Smartphone France Windows Edition : Faille ou bug dans Windows Phone ?



			Bienvenue sur Smartphone France Windows Edition Actuellement, 206 visiteurs en ligne

Vous utilisez un bloqueur de publicités ? Félicitations :)

Actualité Smartphone France

Retour au sommaire du site

Faille ou bug dans Windows Phone ?

Publié le 14/12/2011 à 22:00 - 35 commentaires ...

Hier nous vous informions que Windows Phone souffrait d'un bug bloquant touchant la fonctionnalité "Messages" du système. Une information reprise par presque tous les sites d'information et blogs dédiés aux technologies. Le problème pour nous est que la majorité de ces sites ont publiée l'information en titrant de manière exagérée et surtout inexacte qu'une faille existait dans Windows Phone.

Un peu de technique pour commencer
Aujourd'hui bon nombre de personnes faute de compétences réelles utilisent n'importe quel mot pour "faire le buzz" quitte à déformer la réalité. Dans le domaine de la sécurité informatique, une vulnérabilité ou faille est une faiblesse dans un système permettant à un attaquant de porter atteinte à l'intégrité de ce dit système c'est-à-dire à son à la confidentialité et l'intégrité des données qu'il contient. En ce qui concerne le bug c'est un défaut de conception d'un programme informatique à l'origine d'un dysfonctionnement. Ce nom tire son origine du tout premier incident informatique qui a été causé par un insecte à une époque où les ordinateur moins puissants qu'une calculatrice 4 opérations prenait une pièce entière !

Alors faille ou bug pour Windows Phone ?
Dans le cas présent du problème SMS de Windows Phone il s'agit clairement d'un bug car à aucun moment l'intégrité du système n'est mise en cause. Par l'intermédiaire de ce souci il n'est aucunement possible de prendre la main sur un Windows Phone afin d'en récupérer une donnée quelquonque ou de lui faire exécuter un programme de son choix. Il s'agit d'un simple bug, un bug certes bloquant qui peut empêcher d'avoir accès à une fonctionnalité mais en aucun cas une faille comme cela a pu être le cas sur Android ou iOS où il était possible grâce à ces failles d'accéder aux données contenues dans les smartphones.

Alors qu'en pensez-vous ?
On s'est permis de vous donner notre avis sur le fait qu'une information était mal diffusée ici et là en induisant en erreur le lecteur. Et vous qu'en pensez-vous ? Pensez-vous au contraire de nous qu'il d'agit d'une véritable faille ou comme nous d'un simple bug qui nécessite tout de même une action rapide de la part de Microsoft ?

14/12/2011 22:17:15 - dogmanstar

Le site Clubic s'est fait allumer à juste titre sur un titre de l'article mensonger, en gros WP7 victime d'une attaque.
Devant la bronca ils ont modifié le titre.

14/12/2011 22:18:58 - Christophe - Le Webmaster ...

Je ne savais même pas car je ne vais plus du tout sur ce site professionnel (Groupe M6) géré par des incompétents. je vais tout de même aller voir maintenant :)

14/12/2011 22:22:11 - Christophe - Le Webmaster ...

Dans la série titres foireux voici ce que je viens de voir chez eux :
"Application SkyDrive : arrivée sur iPhone, mise à jour sur Windows Phone"

Depuis quand l'application Skydrive existait déjà sur Windows Phone ???
Quand je dis que cette équipe est incompétente ce n'est pas de la méchanceté mais juste une constatation que je trouve navrante pour un site pro avec des gens payés pour rédiger des articles !

14/12/2011 22:43:05 - skypy

Tout leur article sur WP7 sont pareil, c'est pas la première fois que les utilisateurs font changer le titre ou les info...
Maintenant clubic c'est entre parti pris et incompétence.

14/12/2011 23:44:33 - Arisme

C'est un peu dur de répondre sans avoir vu le SMS. De l'exécution de code par SMS, c'est plutôt courant hein.

15/12/2011 06:02:26 - ldv67

Avant de crier au loup, il faut vérifier que c'est bien un loup. Si c'est le cas, il faut rapidement prendre les actions nécessaires et communiquer. Tout le monde peut faire des erreurs et faute avouée et à moitié pardonnée. ;-)
Par contre, là, on a pas vue la photo du loup donc difficile de dire ce qu'il en est réellement.

15/12/2011 07:59:39 - Denis

"Simple" bug, confirmé par MS et en cours d'investigation chez eux

15/12/2011 08:38:31 - Arisme

Accessoirement chez la concurrence (iOS, Android) on peut obtenir un log détaillé pour chaque crash, ce qui permet aussi de se faire une idée de la gravité du truc soi même si on veut.

