En juin 2006, elle avait mis en évidence une grave faille dans Windows Vista par laquelle s’engouffrait son rootkit "Blue Pill". Microsoft avait mis trois mois à trouver un palliatif réducteur, mais il s’agissait des versions "beta" de Windows Vista donc peu de gens s’en sont inquiété.
Cette fois, la vulnérabilité qu’elle annonce sur son blog porte sur la version définitive, celle qui est vendue partout dans le monde. La faille est d’autant plus grave qu’elle porte sur une fonction d’usage fréquent.
Pour limiter les risques de sécurité, les usagers de Windows Vista sont censés utiliser par défaut un "compte utilisateur" géré par le "User Account Control" (UAC) qui ne permet que le fonctionnement de logiciels avec des privilèges restreints et sert à bloquer certaines attaques comme les injections de code ou injection de threads malveillants selon un procédé baptisé "User Interface Privilege Isolation" (UIPI). Celui-ci empêche les processus d’utiliser les APIs utilisateur en mode d’intégrité élevée.
Joanna Rutkowska a découvert que Windows Vista bascule automatiquement en "mode administrateur" lorsqu’il détecte l’exécution du fichier d’installation d’un logiciel qu’il reconnaît grâce à un système heuristique basé sur des mots comme “setup”. A l’ouverture de la fenêtre de dialogue, l’utilisateur a la possibilité de renoncer à l’exécution du programme ou d’autoriser son installation, mais dans ce cas avec tous les privilèges élevés et la possibilité d’accéder au "noyau". Il y a donc « élévation » du niveau d’intégrité - " Integrity access levels" (IL).
Joanna Rutkowska ...
Je trouve gênant que Vista suppose automatiquement que tous les programmes d’installation devraient être exécutés avec des privilèges d’administrateur ... Cela signifie que si vous téléchargez un jeux de Tetris gratuit, vous devrez exécuter son installation comme administrateur, lui donnant non seulement le plein accès à tout les fichiers système et au Registre, mais également lui permettant de charger les drivers du noyau !
Quoiqu’il soit possible de neutraliser la détection heuristique dans les paramètres locaux du système, cela ne semble pas fonctionner pour les installateurs qui forcent manifestement leur exécution comme administrateur.
Je vois en cette isolation (UIPI) un trou très grave dans la conception de l’UAC.
Les logiciels qui auront de cette manière un accès au Registre et au noyau ne seront pas tous des installateurs de Tetris ou d’applications innocentes.
Le soin de répondre semble avoir été confié à Mark Russinovitch (ex-Sysinternals) passé depuis quelques mois avec ses excellents utilitaires dans le camp de Microsoft.
Mark Russinovitch ...
Windows Vista a été conçu pour permettre un équilibre entre sécurité et convivialité....Les voies potentielles d’attaque, quel que soit leur niveau de simplicité ou leur champ d’application, ne sont en aucun cas des failles de sécurité
On était habitué à beaucoup mieux de la part de l’auteur du fameux RootkitRevealer qui est mieux placé que personne pour savoir que ce type d’ouverture facilitera l’infiltration de nombreux malwares. Si ce n’est pas une faille de sécurité, qu’est-ce donc ?
A son tour, Joanna Rutkowska a répliqué par un article dans lequel elle met en doute le sérieux de la réponse faite par Mark Russinowitch.
Joanna Rutkowska ...
Je comprends que l’implantation de l“UAC“, de la “UIPI“ et des mécanismes “IL“ au sommet du Windows Vista existant soit une rude tâche. Il serait beaucoup plus facile de concevoir un nouveau système d’exploitation en totalité, à partir de zéro, ce que Microsoft ne peut pas faire pour diverses raisons. Je comprends tout cela, mais ça ne veut pas dire que les gens de Microsoft l’ont également compris et ils tournent tout ça en grosse plaisanterie.
Si Microsoft ne change pas rapidement son attitude, dans deux mois la sécurité de Vista (du point de vue des malware typiques) sera égale à la sécurité du système XP actuel (ce qui signifie, pas trop impressionnant).
Pas plus sécurisé que XP ce Windows Vista ? C’est d’autant plus grave que les logiciels de défense contre les malwares de Microsoft sont très insuffisants et que ceux que les éditeurs indépendants ont dû adapter ont en fait été fragilisés.
Combien de temps faudra-t-il à Microsoft pour réagir et fournir à ses clients une solution sécurisée ?
 |
 |
Le coût des propositions de Ségolène Royal
Le projet de Ségolène Royal n’est pas encore connu dans sa totalité, mais un certain nombre de précisions ont déjà été apportées par la candidate ou son équipe sur son cadrage économique et budgétaire :
- l’hypothèse de croissance du PIB retenue est de 2,5% par an ;
- l’objectif affiché est celui d’une stabilisation du ratio prélèvements obligatoires (44% du PIB) ;
- le projet socialiste adopté en juillet 2006 (Réussir ensemble le changement) affiche également un objectif (non chiffré) de réduction du ratio dette publique / PIB.
