[Zun Tao]

Depuis quelques temps on voit fleurir les posts de geeks qui viennent crier au hacking, au vol de mot de passe, à l'intrusion informatique. J'aimerais par ce post engager une petite discussion sur la sécurité au sein de SL, de manière générale.

Tout d'abord, sachant qu'il est à priori impossible d'obtenir un password personnel directement via SL, mais que le login de chacun est disponible, il faut d'après nos spécialistes JoLiens posséder un mot de passe composé de minuscules + majuscules + chiffre + caractère spécial. Là dessus tout le monde est à priori d'accord. Le hacking, pour peu qu'il se soit réellement déroulé dernièrement, s'est donc fait directement sur les pc des victimes (ou alors cas d'abus de confiance / de mot de passe très simple).

J'ai trois questions.

- Est-il possible de s'introduire sur le PC de quelqu'un via SL, à travers un don d'objet, de script, etc ? (j'ai cru comprendre que non)

- Si un petit garnement réussit à hacker mon pc, ça ne peut pas venir d'un mec de SL qui saurait qui je suis dans le jeu ? Autrement dit, véritablement aucun moyen d'obtenir une IP à travers SL ?

- Quelles sont les règles élémentaires pour protéger un terrain des différentes menaces ?

N'étant pas du tout un expert en informatique, je créé ce post dans le but de faire la part des choses entre le psychose et la réalité des choses. Les derniers posts sont un peu inquiètants je trouve, même si on peut se douter sans en connaître beaucoup qu'il y a probablement beaucoup d'agitation pour pas grande menace, en terme de sécurité du moins (car je regrette les mésaventures arrivées à nos camarades de jeu). Il serait bon de faire un Wiki sur les principes élémentaires à suivre pour se protéger d'un mauvais coup, non ? Bref, merci d'avance si quelqu'un peut répondre à ces questions et faire un récapitulatif... et merci à ceux qui n'y connaissent rien de ne pas balancer des ''jconnais un tel qui s'est fait hacker !!'' sans argumentation fondée... La tendance générale me fait penser que la plupart des arnaques proviennent d'un abus de confiance, j'espère avoir ici confirmation !

[Nibb]

Pour tes 2 premières question, c'est non. Pour la simple raison que rien n'est executé chez toi. Tout se passe au niveau des sim(ulateurs) de Linden et de l'asset server. Les textures ou objets qui sont téléchargés dans ton cache ne sont pas plus dangeureux qu'une image sur une page web. Il n'y a aucun moyen de connaitre ton adresse IP.

Apres, il y a d'autres possibilités: les avertissements de Linden sur les mots de passe, les histoires de "L$ acquis frauduleusement", les reset de mot de passe en urgence par LL, les infos de paiement réinitialisés sur certains comptes... tout ça laisse à croire que PEUT-ETRE les serveurs web de LL ont été hackés et qu'ils ne l'admettent pas publiquement. Ca s'est déjà produit dans le passé, et je ne leur fais pas plus confiance pour garantir la sécurité de leur site web que pour la stabilité générale de la plateforme.

Aussi, les clients "tiers" en open source, genre SLeek, peuvent effectivement théoriquement dissimuler un "key logger", un cheval de troie qui enregistre ton mot de passe et le transmet à quelqu'un. Il faut donc s'en méfier.

Pour la 3eme question, ça n'est pas vraiment de la sécurité de tes données personnelles mais plutot d'éviter les nuisances sur ton terrain. Sur un terrain, si tu mets l'auto-return à 1 minute (le mettre à 0, c'est désactiver l'auto-return), tu es déjà protégé contre la plupart des nuisances. Bloquer les scripts ou le Build, sauf cas particuliers, entraine plus d'inconvénients que d'avantages, à mon avis.

