Problème de sécurité dans Mozilla et Firefox
Forum Les news : Problème de sécurité dans Mozilla et Firefox
Un gros problème de sécurité vient d'être découvert dans Mozilla, ce qui concerne aussi par conséquent Firefox. En effet, avec ce navigateur il est possible de créer une page web avec une fausse URL.
Il devient ainsi possible pour un pirate de créer, par exemple, une page web identique à celle de votre banque en ligne et d'usurper son URL pour tromper même l'internaute le plus vigilant.
Le plus grâve est qu'aucune solution n'a pour l'instant été trouvée car ce n'est pas vraiment une faille dans Mozilla mais plutot une utilisation "normale" du nouveau langage de conception d'interface intégré au navigateur : XUL (l'interface même de Mozilla est faite en XUL ce qui lui permet de conservé un même aspect quelque soit l'OS).
Pour usurper l'adresse d'un site, le pirate créé un programme en XUL qui dessine de toute pièce une nouvelle fenêtre du navigateur, en profitant pour falsifier la barre d'adresse. Cette technique permet aussi de créer de faux certificats de sécurité (voir la démonstration et les captures) ainsi que tout autres boites grâce auxquels on aurait pu identifié la page.
Ce problème ne touche pas tous les navigateurs libres : par exemple Konqueror n'a pas ce probème. Internet Explorer n'est biensur pas touché.
Démonstration pour les utilisateurs de Firefox 0.9 et supérieur
Capture d'écran pour les utilisateurs d'autres navigateurs
Ah ben fallait bien se douter qu'un jour une faille serait trouvée "aussi" dans ce navigateur
On va bien voir si elle sera vite corrigée :-)
C'est inquiétant mais pour usurper la page de notre banque, par exemple, faut ouvrir un lien piégé à partir d'un autre site tiers. Si vous y allez directement (en tapant l'adresse ou en ouvrant vos bookmarks) pas de problème. Pour utiliser cette "faille", il faut quand même que l'utilisateur fasse preuve d'un excès de confiance.
Et le hacker a intérêt à coder une page qui va reprendre tous nos réglages et favoris pour que reste indétectable (pour ceux qui ne connaissent pas firefox, c'est extremement personnalisable : couleurs, icones, extensions...). Par exemple, la page proposé en lien est très suspecte chez moi (ne ressemble pas du tout à mon firefox).
Purée mais c'est ultra grave tout ça !
Et en plus c'est pas comme si on découvrait une nouvelle faille dans IE mais là c'est basé sur la conception même de Firefox !
Ils font vraiment ch**r ces hacherz de mes cou**les, ils ont rien d'autre à foutre que de chercher des problèmes dans un navigateur aussi performant et plaisant à utiliser que Firefox !!
| Citation : Internet Explorer n'est biensur pas touché. |
c'est FAUX
il y a le meme probleme dans IE, une simple commande permet de faire la meme chose, beaucoup plus simplement, cette faille dans IE est connue depuis pres de 3ans, et toujours pas de correctif en vue
IE n'est pas touché par la faille XUL, normal, il n'utilise pas ce moteur...
Toutefois il est vrai que Internet Explorer est touché par une faille semblable mais il me semble qu'elle a été corigée y'a déjà bien longtemps.
Oui cete faille existe sur IE, une news était sortie dessus il y a 1-2 mois... Mais il semblerait que même les patchs ne réctifient pas cette ####rie...
Et ué, rien n'est parfait (mais presque
) !
| Citation : Purée mais c'est ultra grave tout ça !Et en plus c'est pas comme si on découvrait une nouvelle faille dans IE mais là c'est basé sur la conception même de Firefox !
|
Oui mais l'atout far de firefox c'est la sécurité. Donc je prefere qu'il soit attaqué pour etre rendu plus sur. Par contre si on part du principe que utiliser un systeme (windows, macOS, xul ...) devient dangereux lorsque beaucoup de hackers l'attaque alors il faudra faire gaffe
bah voilà suffit qu'il commence a prendre un petit peu plus de popularité pour qu'on decouvre deja des failles immenses....moi je dis, ils sont bien partis...Maintenant vous voulez que Firefox remplace IE ?...ahaha sans moi...
