Les correctifs de sécurité bons à ne pas être appliqués

31/07/2003 à 19h15

L'analyse de 185 000 ordinateurs pendant 18 mois a permis à l'éditeur américain Qualys de montrer que les correctifs sont peu ou pas installés par les utilisateurs. Un bug dangeureux sur deux est corrigé au bout de trente jours.

Considéré comme une certitude mais jamais prouvé, le manque de volonté des administrateurs de serveurs et autres possesseurs d'ordinateurs à installer les derniers correctifs de sécurité vient d'être démontré par une étude de Qualys.Le directeur technique de cette société américaine a en effet présenté hier les résultats de 18 mois d'observation, à l'occasion de la conférence Black Hat à Las Vegas. Spécialisée dans les audits et la gestion de la sécurité, Qualys a comptabilisé de janvier 2002 jusqu'à aujourd'hui les failles sur 185 000 machines. Pour aboutir au chiffre de 1,24 million de vulnérabilités non corrigées.

Les délais d'application des correctifs de sécurité laissent la voie libre aux pirates

La vitesse d'application des correctifs de sécurité est en effet extrêmement faible. Il faut ainsi 30 jours pour que les failles les plus dangereuses soient comblées sur 50 % des ordinateurs. Un chiffre qui passe à 60 jours pour les menaces moins sérieuses. Trop tard dans la plupart des cas. En effet, selon Qualys, 60 jours est justement le temps qu'il faut pour que 80 % des outils permettant à des pirates d'attaquer des systèmes mal protégés soient mis en circulation.Même au-delà de deux mois, la menace ne disparaît pas. Certaines vulnérabilités sont ainsi jugées ' immortelles '. Entre les vieux systèmes jamais remis à jour et les nouveaux installés sans que les correctifs soient appliquées, plusieurs failles restent exploitables indéfiniment.Dans l'immédiat, le monde de la sécurité se préoccupe surtout d'une faille critique, permettant à un pirate de prendre le contrôle à distance d'un PC, révélée par Microsoft le 16 juillet. Le même jour, le patch était disponible sur le site de l'éditeur. Mais n'aurait été appliqué que par une minorité dutilisateurs.

Ludovic Nachury

Votre opinion

19 opinions

Gricourt 28/08/2003 à 18h19

Shavlik technologies, partenaire de PI Services, propose une solution complète, simple et rapide à mettre en oeuvre pour faire face à cette problématique de gestion des patches de sécurité pour les environnements Microsoft.

Une version d'évaluation de la solution HFNetChkPro est disponible à l'adresse suivante : www.shavlik.com/downloads.aspx.

Cette version vous permettra de détecter tous les systèmes vulnérables et de déployer les correctifs adéquats sur 50 serveurs ou postes de travail, sans limitation de temps.

Les principales fonctionnalités de HFNetChkPro de Shavlik sont les suivantes :

Une interface simple et intuitive qui vous permet de scanner votre pacr cet d'y effectuer des actions correctives en quelques clics. C'est une manière plus simple, plus rapide, et plus logique pour sécuriser votre système d'information.
La possibilité de « pousser » les correctifs sans attendre que les postes viennent se mettre à jour eux-mêmes. Vous pouvez appliquer en quelques minutes l'ensembles n'importe quel correctif sur l'ensemble de vos solutions d'Entreprise Microsoft (Windows, SQL, Exchange, IIS, Office?..et bien d'autres !)
HFNetChkPro vous permet de contrôler de manière fine et précise les groupes d'ordinateurs ou les OU que vous souhaitez scanner, selon quels critères, à quel moment, et de quelle manière les correctifs seront déployés?
Basé sur le moteur de scan de la solution NFNetChk®, utilisé par Microsoft dans son outil MBSA afin d'assurer une gestion efficaces des correctifs. NFNetChk® et MBSA on tous deux été développés par Shavlik.
Lutin_ 08/08/2003 à 11h07

Ce genre d'article m'énerve, tout comme il doit énerver les administrateurs dans les entreprises.