Il n'y a vraiment pas grand chose sur ton pc. En dehors du logiciel SL en lui-même qui ne peut pas être modifié a distance, tous les autres fichiers temporaires sont téléchargés dans ton dossier personnel, cela inclue :
- les textures comme l'a dit Nibb
- la liste de ton inventaire, c'est à dire les noms et descriptions des objets
- tes préférences utilisateur
- les logs si tu as choisis de les enregistrer

En dehors de cela, il n'y a pas d'autres téléchargements donc aucune possibilité pour un virus de se cacher dans un programme.

Nibb fait aussi référence a une attaque pirate contre les serveurs de Linden Lab à la rentré 2006. La société avait du effacer dans l'urgence des milliers de mots de passe. Du coup, lorsqu'elle a procédé à une réinitialisation il y a quelques semaines, cela a mis le doute surtout qu'elle n'a pas communiqué efficacement là dessus: personne n'avait été prévenu ou trop tardivement (j'ai reçu le mail me demandant de changer le mot de passe... 3 jours après le reset de celui-ci). Officiellement, cette réinitialisation de certains mots de passe est du à l'installation d'un nouveau système de cryptage plus performant.

[djrazer Ferraris]

Pour répondre un peut Hors Sujet .

LindenLab N'a aucune et je le répète de protection des cookies via le server web

httxx://sim4296.agni.lindenlab.com:12043/

Et autre Server Non Sécurisé ....

A par les Mots de pass qui sont sécuriser ... Sinon rien dautre .

Expliquication .

Chaque server LindenLab Posséde une adresse de connection ce qui est normalle pour chaque sim , chaque server posséde un coockie de connection des résidents pour permetre le telechargement des vetements ect .. plus rapide .

Leur server n'est pas sécurisé niveaux Upload des résidents de chaque server .

Voila .

[Zun Tao]

Je n'ai rien compris à ton développement Djrazer. Concretement ça a quelle incidence qu'ils acceptent les cookies ?

["valentin"]

moi j'ai lu sa http://www.amq.free.fr/senciel/senci...4b&rembourse=1

et moi que j'ai lu que les extra-terrestres étaient parmi nous mais qu'aucun scientifique n'avait pu le prouver (..ou alors c'est un énorme complot et on nous cache tout).

Second Life et les virus c'est exactement ça. Aucun développeur et journaliste professionnel n'a pu prouver que la plate-forme pouvait transmettre un virus. Ce que beaucoup prennent pour des virus correspond en fait à des textures qui possèdent beaucoup de similarité (dans leur code) avec des virus mais ne sont pas des virus.

Bref, vous pouvez croire une rumeur qui n'a aucun fondement ou alors ne pas sombrer dans une paranoïa excessive.

Second Life Insider a récemment publié un article sur ces rumeurs virtuelles.

["valentin"]

moi je dit juste ce que jais lu
je dit pas ces vrai ou ses faut
je donne le lien ses tous
a savoir que ses un journal dan sl
et que ce journal je les pris sur l'area 51
apprêt chacun en pense ce qu'il veut
je suis incapable de démontré que cette info et vrai
ni qu'elle ne les pas
mais pour moi tous et possible en informatique
donc cacher des trojant ou des virus dan des texture ou des image ben oui ses possible
le faire dan sl sa je sais pas ci ses possible

[Polo Slok]

Moi j'ai fait en sorte que mon pc soit sécurisé au maximum : c'est à dire un antivirus performant, un pare feu efficace, des logiciels anti-espions etc... et je n'ai aucun problème !!!

Bon jeu !!!

[Svarogh Graves]

Citation :

Publié par Phli Foxchase

. Ce que beaucoup prennent pour des virus correspond en fait à des textures qui possèdent beaucoup de similarité (dans leur code) avec des virus mais ne sont pas des virus.
.

Euhhh là je vais peut être apprendre un truc mais faudra m'expliquer comment un fichier jpeg ou targa peu avoir un "code" similaire à un virus ??? Pour moi c'est une première.

Citation :

Publié par Polo Slok

Moi j'ai fait en sorte que mon pc soit sécurisé au maximum : c'est à dire un antivirus performant, un pare feu efficace, des logiciels anti-espions etc... et je n'ai aucun problème !!!

