Ben oui, savoir si un système est plus sécurisé qu'un autre est plus compliqué qu'il n'y parrait. Pour faire une liste non exhaustive des facteurs qui rentrent en compte :
* Nombre total de faille (inconnu, par définition)
* Quantité de failles corrigées, et temps mis pour les corriger. (Ca, c'est facile à mesurer, et c'est là dessus que MS cible son attaque.)
* Nombre de services activés par défaut.
* Nombre d'exploit pour une faille (Sur ce point, MS part avec un gros handicap), qui dépends de pleins de choses :
- Réputation de l'éditeur
- Niveau de challenge pour un cracker. Par exemple, NT4 est de moins en moins attaqué, tout simplement parce qu'il n'y a plus trop de gloire pour un cracker à le faire. Cracker un W2000, voire W2003, c'est plus /in/.
- Les possibilités de devenir célèbre avec des connaissances en informatiques. Sous Windows, si tu trouves une faille, tu as plus de chance de devenir célèbre en écrivant un virus qu'un patch. Sous Linux, si le but est de devenir célèbre, tu peux devenir un contributeur actif et faire parler de toi. C'est bête, mais c'est souvent comme ça que commencent les histoires de vers ou virus. Que ce serait-il passé si Torvalds avait décidé d'écrire un virus à la place d'un kernel open source ?
* Temps que mettent les utilisateurs à patcher. Par exemple, un système pour particulier sera souvent plus facile à attaquer qu'un système pour entreprise, simplement parce qu'en entreprise, il y a un admin qui est payé pour mettre à jour, alors que chez les particuliers, il y a des vers qui utilisent des failles corrigées depuis 2 ans et qui marchent du tonnerre !
* Compétences des utilisateurs pour protéger leur système. Ne serait-ce que cliquer sur la case "Clique ici, c'est pour ton bien, je vais mettre un firewall" est déjà trop compliqué pour beaucoup de gens.
Si on regarde tous ces points, on explique sans problème le fait qu'il y ai moins d'attaques sur des serveurs Linux, mais il faut arreter de croire que Linux est 100% secure quoi qu'il arrive.
[^] # Re: Microsoft prépare un "assaut de sécurité" public sur Linux
Posté par Matthieu Moy (site web personnel) . En réponse à la dépêche Microsoft prépare un "assaut de sécurité" public sur Linux. Évalué à 3.
* Nombre total de faille (inconnu, par définition)
* Quantité de failles corrigées, et temps mis pour les corriger. (Ca, c'est facile à mesurer, et c'est là dessus que MS cible son attaque.)
* Nombre de services activés par défaut.
* Nombre d'exploit pour une faille (Sur ce point, MS part avec un gros handicap), qui dépends de pleins de choses :
- Réputation de l'éditeur
- Niveau de challenge pour un cracker. Par exemple, NT4 est de moins en moins attaqué, tout simplement parce qu'il n'y a plus trop de gloire pour un cracker à le faire. Cracker un W2000, voire W2003, c'est plus /in/.
- Les possibilités de devenir célèbre avec des connaissances en informatiques. Sous Windows, si tu trouves une faille, tu as plus de chance de devenir célèbre en écrivant un virus qu'un patch. Sous Linux, si le but est de devenir célèbre, tu peux devenir un contributeur actif et faire parler de toi. C'est bête, mais c'est souvent comme ça que commencent les histoires de vers ou virus. Que ce serait-il passé si Torvalds avait décidé d'écrire un virus à la place d'un kernel open source ?
* Temps que mettent les utilisateurs à patcher. Par exemple, un système pour particulier sera souvent plus facile à attaquer qu'un système pour entreprise, simplement parce qu'en entreprise, il y a un admin qui est payé pour mettre à jour, alors que chez les particuliers, il y a des vers qui utilisent des failles corrigées depuis 2 ans et qui marchent du tonnerre !
* Compétences des utilisateurs pour protéger leur système. Ne serait-ce que cliquer sur la case "Clique ici, c'est pour ton bien, je vais mettre un firewall" est déjà trop compliqué pour beaucoup de gens.
Si on regarde tous ces points, on explique sans problème le fait qu'il y ai moins d'attaques sur des serveurs Linux, mais il faut arreter de croire que Linux est 100% secure quoi qu'il arrive.