Enfin esperons qu'ils trouveront un remede a cette faille
Je ne sais pas si on peut penser tel actuellement mais je préfere le purgatoir a l'enfer...
Moi qui était passéà Firefox parcequ'il contenait moins de failles de sécurité que IE...
Je repasse à IE !
Pour ceux qui n'avait pas saisi c'était de l'humour !!
Le problème est que ce n'est pas une faille "banale" comme celles qui touchent régulièrement IE mais une mauvaise conception de base même du navigateur !
Mozilla intègre une technologie nommée XUL qui permet aux Webmasters de créés des interfaces très complètes (bien plus qu'avec XHTML/CSS) à l'instar des logiciels disponibles sur votre OS habituellement. Et grâce à cette technologie d'interfaces un webmaster malicieux peux construire une fausse fenêtre de Mozilla (en cliquant sur le lien on croit que c'est juste un lien qui s'ouvre dans une nouvelle fenêtre alors que c'est en vérité un programme XUL qui est éxécuté) avec une URL dans la barre d'adresseet même les certificats de sécurité SSL, ... falsifiés !
Pourtant Mozilla reste meilleur que IE sur bien des points ! La sécurité biensur. Malgrès ce problème Mozilla reste bien plus sur que IE et l'équipe Mozilla devrait réussir a combler la vulnérabilité assez rapidement. La fiabilité, la rapidité, le système d'onglets, ...
Attendez deconnez pas vous etes quand meme pas des pantins. Vous poucez pas comparer firefox et sa faille mensuel avec IE et ses 5 failles mensuels. Faut arreter de rere quand meme. Actuellement malgré cette faille (minime) sur le plan sécurité, firefox est tout de meme premier
Il vaut mieux que ca soit un hacker blanc qui découvre la faille et la publie qu'un vilain pirate qui utilise la faille !
Atotrophe a raison: IE sera toujours plus buggué que Firefox... Et si un jour Firefox dépasse le nombre de failles d'IE ca sera normal: c'est qu'IE ne sera plus utilisé et qu'il serait plus "rentable" pour les hackers de trouver des failles dans le logiciel le plus utilisé.
Si Firefox comporte moins de failles de sécurité, il ne faut pas se leurrer, c'est parce qu'il est encore peu répandu. Ceux qui l'utilisent vont sur des sites du genre IDN et lisent les alertes de sécurité. Quand Firefox sera utilisé par un plus grand nombre, particulièrement des gens qui ne lisent pas les alertes de sécurité, alors le navigateur sera une cible facile.
Aucun logiciel n'est parfait. Des failles il y en a eu et il y en aura encore. Mais l'avantage que Firefox a et que IE n'a pas, c'est le Logiciel Libre. Ca permet aux failles d'êtres corrigées rapidement (d'habitude ils corrigeaient en moins de 24h contre plusieurs mois avec IE, mais là ils prennent un peu de retard).
Pour le XUL, ça n'est pas vraiment une faille, c'est simplement le language qui permet de simuler tout ce qu'on veut. On ne peut pas empêcher ça, à part comme cela a été proposé sur LinuxFr de créer des sortes de codes infalsifiables (un peu comme les billets de banque pour prouver l'authenticité). Par exemple de définir un nombre ou un code couleur dans les préférences (que la "faille" XUL ne peut lire) et d'afficher ce nombre/cette couleur pour certifier que c'est bien Firefox qui est lancé.
Je crois qu'il est important de mettre faille entre guillement... Le problème vient de XUL et non du moteur Gecko (le navigateur en lui même si l'on veut), c'est comme si l'on annoncait qu'il y avait dans Luna XP et qu'on en voulait au noyau de windows de ne pas être sufisament sécurisé...
Je crois que usurper de la sorte ne va pas être bien courant et comme la dit un IDnaute plus haut, lorsque vous faite quelque chose qui pourrait mettre vos coordonnées en danger sur internet vous êtes plus que vigilent donc vous n'allez pas suivre un lien d'un site perso pour accéder à votre banque....
Le nombre d'utilisateur de firefox et mozilla croît, c'est évident que la perfection n'existe pas et que d'autres failles seront découvertes avec le temps... à l'époque ou internet explorer été jeune comme le projet mozilla, le nombre d'internaute n'excéder pas le nombre d'utilisateurs de mozilla aujourd'hui alors c'est évident que les failles de jeunesses de IE n'était pas plus vite dénicher et encore moins plus vite corriger.
