Une machine de production ne devrait jamais être en direct face à internet. Ça permet de réduire pas mal de risques.
Un serveur web, tu es obligé de laisser son port 80 accessible. Mais si le patch de sécurité touche un soft / bibiotheque que peut accéder ce serveur (du PHP, une zlib, du RCP, etc...), un intrus peut accéder à la faille de sécurité. Tout simplement en passant par une requête foireuse (GET ou POST) sur le port 80.
Prend par exemple les problèmes de sécurité sur phpnuke, les blogs, etc... Au final, des serveurs ont été infectés par des escalations de privilège, via des scripts PHP, ASP, CGI-BIN, ou autre qui étaient buggés...
Et une machine pilotant des outils ne devrait même pas être connectée au reste du monde.
Non, mais la machine outil est connectée en réseau à d'autres machines outils, d'un autre fournisseur. Et pour ceux-ci, tu ne peux pas savoir ce qu'en font les gens qui y travaillent dessus. Sans même parler d'espionnage industriel, ou de volontée de nuire...
Enfin, le coup des tests sur des machines importantes, c'est valable pour les patchs sous *nix/bsd aussi...
Tout à fait. D'ailleurs, tu remarqueras que mon commentaire était généaliste (ie: quelque soit l'OS). Je n'ai parlé de Windows que pour cité un exemple concret de mon boulot.
[^] # Re: Passage sur les systèmes d'exploitation
Posté par Olivier (site web personnel) . En réponse au journal Comparatif de vulnérabilités IE-Firefox : Symantec change d'avis. Évalué à 1.
Un serveur web, tu es obligé de laisser son port 80 accessible. Mais si le patch de sécurité touche un soft / bibiotheque que peut accéder ce serveur (du PHP, une zlib, du RCP, etc...), un intrus peut accéder à la faille de sécurité. Tout simplement en passant par une requête foireuse (GET ou POST) sur le port 80.
Prend par exemple les problèmes de sécurité sur phpnuke, les blogs, etc... Au final, des serveurs ont été infectés par des escalations de privilège, via des scripts PHP, ASP, CGI-BIN, ou autre qui étaient buggés...
Et une machine pilotant des outils ne devrait même pas être connectée au reste du monde.
Non, mais la machine outil est connectée en réseau à d'autres machines outils, d'un autre fournisseur. Et pour ceux-ci, tu ne peux pas savoir ce qu'en font les gens qui y travaillent dessus. Sans même parler d'espionnage industriel, ou de volontée de nuire...
Enfin, le coup des tests sur des machines importantes, c'est valable pour les patchs sous *nix/bsd aussi...
Tout à fait. D'ailleurs, tu remarqueras que mon commentaire était généaliste (ie: quelque soit l'OS). Je n'ai parlé de Windows que pour cité un exemple concret de mon boulot.