Il ne faut pas se moquer des erreurs d'autrui

...Mais quand même. Combien de fois m'a-t-on demandé comment Microsoft garantissait que les mises à jour téléchargées de Windows Update étaient sûres ? Et d'autres questions du genre : "Est-ce que vous faites du https ?", "Comment  puis-je être sûr de ne pas installer un malware ? On connaît votre niveau de sécurité, M. Microsoft !" (clin d'œil entendu.)

Et qui vient de se faire compromettre son système de mise à jour par une banale attaque man-in-the-middle automatisée, publiée et tout ? (Cf. vulnérabilités DNS)

Microsoft ? Non ! Il s'agit aujourd'hui de Mac OS X, iTunes, WinZip, Winamp, OpenOffice et Java de Sun.

Il faut dire qu'on y avait pensé depuis quelques années : les binaires sont tout simplement signés. Et le client Windows Update vérifie la signature. Pas compliqué, mais il faut croire que les autres n'y ont pas pensé : peut-être faut-il se cotiser pour leur acheter un certificat de signature de code.

(Inspiré librement de l'article de Robert Hensing, qui cite lui-même l'article de ZDNET)

Comments

• Anonymous
  January 01, 2003
  ...Au moins dans le petit monde de la sécurité. Voici un résumé rapide de l'actualité