Je viens de lire que certains remigre vers IE... vous n'avez alors vraiment pas profiter de mozilla... pas de spywares, pas de trojan, pas de pop-up, les onglets, la stabilité et là pour une misérable "faille" vous allez revoir bilou comme les imbéciles qui ne font leur vie que par rapport au 20 heures...
A ce jour combien y'a-t-il eu de patch pour IE ? Combien faut-il en installer pour être en sécurité sur internet actuellement avec IE ?
Combien en faut-il pour Mozilla ?
S'il est possible de désactiver le XUL sur les pages Web, ca résoud aussi le problème (en fait, ca le contourne, comme le spoffing IE avec les user:login@site).
Quand on rentre des données aussi sensibles que le numéro de carte banquaire et son code, on fait attention un minimum. Par exemple, la page n'est pas "maximisable" ni "agrandissable", on ne peut pas l'ouvrir dans un nouvel onglet, je ne vois pas le cadenas sécurisé (le minimum lorsque l'on rentrer des données sensibles), les menus... La disposition des boutons de navigation, de la barre d'adresse etc. sont ceux par défaut et peuvent ne pas du tout coller avec votre configuration.
Bon, l'auteur du fake n'est pas allé jusqu'au bout et pas mal de choses décrites auraient pu être ajoutées, mais il y a certaines choses qui ne s'inventent pas*. Pour tout le reste, il y a la faille XUL PayPal, partout où vous n'en avez pas besoin.
* les options de Firefox ne semblent pas être accessibles avec XUL.
Edit: il semblerait que ca soit corrigé dans les nightlies sur les forums MozillaZine.
Edit 2: en version HTML+JS.
Parfaitement, dire "Je repasse à IE" parce qu'on découvre une (2ème) faille sous Mozilla & Cie, c'est ne pas savoir en soi ce qu'est un navigateur buggé... C'est vraiment une refléxion stupide, et j'éspère que tu vas te chopper un bon virus en disant ta connerie pour que tu comprennes que Firefox sera toujours plus fiable que IE malgré cette trouvaille.
| Citation : guillaumeb a dit :
|
Je trouve que tu fais infiniement pitié... à chaque fois que y a un truc en la faveur de Microsoft tu mets un commentaire, mais pour le nombre INFINI de fois ou Microsoft fait des conneries (failles d'IE; retard du SP2, de Windows XP 64bits, des 250 Mo de Hotmail) tu n'oses jamais rien dire. Regarde la sécurité de Firefox par rapport à IE et tu te permet de le critiquer ? Pour l'instant IE domine avec ses 95% de PdM, pas étonnant c'est intégré dans Windows... mais chaque jours des nouveaux gens se dirigent vers d'autres navigateurs. Certains (comme toi) disent que Microsoft va arriver à son apogée dans quelques année, et je trouve que c'est très optimiste. Si on découvre tous les jours encore des nouvelles conneries de Microsoft a mon avi ce sera la contraire. D'ailleurs les premiers ordis vendus avec Linux font leur apparition, des grandes sociétés l'adoptent aussi. Donc les avis sont partagés mais quoi qu'il en soit Microsoft à de GRANDS progrets à faire
edit : de toute façon M$ a eu une faille sembable récemment
| Citation : Xion345 a dit :
|
Mais ça c'est vraiment la plus grosse connerie que j'ai jamais entendu : on se dirige vers un naviguateur pcq son actuel à 2 failles de sécurité, mais celui vers lequel on se dirige en a des dizaines
| Citation : Expéditeur : guillaumeb Date : 30/7/2004 11:21:49
|
mais de quoi il parle, lui ?
t'es au courant que c'est pas une vraie faille au moins ? mais une fausse URL qui usurpe l'apparence de ton navigateur, a cause du moteur de firefox qui permet de l'implementer dans n'importe quel OS sans avoir a en changer l'apparence...
Cependant, il existe un moyen tres simple de ne pas se faire avoir : naviguer toujours dans la même fenetre et utiliser des onglets.
