Sunday 14 March 2010
Article  Cloud security assessment scheme launched

Sunday 14 March 2010
In Brief  Human element undermines encryption

Thursday 11 March 2010
Article  Digital privacy framework steps closer?

Monday 8 March 2010
Audio Podcast  Web 2.0 and Social Networks in the Enterprise

Sunday 7 March 2010
Article  Digital Economy Bill raises privacy concerns

Wednesday 3 March 2010
Article  Cloud security threats identified by CSA

Tuesday 2 March 2010
In Brief  Vote for your CSO Interchange topics

Thursday 25 February 2010
Article  Cloud Computing : a simple question of supplier risk

Monday 22 February 2010
Article  Most dangerous coding errors outed

Monday 22 February 2010
In Brief  Microsoft IE users to get browser choice update

Friday 19 February 2010
Article  Google Buzz fail highlights privacy expectation rise

Thursday 18 February 2010
In Brief  Annual hacking challenge aims for mobiles and browsers

Wednesday 17 February 2010
Audio Podcast  The Challenges of Cross Border eID

Monday 15 February 2010
Audio Podcast  The Readiness of eID in Europe Part 2

Sunday 14 February 2010
Audio Podcast  The Readiness of eID in Europe Part 1

Written by Aurélien Cabezon (SecurityVibes)
Published on Thursday 1 November 2007
0 comment(s) | Subnetwork France

Parmi les 300 nouveautés annoncées pour Mac OS X 10.5, un petit nombre est orienté sécurité. Plusieurs experts en la matière se sont donc jetés sur le Leopard dès sa sortie pour savoir de quoi il en retournait exactement. Apparemment, ils ont été déçus par la réalité des faits et la firme à la pomme d'être parfois vertement critiquée.

Thomas Ptacek de Matasano Security, concède par exemple volontiers que la fonctionnalité de bac à sable et l'intégration de la technologie ASLR sont deux très bonnes idées mais elles sont malheureusement appliquées de manière imparfaite.

La raison d'être du bac à sable ou sandbox, est de faire fonctionner une application dans un environnement protégé, offrant pour les applications soumises à ce régime un accès restreint aux fichiers autorisés, au réseau, ..., ce afin d'éviter qu'elles ne fassent office de vecteurs d'attaques. Gros problème selon Ptacek, les applications justement les plus susceptibles de servir de vecteurs d'attaques à l'instar du navigateur Web Safari, du client mail ou du client de messagerie instantanée iChat ne peuvent prétendre à ce fonctionnement en mode protégé.

La technologie ASLR de randomisation de l'espace d'adressage quant à elle, souffre également d'une mauvaise intégration pour Ptacek et son objectif de prémunir efficacement le système contre les attaques de type buffer overflow n'est pas correctement rempli. La configuration aléatoire des processus en assignant aux éléments de base un emplacement mémoire différent à chaque démarrage, ne s'applique ainsi pas à toutes les composantes du système (dynamic linker library en l'occurrence) et certains malwares peuvent donc retrouver leurs billes en disposant de l'information recherchée à un emplacement précis.

Parmi d'autres problèmes mineurs évoqués, s'il est bien un qui stigmatise les critiques, c'est le pare-feu de Mac OS X 10.5. Heise Security a notamment réalisé un test dont les conclusions sont sans appel. Outre son austérité pour l'utilisateur lambda, le site allemand reproche au pare-feu de Leopard de ne pas être activé par défaut et pire, de ne pas se comporter comme il devrait lorsque il est activé. En mode restreint, les connexions réseaux à des services non autorisés peuvent toujours être établies alors que le paramètre bloquer toutes les connexions entrantes est purement factice puisque sans effet.

Certes, le premier bilan semble plutôt contrasté pour Mac OS X 10.5 en termes de sécurité mais il faut bien garder à l'esprit que l'intégration de ces nouvelles fonctionnalités constituent une avancée dans la politique d' Apple en la matière, d'autant que Mac OS X est un système qui fait rarement la une pour des cas avérés de virus et vers.