Archives par mot-clé : Sécurité

Mac OS X, Macintosh, macOS, Opinion, Sécurité

L’affaire Zoom : quand la simplicité prévaut (trop) sur la sécurité

Un commentaire

Zoom us SelfServiceIcon 512x512

Hier, l’affaire Zoom a éclaté au grand jour, avec la révélation de l’installation d’un serveur web tournant en loucedé sur tous les Mac sur lesquels cette application populaire de gestion de visioconférence est installée (et elle n’est à priori pas la seule à agir ainsi).

Tout ça pour quoi ? Pour éviter un clic de plus par l’utilisateur dans Safari quand ce dernier ouvre une conférence, car la page en question veut demander à ouvrir une autre application, ce que Safari n’aime pas vraiment (en fait c’est Apple qui n’aime pas ça, mais du coup Safari non plus).

Répétez cela avec moi :

Pour contourner une fonction de sécurité de macOS, un éditeur installe un serveur web local sur un Mac.

Alors, je veux bien que parfois, les alertes de macOS soient un peu pénibles (et ça ne va pas aller en s’arrangeant), mais personnellement, je trouve le comportement du développer absolument extraordinaire de désinvolture en disant « c’est pas si grave ». Ben si, un peu quand même…

Mais il n’y a pas que ça. J’ai du coup profité de l’occasion pour installer Zoom sur une machine de test, avec le package fourni par défaut sur le site de Zoom. Et là… surprises. En pagaille.

Le package se lance sans alerte particulière, puis on a une fenêtre d’alerte comme quoi le package veut lancer un script de vérification, ce qui peut sembler logique.

Sauf que.

Si vous cliquez sur Continuer, le logiciel d’installation… quitte. Directement. Pas de dialogue supplémentaire, rien.

Zoom Installer

L’application Zoom est déjà dans votre dossier /Applications. Vous n’avez pas accepté de licence, rien. Pas vu de Lisez-moi. Rien. Pas d’acceptation de licence, que dalle. Même pas besoin de taper votre mot de passe administrateur. Le logiciel s’installe et se lance tout seul. J’ai répété plusieurs fois le processus, sur différents Mac, même résultat.

Et effectivement, le package d’installation, au lieu de faire ce qu’il devrait faire, à savoir vous inviter à faire quelques clics, est juste tué sans condition, car le script de pré-installation…est devenu un script d’installation en force.

Ah, et au passage, il va aussi télécharger un fichier MacRetinaRes.zip qu’il va coller… quelque part. Aucune info.

Et comme l’application d’installation a été tuée direct… pas de trace de l’installation dans les reçus d’installation du système. C’est juste complètement n’importe quoi.

Bref, le logiciel d’installation de Zoom fait pas mal de trucs assez dégueulasses d’un point de vue déploiement. Alors qu’il aurait été tout aussi simple de proposer d’installer l’application à partir d’un DMG téléchargé, le mettre dans /Applications à la main et zou.

Mais il y a encore mieux (ou pire, c’est selon).

Zoom propose un package pour les administrateurs. C’est sur leur site, en haut à droite. Et le package d’installation IT est… tout à fait standard. Il installe proprement, il ne tue rien, bref… c’est presque propre.

Mais pourquoi gérer deux packages différents, dans ce cas, bon sang ? Pourquoi se compliquer ainsi la vie ?

La réponse pour Zoom semble finalement assez simple à comprendre :

Pour éviter toute friction entre la visioconférence et l’utilisateur.

D’un point de vue technique, ce que fait Zoom (et ils le disent), c’est vouloir limiter le nombre de clics entre le moment où une conférence est mise en route et un lancement de l’application est effectué, avec un téléchargement allégé. Ce qui ne part pas d’une mauvaise intention : les employés dans les entreprises perdent souvent beaucoup de temps à lancer une conférence, c’est souvent un moment de stress. Zoom essaye de limiter au maximum la friction1 pour éviter ce stress.

Malheureusement, à partir du moment où on contourne des sécurités fondamentales d’un système d’exploitation pour supprimer des clics, le développeur fait à mon goût une grave erreur. On ne peut pas dire « je vais faire sauter la serrure de votre porte, car le jour où un livreur doit déposer un colis chez vous, ça pourrait être gênant si la porte est fermée ».

La sécurité informatique n’est pas une option de nos jours, et qu’une société comme Zoom se permette de contourner ces sécurités est dangereux. Mieux vaut éduquer les utilisateurs que faire n’importe quoi sur un ordinateur, au risque de perdre la confiance de ses clients, actuels ou potentiels.

Zoom est revenu en arrière, a fait amende honorable (après avoir dit quand même au départ « ouais, OSEF »), mais les dégâts sont déjà faits en terme d’image, et ils mettront du temps à s’estomper.

