Spécial sécurité : quand Microsoft reconnait ses enfants

Sommaire

- 1 - SQL Server : le bug illégitime enfin reconnu

- 2 - CheckPoint achète le business appliance de Nokia 

- 3 - VirtualBox 2.1.0 : 64 bits sur du 32

- 4 - RFID et divulgation : le métro de Boston n’est pas rancunier

- 5 - Australie : Spam RuleZ 

1) SQL Server : le bug illégitime enfin reconnu 

Un billet sur le blog du MSRC, une nouvelle alerte émise sur le TechNet : la faille SQL Server fait partie des failles officiellement prises en compte. Signalé peu ou prou le même jour qu’a été découvert le dernier « trou I.E. », ce défaut aurait pu faire partie du dernier « out of band » compte tenu du nombre désormais important de preuves de faisabilité et autres exploits diffusés depuis. Fort heureusement, jusqu’à présent, aucune utilisation de ce trou par un malware n’a été constatée.

Plus qu’une simple mesure palliative, Microsoft « offre » donc, en cette veille de Noël, un script de contournement kilométrique, plus efficace que les dispositions recommandées jusqu’à présent. Rappelons que l’existence de cette faille a été signalée par ses inventeurs dans le courant du mois d’avril dernier.

2) CheckPoint achète le business appliance de Nokia 

Dans un communiqué ne précisant pas le montant des modalités financières, CheckPoint annonce la signature d’un accord devant aboutir à l’achat de la division « appliances de sécurité » de Nokia. Rappelons que Nokia utilisait notamment l’UTM VPN-1 de CheckPoint en OEM. Le géant de la téléphonie cellulaire s’était peu à peu constitué un catalogue d’équipements spécialisés dans la sécurité des réseaux convergents « mobile / lan ».

3) VirtualBox 2.1.0 : 64 bits sur du 32

Sun annonce le lancement de VirtualBox 2.1, une nouvelle génération de stations de travail virtuelle. Le « changelog » dressant la liste des améliorations techniques est aussi long qu’un préambule Balzacien… De manière plus lapidaire, l’on note une prise en charge du support matériel de la virtualisation AMD et Intel sur les machines sous OS/X, ainsi que la possibilité d’exécuter des programmes 64 bits sur des ordinateurs dont le noyau du système hôte fonctionne en mode 32 bits. Cette dernière caractéristique, qualifiée d’expérimentale par ses concepteurs, concerne à priori un peu plus les développeurs et expérimentateurs que les usagers conventionnels.

4) RFID et divulgation : le métro de Boston n’est pas rancunier 

L’information fait les gros titres du Reg et d’IT World : L’équipe de jeunes chercheurs du MIT qui, durant la dernière DefCon, avait mis en évidence une avalanche de failles de sécurité dans l’infrastructure du MBTA, le métropolitain de Boston, est désormais salariée... par ce même MBTA. Salariée pour précisément consolider et colmater les brèches en question.

Rappelons que ces chercheurs-étudiants, qui travaillent notamment sous la férule de Ron Rivest, avaient eu l’intention de présenter un exposé intitulé «  The Anatomy of a Subway Hack: Breaking Crypto RFID's and Magstripes of Ticketing Systems ». L’annonce de cette conférence avait immédiatement provoqué une réaction épidermique de la part de la régie des transports de Boston, la MBTA, qui a émis une injonction suspensive interdisant la divulgation de propos jugés « dangereux et nuisant à la bonne marche de l’entreprise ». Une injonction initialement approuvée par un juge d’Etat – les tribunaux du Massachusetts sont réputés pour leur attitude conservatrice -, puis déboutée par un juge fédéral. Ce retour à de bons sentiments n’est pas la marque d’un changement de mentalité entrepreneuriale, comme semble le soupçonner certains confrères. C’est surtout la reconnaissance d’un choix technologique mal intégré, d’une accumulation d’erreurs humaines.

5) Australie : Spam RuleZ 

Les fiers policiers du continent australien ont arrêté et fait condamner un « spam king », un polluposteur de grande envergure. La presse kiwi ne tarit pas d’éloges et précise que, de l’avis même du juge, c’est là la conclusion d’une des «  largest in the history of the Internet ». Et de se féliciter du montant de l’amende infligée à ce sinistre personnage : $ 92.715 (australiens, les dollars).

Moins de 100 000 Au$ pour avoir inondé de milliards de courriers les citoyens du monde entier, piraté plus de 35 000 machines pour les intégrer à ses botnets et contrevenu à un nombre incalculable de règlementations sur le commerce des drogues. Une goutte d’eau dans l’océan des profits, si l’on se reporte à l’étude publiée par des chercheurs de l’Université de Berkeley sur l’économie du Spam. Une paille comparativement à l’un des précédents jugements qui, moins de 3 ans auparavant, avait condamné ce même personnage à 2,2 millions de dollars US pour des motifs strictement identiques, dans l’un des pays pourtant considéré comme l’un des plus permissifs dans le domaine du pollupostage.