Novembre 2008
Chrome essuie ses premières rayures
par Florian Innocente le 05.09.2008 à 11:28
Si la thématique de la sécurité était à l'honneur pour la présentation de Chrome, le navigateur de Google, c'est justement par là qu'il commet ses premiers péchés. Un spécialiste en sécurité Aviv Raff propose sur son site un exemple d'exploitation d'une faille de sécurité dans le logiciel.
Elle permet, moyennant tout de même quelques clics de l'utilisateur, de télécharger une application Java qui s'exécutera sans entrainer d'alerte sur sa provenance, profitant en cela d'une cécité de Windows. Parmi les failles exploitées, il en est une qui touche le WebKit.
À ceci près que ce problème dans le moteur du navigateur avait été déjà corrigé par Apple, fin juin. Chrome s'appuie donc sur une version légèrement dépassée de WebKit (celle de Safari 3.1).
Une seconde faiblesse s'est faite jour. Cette fois c'est un clic sur une adresse formée d'une manière particulière qui peut conduire le navigateur à complètement planter. Alors même que Google vante les mérites de son mécanisme où un problème survenant dans la fenêtre d'un onglet n'a pas d'incidence sur le fonctionnement des autres ni du navigateur. À la décharge de Google, on rappellera que son navigateur est en version bêta.
merci Hakime
Sur le même sujet :
Un aperçu de Chrome sous Windows
Google Chrome, le navigateur de l'an 200
Elle permet, moyennant tout de même quelques clics de l'utilisateur, de télécharger une application Java qui s'exécutera sans entrainer d'alerte sur sa provenance, profitant en cela d'une cécité de Windows. Parmi les failles exploitées, il en est une qui touche le WebKit.
À ceci près que ce problème dans le moteur du navigateur avait été déjà corrigé par Apple, fin juin. Chrome s'appuie donc sur une version légèrement dépassée de WebKit (celle de Safari 3.1).
Une seconde faiblesse s'est faite jour. Cette fois c'est un clic sur une adresse formée d'une manière particulière qui peut conduire le navigateur à complètement planter. Alors même que Google vante les mérites de son mécanisme où un problème survenant dans la fenêtre d'un onglet n'a pas d'incidence sur le fonctionnement des autres ni du navigateur. À la décharge de Google, on rappellera que son navigateur est en version bêta.
merci Hakime
Sur le même sujet :
Un aperçu de Chrome sous Windows
Google Chrome, le navigateur de l'an 200
2
1
Vos réactions (18 réactions)
Dad
[05/09/2008 12:11]
Si je comprends bien, cela suppose surtout d'avoir un mac Intel, de le lancer en mode windows et d'aller surfer avec la bêta de Chrome. Il y en a qui aiment vraiment se gâcher la vie, non ?
Si je comprends bien, cela suppose surtout d'avoir un mac Intel, de le lancer en mode windows et d'aller surfer avec la bêta de Chrome. Il y en a qui aiment vraiment se gâcher la vie, non ?
2Bad
[05/09/2008 12:12]
Bon, c'est une version beta... donc on s'en fout un peu. C'est même bien qu'on trouve des défauts.
2Bad
Bon, c'est une version beta... donc on s'en fout un peu. C'est même bien qu'on trouve des défauts.
2Bad
Hepox
[05/09/2008 12:15]
J'utilise Chrome en ce moment même et je dois dire qu'il m'a impressioné.
Pour ce qui est des "failles de sécurité" à moins de le faire expres on n'a pas de problèmes, et comme dit c'est une version BETA dont le but est évidement de corriger les erreures non percus lors de l'élaboration du programme...
J'utilise Chrome en ce moment même et je dois dire qu'il m'a impressioné.
Pour ce qui est des "failles de sécurité" à moins de le faire expres on n'a pas de problèmes, et comme dit c'est une version BETA dont le but est évidement de corriger les erreures non percus lors de l'élaboration du programme...