  1. coucou Mourad ! ↩
iCloud, macOS, Sécurité

Quand un Mac est (trop) verrouillé… pensez PRAM !

Un commentaire

Cas étrange hier chez un client : un MacBook Pro précédemment verrouillé par iCloud avec la fonction Localiser mon Mac, puis supprimé du compte associé. Pourtant le Mac restait bloqué sur l’écran de boot avec le message : Veuillez patienter 60 minutes. Sauf qu’au bout des 60 minutes, seul un message apparaît en rouge : « Wrong password ». Alors que rien n’a été tapé du tout. Gênant.

Heureusement, boot possible sur un disque externe. J’ai donc décidé d’associer le poste à un autre compte iCloud, puis de le verrouiller. Au redémarrage, j’ai bien un message sur la fenêtre de login expliquant que le poste a bien été verrouillé par le compte iCloud de mon choix. Mais toujours le même message : « attendez 60 mn », et aucun moyen de saisir le mot de passe tapé sur icloud.com. Encore gênant.

La solution, simplissime, m’a été transmise par le support Apple (merci Laurent) : faites un reset de PRAM sur le poste, avec le classique Cmd-Option-P-R au démarrage. Et effectivement, y’avait une pétouille dans la PRAM qui ne plaisait pas au firmware et l’envoyait directement en mode verrouillé.

Depuis, le Mac a pu être réinstallé et est fonctionnel. Et il vit de nouveaux jours heureux avec son nouveau propriétaire…

Ma vie, Opinion

Oui, les contrôles des aéroports ne servent à rien

8 commentaires

L’ineffable Pingoo explique sur son blog (attention, il y a du contenu NSFW dedans) à quel point la sécurité dans les aéroports est complètement inutile. Les exemples qu’il donne sont très pertinents, et démontrent bien à quel point nous sommes tombés dans un système absurde. Et ce n’est pas vraiment nouveau : Bruce Schneier a depuis longtemps démontré que tous les contrôles dans les aéroports relevaient du théâtre sécuritaire. Les seuls personnes emmerdées, ce ne sont pas les vilains terroristes mais évidemment les quidams qui doivent arriver à l’aéroport avec 2 heures d’avance pour être sûr de choper leur avion à l’heure sans se prendre la tête aux contrôles toujours trop longs.

Mais non seulement ces contrôles sont ridicules, ils sont également totalement inefficaces. J’en ai eu la preuve par deux fois, puisque j’ai pu monter avec un couteau suisse dans l’avion, couteau équipé d’une lame de taille généreuse, non détecté au contrôle à rayons X.

Pire encore : le couteau repliable qui était resté une fois dans le sac de mon épouse a été détecté à l’aéroport d’Amsterdam… mais les contrôleurs n’ont vu AUCUN problème à ce qu’on monte quand même dans l’avion avec !!! Pourtant, la lame était là-encore largement suffisante pour faire de gros dégâts. Mais au contrôle, elle ne semblait pas aussi dangereuse que la bouteille d’Orangina que je n’avais pu garder sur un autre vol1.

Et nous voici dans un système délirant, où l’on pourrit la vie des passagers en jouant systématiquement avec un coup de retard, où l’on met en danger la vie des passagers, où on les humilie tous les jours un peu plus (lire les histoires d’horreur sur le TSA un peu partout sur Internet) sans vraiment s’occuper de leur sureté. Il vaut mieux s’occuper de la santé financière des fabricants de scanners corporels que de celles de passagers… quand bien même leur efficacité est plus que sujette à caution.

Voyager en avion va devenir de plus en plus difficile  dans les prochaines années… et ce n’est pas près de s’arranger, hélas.

PS : et puisque je parle d’avion, un peu de pub pour Zepiaf, le blog d’un pilote Macounet confirmé et super sympa !

  1. Une personne qui travaille dans le domaine de la sureté m’a confirmé que tout dépend de la taille de la lame. Pourtant, je suis persuadé que dans un bide, la lame de 4 cm d’un couteau suisse doit faire aussi mal que celle d’un autre couteau de 5 cm. ↩
Astuces, Leopard, Mac OS X, Opinion, Snow Leopard, Tiger

Qu’est-ce qu’un bon mot de passe ?

10 commentaires

Un ami m’a raconté l’histoire suivante il y a quelques jours :

Il y a quelques semaines, je me suis connecté sur le réseau d’un hôtel où je résidais pour quelques nuits. Dans la soirée, un détail dans la barre latérale du Finder m’a fait sourciller : un autre portable Apple était connecté sur le même réseau local que moi. Et selon la règle établie par l’assistant de Mac OS X, il s’appelait « Ordinateur de XXX », XXX étant le prénom de son utilisateur. Plus intéressant encore, le compte était accessible en partage de fichiers. Et en tapant « XXX » (le nom de l’utilisateur) comme identifiant et en ne tapant aucun mot de passe… Je pouvais accéder au disque complet de l’utilisateur. Pas de méthode de crack violent : il m’a juste fallu une minute de déduction, et tenter le coup pour réussir à rentrer sur cet ordinateur.