Car pour que l'url factice s'affiche sur votre PC, elle doit ouvrir un nouveau navigateur. si vous utilisez des onglets, la page affichera : (untitled). vous pouvez tester avec le lien fourni dans la news, cela ne marchera pas si vous essayez d'ouvrir l'url factice dans un nouvel onglet du même navigateur...
d'ailleurs, tout vos favoris auront disparus dans la page factice, ce qui devra attirer votre méfiance a l'avenir...
ce sont pour l'instant les seuls moyens efficaces de combler la faille...
donc pour guillaumeb, avant même que cette "faille" ne soit découverte dans mozilla, il en existait déja un remede... est-ce que IE peut en dire autant ?
| Citation : Mais ça c'est vraiment la plus grosse connerie que j'ai jamais entendu : on se dirige vers un naviguateur pcq son actuel à 2 failles de sécurité, mais celui vers lequel on se dirige en a des dizaines |
Non, il y a déjà des centaines de patchs, et surement des milliers de failles qui ne sont pas encore découvertes...
Sur IE également tu sais, la différence c'est qu'à l'heure qu'il est y en a beaucoup plus de découvertes... et comme elles sont pas découvertes Firefox est quand même plus sûr
Comprennez que la sécurité réside entre vos mains (et nécessite l'utilisation de votre tête !) et pas dans deux ou trois logiciels (firewall, antivirus et navigateur par exemple). Aucun logiciel n'est parfait, alors même sous Firefox, méfiez vous.
| Citation : Cependant, il existe un moyen tres simple de ne pas se faire avoir : naviguer toujours dans la même fenetre |
d'autant plus qu'il y a un moyen de forcer l'ouverture dans une meme fenetre avec firefox autant en profiter
(desactiver target="_blank" pour ceux qui connaissent
)
indiqué
ici meme
oui, enfin, il est quand même plus simple d'ouvrir les liens avec un click de molette, pour ceux qui ne bidouillent pas trop... quoique je ne sais pas si ce raccourcis est proposé sous windows...
Si si c'st proposé sous windows
Faut seulement faire attention en attendant le correctif
Personellement j'utilise toujours Mozilla et je suis pas pret de retourné sur IE car Mozilla est tout de même bien plus sécurisé, il n'y a pas de spyware et autres barre de recherches non demandées impossible a désinstallées qui s'installent tout seul, ni de connexion à des sites porno en passant par une ligne surtaxée en afrique qui se lancent toute seules, ... il est plus pratique avec son anti-pop up et ses onglets, plus rapide, plus beau avec les thèmes, ... (toute facon j'utilise rarement Windows).
Je ne doute pas que l'équipe de Mozilla trouvera rapidement une issue au problème !
Le conseil que l'on peut donner pour éviter d'être arnaqué est de ne jamais suivre de liens pour joindre les sites marchand ou de banque mais de toujours taper l'URL directement dans la barre d'adresse d'un navigateur fraichement ouvert (valable quelque soit le navigateur).
Je serai étonner de voir un pirate créer une fausse page uniquement à l'attention de 5% des internautes...
Bonjour,
Je ne comprends pas l'indignation de certains !
On a jamais dit que Firefox était parfait.
En ce qui concerne le nombre de faille, ai-je vraiment besoin de comparer :-)
N'oubliez pas que FireFox est GPL, n'importe qui peut consulter le code source
néanmoins seul quelques failles sont mises au grand jour...
En ce qui me concerne, je préfère Firefox à IE pour plusieurs raisons :
- La navigation par onglet (native)
- Le bloquage de Popup (natif)
- Il est GPL
- Il est beau :-D
- IE sous Linux/Unix ca ne fonctionne pas top :-D
Il y en a d'autres mais bon...
A+
Greg.
apt-get install IE
Bon déjà des failles sur mozilla/firefox il en sort quasiment tous les mois depuis le début de l'année...
Ensuite :
| Citation : c'est FAUX
|
Ca c'est de la grosse connerie, le %00 a été corrigé depuis près de trois ans (ref : ms04-004) et l'autre utilisant un caractère ascii qui a été découvert l'année dernière et qui ne touchait pas que ie mais aussi mozilla et opera, a été corrigé en début d'année...
