Flux RSS

Inscrivez-vous

Plug-in pour navigateurs: les entreprises pas très à jour

Dans un rapport basé sur les propres outils de l'entreprise, Zscaler a comptabilisé le nombre d'ordinateurs où les plug-in pour navigateur ne sont plus à jour : dans son classement, la place de cancre revient au plug-in Shockwave d'Adobe, obsolète pour 94,2% des ordinateurs sur lesquels il est installé, suivi par Java avec 70%, puis par Adobe Reader avec 65,8%, Quicktime avec 42,5%, et les add-ons du navigateur Outlook avec 19,8%.

Pour ce qui est du contexte, le trafic d'entreprise http/https est toujours dominé par Internet Explorer qui en tient 58% des parts, suivi par Firefox, avec près de 11%, et Safari, qui fait une entrée inattendue, avec 7%. Les plug-in eux-mêmes génèrent 23% de ce trafic. Et c'est là où commencent certains ennuis. Parmi les plug-in les plus populaires, Flash, que l'on trouve installé sur 94,4% des PC, occupe la première place, suivi par Windows Media Player avec 87%, Adobe Reader avec 84,7% et Outlook avec 84,2%. « Au vu de ces statistiques, il est clair que la plupart des entreprises ont peu de contrôle sur le type de plug-in et la version en cours d'utilisation par leurs salariés, » déclarent les auteurs. Les navigateurs Internet eux-mêmes ne sont pas nécessairement mis souvent à jour. L'étude montre que 24,2% des utilisateurs d'IE utilisent encore les version 6.x et 7.x du navigateur de Microsoft, et moins de 2% utilisent la dernière version, 9.x.

D'autres études confortent ces chiffres

Bien que l'évaluation n'a porté que sur une seule entreprise, ces chiffres sont corroborés avec d'autres statistiques qui se sont intéressées à la question des plug-in intégrés aux navigateurs Internet des entreprises. Par exemple, en juillet dernier, Qualys, une entreprise qui travaille sur la vulnérabilité, a constaté que Java était un maillon faible particulier de la chaîne, établissant que le plug-in était obsolète sur 40% des ordinateurs. Comparé au dernier rapport Q2 2011 sur l'état du web de Zscaler, les chiffres établis cette fois semblent marquer une forte fluctuation pour certains plug-in. Au second trimestre, Shockwave était obsolète sur seulement un tiers des ordinateurs sur lesquels il avait été installé, contre plus de 90% aujourd'hui. Compte tenu du cycle de mise à jour rapide adopté par certains éditeurs comme Adobe, on peut penser, à tort, que ces ordinateurs sont plus vulnérables en données absolues, puisque les entreprises qui mettent à jour leurs plug-in moins souvent ont, par définition, plus de chances d'avoir des versions périmées.

Dans un autre chapitre de son rapport, Zscaler enregistre un bond dans l'usage d'Android en entreprise. La plate-forme représente désormais 40,3% des transactions du client Internet dans le Cloud de l'entreprise, devançant BlackBerry, jusque là favori du secteur professionnel, qui occupe 37,2% des transactions et iOS, 22,3% seulement. Mais, sur la période, l'application la plus utilisée du Web 2 .0 a été Facebook, qui a capté près de 50% des usages. « Malgré cette popularité, la tendance à long terme de l'usage de Facebook au sein des entreprises semble être à la baisse, » estime néanmoins Zscaler dans son rapport.

Ipsen passe aux Google Apps

Etude 2011 d'Ernst & Young sur les 15 premiers sites marchands en France

Google propose la recherche d'applications mobiles

Google vient d'ajouter une fonction dans les résultats de son moteur de recherche Google.com. Sur son blog GoogleSystem, la firme indique qu'une section, baptisée Applications, qui n'est  pour l'instant disponible que sur la version américaine du moteur, permettra de rechercher exclusivement des applications mobiles.

Pour cela, il faudra cliquer sur «More» dans la barre d'outils de Google, puis sélectionner « Applications » pour obtenir des liens pointant vers le kiosque d'Apple, l'Android Market ou d'autres sites d'applications et de jeux pour Android comme AppBrain ou AndroidZoom.

Ce service était déjà disponible sur la version mobile du moteur de recherche. Google n'a pas communiqué de date de disponibilité de cette fonction pour le reste du monde.
(...)

La justice européenne condamne le filtrage généralisé des internautes

L'affaire remonte à quelques temps déjà. La SABAM, équivalent de la SACEM en Belgique, voulait imposer à l'opérateur Scarlet un système de filtrage des internautes pour prévenir les échanges des fichiers illégaux sur les réseaux P2P. La justice belge avait donné raison à la société des ayants droits et imposé au FAI la mise en place du filtrage à ses frais. L'opérateur a fait appel de cette décision et la cour d'Appel de Bruxelles a saisi la Cour de Justice de l'Union européenne pour savoir si cette décision était contraire ou non au droit communautaire.

La réponse était très attendue et la CJUE a rendu un arrêt qui confirme l'illégalité de cette décision. Pour motiver son jugement, la Cour s'appuie sur la directive e-commerce qui interdit « des mesures qui obligeraient un fournisseur d'accès à Internet à procéder à une surveillance générale des informations qu'il transmet sur son réseau ». Le filtrage, s'il est global, pourrait même devenir une atteinte aux droits fondamentaux des citoyens européens.

