Lequel de ces trois sytèmes d’exploitation est tombé en premier dans les mains des méchants hackers ? C’est la question que tout le monde s’est posé à la conférence sur la sécurité CanSecWest à propos du concours PWN2OWN 2008.
Les machines étaient les suivantes :
- Un VAIO VGN-TZ37CN sous Ubuntu 7.10
- Un Fujitsu U810 sous Vista Intégrale SP1
- Un MacBook Air sous Leopard (OSX 10.5.2)
Le but était simple : percer les défenses des systèmes d’exploitation et recevoir le prix de 10 000 dollars, accompagné de la machine piratée.
Le premier jour, rien ne s’est passé. Les premières 24 heures étaient en effet consacrées au piratage du système d’exploitation proprement dit, avec seulement un accès réseau; c’est a dire sans aucun contact physique avec les machines. Et les systèmes ont résisté aux tentatives ; aucun hacker n’a réussi à en prendre totalement le contrôle.
Le deuxième jour, les règles ont changé, et les applications livrées par défaut avec le système sont entrées dans l’arène. Là, évidemment, les choses sont devenues très différentes, et le MacBook Air a tenu… deux minutes. Eh oui vous avez bien lu, il n’a tenu que 2 minutes avant que Charlie Miller, l’un des participants, prend le contrôle en exploitant une faille de sécurité du navigateur Safari qui a provoqué un dépassement de mémoire tampon.
Bien évidemment les détails des failles sont scellés pour des questions de sécurité et sont envoyes aux developpeurs correspendants pour corriger et sécuriser ces failles.
Le troisième jour a vu la mort de la machine sous Vista. Les règles avaient changé, incluant dans le lot des possibilités toutes les applications populaires que l’on trouve habituellement sur chaque système. Et là, la logithèque Windows a porté un coup dur à Vista à travers le lecteur Flash d’Adobe, victime d’une faille qui n’était ni documentée, ni même référencée.
À la fin des trois jours, seul l’ordinateur sous Ubuntu a tenu le choc. Je dis vive la distribution des systèmes d’exploitation libres.
Il est notamment intéressant de vérifier que Microsoft a parcouru du chemin, puisque seule une application tierce et non livrée avec le système a permis de prendre le contrôle du portable Fujitsu. En dépit des petites guerres entre utilisateurs, on peut estimer que la sécurité a clairement parcouru du chemin ces dernières années.
Pour avoir plus de details, vous pouvez visiter cette page ou celle-ci .
