Re: [gulliver] Python et la gestion des signaux

[Jean-Philippe Gaulier <jpgaulier at point-libre dot org>]

Le Sun, 13 Apr 2008 22:10:30 +0200,
plaunay1 <pierre dot launay at ac-rennes dot fr> a écrit :

> Sans polémiquer, le cas évoqué est très improbable mais non-impossible.
> Ce n'est pas une utilisation "habituelle" des µC.

une petite dernière et j'arrête de polluer la liste avec cela, pour ceux qui
seront présent demain soir, ce sera l'occasion d'en reparler. Je vais utiliser
des termes génériques grandiloquent pour illustrer mon propos, mais il faudrait
affiner.

Le but d'un pirate est de trouver un programme sur un ordinateur qui lui
permette 1) d'avoir accès à cet ordinateur, 2) d'obtenir les droits de
l'administrateur. 

Dans ce que je vois de ton programme, il y a deux manières de l'attaquer: 
- ton programme tourne, je me connecte au port série et lui envoie une chaîne
de plus de 255 caractères+ce qui va bien pour exploiter ta mémoire. Comme je
suppose que tu as besoin d'être root pour utiliser le port série, je m'octroie
directement les privilèges : d'une pierre deux coups.
- je suis un étudiant qui utilise ton programme sur une machine du lycée, je
veux absolument obtenir un document qu'il y a sur le serveur, mais je n'ai pas
les droits (hum, hum), j'exploite ton programme en le détournant de son usage
initial. Même cause, même conséquence.

Ce qu'il faut bien comprendre ici, c'est que si tous les pirates de la planète
s'en tenaient à "le programme est uniquement conçu pour faire cela", il n'y
aurait pas de problème. Leur particularité est justement de faire ce qui n'a
pas été pensé. 

Mon conseil : ça ne coûte rien de faire une vérification de longueur de chaîne
et le cas échéant arrêter le traitement si la chaîne est trop longue.

Pour en revenir au sujet de cette liste, c'est grâce à la réactivité des
développeurs du libre en matière de sécurité que les failles ne sont pas trop
utilisable sur le long terme. Ceci dit, ça dépend vraiment des projets. 

Pour ceux qui sont intéressés par le sujet, je vous conseil la lecture du site
de Victor Stinner, qui bosse chez INL (NuFW) et qui a écrit fuzil :
http://fusil.hachoir.org/trac

Sur ce, bonne soirée :)

jp

Attachment: signature.asc
Description: PGP signature