En conséquence, la juridiction communautaire estime que  « le droit de l'Union s'oppose à une injonction faite à un fournisseur d'accès à Internet de mettre en place un système de filtrage de toutes les communications électroniques transitant par ses services, lequel s'applique indistinctement à l'égard de toute sa clientèle, à titre préventif, à ses frais exclusifs et sans limitation dans le temps. »

Si l'arrêt ne concerne que les partis en présence, il donne cependant des indications et des limites à ne pas dépasser dans le filtrage des internautes. Il fournit des arguments pour les associations anti-filtrage, notamment dans l'optique d'une extension des contrôles sur les sites de streaming.

Microsoft scrute Yahoo en vue d'une possible prise de participation

Des fonds d'investissements en collaboration avec Google jusqu'au Chinois Alibaba, le sort de Yahoo intéresse beaucoup de monde. Mais pour avoir accès au dossier et aux informations financières, le portail Internet demande la signature d'un accord de confidentialité, NDA (Non Disclosure Agreement). Or on apprend par le New York Times que Microsoft a signé cet accord pour avoir accès aux documents financiers et à l'état des lieux des différentes activités de Yahoo. Cependant, selon le journal économique, pas question pour la firme de Redmond de racheter la totalité du portail, mais plutôt de passer par un consortium (avec des fonds d'investissements) pour prendre des participations dans Yahoo. Microsoft se rappelle de l'échec de la précédente OPA sur Yahoo en 2008, mais surtout la société doit protéger son partenariat sur la partie publicité et l'intégration du moteur de recherche Bing sur le portail web.

Un intérêt croissant

Le regain d'intérêt pour Yahoo s'explique aussi par le récent licenciement de son PDG Carole Bartz. Certains lui reprochait notamment les faibles résultats du partenariat noué avec Microsoft et de bloquer les éventuelles propositions de rachat ou d'alliance. Le président du conseil d'administration du portail, Tim Morse, avait alors créé un comité exécutif pour travailler sur un « examen stratégique global » visant à obtenir le retour de la firme vers une piste de croissance. Cette analyse arrive peut-être à son terme et chacun fournit ses armes pour séduire et conquérir Yahoo.

Google protège son trafic HTTPS des attaques à venir

Google prend les devants. Il a modifié la méthode de chiffrement utilisée par ses services https, parmi lesquels se trouvent la messagerie Gmail, le traitement de texte en ligne Docs et le réseau social Google+, lancé fin juin. Le but est d'empêcher que le trafic qui transite actuellement sur ces services puisse être déchiffrés ultérieurement lorsque des avancées technologiques rendront cette manipulation possible.

Aujourd'hui, la majorité des services mettant en oeuvre https se servent d'une clé privée, connue seulement du propriétaire du domaine, pour générer des clés de session qui sont ensuite utilisées pour chiffrer le trafic entre les serveurs et leurs clients. Cette approche expose potentiellement les connexions en cas d'attaques ultérieures. « Dans dix ans, quand les ordinateurs seront beaucoup plus rapides, un adversaire pourrait casser la clé privée du serveur et rétrospectivement déchiffrer le trafic e-mail envoyé aujourd'hui », explique Adam Langley, l'un des membres de l'équipe de sécurité de Google, sur un blog officiel.

forward secrecy à l'oeuvre

Pour prévenir ce risque, assez faible mais néanmoins réel, Google permet d'utiliser par défaut la propriété de codage forward secrecy (ou PFS, perfect forward secrecy), qui implique de recourir à différentes clés privés pour chiffrer des sessions et de les détruire après un certain temps. De cette façon, un attaquant qui a réussi à casser ou à voler une seule clé ne sera pas en mesure de récupérer suffisamment de trafic e-mail sur une période couvrant plusieurs mois d'activité, indique Adam Langley. Il fait remarquer que même l'administrateur serveur ne pourra pas déchiffrer le trafic HTTPS rétroactivement.

Puisque SSL n'était pas conçu pour supporter des mécanismes d'échange de clé capable de mettre en oeuvre par défaut la propriété forward secrecy, les ingénieurs de Google ont dû mettre au point une extension pour la boîte à outils OpenSSL. C'est intégré à la version 1.0.1 d'OpenSSL qui n'a pas encore été publiée dans une version stable.

Supporté seulement par Firefox et Chrome

La nouvelle mise en oeuvre de Google HTTPS utilise ECHDHE_RSA comme clé d'échange et l'algorithme RC4_128 pour le chiffrement. Malheureusement, cette combinaison n'est supportée que dans les navigateurs Firefox et Chrome pour le moment, ce qui signifie que les connexions HTTPS sur Internet Explorer ne profiteront pas de cette fonction complémentaire de sécurité.

Ce n'est pas nécessairement un problème avec IE qui supporte en revanche la combinaison clé d'échange EDH (Ephemeral Diffie--Hellman) et RC4. EDH apporte aussi la propriété forward secrecy, mais Google a préféré ECDHE (Elliptic curve Diffie-Hellman) pour des raisons de performances.

La société de Larry Page prévoit d'ajouter le support d'IE à l'avenir et espère que son exemple encouragera d'autres fournisseurs de services utilisant HTTPS à mettre en oeuvre forward secrecy afin que cette propriété puisse un jour devenir la norme pour le chiffrement du trafic en ligne. (...)