Patcher un système pour corriger des failles, il faut certes le faire, mais ce n'est pas toujours évident:
-l'administrateur a aussi d'autres choses à faire, comme de mettre le nouveau système en production
-souvent le serveur web contient d'autres logiciels qui peuvent planter au changement de patch: il faut donc qualifier le patch d'abord, c'est à dire avoir une 2e configuration de secours identique à la 1re et faire ses tests dessus: si c'est bon, on corrige la nouvelle version
-à côté de ça, il y a les patches du serveur web, de l'OS, de l'anti-virus, de la base de données et de tous les autres trucs qui pourraient tourner sur le système.

Multipliez ça par le nombre d'ordinateurs à patcher et le temps que cela prend (cf. ci-dessous), retrancher le temps déjà occupé à d'autres tâches (expliquer l'informatique au patron, faire des sauvegardes régulières, récupéré un fichier effacé par erreur par le patron sur la bande de sauvegarde, mettre à jour tous les postes de travail de l'entreprise pour d'autres bugs, leur mettre à jour le fichier de signature, dépanner les collaborateurs dont le PC a planté, modifier les règles du firewall pour une nouvelle application, qualifier un logiciel qu'on souhaite acheter...)

Bref, toutes les miriades de choses à faire en entreprise lorsqu'on est administrateur, et qui font que la sécurité n'est (malheureusement peut-être) qu'une protection parmi d'autres.

Alors le petit couplet: les admins sont nuls, ils ne font pas leur boulot, eh bien prenez leur place et on verra ce que vous ferez dans les mêmes conditions.
Raoul_ 06/08/2003 à 11h53

Personellemnt, j'ai mis la sp1 et ca m'a tout bousillé.

Je ne sais pas d'ou ca venait mais j'ai été obligé de ré installer.
A part ca, page 125 du PC expert de Octobre 2002 pour etre précis, il y'a un article sur la sp1.

Je mets qqes phrases:
...ceux qui ont utilisé illégitimement ces numeros pour installer le systeme d'exploitation ne pourront pas installer le service pack...

...De plus, à partir du SP1, les mises à jours par Internet ne fonctionnent plus pour les utilisateurs de ces clés.

Donc à koi bon mettre le SP1 dans un cas comme ca.
Ainsi la faille restera ouverte et voila.
truffier 04/08/2003 à 17h38

tout a fait d'accord. Cela dit je ne puis vous suivre sur le chemin de l'acceptation de l'espionnage systématique sur le net.

En effet le principe de toute résistance, ce n'est pas d'engager un combat devant être gagnant mais de témoigner par une opposition de principe mais efficace aussi, à ce qui est infâme .
Ainsi, pour prendre un exemple qui vient de très haut, les premiers résistants contre l'occupation Nazie ont pris le maquis non pour gagner la guerre mais pour témoigner de la dignité de l'homme libre.
Car à cette époque la victoire Nazie ETAIT inéluctable.
Rien ne pouvait prédire en effet qu'Hitler attaquerait la Russie sans avoir conquis l'Angleterre.

LE PRINCIPE DE TOUTE RESISTANCE EST DE NE JAMAIS LAISSER AU PLUS FORT LE DROIT DE CONVAINCRE LES CONSCIENCES ! ET DE LE FORCER A VAINCRE TOUJOURS ET ENCORE.

Et puis qui sait si David ne triomphera pas de Goliatt?
DPI 04/08/2003 à 17h14

Non, les risques ne sont pas lies uniquement aux entreprise. Et il est de toute facon important si ce n'est pas necessaire d'appliquer les mises a jours. Pourquoi ? Connectez vous en adsl chez n'importe quel fournisseur grand public, et vous verrez le nombre de requetes par jour pour trouver des failles de securite. Elles proviennent toute de poste de particulier qui ne pense pas a installer ni les patchs, ni des systemes de securite a jour. Si l'installation d'un spyware par un pirate en passant par une faille de securite ne vous fait pas peur, que diriez vous l'on vous accusait de negligence pour avoir laisser ce pirate utiliser votre poste pour attaquer les sites grand public comme cela arrive malheureusement pas si rarement que ca ?