Leced
[05/09/2008 12:18]
Enfin, si c'est comme Gmail, Chrome va rester quelques années en beta... A partir de combien de temps le mot "Beta" ne peut plus servir d'excuse pour un soft?
Enfin, si c'est comme Gmail, Chrome va rester quelques années en beta... A partir de combien de temps le mot "Beta" ne peut plus servir d'excuse pour un soft?
Hurrican
[05/09/2008 12:54]
De toute façon, j'ai déjà vu OsX bloqué, alors que normalement, une tâche plantée n'affecte pas le système. Normalement...
Personne n'est parfait, et surtout pas une appli en beta.
N'empêche, à Redmond on doit se faire des cheveux blancs ! Si Google prend vraiment la maitrise du Web, Microsoft va souffrir énormément ! :-D
De toute façon, j'ai déjà vu OsX bloqué, alors que normalement, une tâche plantée n'affecte pas le système. Normalement...
Personne n'est parfait, et surtout pas une appli en beta.
N'empêche, à Redmond on doit se faire des cheveux blancs ! Si Google prend vraiment la maitrise du Web, Microsoft va souffrir énormément ! :-D
Nicky Larson
[05/09/2008 13:23]
La seule chose qui soit vraiment naze sur Chrome c'est la gestion des favoris.
Il faut tout se taper un par un, il n 'y a aucune vue 'organisation des signets'
La seule chose qui soit vraiment naze sur Chrome c'est la gestion des favoris.
Il faut tout se taper un par un, il n 'y a aucune vue 'organisation des signets'
DVP
[05/09/2008 13:34]
Pas forcement.
La premiere faille, c'est une faille du webkit qui permet de telecharger sur le bureau quelque chose sans prevenir (faille "carpet bombing" corrigée depuis, mais Chrome utilise une vieille version du webkit, non corrigée donc)
La seconde faille c'est que java ne vérifie pas les attributs d'un fichier avant de le lancer (le Zone.Identifier qui indique que le fichier vient du net)
Donc une fois le fichier telechargé (automatiquement et sans prevenir via la faille webkit) si on le lance avec java, aucun warning ne previent l'utilisateur qu'il va executer du code en provenance du net.
Mais comment lancer le fichier telechargé ? (car il ne se lance pas tout seul)
L'astuce c'est que la barre de telechargement de Chrome se presente en bas sous forme de boutons... et l'utilisateur non averti peut facilement croire que ces boutons font partie de la page qu'il est en train de visiter.
Une bete icone "cliquez ici" qui pointe sur le bouton de telechargement, suffit à inciter l'utilisateur à cliquer dessus. Si le programme associé au type de fichier telechargé (ici java puisque le fichier est un .jar) ne verifie pas le Zone.Identifier, alors c'est gagné (comme dirait Dora): le mechant pirate a reussi à installer un fichier chez vous, et a vous le faire lancer sans que vous soyez prévenu du danger.
Si je comprends bien, cela suppose surtout d'avoir un mac Intel, de le lancer en mode windows et d'aller surfer avec la bêta de Chrome
Pas forcement.
La premiere faille, c'est une faille du webkit qui permet de telecharger sur le bureau quelque chose sans prevenir (faille "carpet bombing" corrigée depuis, mais Chrome utilise une vieille version du webkit, non corrigée donc)
La seconde faille c'est que java ne vérifie pas les attributs d'un fichier avant de le lancer (le Zone.Identifier qui indique que le fichier vient du net)
Donc une fois le fichier telechargé (automatiquement et sans prevenir via la faille webkit) si on le lance avec java, aucun warning ne previent l'utilisateur qu'il va executer du code en provenance du net.
Mais comment lancer le fichier telechargé ? (car il ne se lance pas tout seul)
L'astuce c'est que la barre de telechargement de Chrome se presente en bas sous forme de boutons... et l'utilisateur non averti peut facilement croire que ces boutons font partie de la page qu'il est en train de visiter.
