pascals.blog : Mac OS

Rapport sur les vulnérabilités des OS clients pour le premier semestre 2008

pascals — Mon, 27 Oct 2008 13:24:14 GMT

Jeff Jones vient de publier le rapport sur les vulnérabilité des OS clients pour le premier semestre 2008 :

Download: H1 2008 Desktop OS Vendor Report - Vulnerabilities and Days-of-Risk

Sans surprise, Windows Vista est encore le mieux placé en nombre de vulnérabilités, nombre de jours de risque et atténuation des vulnérabilités. À lire.

Vulnérabilités des OS clients : Vista, XP SP2, Linux, Mac OS... et Windows 2000 dans tout ça ?

pascals — Fri, 16 May 2008 16:45:07 GMT

Jeff Jones vient de publier deux papiers comparant pour le premier les vulnérabilités de Windows Vista et de Windows XP SP2 en 2007, et, pour le second, les vulnérabilités du premier trimestre 2008 pour Vista, XP SP2, RHEL Desktop v5 client, RHEL WS v4, Ubuntu 6.06 LTS Desktop, Mac OS 10.4 et 10.5.

Le premier papier évoque de façon très intéressante le rôle d'UAC dans la réduction de la menace liée aux vulnérabilité.

A propos (cela date de la semaine dernière), il paraît que Windows 2000 serait plus sûr que Windows Vista... Ce genre d'auto-promotion sensationnaliste (qui avait entendu parler de PC Tools auparavant ?) ferait juste sourire si elle n'était pas reprise à tour de bras par tous les sites d'informations technologiques de la planète. Une réponse n'était pas vraiment nécessaire, mais voici tout de même :

Windows Vista and Malware

Coïncidences

pascals — Thu, 20 Mar 2008 17:44:12 GMT

Il y a deux jours, j'ai reçu deux mises à jour de taille considérable sur Mac OS 10.5.

Vue la taille de la mise à jour de sécurité, il est intéressant de faire un tour sur l'article décrivant les vulnérabilités corrigées :

Je laisse le lecteur compter s'il le veut le nombre de CVE, mais je crois qu'on est battus ce mois-ci :-).

Coïncidence ? Je lisais hier soir le blog de newsoft et son article sur l'EEE PC. Je cite : Hmm, 500,000 systèmes non patchables dans la nature, ça fait réfléchir :). C'est sûr, l'offre est intéressante et peu onéreuse. Mais casser le mécanisme de mise à jour à cause d'une mauvaise intégration, est-ce bien raisonnable ? Si un EEE PC est compromis et utilisé comme bot, va-t-on faire payer au malheureux propriétaire le surplus de trafic ?

Sans aucun rapport avec ce qui précède, la RC d'Hyper-V est disponible :

Patchez-vous bien !

Rapport de vulnérabilité de Windows Vista, 1ère année

pascals — Thu, 24 Jan 2008 10:52:20 GMT

Jeff Jones vient de publier son rapport de vulnérabilité de Windows Vista portant sur sa première année d'existence. Le rapport compare Windows Vista, Windows XP, Red Hat Enterprise Linux 4 WS (réduit), Ubuntu 6.06 LTS (réduit) et Apple Mac OS X 10.4 : Windows Vista apparait comme ayant eu moins de vulnérabilités, moins de mises à jour et moins de semaines (9) durant lesquels des mises à jour ont dû être prises en compte par les administrateurs.

Bien sûr, usez et abusez de scepticisme et d'esprit critique, mais patchez-vous bien !

Comparatif de janvier de Mac OS, Ubuntu et Windows

pascals — Fri, 18 Jan 2008 13:42:57 GMT

Les mises à jour de janvier pour Windows étant sorties, ainsi que celles de MacOS diffusées dans la foulée du Macworld 2008, il est temps d'actualiser mon comparatif. Comme précédemment, et pour ne pas tomber dans le travers des comparatifs habituels (recherche de fonctionnalités équivalentes, etc.), ma démarche est la plus simple possible : sur un système installé par défaut, je considère les mises à jour proposées par défaut par le module de mise à jour automatique, que les mises à jour concernent la sécurité ou non. Je note alors le nombre de mises à jour et leur taille totale.

L'intéressant est ensuite de mettre en relation ce volume de mises à jour avec l'ancienneté du système. J'ai cette fois ajouté une colonne indiquant le rapport (taille totale en Mo) / (âge du système en mois), ce qui rend encore plus visuel le résultat.

Une dernière remarque : comme il n'est pas possible d'installer Mac OS dans une machine virtuelle, et sans un Mac de test pour réinstaller un système sans mise à jour, je ne peux que constater les nouvelles mises à jour proposées sur mon MacBook, et en déduire, grâce aux mises à jour déjà installées, ce qui serait nécessaire sur un système fraichement installé. Je veux en effet éviter de compter plusieurs fois un composant mis à jour plusieurs fois, et ne compter que la dernière mise à jour. Par exemple, iTunes 7.6 est proposé le 14 janvier 2008, je ne compte donc plus iTunes 7.5 de décembre 2007.

Mes chiffres concernant Mac OS sont donc moins fiables que les autres, pour lesquels je fais le test réel sur une machine virtuelle avec le système par défaut sans mise à jour.

Voici donc le tableau à ce jour, qui montre un résultat taille/mois toujours aussi surprenant :

Patchez-vous bien !

