Cool c'est l'effet kiss cool!

Ça valait le coup de faire chier tout le monde sur le MAS avec ça.

CQFD ... même les mac ne sont plus fiables !

Bien ! Il devrait être payé par La Pomme

mise a jour de sécurité 12.3.5 pour microsoft office 2008

Çà, çà fait mal. :-/

Oui sauf que c'est une faille qui ne peut toucher que ceux qui activent l'accès universel. Tous les autres sont "protégé". D'où le fait qu'Apple l'ait laissé "passer".
Ça reste toutefois très gênant et il va falloir se mettre au boulot dardar. .

Cette histoire de sandboxing puait le moisi depuis le début...
Admettre l'erreur et supprimer l'obligation pour le MAS serait la meilleur chose à faire en attendant une alternative.

en quoi un logiciel qui prend des screenshots et qui enregistre la frappe est un logiciel qui contourne le sandboxing?
Je ne suis pas certain que le sandboxing bloque ces accès, sinon plus de logiciels de screenshots ni de textexpander like dans le MAS...

Ca ne serai pas arrivé si le mac avait été équipé du firewall open office !

Le sandboxing est nécessaire est non suffisant
Le sandboxing sous OS X est trop limité
Le sandboxing est le principal angle d'attaque des systèmes aillant justement un sandboxing : Java, Flash, Chrome, ... dans la plupart des cas d'une faille par trimestre à plusieurs, sans sandboxing ne resultat serait encore pire

Quoi faire ? Avoir des machines validés et à jours, que l'éditeur ai une réel politique de sécurité avec des jalons préalablement connu.

Le sandboxing ne sera pas supprimé.

Sandboxer les fonctions d'accessibilité est l'étape suivante, c'est tout.

On se doute bien que c'était risqué : elles ouvrent un canal de communication entre programmes

par exemple, le petit logiciel "popclip" marche grâce à cela.

Pour ceux que ça intéresse, le mécanisme XPC de os x est certainement la solution qu'apple mettra en oeuvre pour régler le problème.

-
Le Sandboxing est évidemment la bonne réponse.

Et évidemment, il devient l'aspect le plus critique en sécurité.

Le MAS permet de limiter la casse. Malheureusement les faits, et cette histoire encore, montre bien l'intérêt du MAS et de la validation des logiciels qu'on jette à la figure des gens. Je dis "malheureusement", parce que fondamentalement je préfèrerais qu'on évite d'avoir un tiers obligatoire pour installer des logiciels, mais on voit bien que c'est dans l'intérêt des utilisateurs.

-
Rome ne s'est pas faite en un jour (ni même en 5 ans).

Tant que le mec n'a pas infecté 500000 utilisateurs dans le monde...ça reste de la pratique qu'il a testé sur sa propre machine. L'article dit bien "une application comme ça pourrait théoriquement se retrouver sur le Mac APP store". Ça dit bien théoriquement.... :-)

@xonotor [14/11/2012 10:33]

>Cette histoire de sandboxing puait le moisi depuis le début...

non. c'est une technique utile. Elle empêche qu'un logiciel soit tout puissant sous prétexte que vous l'avez exécuté.

"Admettre l'erreur et supprimer l'obligation pour le MAS serait la meilleur chose à faire en attendant une alternative."

L'erreur est effectivement de laisser les fonctions d'accessibiltié être globale à tout le système. A mon sens, c'est plutôt qu'Apple laisse ça comme chantier pour prochaine version, ML ayant déjà des briques pour amener une solution.

Le code qui gère ses fonctions doit être lui même sandboxé (bridé) et accessible que logiciel par logiciel.

La communication entre programme via l'accessibilité doit être activement démarrée par l'utilisateur et non implicite sous prétexte qu'on a coché la case pour zoomer l'écran ou pouvoir utiliser la description audio de l'interface.

Popclip, par exemple, sera ainsi bridé, il lui faudra obtenir un certificat lui autorisant son accès, ou devenir un service sandboxé, avec une préférence système dédié informant l'utilisateur qu'il ajoute un service au système.

[quote]skwale [14/11/2012 10:35]

en quoi un logiciel qui prend des screenshots et qui enregistre la frappe est un logiciel qui contourne le sandboxing?
Je ne suis pas certain que le sandboxing bloque ces accès, sinon plus de logiciels de screenshots ni de textexpander like dans le MAS... [/quote]
Alors le sandboxing ne sert à rien. Si n'importe quelle appli peut avoir accès à ce que tu tapes dans n'importe quelle autre application (soit à ce que tu tapes soit à des screenshots) tu te rends bien compte que tu peux récupérer les mots de passe et les identifiants de l'utilisateur.
Tout le principe du sandboxing est de séparer les applications pour qu'une appli ne puisse pas être consciente de ce qui se passe en dehors de sa fenêtre. Si ce principe n'est pas respecté, le sandboxing est à mettre à la poubelle.

