Sunday 14 March 2010
Article  Cloud security assessment scheme launched

Sunday 14 March 2010
In Brief  Human element undermines encryption

Thursday 11 March 2010
Article  Digital privacy framework steps closer?

Monday 8 March 2010
Audio Podcast  Web 2.0 and Social Networks in the Enterprise

Sunday 7 March 2010
Article  Digital Economy Bill raises privacy concerns

Wednesday 3 March 2010
Article  Cloud security threats identified by CSA

Tuesday 2 March 2010
In Brief  Vote for your CSO Interchange topics

Thursday 25 February 2010
Article  Cloud Computing : a simple question of supplier risk

Monday 22 February 2010
Article  Most dangerous coding errors outed

Monday 22 February 2010
In Brief  Microsoft IE users to get browser choice update

Friday 19 February 2010
Article  Google Buzz fail highlights privacy expectation rise

Thursday 18 February 2010
In Brief  Annual hacking challenge aims for mobiles and browsers

Wednesday 17 February 2010
Audio Podcast  The Challenges of Cross Border eID

Monday 15 February 2010
Audio Podcast  The Readiness of eID in Europe Part 2

Sunday 14 February 2010
Audio Podcast  The Readiness of eID in Europe Part 1

Written by Aurélien Cabezon (SecurityVibes)
Published on Wednesday 7 January 2004
0 comment(s) | Subnetwork France

Les changements seront nombreux avec ce second Service Pack pour Windows XP, et cela dans bien des domaines. Mais les plus flagrantes concernent clairement la sécurité.
Première évolution, mais de taille : le firewall intégré devient -enfin- un grand ! Cela risque certes de ne pas faire plaisir aux vendeurs de pare-feu personnels, mais il semble que ce soit la seule façon de faire utiliser un firewall à la majorité des utilisateurs.
Actif par défaut, l'ICF (Internet Connection Firewall) est désormais chargé bien plus tôt, ce qui évite qu'une machine puisse être frappée durant sa phase de démarrage. Cela s'était vu lors de l'épidémie de Blaster.
Autre changement important : le pare-feu est désormais beaucoup plus configurable. Il permet de spécifier quels programmes ont le droit de se connecter à Internet, à l'image de ce que proposent la plupart des firewall personnels du marché. Mais il ne permet pas pour autant de leur attribuer un port spécifique : leur liberté d'utiliser Internet est du type "tout ou rien" (un gage de simplicité pour les utilisateurs non spécialistes). Il demeure cependant possible d'ouvrir (en permanence) un port spécifique, mais sans le lier alors à une application particulière.

Internet Explorer et Outlook aussi...

D'autres changements de taille concernent Internet Explorer et Outlook Express, les deux mécréants habituels à l'origine de nombreuses failles de sécurité.
Le navigateur dispose désormais d'un bloqueur de pop-up, ces fenêtres (souvent publicitaires) bien embêtantes. Il est possible, bien sûr, d'autoriser certains sites à afficher de telles fenêtres. L'idée n'est pas très nouvelles (Mozilla le fait depuis longtemps) mais le fait qu'Internet Explorer, soit 95% du parc installé de navigateurs, s'y mette, aura probablement un impact sur ce mode de publicité. Déjà, les grandes régies privilégient les publicité en Flash, plus difficiles à bloquer à moins de supprimer le plug-in ad-hoc de son navigateur. Les pop-up étant aussi utilisées pour forcer le téléchargement en douce d'exécutables malicieux, cette décision aura également un impact sur la sécurité.
Avec ce nouveau Service Pack, Internet Explorer présente aussi mieux les tentatives d'installation de plug-in ou d'applets en provenance des sites web. Il propose, par défaut, de ne rien installer : un changement mineur mais loin d'être idiot ! Il reste à voir, bien sûr, si les routines chargées d'intercepter les installations sont fiables et ne peuvent être contournées... ce qui s'est déjà vu !
Outlook Express bénéficie, lui, enfin des mêmes réglages de sécurité par défaut que son cousin Outlook 2003. C'est à dire qu'il sera plus difficile à exploiter par un email piégé (le panneau de prévisualisation est par exemple désormais fermé par défaut). Il était temps !
Windows Update a aussi bénéficié d'un lifting. Il est maintenant difficile de l'ignorer à l'installation tellement sa fenêtre est de grande taille, et il se rappelle ensuite à votre bon souvenir très régulièrement. Deux modes sont proposés : Express, qui permet de n'installer que les mises à jour critiques, et Optionnel, qui offre la possibilité de choisir vous même les correctifs à installer.

Des changements plus profonds...

Enfin, le système lui-même a bénéficié de quelques améliorations : certains composants ont étés recompilés avec de nouveaux outils chargés de supprimer les risques de dépassement de mémoire tampon (un grand classique de la faille...). Et le service RPC, à l'origine de la faille exploitée par Blaster, possède désormais beaucoup moins de privilèges (et donc de capacité à nuire !).
L'objectif de tous ces changements est clair : augmenter le niveau de sécurité de Windows XP sans pour autant obliger l'utilisateur à s'en occuper, puisqu'il est désormais acquis qu'il ne le fera pas ! C'est un grand écart difficile, mais terriblement nécessaire. Et sur le papier, cela prend plutôt une bonne direction.
Le Service Pack 2 pour Windows XP est actuellement en version bêta, et devrait être disponible durant le premier trimestre 2004.