Bon jeu !!!

Il existe encore mieux question sécurité, tu passes sous linux.

[Riona R.]

Citation :

Publié par Svarogh Graves

Euhhh là je vais peut être apprendre un truc mais faudra m'expliquer comment un fichier jpeg ou targa peu avoir un "code" similaire à un virus ??? Pour moi c'est une première.

une image tout comme un programme c'est du code, bien sur si tu devais inclure un virus ou un ver ou un trojan ton image serait alors bien trop suspect. Cependant il existe une méthode qui inclus un bout de code dans l'image (le même procédé que la cryptographie) qui lui même déclenche un hôte dormant.

C'est une faille de sécurité dans un composant logiciel sain, chargé d'afficher les images au format JPEG (GDI+) : il suffit d'afficher une image JPEG contenant un programme malveillant pour que ce dernier, un virus, troyen ou autre, s'exécute sur votre ordinateur.
(cf: Bulletin de sécurité MS04-028 de Microsoft)

Cette faille de sécurité a été publiée en septembre 2004. Il est possible que ce soit la première fois qu'un virus ou un troyen réside dans une véritable image, et qu'il soit exécuté sans le concours d'un autre programme malveillant.

Donc ça n'est pas une première .

Citation :

Publié par Svarogh Graves

Il existe encore mieux question sécurité, tu passes sous linux.

Encore un fois tout faux.
La plupart des attaques sont lancés sur des systèmes windows, les prises de "températures" et les sondages ne tiennent que très peu comptes de cet états de fait donc oui en effet linux sur ce point et plus "secure" ^^

Cependant, c’est ce qui ressort de deux articles dont un publié par le Projet Honeynet Ce papier concerne la survie des noyaux Linux et une étude réalisée sur un échantillon de noyaux Red Hat.Il en ressort que la durée de vie d’un noyau Linux « non patché » connecté à Internet s’allonge et passe de 72 heures à 3 mois, ce qui est intéressant.

Il est nécessaire d’insister sur le fait que cette étude porte sur des machines "brut de pomme", certaines ne possédant aucun firewall par défaut activé par la procédure d’installation d’origine. Ce que l’on peut quand même dire c’est que les dernières versions du Kernel Linux de Red Hat possèdent un paramétrage from scratch très soigné soigné.

Le second article est issu de Linux Insider. Celui-ci dit en substance :
« Un développeur critique la sécurité de Linux ». Développeur qui affirme qu’en matière de sécurité, Linux n’est ni « professionnel », ni prêt à avoir droit de cité dans une entreprise. Cet écrit se base sur l’avis émis par Linus Torvalds, lequel préférerait favoriser la rapidité d’exécution des applications au détriment de mécanismes « kernel » visant à interdire les attaques par saturation de buffers (BoF) et susceptibles de ralentir le traitement des processus.

les risques qu’apporte LSM (Linux Security Module)
l’absence d’une "autorité sécurité" au sein du groupement Open Source Les "fuites" d’informations confidentielles lors de la procédure de révélation de failles à destination de certains chargé de distribution.

Au final s'il fait bien de dire que l'on tourne sous linux, ça n'est pas pour autant que tu sera a l'abri des petites bébêtes.

[Svarogh Graves]

Je ne vais pas être d'accord sur les deux points.

-Sur le premier je suis d'accord avec toi qu'il est possible de cacher dans un fichier image à peu près tout ce qu'on veut (j'y cachais des messages pour envoyer par mail lors de la LEN, juste pour faire le rebelle), et donc des programmes malveillants. Mais ce que je disais c'est que je ne vois pas comment contrairement à l'affirmation de Phli un fichier Jpeg sain, donc sans aucune modification ou ajout, peut être pris pour un virus à cause d'un code similaire.