15/12/2011 08:49:28 - jpm78

La boucle peut être bouclée ! Certains "buggs" peuvent générés des failles ....

15/12/2011 09:17:12 - Neferith

Bug ou faille, très franchement ça ne change pas grand chose. Il s'agit là d'un bug grave qui compromet l'utilisation de l'appareil.

15/12/2011 09:26:25 - megadub

C'est bien un bug mais qui peux donner lieu à une attaque de type malware qui n'a d'autres objets que faire chier le monde voir dégrader les fonctions du téléphone. M'enfin... c'est pas bien grave tout ça... si c'est le plus grosse "faille" de WP7, ça me va bien :-D

15/12/2011 09:29:53 - megadub

Sinon, il me semble bien que MS eux-même utilise le terme de faille lorsqu'ils délivrent un hotfix Windows pour un bug qui "prend le controle de l'ordinateur" ce qui veut en général dire : "ça reboote quand t'as rien demandé"... soit le bug du WP7. Donc ça ne me parait pas déconnant d'utiliser le terme. Une faille à la base c'est un défaut, pas forcément un trou dans la sécurité ;-)

15/12/2011 09:31:20 - megadub

Enfin, on peut considérer que Skydrive bénéficie d'une mise à jour via une appli puisque pas mal de chose permettait déjà d'utiliser Skydrive mais dans l'OS et sans une utilisation aussi avancé (partager des photos sur Skydrive était déjà possible par exemple) :)

15/12/2011 09:32:29 - billy2web

Je suis surpris que l'on ait pas encore vu écrit "Faille WP7 pour jailbreaker via SMS"

:)

Cela confirme qu'il est de plus en plus difficile d'avoir une presse de qualité sur l'informatique et les technologies.

15/12/2011 09:42:42 - Christophe - Le Webmaster ...

@megadub : Un bug qui permet de prendre le contrôle est effectivement une faille :) Par contrôle il ne faut pas confondre prendre le contrôle et planter sauvagement comme ça semble être le cas pour ce problème Windows Phone. Les failles de sécurité Windows sont comblées pour éviter que quelqu'un puisse s'approprier les données contenues dans l'ordinateur.

15/12/2011 10:21:14 - pfresnay

1. Un bug n'est pas forcement un défaut de conception : en général c'est plutôt un défaut dans l'implémentation.
2. La plupart des failles ont pour origine un "bug", il ne sert à rien de chercher à différencier les 2 tellement c'est lié.
3. Et dans le milieu de la sécurité, il est promordial de considérer le moindre bug comme une faille de sécurité potentielle : comment pouvez-vous affirmer qu'il n'y a pas moyen d'exécuter du code à distance ou d'accéder à des données de l'utilisateur grâce à ce "bug" ? Vous n'en savez strictement rien.
4. En l'occurence, s'il est possible de faire planter un OS à distance, et de rendre inutilisable une partie de celui-ci (en l'occurence l'appli SMS), on peut objectivement considérer que c'est une vulnérabilité/faille de sécurité.

Prenons un exemple classique : le bug/faille par "débordement de tampon". Grosso-modo le programme qui "lit" la donnée (le SMS en l'occurence) peut s'attendre à ce qu'un champ particulier fasse une taille déterminée, mais, une donnée (SMS) inédite le conduit à manipuler une information trop grande (soit le SMS n'est pas correct, volontairement ou non, soit le logiciel de lecture de SMS n'a pas prévu tous les cas) : pouf, en mémoire le stockage de cette information peut "déborder" et aller empiéter sur une autre information. Plusieurs possibilités :
- pas d'impact, l'information "écrasée" n'est pas importante
- l'information écrasée et dans un état non prévue, ce qui provoque une réaction en chaîne qui peut conduire au plantage de l'OS. Déjà ce niveau on peut considérer que c'est une faille de sécurité puisque l'utilisateur ne peut plus utiliser son OS correctement.
- l'information "écrasée" peut être... du code exécutable. Là encore, ça conduit à un plantage, le code exécuter faisant alors n'importe quoi. Idem, faille. Et voilà, une faille qui conduit à l'exécution de code arbitraire. On imagine très bien le danger.
- Maintenant si un attaquant "comprend" la situation, et décide d'injecter dans le SMS des données spécialement conçues, qui, une fois copiée par débordement dans une section exécutable, vous pouvez prendre le contrôle de la machine.

