquets sortants de son système ? Avant, nous avions Fireflier. Aujourd’hui, il nous reste NuFw… une vraie usine à gaz.
Il n’y a plus la possibilité de filtrer les paquets par process sous IpTables.
Sous Windows 7 et Vista, c’est aujourd’hui possible avec la console wf.msc !!!