Nous devons tous mettre a jour, et si vous avez peur que l'on viole votre vie privee, alors ne surfez pas, voir, n'utilisez pas d'ordinateur. Car quoique vous fassiez, vous etes deja espionne.
Oscar H 04/08/2003 à 16h06

Arétez de raconter n'importequoi!
On dirait des gars qui vont te persuader que ca sert a rien de ragarder la route quand tu conduis parce que la ceinture de sécurité et les airbags sont la pour te protéger. Et le particulier il a pas beaucoup d'accident. Ok, un accrochage de temps en temps, mais rien de grave.
Non mais faut voir les conneries qui tournent. Y a pas de psychose, y a juste des gens qui par plaisir créent des petits programmes qui sont tout gentils et tout atomatiques, et qui sont juste programmés pour te pourrir un max les machines des gens. et pas que des méchants. certe cro$ est une cible privilégiée et les boites importantes attirent particulièrement l'attention et l'assiduité des bons hackers, mais y a des saloperies que se trimballent toutes seules sans personne derrière. Des troyens pour des particuliers, y a aucune utilité, des virus, y a peu de chance. mais les vers, ca passe sans aucune cible ni direction. Et en général, à moins de les chercher, on les voit pas. Mais attendez que les gars qui s'ammusent à ca en viennent à verrer leurs virus ou à verroler leurs vers, et ce sera nettement moins drole. Pas pour tout le monde, mais quand ca passe et que la roue du destin s'arrète sur vous, petits veinards, vous verrez que c'est nettement moins drole et que c'est pas tout question de psychose. Alors quand on sait que cro$ et un charnier de viande avarrièe, forcément y a quand même matière à regarder à deux fois avant de manger dans ces foutus windonald.
truffier 04/08/2003 à 14h54

A mon humble avis, il y a deux dangers principaux pour le particulier qui utilise le net:
- le premier est que les données personnelles stockées sur son disque soientt copiées : n° de compte bancaire etc.
A mon avis la seule parade est d'utiliser un disque dur vide de toute donnée sensible pour se connecter.
Quite à transférer sur un autre disque dur bootable hors connexion et déconnecté durant la connexion, après scannage antiviral et spyware.
- l'autre menace est beaucoup plus dangereuse à long terme car totalement "indolore". Je veux parler de l'enregistrement des sites visités non seulement par le fournisseur d'acces mais aussi par les sites visités eux-même.
En effet, à partir de telles informations, il est possible de faire un portrait robot de l'internaute, de déterminer ses convictions religieuses, ses problèmes de santé ou son parcours professionnel.
Tout cela peut être revendu par la suite aux compagnies d'assurance par exemple qui ne manqueront par de l'exploiter pour vous refuser un crédit car vous auriez visité un site médical traitant du cancer de la prostate . Cela est à mon avis extremement inquiétant car je ne connais aucune parade hormis quelques logiciels qui ralentissent la navigation. Il y avait autrefois un logiciel qui s'appelait zéro knowledge qui fragmentait les requêtes sur une dizaine de serveurs mais ce système a bien sur disparu ...

A terme, notre seule parade à nous les petits particuliers citoyens du monde est de tout faire pour que coexistent plusieurs systeme de communication internet, plusieurs os, et quelques bénévoles programmeurs qui permettront de contourner les viols programmés de notre intimité par les sociétés du genre crosoft , norton et autres.
Acheter les systèmes alternatifs est un devoir car c'est le seul moyen de leur donner la possibilité d'exister, même si ce n'est par très rentable à court terme.
GNU_ 04/08/2003 à 03h47

