Sécurité: Apple aurait 10 ans de retard sur Microsoft, Réactions à la publication du 30/04/2012

[Lionel]

Dans une interview, Eugene Kaspersky, fondateur de la société antivirus du même nom, n'a pas été tendre avec Apple.
Il considère en effet que le développement de logiciels malveillants n'est pas plus compliqué sur Mac que sur PC et, encore plus dur, annonce qu'Apple aurait dans le domaine de la sécurité un retard de 10 ans sur Microsoft.
Il manquerait à Apple ce que Microsoft a mis en place il y a 10 ans, créer de solides équipes totalement dédiées à la sécurité de Mac OS X, qui soient proactives et réactives à toute menace et puisse intervenir d'urgence via des mises à jour. Il va s'agir également d'aller régulièrement éplucher les codes afin d'y chercher des failles potentielles ou trouver le moyen de combler celles exploitées.

Certes, comme toujours certains reprocheront à quelqu'un qui gagne sa vie sur la sécurité ou plutôt l'insécurité de tenir de tels propos, mais il a certainement plus de légitimité que des équipes commerciales qui vantent une infaillibilité illusoire.
Heureusement, à cause de ces politiques commerciales Apple va certainement prendre très vite les mesures nécessaires pour tout faire afin de sécuriser au mieux son OS. La société a quand même un énorme atout dans ses cartes, le fait d'utiliser un noyau Unix qui a déjà été éprouvé depuis plus de 20 ans. D'autres mesures ont aussi été prises. Adobe gère maintenant directement les mises à jour Flash et Oracle a annoncé qu'il en ferait de même avec les mises à jour Java, ce qui permet une réactivité très supérieure.
Apple pourra donc se focaliser sur sa partie, les nombreuses composantes greffées au-dessus d'Unix pour en faire Mac OS X. C'est déjà un travail colossal et la philosophie du codage et de la vérification du code vont maintenant changer alors que l'on sait que des pirates sont en embuscade pour traquer et exploiter la moindre faille.
Par Lionel

[r@net54]

Certes, comme toujours certains reprocheront à quelqu'un qui gagne sa vie sur la sécurité ou plutôt l'insécurité de tenir de tels propos, mais il a certainement plus de légitimité que des équipes commerciales qui vantent une infaillibilité illusoire.
Heureusement, à cause de ces politiques commerciales Apple va certainement prendre très vite les mesures nécessaires pour tout faire afin de sécuriser au mieux son OS. La société a quand même un énorme atout dans ses cartes, le fait d'utiliser un noyau Unix qui a déjà été éprouvé depuis plus de 20 ans. D'autres mesures ont aussi été prises. Adobe gère maintenant directement les mises à jour Flash et Oracle a annoncé qu'il en ferait de même avec les mises à jour Java ce qui permet une réactivité très supérieure.
Apple pourra donc se focaliser sur sa partie, les nombreuses composantes greffées au dessus d'Unix pour en faire Mac OS X. C'est déjà un travail colossal et la philosophie du codage et de la vérification du code vont maintenant changer alors que l'on sait que des pirates sont en embuscade pour traquer et exploiter la moindre faille.
Par Lionel

Ce monsieur affirme des choses effectivement dans le sens de son business. Pour autant leurs réalité est tout a fait discutable, d'autant que ce sont toujours les memes arguments qui sont avancés depuis des années sans que la réalité en soit affectée...

Une 1ere chose est certaine: les éditeurs d'antivirus ne gagnent pas d'argent avec MacOS et encore moins avec iOS. Et vu la croissance de ces deux la, ils voudraient évidement en profiter, d'autant que la situation économique est négative.

2) Aucun antivirus ne peut combattre les malware du type trojan, pour la simple raison qu'il s'agit d'un soft qui doit être installé EXPLICITEMENT par l'utilisateur. Evidement une fois qu'un soft de ce type est massivement répandu, les antivirus peuvent l'identifier et l'intercepter, mais cela ne sert pas a grand chose...

3) Il y a eu quelques véritables virus sur MacOS 9, et de rares démonstrations de possibilités sur OS X. Mais aucun cas de virus ne s'est répandu notablement sur OS X.

4) iOS est exempt de virus.

5) L'argument terroriste et commercial développé par les vendeurs d'antivirus est que MacOS était trop marginal pour que les hacker et cybercriminels s'y intéressent. C'est totalement fallacieux:

a) un hacker est motivé par l'exploit, la demonstration, nullement par la quantité de machines présentes. Et hacker un Unix(MacOS X, iOS) est autrement plus valorisant que de "découvrir" une enieme faille dans une passoire comme Windows.
Ignorer cela revient a dire que l'éditeur d'antivirus ne connait rien du hacker...