Enfin, le projet socialiste se fonde sur un objectif d’augmentation des dépenses des administrations publiques de 2,2% par an (en volume) sur la durée de la législature.
L’ensemble de ces paramètres peuvent venir alimenter l’outil de simulation Cyber-budget présidentiel, accessible en ligne sur Débat 2007.fr.
Enfin un certain nombre de précisions sur le financement du projet présidentiel de Ségolène Royal ont été apportées lors d’une conférence de presse, le 21 février 2007, par Didier Migaud et Michel Sapin. Les grandes lignes de ce chiffrage sont accessibles ici
Je crois, d'abord et avant tout, à la France et aux Français. Notre pays n'est pas seulement grand par son histoire : il est grand aussi par ses capacités. Les Français ont montré qu'ils savaient réussir dans le monde d'aujourd'hui. Ils font partie des peuples qui connaissent le mieux les autres pays du monde et qui y voyagent le plus. Ils se sont parfaitement adaptés à l'ère Internet. Ils ont créé des entreprises de premier ordre dans les domaines les plus pointus ; beaucoup de ces entreprises sont aujourd'hui des championnes mondiales. Enfin, malgré leurs différences, les Français ont toujours eu la générosité de ne pas abandonner à leur sort les plus faibles d'entre eux.
Je crois à la confiance et au respect de chacun. La France est pleine de talents qui ne parviennent pas à s'épanouir, parce qu'on ne leur fait pas confiance et qu'on ne leur donne pas le respect qu'ils méritent. Je veux que les talents des jeunes et des minorités soient respectés. Je veux que les femmes aient réellement les mêmes chances que les hommes. Je veux que ceux qui sont parvenus par eux-mêmes à l'excellence réussissent aussi bien que ceux qui ont fait les meilleures écoles à vingt ans.
Je crois au travail et à sa récompense. Dans une société juste, les distinctions entre les citoyens ne doivent pas dépendre de leur naissance, de la couleur de leur peau ou d'études lointaines : c'est le travail fourni qui doit être le critére de la réussite. Ceux qui veulent travailler plus doivent pouvoir gagner plus. Ils doivent pouvoir conserver le fruit de leurs efforts et l'utiliser pour préparer l'avenir de leur famille.
Je crois à la solidarité avec les plus faibles. Il peut arriver à chacun d'entre nous d'être, à un moment ou un autre, dans une situation difficile. La solidarité nationale doit continuer à jouer pour qu'une mauvaise passe ne se transforme pas en exclusion durable. Ceux qui veulent sortir de la précarité doivent pouvoir compter sur l'entier soutien de la communauté.
Je crois au pouvoir de la vérité. Les Français savent qu'il faut travailler plus, et non pas moins, pour s'enrichir. Ils savent qu'on ne pourra intégrer les immigrés qu'en contrôlant efficacement nos frontières. Ils savent bien, parce qu'ils en font l'expérience tous les jours, que notre droit du travail multiplie les obstacles à l'emploi et que notre Etat a besoin de réformes profondes. Ils savent que si on abaisse le niveau des diplômes, cela nuira aux élèves et aux étudiants au lieu de les aider. Enfin, ils savent que les délinquants ne cesseront de nuire que s'ils sont réprimés. Il faut avoir l'honnêteté de dire ces vérités pour pouvoir, ensuite, faire les réformes dont le pays a besoin.
Je crois au mouvement. Dans un monde qui change sans cesse, la France ne peut pas vouloir rester immobile. Nous devons améliorer notre éducation nationale, notre marché du logement, notre droit du travail, notre justice, notre fiscalité. Nous devons adapter nos institutions, en renforçant les contre-pouvoirs qui font la force d'une démocratie robuste. Nous devons rapprocher les discours politiques des préoccupations du peuple français. Il n'y a pas d'avenir à répéter les vieilles recettes qui ont toujours échoué.
Je crois à une France respectée dans le monde. Dans les années qui viennent, la France sera confrontée à des choix majeurs en politique internationale. Nous devrons poursuivre la construction de l'Europe dans le respect des peuples qui la composent. Nous devrons mieux prendre en compte l'émergence de nouvelles puissances : la Chine, l'Inde, la Russie, le Brésil. Enfin, nous devrons jouer tout notre rôle dans la lutte contre le terrorisme mondial. La France devra défendre ses intérêts dans un monde plus complexe, avec fermeté mais sans postures inutiles.
Je crois que tout peut devenir possible. Les Français veulent le changement et ont tous les atouts pour le construire. Les services publics réformés peuvent devenir des acteurs de ce mouvement. Avec l'appui de tous les Français, la promotion sociale, le droit à la propriété, une meilleure école pour les enfants, un meilleur salaire pour soi, une réelle égalité entre hommes et femmes, peuvent redevenir des objectifs atteignables pour chacun. Alors, les Français retrouveront le goût de vivre ensemble et la France sera, de nouveau, un exemple pour le monde