Chrome essuie ses premières rayures

Florian Innocente |
Si la thématique de la sécurité était à l'honneur pour la présentation de Chrome, le navigateur de Google, c'est justement par là qu'il commet ses premiers péchés. Un spécialiste en sécurité Aviv Raff propose sur son site un exemple d'exploitation d'une faille de sécurité dans le logiciel.

Elle permet, moyennant tout de même quelques clics de l'utilisateur, de télécharger une application Java qui s'exécutera sans entrainer d'alerte sur sa provenance, profitant en cela d'une cécité de Windows. Parmi les failles exploitées, il en est une qui touche le WebKit.

À ceci près que ce problème dans le moteur du navigateur avait été déjà corrigé par Apple, fin juin. Chrome s'appuie donc sur une version légèrement dépassée de WebKit (celle de Safari 3.1).

Une seconde faiblesse s'est faite jour. Cette fois c'est un clic sur une adresse formée d'une manière particulière qui peut conduire le navigateur à complètement planter. Alors même que Google vante les mérites de son mécanisme où un problème survenant dans la fenêtre d'un onglet n'a pas d'incidence sur le fonctionnement des autres ni du navigateur. À la décharge de Google, on rappellera que son navigateur est en version bêta.

google_chrome_crashing



merci Hakime

Sur le même sujet :
Un aperçu de Chrome sous Windows
Google Chrome, le navigateur de l'an 200