Les cybercriminels sont motives par le rapport risques+ressources/bénéfices: sachant que les Mac etaitent des machines réputés haut de gammes et de luxes, ils étaient potentiellement plus intéressant que des PC de bases. Seulement OS X est autrement mieux conçu et plus resitant que Windows, donc le bénéfice potentiel est bien plus faible que pour des machines Wintel...
Ignorer cela revient a dire que l'éditeur d'antivirus ne connait rien du cybercriminel...

c) iOS est massivement répandu: toujours pas de menace sérieuse!

d) On trouve sur le net des générateurs de virus et autres malwares a la pelle pour Windows. Ils sont utilisés par les scriptkiddies: ados désoeuvrés en mal de reconnaissance et autres "vandale" du dimanche pour qui bousiller une machine est juste un moyen de se faire remarquer. Certes, ce genre de personnage a moins d'intérêt envers un Mac qu'un PC, mais si de tels générateurs existaient, ils les utiliseraient... hors ils n'y en a pas

e) alors que l'on compte des milliers de réseaux de PC zombies - donc infectes par un malware transformant le PC en relais pour une attaque massive type DDoS - on ne connait que 2 cas de réseaux -tres limités- de Macs datant de plusieurs années de ça.
Pourtant les gens derrière ces infections sont des pro et disposent de moyens considérables (organisations mafieuses, industriels ou militaires). La sous représentation pourrait effectivement expliquer ça s'il n'y avait jamais eu de cas...
De plus, la quantité de machines iOS auraient deja du interresser ce type de criminel, hors ce n'est pas le cas, alors que l'on voit depuis un bout de temps des quelques malwares potentiellement de cette catégorie sur Android et pulluler sur feu Windows Mobile 5 et 6...

6) Les éditeurs d'antivirus ont démontré dans le monde Wintel leur totale inefficacité!
Chaque années les organismes nationaux de sécurité des pays industrialisés publient leurs statistiques concernant les activités cybercriminelles et donc les niveaux d'infections et type d'attaques. Les rapports des agences américaines sont parmi les plus cites et les plus représentatifs. Or chaque années, ces rapports montrent:
- le nombre de PC Windows infectes est en croissance
- le nombre d'attaques massives s'appuyant sur des PC zombie - type DDoS - est en croissance
- les couts économiques pour les états ou les industries lies a ces attaques sont en croissance


7) Si dans le monde des consultants en sécurité informatique on reconnaît qu'Apple a été moins dynamique que Microsoft depuis les 10 dernières années, on constate:
- depuis au moins 3 ans Apple est engagé dans une approche de sécurisation globale, originale et sérieuse
- Apple dispose de bases incomparablement plus solides que Microsoft
- Microsoft fait des audits performant de son code (aujourd'hui) et patch, mais est toujours massivement dans une approche classique - soit avec toujours un coup de retard par rapport aux cybercriminels et aux hackers. L'approche la plus convaincante de Microsoft a été faite avec Vista...
- La technique la plus efficace de lutte contre les virus impliques dans les attaques de masses de type DDoS a été mise en place par Microsoft et consiste a financer des procédures judiciaires visant a démanteler les organisations a l'origine de ces activités...

8) Apple, a la difference de Microsoft, a pour objectif de securiser son ecosysteme en plus des machines. Cela passe par un ensemble d'éléments, de la signature des applications en passant pas les techniques classiques de sandboxing jusqu'à la certification et distribution par les appstore.
De plus Apple remet les éditeurs face a leurs responsabilités: si le logiciel introduit, de par ses fonctions ou sa conception, des failles de sécurités, Apple en désactive l'installation et responsabilise l'utilisateur et l'éditeur: c'est typiquement le cas avec Java ou Flash.

9) Les bases de MacOS et d'iOS suffisent, du moment que l'on en utilise correctement les fonctionnalites, à securiser a un niveau normal les machines (comptes administrateurs et utilisateurs, droits d'accès des fichiers,firewall...)
Apple offre également des systèmes de sauvegardes efficaces, faut il encore les employer.

10) Il existe assez de softs libres et gratuits permettant de monter encore le niveau de sécurité de MacOS qui rendent encore plus inutiles des softs "antivirus" commerciaux, lourds et potentiellement cause de dysfonctionnements: ClamXav, WaterRoof, Trucrypt, GPG, Enigmail...

Au final, on peut regretter qu'Apple dispose d'une communication catastrophique sur la sécurité. Mais cela est dans la tradition de mauvaise communication (euphémisme) d'Apple.
On peut aussi regretter qu'Apple ne soit pas aussi réactive (au moins en apparence) que l'est Microsoft face a une menace mediatiquement identifiée. La aussi c'est une tradition d'Apple.