Bref vérifiez donc vos sources avant de partir dans des débats houleux à la con, de toute façon tout système est faillible donc une faille de plus ou de moins ça ne changera pas grand chose, après tout ce n'est que la deuxième faille découverte en mois de deux semaines sur firefox
...
En fait les nouvelles failles récentes sont plutôt une bonne chose. Mozilla-firefox commence à être plus connu et les conséquences sont une augmentation des failles, mais ce n'est pas dramatique, l'équipe mozilla fait face et les corrige en un temps plus que correcte.
Pour celle-ci, se sera plus dur, mais bon ils trouveront certainements quelquechose.
En effet il n'y a rien de grave dans la découverte de failles, ce qui compte c'est le temps mis à la combler...
Au fait cette news pue
http://www.infos-du-net.com/news/article-3331.html
Je parlais de la même chose il y a deux jours...
| Citation : Mozilla Firefox (versions 0.9.1 et 0.9.2) a lui des problèmes de cache. Cela permet à des personnes malintentionnées de "spoofer" le certificat de n'importe quel site afin de l'utiliser comme le sien. La vulnérabilité est exploitée en utilisant "OnUnload" dans "<body>" et en redirigeant avec les metatags "HTTP-Equiv Refresh", "document.write()" et "document.close()".
|
Ensuite toi tu parle d'une vulnérabilité utilisant la cache et le Javascript, tu ne parle pas de fabriquer une fenêtre et un certificat en XUL, d'ailleur tu ne cite même pas XUL, à mon avis on ne parle vraiment pas de la même chose. Alors avant de critiquer mes news vérifie t'es sources et relit ce que t'a écrit ;-)
La faille dont je parle n'est pas corrigée donc du peux toujours mettre à jour ...
Non mais je critiquais pour chambrer :-P
Mais la faille est la même mais plus détaillée ce coup-ci, je te cite secunia :
| Citation : NOTE: This issue appears to be the same as Mozilla Bug 244965 |
[quote] En effet il n'y a rien de grave dans la découverte de failles, ce qui compte c'est le temps mis à la combler...
Au fait cette news pue
http://www.infos-du-net.com/news/article-3331.html
Je parlais de la même chose il y a deux jours... [quote]
Ce n'est pas la news qui pue...
Tu essayes de nous faire croire que IE est mieux que Firefox ?
Tu ne vends pas des encyclopédies de porte à porte ?
En ce qui concerne le temps mis à combler pour corriger une faille
Microsoft est un peu hors jeu et tout le monde le sait.
J'en ai marre de ces discussions, il faut toujours qu'il y ai quelqu'un
qui dise des âneries et après je fais de la tension :-)
Bon allez sans rancune.
A+.
Greg.
apt-get remove tension
[I]"Je trouve que tu fais infiniement pitié... à chaque fois que y a un truc en la faveur de Microsoft tu mets un commentaire, mais pour le nombre INFINI de fois ou Microsoft fait des conneries (failles d'IE; retard du SP2, de Windows XP 64bits, des 250 Mo de Hotmail) tu n'oses jamais rien dire. Regarde la sécurité de Firefox par rapport à IE et tu te permet de le critiquer ? Pour l'instant IE domine avec ses 95% de PdM, pas étonnant c'est intégré dans Windows... mais chaque jours des nouveaux gens se dirigent vers d'autres navigateurs. Certains (comme toi) disent que Microsoft va arriver à son apogée dans quelques année, et je trouve que c'est très optimiste. Si on découvre tous les jours encore des nouvelles conneries de Microsoft a mon avi ce sera la contraire. D'ailleurs les premiers ordis vendus avec Linux font leur apparition, des grandes sociétés l'adoptent aussi. Donc les avis sont partagés mais quoi qu'il en soit Microsoft à de GRANDS progrets à faire"[I]
edit : de toute façon M$ a eu une faille sembable récemment
ola du calme !! second degré...tu connais ? forcement c'etait facile et trop tentant pour laisser passer
Mais je suis sur que FF sera tres rapidement securisé et pour tout dire je commence un peu a m'y faire
Malgré les apparences je ne suis as Pro MS....bah non, je regarde tout ce qu'il y a autours. Et que les gens s'prientent vers d'autres navigateurs c'est une bonne chose pour faire bouger le tout
Ouais, désolé de m'être emporté, mais je pensais sérieusement pas que Microsoft était défendable (même s'il a des bons côtés je le reconnais). Ce qui m'énerve le plus chez eux c'est le prix qu'ils fouttent pour Office alors qu'on programme fort semblable, OpenOffice, lui est gratuit
ouai enfin tu sais il faut etre un minimun malin...moi Office , soit je me trouve des crack tout simplement...ou on me file de temps en temps des bons de 100 dollars pour le Microsoft eStore reservé au personel apres participation a une Beta....un de mes eleves m'a filé Office 2003 Pro et j'ai gagné Outlook 2003, Digital Image Picture, Windows XP et Plus! par la Beta de MSN
... Le double jeu...c'est ca qui est interessant !