avatar Dad | 
Si je comprends bien, cela suppose surtout d'avoir un mac Intel, de le lancer en mode windows et d'aller surfer avec la bêta de Chrome. Il y en a qui aiment vraiment se gâcher la vie, non ?
avatar 2Bad | 
Bon, c'est une version beta... donc on s'en fout un peu. C'est même bien qu'on trouve des défauts. 2Bad
avatar Hepox | 
J'utilise Chrome en ce moment même et je dois dire qu'il m'a impressioné. Pour ce qui est des "failles de sécurité" à moins de le faire expres on n'a pas de problèmes, et comme dit c'est une version BETA dont le but est évidement de corriger les erreures non percus lors de l'élaboration du programme...
avatar Leced | 
Enfin, si c'est comme Gmail, Chrome va rester quelques années en beta... A partir de combien de temps le mot "Beta" ne peut plus servir d'excuse pour un soft?
avatar Hurrican | 
De toute façon, j'ai déjà vu OsX bloqué, alors que normalement, une tâche plantée n'affecte pas le système. Normalement... Personne n'est parfait, et surtout pas une appli en beta. N'empêche, à Redmond on doit se faire des cheveux blancs ! Si Google prend vraiment la maitrise du Web, Microsoft va souffrir énormément ! :-D
avatar Nicky Larson | 
La seule chose qui soit vraiment naze sur Chrome c'est la gestion des favoris. Il faut tout se taper un par un, il n 'y a aucune vue 'organisation des signets'
avatar DVP | 
[quote]Si je comprends bien, cela suppose surtout d'avoir un mac Intel, de le lancer en mode windows et d'aller surfer avec la bêta de Chrome [/quote] Pas forcement. La premiere faille, c'est une faille du webkit qui permet de telecharger sur le bureau quelque chose sans prevenir (faille "carpet bombing" corrigée depuis, mais Chrome utilise une vieille version du webkit, non corrigée donc) La seconde faille c'est que java ne vérifie pas les attributs d'un fichier avant de le lancer (le Zone.Identifier qui indique que le fichier vient du net) Donc une fois le fichier telechargé (automatiquement et sans prevenir via la faille webkit) si on le lance avec java, aucun warning ne previent l'utilisateur qu'il va executer du code en provenance du net. Mais comment lancer le fichier telechargé ? (car il ne se lance pas tout seul) L'astuce c'est que la barre de telechargement de Chrome se presente en bas sous forme de boutons... et l'utilisateur non averti peut facilement croire que ces boutons font partie de la page qu'il est en train de visiter. Une bete icone "cliquez ici" qui pointe sur le bouton de telechargement, suffit à inciter l'utilisateur à cliquer dessus. Si le programme associé au type de fichier telechargé (ici java puisque le fichier est un .jar) ne verifie pas le Zone.Identifier, alors c'est gagné (comme dirait Dora): le mechant pirate a reussi à installer un fichier chez vous, et a vous le faire lancer sans que vous soyez prévenu du danger.
avatar Seb du 95 | 
@ Hurrican Depuis Léopard mon Safari 3.1.2 bloque régulièrement tout le système lors de la consultation de flux RSS ou lors du chargement de pages en Java. Je ne peux rien faire d'autre que d'attendre qu'il ait fini son boulot ou alors qu'il se soit planté (sous iMac PowerPC et Intel). Je suis très impatient de pouvoir tester Google chrome sur Mac, ça me permettra peut être de retrouver la tranquillité d'utilisation de Safari 2 sous Tiger...
avatar Hepox | 
@Nicky Larson: qu'entends tu par organisation des signets? Pour les favoris tu actives l'option "toujours afficher les favoris" puis sur la barre des favoris si tu as besoin de regrouper tes sites dédiés à Apple (par exemple) tu cliques droit -> nouveau dossier Ca prend pas plus de 2 minutes :)
avatar Augustin Caron | 
À ma connaissance il ne s'agit même pas de la même version du Webkit que Safari 3.1 mais de Skia, une version encore antérieure puisque [url=http://www.flickr.com/photos/kurafire/2822606444/]Chrome ne sait pas faire les ombres et l'antialisasing des arrondis[/url]. Cela devrait changer et il est inutile de tirer à vue sur une bêta c.-à-d. un travail en cours.
avatar oomu | 
et de toute façon, il ne faut pas imaginer que google a inventé le logiciel incassable et violé la loi de la thermodynamique subitement simplement, ils ont préparé une architecture pour le plus possibile limiter la casse. --- de la même manière que le "noyau" d'un os moderne protège les applications les unes des autres, mais si le noyau est buggué ? HA ! ben "kernel panic", ben vi , la vie est dure, au moins google peut travailler à blinder leur "chrome" avec le temps, ils ont la BASE qui leur permet de TENTER d'y arriver. En cela ,ils ont une avance sur firefox . Cela ne veut pas dire qu'au jour J, chrome est indestructible mais que structurellement, ils ont préparé la voie pour réussir à rendre cela possible. bref, la vie c'est dur mais ça bosse.
avatar oomu | 
Leced : depuis la folie "webeuh deuzero" , le mot beta sert d'excuse infini et de boucliers anti plaintes.
avatar magic.ludovic | 
Définition de bêta dans mon dictionnaire : bêta : adj.,n. bêtasse 1. Sot. 2. Bébête. :o
avatar Hak | 
"Depuis Léopard mon Safari 3.1.2 bloque régulièrement tout le système lors de la consultation de flux RSS ou lors du chargement de pages en Java. Je ne peux rien faire d'autre que d'attendre qu'il ait fini son boulot ou alors qu'il se soit planté (sous iMac PowerPC et Intel)." Je n'ai jamais eu ce genre de comportement, et que Safari bloque tous le système parait peu probable sans qu'il y ait un réel problème quelque part. Que ton système bloque n'est absolument pas normal, à mon avis il te faut regarder cela de plus près...
avatar Nicky Larson | 
[quote]qu'entends tu par organisation des signets? [/quote] J'entends réorganiser complètement les favoris. Par exemple ceux importer de IE ou Firefox. Il faut tout se faire à la main un par un pour les déplacer. M'enfin on est bien loin de l'instabilité de safari windows quand il était en beta.
avatar borborigm | 
J'ai été bluffé par la vitesse de chrome avec gmail. Je l'ai essayé au bureau aujourd'hui, je trouve l'interface assez moche mais il à l'air sympa à utiliser.
avatar Hepox | 
@Nicky Bizard, chez moi je n'ai rien eu a reconfigurer... mes paquets de favoris ont été entierement transférés dans les favoris de Chrome
avatar Seb du 95 | 
@ Hak Anormal, oui, mais pas étonnant. La gestion des tâches sous OS 10.5 a beaucoup changé et, depuis, le moindre processus qui utilise certaines bibliothèques ou qui ont des besoins importants d'accès au réseau, au disque dur ou à la carte graphique entraîne le ralentissement de toute la machine, jusqu'à l'arrêt de la réactivité du système ou alors la désallocation de temps machine aux autres processus. Ainsi le dock peut devenir inutilisable car bloqué. Même le déplacement de fenêtres devient quasi impossible. Quand je dis quasi, cela signifie que le système continue à tourner mais au ralenti. Quand à mes machines et mon système, tout est parfaitement fonctionnel et entretenu. Ce problème se produit régulièrement sur l'ensemble des 8 machines sous 10.5 que j'utilise régulièrement et qui ont toutes été installées (et ré-installées d'ailleurs) dans les conditions les plus propres (et sans ajout de plug-ins particuliers). Je connais très bien le fonctionnement d'OS X, n'en doutez pas svp. Sous 10.4 la puissance processeur était plus régulièrement distribuée. Mais je suppose que rendre une application propriétaire du temps machine est une solution pratique pour Apple pour donner une impression de vitesse à son navigateur et son SI. Ca me fait penser à un fonctionnement à la Windows 3.11 ou 95 (sauf que ces derniers plantaient tout simplement alors que là je redémarre la machine par raz-le-bol d'attendre 45 minutes de pouvoir reprendre la main).

CONNEXION UTILISATEUR