@xonotor :
Ce que tu dis est totalement stupide. Le Sandboxing montre ici une faille exploitable via les paramètres d'accessibilité. Il marche plutôt bien pour tout le reste. Donc il faut revoir cette faille particulière et faire plus attention à toutes les apps qui font appel à l'accessibilité. On va pas détruire la forteresse parce qu'elle a un point faible !

@lmouillart et @oomu : +1
il n'y a pas de solution 100% fiable, il n'y a que des moyens de compliquer la vie des pirates...

après m'être chopé deux virus bien pénibles (sur Windows) j'ai sandboxé mon browser web: il tourne désormais dans une machine virtuelle VirtualBox. Ce qui m'a déjà permis d'éviter un ou deux autres virus.

Vite un petit commentaire d'un dévoué du marketing d'Apple pour nous expliquer que tout ceci n'est que mensonge et manipulation :-)

Le pire avec le sandbixing c'est que les utilisateurs se croient en sécurité et en deviennent logiquement plus tolèrent envers ce qu'ils installent sur leurs machines. Piège à 'cons'.

@oomu
Il ne s'agit pas ici d'une communication entre programmes mais du fait que l'accessibilite donne acces au clavier afin d'offrir des fonctions autour de la frappe clavier (affichage en gros de la lettre tapee par exemple pour les malvoyants afin de verifier leur frappe). Ca fonctionnerait sans probleme meme si la communication inter-applications etait bloquee.

Quand une idée au final se revele foireuse...

L'article me semble bien pessimiste, et certains commentaires qui s'en suivent lui emboîtent le pas. En effet le système de sandboxing mis en place par Apple doit être amélioré, et il y aura toujours de temps à autre une faille à combler. Mais ce n'est pas pour autant qu'il faut remettre en cause tout le fonctionnement du sandboxing! Là on a presque l'impression que ce système *ajoute* de la vulnérabilité…

@rokdun : c'est clair +1
en attendant si on compte le nombre de malwares actifs et faisant de VRAI dégat sur OS X, on assez d'une main ;) donc même si les solutions ne sont pas fiables à 100% et bien ça en démontre l’intérêt !

Les API d'accessibilité ne sont pas activé par défaut sur le système, et leur usage n'est pas possible depuis les applications du MAS à priori, donc je ne vois pas trop en quoi le système est remis en question.

Le Sandboxing ne sert à rien. Toute protection ne fait qu'attiser les pulsions des hackers, et ne tiendra jamais bien longtemps. Et surtout fait croire à l'utilisateur qu'il ne risque rien.
Ce qui est nécessaire c'est un cerveau chez l'utilisateur, mais ça...

@joneskind

Mon commentaire était surtout porté sur le fait qu'un certain nombre de devs ont du modifier, supprimer des fonctions. Et oui, effectivement je suis un mec "stupide" dans le domaine :-)

Question du coup : le sandboxing de l'accessibilité peut elle passer par une suppression de certaines fonctionnalités ?

@oomu

Merci pour les explications !

@Orus
"Le Sandboxing ne sert à rien. Toute protection ne fait qu'attiser les pulsions des hackers, et ne tiendra jamais bien longtemps."

Ca équivaut à dire que toute serrure ne fait qu'attiser les pulsions des crocheteurs. Certes. Mais a contrario, l'absence de serrure ne fait que faciliter la tâche des cambrioleurs.

"Ce qui est nécessaire c'est un cerveau chez l'utilisateur, mais ça..."

Ouais, m'enfin bon, quand on sort de tels lieux communs, on évite de se moquer du cerveau des autres...

Le Sandboxing... et encore si c'était la seule faille !

Savez vous que Windows 7 est bien mieux niveau sécurité aujourd'hui. J'entends déjà les trolls... Mais le Mac reste plus sûr car les pirates sont peu nombreux à connaitre les techniques et failles.

Attendons quelques temps encore et pour le coup Apple et loin d'avoir les épaules de Microsoft question service sécurité.

"T'as un Mac tu rentres pas !"

@lambdachronicles [14/11/2012 10:39]

Ca ne serai pas arrivé si le mac avait été équipé du firewall open office !

Anéfé !!!

@ BenUp [14/11/2012 18:39]

Mais oui....

Allez un petit échantillon des derniers correctifs pour windows 7 le super OS ultra sécurisé :

MS12-072 -> correction de deux failles dans le Shell Windows permettant l’exécution arbitraire de code à distance
MS12-075 -> correction de plusieurs failles dans le noyau Windows permettant l’exécution arbitraire de code
,,,

Et pas besoin de troller, les correctifs pour windows 7 se succède a la pelle comme sur tout les OS qu'a crée Microsoft...

C'est quand meme mieux que rien... Y va toujours avoir des failles !