Bref, en matière de sécurité, il ne faut jamais affirmer qu'un bug est "sûr", et ne jamais dire jamais.

15/12/2011 10:30:46 - Christophe - Le Webmaster ...

Une faille a toujours comme origine un bug mais un bug n'est pas obligatoirement une faille :)

15/12/2011 11:02:50 - skypy

@ Pfresnay : A une époque, pas mal de jeux vidéos pouvait faire planter un PC et donc obliger a le reboot manuellement. On ne parle pas de faille pourtant ici. L'OS n'étant plus utilisable par l'utilisateur.

15/12/2011 11:13:16 - bandit

D'après le Larousse, une faille est un Point faible, un défaut. Donc au sens strict du terme, on peut employer faille.
Maintenant, en informatique, faille est perçue comme une vulnérabilité.
On peut donc dire que c'est une faille non vulnérable ... :)

Seb@stien

15/12/2011 11:18:36 - pfresnay

@skypy : il y a une grosse différence entre faire planter une machine en local avec un soft à priori pas conçu par des pirates (un jeu vidéo) et faire planter une machine à distance par n'importe qui.

15/12/2011 11:36:37 - Christophe - Le Webmaster ...

On n'est pas tous du même avis et ça c'est bien :)
Par contre ce que je n'accepte pas ce sont ceux qui parlent de faille dans Windows Phone pour dénigrer le système. Qu'on appelle ce problème faille ou bug la vérité est qu'à aucun moment dans l'état actuel des choses on ne peut pas parler de problème de sécurité mais juste d'un bug très génant

15/12/2011 11:50:37 - pfresnay

@Christophe : je suis un fan de WP7, je l'utilises au quotidien et développe des applications dessus, mais c'est pas pour autant qu'il faut se voiler la face et affirmer, sans aucun moyen de le vérifier :
"Par l'intermédiaire de ce souci il n'est aucunement possible de prendre la main sur un Windows Phone afin d'en récupérer une donnée quelquonque ou de lui faire exécuter un programme de son choix. "

A défaut d'exploitation concrête de cette faille pour démontrer que c'est effectivement possible, seuls les ingénieurs de Microsoft sont en mesure d'affirmer si'il y a moyen ou non d'exécuter du code ou de récupérer une donnée quelconque. Dans tous les cas, toi comme moi, nous ne pouvons rien affirmer, dans un sens ou dans l'autre, et, en matière de sécurité, la moindre des choses c'est d'afficher une certaine prudence.

15/12/2011 11:54:42 - pfresnay

@Christophe : d'ailleur un problème similaire est apparu sur iPhone en 2009 :

http://www.pcworld.com/article/167758/apple_may_patch_serious_sms_vulnerability_on_iphone.html

Même possibilité : faire crasher l'OS à distance, et, si exploitée correctement, exécution de code arbitraire à distance.

15/12/2011 12:07:04 - Christophe - Le Webmaster ...

Personne ne se voile la face mais quand on ne sait pas on affirme pas faille, problème de sécurité, vulnérabilité, compromission, ... jusqu'à preuve du contraire il ne s'agit pour le moment que d'un gros bug qui doit être corrigé rapidement avant que certains ne l'exploitent pour pourrir la vie aux utilisateurs de Windows Phone.

Les autres sites parlent de faille, moi de bug ... il suffit de trouver le juste milieu :)

15/12/2011 13:33:06 - pfresnay

@Christophe : le problème, c'est que tu prétends que les autres sites tiennent des propos inexactes, et que par contre toi tu détiens la vérité : tu affirmes explicitement que cet "bug" ne peut pas être exploité, telle une vérité inébranlable : j'ai envie de dire, prouve-le !

Même si les données de l'utilisateur ne s'avère au final pas compromises (seul MS pourra nous le dire), à partir du moment où l'on peut faire planter le téléphone et obliger l'utilisateur à faire un reset de son téléphone pour qu'il puisse continuer à utiliser l'appli SMS, c'est une faille, qu'on peut même qualifier d'importante : l'utilisateur va perdre beaucoup d'information, à commencer par ses SMS. Microsoft parle lui-même de trouver une solution pour "protéger" l'utilisateur. Si c'était un simple bug, on ne cherche pas à "protéger".

"... il suffit de trouver le juste milieu :)"
Oué le juste milieu c'est de ne pas prétendre qu'il y a vol de données ou exécution à distance et prétendre qu'il n'y a qu'un simple bug : le juste milieu c'est d'admettre qu'il y a un problème de sécurité puisque des données sont corrompus (les sms sont inutilisables).