Patchez vos Mac ! [Security Update 2007-009]

pascals — Wed, 19 Dec 2007 00:59:17 GMT

J'ai écrit l'article précédent à peine trop tôt : un nouveau lot de mises à jour de sécurité est sorti hier le 17 décembre pour Mac OS 10.4.11 et 10.5.1, à peine un mois après la sortie des versions 10.4.11 et 10.5.1.

Plus d'informations :

About Security Update 2007-009 - détails des vulnérabilités corrigées
Security Update 2007-009 (10.5.1) - téléchargement pour Leopard
Apple Downloads - tous les téléchargements

Comme il s'applique à Mac OS 10.5.1 et ne concerne ni QuickTime, ni iTunes, ni le Remote Desktop Client, il ajoute 35,4 Mo à ce qui était indiqué précédemment, soit 178.1 Mo pour 5 mises à jour aujourd'hui pour un Leopard fraichement installé par défaut.

Tableau de synthèse mis à jour :

Rendez-vous au prochain patch tuesday pour une mise à jour suite aux correctifs de Windows.

Petit comparatif amusant

pascals — Fri, 14 Dec 2007 23:49:50 GMT

Le mardi des patches de décembre étant passé, je propose un petit jeu. Prenez un OS quelconque, installez-le dans sa configuration par défaut, sans rien configurer ni installer, et observez les mises à jour que l'on vous demande d'installer par défaut, puis répétez avec d'autres OS. Pour que la comparaison soit encore plus intéressante, n'oubliez pas de noter, en plus du nombre, la taille totale en Mégaoctets des mises à jour, sans oublier l'âge de l'OS en nombre de mois depuis sa sortie...

Je me suis donc livré à ce petit exercice, à l'aide de Virtual PC 2007 évidemment. Sauf pour Mac OS : malheureusement, celui-là n'aime pas être installé n'importe où. J'ai donc profité (merci Pierre !) d'un arrivage d'iMac au bureau pour capturer le gestionnaire de mises à jour d'un Leopard fraichement installé.

Note : le nombre et le volume de mises à jour n'est en aucune manière pour moi une mesure de la qualité d'un produit.

Mac OS X 10.5 (Leopard), sorti le 26/10/2007, testé le 13/12/2007 sur un iMac.

Après un moins et demi, Leopard a déjà sa mise à jour 10.5.1 qui réunit ses premiers correctifs. Avec les mises à jour supplémentaires habituelles (QuickTime, iTunes), on arrive à 142,7 Mo pour 4 correctifs. Pas mal pour le benjamin du test. L'étonnant est que sur le site de téléchargement d'Apple, la mise à jour 10.5.1 seule fait 110 Mo, ce que j'avais constaté sur mon MacBook mi-novembre. Je suis preneur des explications.

Ubuntu 7.10, sorti le 18/10/2007, testé le 14/12/2007 à partir du CD Alternate.

Ubuntu 7.10 demande quant à lui 193.3 Mo pour 145 correctifs, après deux mois de vie. Pas mal non plus.

Windows XP Professionnel SP2, sorti le 10/08/2004, testé le 14/12/2007.

Nous sommes ici en face de l'ancêtre de ce test : après plus de trois ans de vie, Windows XP SP2 est encore considéré par certains comme leur OS de prédilection.

Malheureusement l'interface d'AutoUpdate n'affiche pas le nombre et la taille des mises à jour. Je fais donc le test en passant par le site Internet de Windows Update qui va faire le calcul pour moi avant le téléchargement.

A la première visite sur Windows Update, une première mise à jour s'impose car le mécanisme d'installation des mises à jour à évolué depuis la sortie de Windows XP SP2.

Après cette première passe (2,9 Mo pour deux mises à jour liées à Windows Installer et une de WGA) et un premier redémarrage, voici le verdict :

Nous avons 88 mises à jour et 71.9 Mo, incluant Internet Explorer 7. Après l'installation et le redémarrage, il reste encore un correctif d'Internet Explorer 7 à installer :

Ce qui nous fait un total de 92 mises à jour pour 75 Mo. Pas mal au bout de 3 ans !

Windows Vista Ultimate, sorti le 30/11/2006, testé le 14/12/2007.

Windows Vista, après environ un an, propose 40 mises à jour importantes pour 98.8 Mo.

Synthèse

Ce comparatif, même s'il n'a aucun caractère scientifique, a le mérite de couvrir sans doute plus de 95% des postes de travail. Voici ce que cela donne visuellement :

Ce ne sont pas les plus vieux qui ont le plus de patches...

Patchez-vous bien !

Patchez vos Mac !

pascals — Fri, 16 Nov 2007 15:53:00 GMT

Travailler pour Microsoft n'empêche pas de se tenir à jour sur d'autres systèmes comme Linux ou Mac OS. C'est même une nécessité lorsque l'on veut un tant soit peu comprendre les situations de nos clients et comment aborder un environnement hétérogène. Je regarde donc Mac OS Leopard depuis quelques jours et l'actualité me permet de vivre en direct une mise à jour de sécurité. Apple vient en effet de publier des mises à jour de Tiger (10.4.11) et Leopard (10.5.1). La mise à jour de Leopard pèse 109 Mo et corrige des vulnérabilités dans le pare-feu applicatif. Notez qu'elle nécessite un redémarrage.

Patchez vos Mac !