Les hackers ca existe et les virus aussi.Simplement pour le particulier il est vrai que ce pb le concerne peu. Je suis un des admin d'une PME et je peux te dire que les virus et les petits blairos qui essayent de penetrer nos systemes existent.ILs nous posent certes relativement peu de problemes quand tu fais attention a tes logs ... maintenant il est vrai que kan je me sert de mon ordinateur "at home" la menace devient 100 fois moins grande vue la pertinence des données presentes sur mon disque dur.
Pour en venir o pb de crosoft et de intel il fo je pense recadrer les choses.
le rique d'etre hacker de la a se faire fumer sa machine est de l'ordre du nul pour le particulier, si un antivirus est present, seul contraintes: le mettre a jour.
Maintenant la menace est reelle pour les entreprises car la effectivement outre les photos de vacances de l'admin, il y a les données sensibles de la boite.
Maintenant l'alternative a une partie de ces probleme est le passage o monde UNIX,qui lui est gratuit et non spywarisé kom les gentils softs de crosoft.
Maintenant la menace des virus existe ossi sur le monde unix mais les correctifs existent et ce st la la force de se systeme pas besoins de redemarrer 50 fois par jour la machine une fois le patch installé!!!
Pour une boite qui se sert de ses serveurs windobe 24/24 il n'est pas facile de redemarrer et de dire o employés "bougez pas je redemmarre vous reprendrez votre boulot si il n y a pas de plantage o redemarrage!!!"
Maintenant au sujet du palladium, rappellez vous du ÏII avec son numero de serie qui devait etre activer et tout le touti, qui a l 'epoque etait une premiere tentative de palladiumisation et c est soldé par un echeque.
Maintenant une grande partie des serveurs des providers et otres protagoniste de l'internet ont une architecture unix, meme IBM a compris ca en vendant ses serveurs sous linux.
Moinonplus 03/08/2003 à 21h33

Je suis tout a fait d'accord avec toi. Je crois que dans notre société, nous oublions un point fondamental: nous sommes tous équipés de superbes ordinateurs neuronaux biologiques autoprogrammables: nos cerveaux. Et là, personne n'en parle, pourtant il y a bien des virus qui s'y installent: entre les virus de la peur et les fausses informations qui reprogramment une grande majorité de cerveaux, ceux qui les lancent ou les redistribuent sont souvent bien plus dangereux je crois que ce ceux qui créent des virus pour nos gentils PC (pour ma part je n'en ai eu qu'un seul en un an et demi, et je n'en suis pas mort: Norton Antivirus me l'a gentillement enlevé). Ces créateurs de virus, ces distributeurs d'informations erronées ou en tous cas largement exagérées se nourrissent de l'ignorance de la majorité des individus pour s'enrichir toujours plus et acquérir un pouvoir grandissant et même largement étouffant. Le seul véritable antivirus, le seul remède, c'est l'information: bien s'informer c'est aller d'abord à la source ou aux sources, en se demandant toujours quels sont les liens qui les unissent. Alors renseignez-vous... mais bien.
Gépaenvideledonner 02/08/2003 à 20h09

Ok tout marche comme prévu...la psychose telle que là veulent les grandes sociétés d'informatique, musique, multimédia et tout contenu numérique sur les vilains hackers qui vont tout saccager vos machines, violer votre femme et piller votre compte en banque fonctionne à merveille...
ah vivement que microsoft nous protége avec son nouveau système d'exploitation palladium (ce nom est abandonné sous recommendation de gens biens pensants...'silence vous allez vous insérer subreptissement') et que tout soit payant. Fini les freewares malicieux, les petites sociétés de développement qui viennent manger le pain du gentil Bill. Fini la liberté d'expression audieuse qui s'est installé sur Internet.
Ah ce monde meilleur arrive mes amis, il suffit d'agiter encore un peu ce pantin de hacker immonde qui risque de détruire la planête ! La foule bien informée seras avec nous !
je piaffe d'impatience...
PS:pensez qu'a l'avenir, grace à INTEL, crosoft etc etc etc... ce message pourra être filtré au fur et à mesure que je l'ai tapé.
RENSEIGNEZ-VOUS , DIFFUSEZ LARGEMENT VOS INFOS SUR LE PROJET ANCIENNEMENT NOMME PALLADIUM => http://coolparadise.online.fr/rubrick/palladium.htm

Lire la suite des opinions (19)