Une bete icone "cliquez ici" qui pointe sur le bouton de telechargement, suffit à inciter l'utilisateur à cliquer dessus. Si le programme associé au type de fichier telechargé (ici java puisque le fichier est un .jar) ne verifie pas le Zone.Identifier, alors c'est gagné (comme dirait Dora): le mechant pirate a reussi à installer un fichier chez vous, et a vous le faire lancer sans que vous soyez prévenu du danger.
Seb du 95
[05/09/2008 13:45]
@ Hurrican
Depuis Léopard mon Safari 3.1.2 bloque régulièrement tout le système lors de la consultation de flux RSS ou lors du chargement de pages en Java. Je ne peux rien faire d'autre que d'attendre qu'il ait fini son boulot ou alors qu'il se soit planté (sous iMac PowerPC et Intel).
Je suis très impatient de pouvoir tester Google chrome sur Mac, ça me permettra peut être de retrouver la tranquillité d'utilisation de Safari 2 sous Tiger...
@ Hurrican
Depuis Léopard mon Safari 3.1.2 bloque régulièrement tout le système lors de la consultation de flux RSS ou lors du chargement de pages en Java. Je ne peux rien faire d'autre que d'attendre qu'il ait fini son boulot ou alors qu'il se soit planté (sous iMac PowerPC et Intel).
Je suis très impatient de pouvoir tester Google chrome sur Mac, ça me permettra peut être de retrouver la tranquillité d'utilisation de Safari 2 sous Tiger...
Hepox
[05/09/2008 14:16]
@Nicky Larson: qu'entends tu par organisation des signets?
Pour les favoris tu actives l'option "toujours afficher les favoris" puis sur la barre des favoris si tu as besoin de regrouper tes sites dédiés à Apple (par exemple) tu cliques droit -> nouveau dossier
Ca prend pas plus de 2 minutes :)
@Nicky Larson: qu'entends tu par organisation des signets?
Pour les favoris tu actives l'option "toujours afficher les favoris" puis sur la barre des favoris si tu as besoin de regrouper tes sites dédiés à Apple (par exemple) tu cliques droit -> nouveau dossier
Ca prend pas plus de 2 minutes :)
Augustin Caron
[05/09/2008 14:22]
À ma connaissance il ne s'agit même pas de la même version du Webkit que Safari 3.1 mais de Skia, une version encore antérieure puisque Chrome ne sait pas faire les ombres et l'antialisasing des arrondis. Cela devrait changer et il est inutile de tirer à vue sur une bêta c.-à-d. un travail en cours.
À ma connaissance il ne s'agit même pas de la même version du Webkit que Safari 3.1 mais de Skia, une version encore antérieure puisque Chrome ne sait pas faire les ombres et l'antialisasing des arrondis. Cela devrait changer et il est inutile de tirer à vue sur une bêta c.-à-d. un travail en cours.
oomu
[05/09/2008 14:31]
et de toute façon, il ne faut pas imaginer que google a inventé le logiciel incassable et violé la loi de la thermodynamique subitement
simplement, ils ont préparé une architecture pour le plus possibile limiter la casse.
---
de la même manière que le "noyau" d'un os moderne protège les applications les unes des autres, mais si le noyau est buggué ? HA ! ben "kernel panic", ben vi , la vie est dure, au moins google peut travailler à blinder leur "chrome" avec le temps, ils ont la BASE qui leur permet de TENTER d'y arriver.
En cela ,ils ont une avance sur firefox . Cela ne veut pas dire qu'au jour J, chrome est indestructible mais que structurellement, ils ont préparé la voie pour réussir à rendre cela possible.
bref, la vie c'est dur mais ça bosse.
et de toute façon, il ne faut pas imaginer que google a inventé le logiciel incassable et violé la loi de la thermodynamique subitement
simplement, ils ont préparé une architecture pour le plus possibile limiter la casse.