Pour rappelle, définition wikipedia :
"Dans le domaine de la sécurité informatique, une vulnérabilité ou faille est une faiblesse dans un système informatique, permettant à un attaquant de porter atteinte à l'intégrité de ce système,"

Rendre le composant SMS inutilisable, si ce n'est pas porter atteinte à l'intégrité du système, je sais pas ce que c'est !

"L'exploitation d'une faille peut provoquer un déni de service du système (programme informatique, noyau du système d'exploitation, etc.), un accès à un système ou à des informations sensibles, voire une élévation des privilèges d'un utilisateur."

Si un reboot de l'OS n'est pas un déni de service du système je sais pas ce que c'est !

15/12/2011 13:39:41 - Christophe - Le Webmaster ...

Mais bien sûr et c'est même la marmotte qui a trouvé cette faille.
En ce qui me concerne je persiste et signe dans l'état actuel de choses il ne s'agit que d'un simple bug.

15/12/2011 13:44:28 - systemecrach

Personnellement je définirai ce "défaut" plus comme un bug, maintenant à Microsoft de vite réagir et si tel est le cas je vois pas pourquoi ça devrait prendre autant d'importance chez des "speudos" journalistes.

15/12/2011 14:07:16 - pfresnay

@Christophe : tu peux persister, signer, les faits te contredisent : des données sont corrompus, il y a attaque par DOS, c'est une faille/vulnérabilité.
Mais pour info : même si ton site contient des informations intéressantes, le "ton" que tu donnes dans beaucoup de news en dénigrant les concurrents (sans doute parcque tu n'a rien à apporter sur le fond) ou encore taper sur les développeurs (imagine, une appli gratuite non traduite, c'est un manque de respect pour l'utilisateur !), c'est relativement saoulant. Tu prends des postures, sans aucune argumentation (là tu ne prouve à aucun moment ton affirmation comme quoi c'est impossible d'exploiter le bug), et c'est gonflant.
Je continuerais à lire ton blog car il y a des news inédites intéressantes, tu ne tiendras sûrement pas compte de mes propos (j'ai déjà tenté d'apporter de la matière à la réflexion que tu soulèves, mais visiblement ca ne change rien), mais au moins c'est dit :)

15/12/2011 17:24:26 - megadub

@Christophe : un bug qui permet d'envoyer une commande de reboot à l'OS, c'est une faille, c'est considéré comme tel par MS en tout cas.

15/12/2011 17:25:27 - megadub

J'ajoute que "faille" c'est pas un gros mot, c'est par parce qu'on parle de faille que ça fait de WP7 une passoire ultra-dangereuse ;)

15/12/2011 17:33:23 - Christophe - Le Webmaster ...

@pfresnay : On y arrive enfin au fond de ta pensée et de ta réaction. Ce n'est pas parce que j'ai critiqué ton logiciel du BonCoin développé sans l'accord des responsables de ce site qu'il faut être agressif et non objectif par la suite !

Après oui j'ai critiqué les logiciels gratuits et non traduits" mais uniquement ceux de Microsoft une société dont nous sommes tous clients avec nos Windows Phone. Oui je trouve que pour une société comme Microsoft ne pas traduire ses logiciels Windows Phone alors qu'elle vend des Windows Phone en France est un manque de considération de ses clients francophones.

Et puis pour le fond des critiques envers les autres sites je n'ai jamais nommé qui que ce soit. Smartphone France n'est pas qu'une pâle copie traduite des sites anglophones wpcentral ou wmpoweruser comme certains que je ne nommerais toujours pas. Je veux que Smartphone France soit différent et il l’est.. ta réaction me le prouve.

Après tu seras comme tout le monde toujours le bienvenu ici même mais ce n'est pas parce qu’on ne pense pas la même chose que j'ai forcement tort. Le professionnel de l'informatique sait très bien de quoi il parle et le ton alarmiste de certain à propos du "tout sécurité" n'a pas lieu d'être au même titre que ceux qui ne sont pas conscient de l'aspect sécurité très important des systèmes informatiques.

Dans ce bug Windows Phone où as-tu pu voir que des données étaient corrompues ? Aujourd'hui le bug fait planter le système puis ne donne plus accès "temporairement le temps que Microsoft agisse" à une fonctionnalité. Pour le moment pas de corruption de données, pas d'intégrité mise en jeu, rien de plus qu'un programme qui n'est plus accessible.

