La nouvelle édition du Top 25 Most Dangerous Programing errors, un référentiel des 25 erreurs de développement à la source des plus graves faiblesses de sécurité logicielle, est en ligne.
lire la suite »

Un consortium d'experts en sécurité de l'information, issus de plus de 30 sociétés, a appelé les entreprises à exercer une plus grande pression sur leurs fournisseurs (éditeurs) logiciels afin qu'ils intègrent la sécurité dans leur processus de développement.

A cet effet, le groupe a été réuni sur la demande des organisations SANS et MITRE, institutions respectivement privée et publique de référence dans le domaine de la sécurité de l'information, afin de consolider la première ébauche d'une liste de clauses qui serviront de base contractuelle lors des futurs projets d'acquisition logicielle.

Le groupe d'experts espère par cette voie contraindre les éditeurs logiciels à adopter une approche pro-active quant à la sécurité de leurs produits, en l'intégrant tout au long de leur processus de développement.
lire la suite »

...comme l'exprime si bien l'expression anglophone...

[EDIT 24/07/2008: et il mord déjà à peine dehors! (voir tout en bas pour l'ajout)]

[EDIT 01/08/2008: Des fournisseurs d'accès suisses n'ont pas encore mis à jour leurs serveurs. Les clients sont donc vulnérables à cette attaque. Plus d'infos sur comment tester votre fournisseur en bas de ce billet.]

[EDIT 02/08/2008: Apple a émis un correctif de sécurité en date du 1er août. Une correction a été appliquée au serveur DNS mais....pas au client. La correction est donc partielle.]


Vous vous souviendrez très certainement avoir lu le 9 juillet 2008 un article, publié dans la presse mondiale, annonçant que le monde venait d'échapper à l'apocalypse numérique?

Une faille de sécurité importante avait en effet été identifiée par un chercheur quelques mois auparavant (en mars 2008), faille qu'il avait jugée opportun de conserver secrète et de ne communiquer qu'aux éditeurs logiciels majeurs (Microsoft et Cisco et autres), jusqu'à ce que ces derniers aient eu le temps de finaliser des mises à jours adéquates pour leurs produits.

Initialement prévus pour être divulgués en août prochain à la conférence BlackHat, des détails importants sur la faille seraient arrivés plus tôt que prévu aux oreilles du...public!
lire la suite »