---
de la même manière que le "noyau" d'un os moderne protège les applications les unes des autres, mais si le noyau est buggué ? HA ! ben "kernel panic", ben vi , la vie est dure, au moins google peut travailler à blinder leur "chrome" avec le temps, ils ont la BASE qui leur permet de TENTER d'y arriver.
En cela ,ils ont une avance sur firefox . Cela ne veut pas dire qu'au jour J, chrome est indestructible mais que structurellement, ils ont préparé la voie pour réussir à rendre cela possible.
bref, la vie c'est dur mais ça bosse.
oomu
[05/09/2008 14:34]
Leced : depuis la folie "webeuh deuzero" , le mot beta sert d'excuse infini et de boucliers anti plaintes.
Leced : depuis la folie "webeuh deuzero" , le mot beta sert d'excuse infini et de boucliers anti plaintes.
MagicLudovic
[05/09/2008 15:01]
Définition de bêta dans mon dictionnaire :
bêta : adj.,n. bêtasse 1. Sot. 2. Bébête.
:o
Définition de bêta dans mon dictionnaire :
bêta : adj.,n. bêtasse 1. Sot. 2. Bébête.
:o
Hak
[05/09/2008 15:22]
"Depuis Léopard mon Safari 3.1.2 bloque régulièrement tout le système lors de la consultation de flux RSS ou lors du chargement de pages en Java. Je ne peux rien faire d'autre que d'attendre qu'il ait fini son boulot ou alors qu'il se soit planté (sous iMac PowerPC et Intel)."
Je n'ai jamais eu ce genre de comportement, et que Safari bloque tous le système parait peu probable sans qu'il y ait un réel problème quelque part. Que ton système bloque n'est absolument pas normal, à mon avis il te faut regarder cela de plus près...
"Depuis Léopard mon Safari 3.1.2 bloque régulièrement tout le système lors de la consultation de flux RSS ou lors du chargement de pages en Java. Je ne peux rien faire d'autre que d'attendre qu'il ait fini son boulot ou alors qu'il se soit planté (sous iMac PowerPC et Intel)."
Je n'ai jamais eu ce genre de comportement, et que Safari bloque tous le système parait peu probable sans qu'il y ait un réel problème quelque part. Que ton système bloque n'est absolument pas normal, à mon avis il te faut regarder cela de plus près...
Nicky Larson
[05/09/2008 16:35]
J'entends réorganiser complètement les favoris. Par exemple ceux importer de IE ou Firefox.
Il faut tout se faire à la main un par un pour les déplacer.
M'enfin on est bien loin de l'instabilité de safari windows quand il était en beta.
qu'entends tu par organisation des signets?
J'entends réorganiser complètement les favoris. Par exemple ceux importer de IE ou Firefox.
Il faut tout se faire à la main un par un pour les déplacer.
M'enfin on est bien loin de l'instabilité de safari windows quand il était en beta.
2
1
Réagir
Cinq consignes avant de réagir :
- Rester dans le cadre de la dépêche. Pour des discussions plus générales, vous pouvez utiliser nos forums.
- Développer son argumentation. Les messages dont le seul but est de mettre de l'huile sur le feu seront modifiés ou effacés sans préavis par la rédaction.
- Respecter les acteurs de l'informatique et les autres lecteurs. Les messages agressifs, vulgaires, haineux, etc. seront modifiés ou effacés sans préavis par la rédaction.
- Pour toute remarque concernant le contenu de l'article, pour nous signaler une erreur, une faute d'orthographe, une omission, merci de nous contacter exclusivement par e-mail.
- Relisez-vous, et pour les utilisateurs de Safari profitez de l'aide du navigateur : activez le menu édition > Orthographe > Vérifier l'orthographe lors de la frappe.
Si vous n'avez pas encore de compte sur les forums, allez tout de suite vous inscrire.
C'est rapide et gratuit ! Vous pourrez ensuite réagir immédiatement aux actualités.
En cas de problème, utilisez notre formulaire de contact.