@megadub : Le problème est que le terme faille repris par la majorité des sites laissent penser que c'est un problème de sécurité qui fait que Windows Phone offre à la terre entière accès aux données de l'appareil. Dans l'état actuel des choses on a juste un programme qui fait planter un système à un instant T. Rien de plus rien de moins. Si quelqu'un peut me montrer quand des données sont en danger je serais le premier à en faire écho sur Smartphone France afin d'avertir un maximum d'utilisateurs de Windows Phone.

15/12/2011 18:15:31 - dogmanstar

Avis très personnel sur le sujet.
Pour moi une faille n'a de sens que si elle permet d'exploiter le bug en question, élévation de droits, contrôle à distance etc.
Là on est dans le bug, très génant, qui freeze le téléphone mais ne compromet pas les données.

15/12/2011 19:09:04 - kaptix

au sens de l'ISTBQB c'est une faille puisque ça entraine un déni de services

15/12/2011 19:20:37 - Christophe - Le Webmaster ...

En informatique il n'y a que des failles alors car les programmes qui font planter les systèmes sont plus que courant ;)

16/12/2011 09:42:30 - pfresnay

@Christophe : ce qui est dommage, c'est que j'utilises des arguments concrêts, des exemples, je cites, je mets des liens. Toi tu attaques sur la forme : tu commences par dénoncer un dénigrement de Windows Phone 7, maintenant tu attaques sur le fait que j'aurai subit des critiques sur l'appli que je développes.

Pour info, je n'ai aucun problème avec ça, ton analyse était pertinente sur les "risques" d'une telle application. Tu as sans doute remarqué que leboncoin a d'ailleur fait le ménage sur l'android market en prévision de leur application officielle. Visiblement, Windows Phone n'est pas encore dans leur ligne de mire.

Concernant le soft non traduit de Microsoft, tu parle maintenant de "non-considération", ce qui est beaucoup plus approprié que de parler de "non-respect".

Tu as raison de chercher à différencier ton site des simples "traducteurs" de news, mais tu peux le faire sur le fond sans chercher à dénigrer "les autres". Surtout qu'en celà tombe complètement à plat dans cet exemple.

Après effectivement, ce n'est pas parcque je ne penses pas la même chose que toi que tu as forcement tord. La le problème c'est que la très grande majorité est en désaccord avec toi, que ce soit la presse "traductrice" ou la presse "spécialisée" en sécurité. J'ai beau te pointer des définitions généralement admises, tu préfères les ignorer. C'est pourtant relativement simple :
- un bug est un fonctionnement anormal d'un logiciel.
- une faille de sécurité, c'est généralement un bug qui peut être exploité par une personne tierce pour enmerder l'utilisateur. Et non, une faille ce n'est pas uniquement pour "voler" des données.
- il y a des failles exploitables en local et des failles exploitables à distantes. Ces dernières étant bien plus dangereuses.
- une faille "0-day", c'est une faille qui est exploitée au moment de sa divulgation.

Là on a une faille (on peut obliger l'utilisateur à faire un reset hard de son téléphone), 0-day puisqu'un démonstration a été faite, et exploitable à distance. C'est effectivement très préoccupant, d'où le ton alarmiste de certains sites. Pour info : celui-qui a découvert la faille a vu son compte mail verrouillé à 2 reprises suites à des tentatives d'attaques, probablement pour voir s'ils ne pouvaient pas y découvrir le fameux SMS, imagine si quelqu'un y était arrivé !

Mais bon, tu peux tout minimiser si tu préfères, le système n'est pas compromis, les SMS ne sont pas perdus, ceux qui ont le problème n'ont qu'à plus envoyer de SMS en espérant que Microsoft trouve une solution qui permettra de retrouver les SMS. C'est qu'un bug après tout.

On peut discuter de la "sévérité" de la faille, mais pas de son existance. Ton affirmation comme quoi il est "impossible" d'utiliser ce bug pour exécuter du code à distance our voler des données est de toute façon un exemple flagrant que tu n'a que de très vague connaissance en sécurité informatique. Pourtant 2 minutes de recherche sur Google ou même simplement dans les liens des sites "traducteurs" t'auraient pointé sur le fameux "SMS de la mort" utilisé sur iPhone il y a 2 ans, et qui a été admis comme étant une faille de sécurité par tous, y compris Apple.

Dorénavant pour publier des commentaires il faut posséder un compte sur le Forum du site et s'authentifier

Créer un compte sur le forum du site

S'authentifier sur le site avec son compte personnel

Retour à la page principale du site

Mentions Légales

Contactez nous