C'est clair qu'on peut se fournir les programmes gratuitement... mais illégalement. Leur prix est tellement absurde que beaucoup de gens n'imagineraient pas un seul instant payer, et donc ils piratent. Mais le prix reste le même et c'est illégal ce qu'ils font. Tandis que OpenOffice.org est gratuit et entièrement légal (et perso je trouve qu'il est aussi très bien)
| Citation : Ce n'est pas la news qui pue...
|
Alors toi tu es assez limité non ? Relis donc et dis moi où j'explique que IE est meilleur, je disais juste qu'IE n'était plus vulnérable à ce genre de faille.
Mais bon ça c'est bien la réaction habituelle de prolinuxiens bourrins dont l'unique réponse est "IE saidlamerde vive Mozilla"...
| Citation : En ce qui concerne le temps mis à combler pour corriger une faille
|
Personne ne dit le contraire, d'ailleurs pour la faille de spoofing, Microsoft avait mis trois mois pour corriger la faille, ce qui était franchement honteux !
| Citation : J'en ai marre de ces discussions, il faut toujours qu'il y ai quelqu'un
|
C'est toi qui dit des conneries à vouloir défendre l'indéfendable, je corrigeais juste les bétises sur le fait que IE y est toujours vulnérable et n'ai fait aucun favoritisme, d'autant plus que je posséde Linux et Windows et qu'il y a encore peu ici je publiais un article disant que Linux et ses applications est bien plus sécurisé que Windows, mais un prolinuxien ça reste limité, ça ne comprend pas tout...
| Citation : Alors toi tu es assez limité non ? Relis donc et dis moi où j'explique que IE est meilleur, je disais juste qu'IE n'était plus vulnérable à ce genre de faille. |
Bon d'accord, j'avoue que je me suis un petit peu emporté mais c'est le ton de tes phrases qui me fait penser que tu défends IE (à outrance).
| Citation : Mais bon ça c'est bien la réaction habituelle de prolinuxiens bourrins dont l'unique réponse est "IE saidlamerde vive Mozilla"... |
Je pense qu'il ne faut pas être obligatoirement linuxien et/ou bourrin pour savoir que FireFox a plus d'atouts que IE...
| Citation : Personne ne dit le contraire, d'ailleurs pour la faille de spoofing, Microsoft avait mis trois mois pour corriger la faille, ce qui était franchement honteux ! |
Nous sommes d'accord.
| Citation : C'est toi qui dit des conneries à vouloir défendre l'indéfendable |
Tu peux préciser ?
| Citation : je corrigeais juste les bétises sur le fait que IE y est toujours vulnérable et n'ai fait aucun favoritisme, d'autant plus que je posséde Linux et Windows et qu'il y a encore peu ici je publiais un article disant que Linux et ses applications est bien plus sécurisé que Windows |
Au temps pour moi.
| Citation : mais un prolinuxien ça reste limité, ça ne comprend pas tout... |
Toi aussi tu fais de la tension là :-) qui te dit que je suis un "prolinux" ?
A+.
Greg.
Moi qui croyait être tranquille...:-(
est-ce que je peut aller sur mon compte de banque ou dois-je attendre le corerectif?
au fait il sort quand moi j'en peut plus mdr
Si tu tape l'adresse du site de ta banque directement dans la barre d'URL tu peux y aller !
Pas de patch encore sorti ?
Il y a 454 utilisateurs connus et inconnus. Pour voir la liste des connectés connus, cliquez ici.