-Concernant la plus grande sécurité prodiguée par Linux, que j'avoue n'utiliser qu'en "trial boot" avec Xp et Vista, je n'irais pas relever des avis d'experts qui sont souvent contradictoires mais je soulignerais 3 points :

*"La plupart des attaques sont lancés sur des systèmes windows, les prises de "températures" et les sondages ne tiennent que très peu comptes de cet états de fait donc oui en effet linux sur ce point et plus "secure""
Donc déjà tu le reconnais par le fait de sa bien moindre part de marché Linux est moins attaqué, donc ipso facto utiliser Linux c'est être soumis à un moins grand nombre d'attaques.

*Linux a contrairement à Windows un noyau stable, c'est à dire qu'il n'est pas modifié à chaque installation et désinstallation, ça c'est pour la stabilité, et surtout, pour la sécurité, il démarre en mode utilisateur simple et necessite un mot de passe admin pour changer les paramètres ou installer des logiciels.
De plus Linux étant open source, chacun peut se faire sa distro, les failles sont beaucoup plus vite colmatées que sous windows et ses failles toujours exploitables pour certaines 5 ans après.

*"« Un développeur critique la sécurité de Linux ». Développeur qui affirme qu’en matière de sécurité, Linux n’est ni « professionnel », ni prêt à avoir droit de cité dans une entreprise.""
Arfff, il sort d'où cet expert ??? Qu'il m'explique alors pourquoi l'immense majorité des serveurs pro sont sous linux ?

Enfin bref, c'était juste une petite digression.

[Riona R.]

Tu ne répond pas Svarogh tu élude

Ce qui fait l'un des succès fort de Linux (quelques version que ce soit) c'est sont coût . Cet avis est plus valable, si on ramène le prix d'une installation Linuxienne a celui d'une plate-forme microsoft je croit que beaucoup déchanterais très très vite.

De même si tu fait l'inverse on aurais une GROSSE surprise. Penser que les entreprises font ça pour une sécurité est a moitié exacte, je tenterais de remettre la main sur un sondage Ipsos a propos du choix des entreprises sur leurs plate-formes mais c'est un facteur de 70% pour raison économique et 30% sécuritaire.

De plus Windows est en source fermé ce qui limite les fuites a l'inverse d'une version open de Linux.

Windows est loin d'être parfait, cependant avec la version vista elle vient d'en mettre un gros coup, de même pour son appli serveur 2007.

Pour le premier point je t'enjoint a te documenté sur les méthodes heuristiques des antivirus.

C'est pas de la digression juste un léger éblouissement

[Nibb]

Citation :

Publié par Svarogh Graves

-Sur le premier je suis d'accord avec toi qu'il est possible de cacher dans un fichier image à peu près tout ce qu'on veut (j'y cachais des messages pour envoyer par mail lors de la LEN, juste pour faire le rebelle), et donc des programmes malveillants. Mais ce que je disais c'est que je ne vois pas comment contrairement à l'affirmation de Phli un fichier Jpeg sain, donc sans aucune modification ou ajout, peut être pris pour un virus à cause d'un code similaire.

L'antivirus possede une librairie de signatures pour chaque virus. Ce sont des chaines d'octets qu'il compare avec le contenu de chaque fichier. S'il trouve une suite d'octets de sa librairie dans un fichier, il le déclare comme étant contaminé.

Une image, c'est essentiellement une suite d'octets aléatoire. Il y a donc une faible probabilité pour qu'une signature de virus se trouve de façon aléatoire dans un fichier non executable, comme une image, ou un zip. On appelle ça un faux positif.

Dans tous les cas, une image n'est jamais executée par le processeur, elle est juste lue et affichée. Donc, elle ne peut rien contenir d'actif.

Un virus aura besoin de la totalité de son code pour s'exécuter alors que la texture ne contiendra qu'un petite partie du code donc elle est inoffensive. Mais elle sera néanmoins reconnu comme telle par un anti-virus qui préfère considérer suspect tous les programmes possédant cette partie de code (histoire de se protéger aussi contre les virus mutés ou modifiés).

Je sais qu'il est possible de diffuser un virus par une image mais aucun virus n'a jamais été formellement identifié sur Second Life.