Cette petite histoire montre donc qu’il est indispensable de disposer d’un bon mot de passe sécurisé pour sécuriser son ordinateur et tous les différents services auxquels nous avons besoin d’accéder en ligne.1

Ce qui est étonnant, c’est de voir à quel point il est difficile pour chacun de choisir un bon mot de passe. Or, le couple identifiant/mot de passe est la seule façon de garantir de façon fiable votre identité auprès d’un système informatique (un sujet que j’ai déjà décrit dans Snow Leopard Efficace) et de vous protéger de certains intrusions. Et malheureusement, pour trop d’utilisateurs le mot de passe est vécu comme un calvaire, et donc par défaut trop simple… quand il n’est pas juste complètement supprimé !  Ou pire encore, noté sur  un post-it posé sur l’écran…

Je me suis donc posé la question ces jours-ci : qu’est qu’un bon mot de passe ? D’habitude, quand on demande à un expert, un bon mot de passe doit répondre aux règles suivantes :

  • Au moins 8 caractères ;
  • Mélanger majuscules et minuscules ;
  • Contenir des chiffres et des lettres ;
  • Intégrer au moins un caractère spécial (? ; ! ‘ § & etc.) ;
  • Ne pas être un mot du dictionnaire.
  • Ne pas être évident. Éviter par exemple sa date de naissance, le nom de son épouse, etc.

Je suis plutôt d’accord avec ces règles, même si les mots de passe sont de plus en plus rapides à cracker en mode force brute, la puissance de calcul des ordinateurs aidant. Mais personnellement, je rajouterais deux règles  :

  • Le mot de passe doit être mémorisable. Il existe plein de méthodes pour cela : l’acrostiche est par exemple une méthode couramment utilisée et qui peut être considérée comme efficace. Si votre chanson préférée est « Hélène, je m’appelle Hélène », vous pouvez très bien partir sur « LNJeuMapLLN! ». OK, il manque des chiffres, mais ça peut être amélioré, et côté sécurité, c’est vraiment pas mauvais. Remplacez par exemple le e par un 3, et ça ira encore mieux. Vous pouvez aussi utiliser un peu de leet speak pour améliorer tout ça…
  • Malheureusement, ce mot de passe a un défaut à mon goût. Il est peut-être mémorisable, mais il ne « coule » pas sous les doigts. Je veux dire par là que sa frappe est compliquée, et du coup vous êtes ralenti lorsque vous devez le taper. Il faut que votre mot de passe soit fluide. Il faut que vous puissez le taper sans avoir à regarder le clavier et sans avoir pour autant à vous faire des crampes aux doigts. C’est un des points les plus délicats, mais une fois que vous aurez trouvé ce mot de passe, vous n’aurez plus forcément envie d’en changer. Et vous serez satisfait de bénéficier d’un peu plus de sécurité.

Ce dernier point est bien plus crucial que l’on pourrait le croire. J’ai déjà eu des mots de passe qui répondaient à toutes les règles précédentes, mais dont la frappe me semblait finalement « douloureuse » ou trop compliquée, je perdais trop de temps à les taper. Dans ce cas, c’étaient de mauvais mots de passe. Si il vous faut plus de 3 secondes pour taper votre mot de passe, c’est qu’il est mauvais. Je tape certes assez vite 2, mais vous devriez pouvoir trouver un mot de passe à votre convenance et que vous serez capable de taper rapidement.

N’hésitez pas non plus à tester vos mots de passe avec l’aide de l’Assistant mot de passe:

  1. Ouvrez la préférence Système Comptes
  2. Cliquez sur Modifier le mot de passe
  3. Cliquez sur la clé en face de Nouveau mot de passe.

L’assistant pourra vous proposer des suggestions ou tester votre mot de passe actuel afin d’en vérifier son niveau de sécurité.

Pensez donc à changer votre mot de passe s’il n’est pas sécurisé.

(Et si le sujet vous passionne, vous pouvez lire l’article de Yoann Gini, qui a eu l’idée d’écrire sur le même sujet et de diffuser son article juste quelques heures avant moi. Argh).

  1. Accessoirement, cette histoire montre également à quel point Bonjour est parfois trop bavard et combien il peut être utile d’utiliser un firewall efficace ou un outil de type Little Snitch… ↩
  2. Environ 55 mots/minute, excusez du peu. ↩