Les développeurs du très répandu jQuery ont annoncé qu'ils vont abandonner le support de toutes les versions d'Internet Explorer avant IE 9 lors de la sortie de jQuery 2.0 début 2013. Dans un article du blog, l'équipe de jQuery dit que le soutien pour les anciennes versions du navigateur interférera avec leur feuille de route pour les fonctionnalités prévues pour la bibliothèque.

Les développeurs prévoient de commencer la suppression des aides pour ces anciennes versions d'IE avec la sortie de jQuery 1.8 qui devrait arriver d'ici un mois. Dans un premier temps, les interfaces spécifiques à IE seront seulement dépréciées et non pas supprimées. jQuery 1.9 devrait être publié en début d'année prochaine avec la suppression de la plupart des fonctions obsolètes, mais des plugins optionnels et des API alternatives seront fournies pour la plupart d'entre elles. Il est ensuite prévu de sortir plusieurs versions 1.9.x pour des corrections de bugs prévues suite au passage à la nouvelle API. Enfin, à partir de jQuery 2.0, prévu pour sortir peu de temps après la 1.9, les versions de jQuery antérieures baisseront en soutien pour IE mais garderont les plugins optionnels et API.

Pour les utilisateurs du projet, cela signifie que si ils ont besoin de support pour Internet Explorer 6, 7 et 8 sur leur site web, ils devront s'en tenir à jQuery 1.9. Pour tous les autres utilisateurs, les versions de jQuery 1.9 et 2.0 seront interchangeables pour toutes fins utiles.

Bien que jQuery a toujours été conçu dès le départ pour répondre aux différences dans tous les navigateurs, l'équipe précise que les anciennes versions d'IE ont été je cite : "a thorn in the side of web developers for a decade." (une épine dans le pied pour les développeurs depuis 10 ans). Bien que les développeurs ne veuillent pas ignorer ce qu'ils perçoivent comme un troisième rang de leur public, le maintien des anciennes versions d'IE l'emportent apparemment sur toutes les autres préoccupations. Moi pas, j'approuve la décision de l'équipe de jQuery.

Do Not Track Plus est une extension disponible sur Chrome, Firefox, Safari et Internet Explorer.

Celle-ci vous permettra d'être averti quand vous êtes traqué par des outils de suivi en ligne et ainsi permettre d'arrêter ce profilage. Cela concerne par exemple les réseaux sociaux, les publicités d'annonceurs, la collecte de données, etc...

Il faut savoir qu'en moyenne un internaute est suivi par plus de 100 techniques de profilage chaque jour. Ci-dessous un petit tutoriel vidéo pour apprendre à s'en servir

C'est Zero Day Initiative (ZDI) qui a publié des informations sur un problème de sécurité dans les produits McAfee Security-as-a-Service (SaaS). ZDI indique que la vulnérabilité est présente depuis avril 2011 et a donc décidé de divulguer publiquement l'information parce que le vendeur n'a pas encore fourni de correctif.

La faille se trouve dans la bibliothèque de programmes myCIOScn.dll. Dans cette bibliothèque, la méthode MyCioScan.Scan.ShowReport() filtre insuffisamment la saisie utilisateur et exécute les commandes intégrées dans le contexte du navigateur. La faille peut être exploitée lorsqu'un utilisateur ouvre un fichier spécialement conçu ou une page web. ZDI classe ce problème comme très grave et donne un score CVSS de 9 (la sévérité maximale étant de 10 sur cette échelle de risque).

ZDI ne dit pas exactement quels produits de McAfee sont concernés. La gamme des produits SaaS de McAfee inclut "Email Encryption SaaS" pour le cryptage des e-mails et "Vulnerability Assessment SaaS" qui vérifie les vulnérabilités potentielles des logiciels.

Pour contourner ce problème, ZDI recommande aux utilisateurs de définir un kill bit dans la base de registre afin d'empêcher Internet Explorer d'instancier le contrôle ActiveX affecté. Pour ce faire, il faut modifier la clé DWORD de Compatibility Flags dans HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{209EBDEE-065C-11D4-A6B8-00C04F0D38B7} en lui mettant comme valeur 0x00000400.

C'est quand même dingue qu'un fournisseur de sécurité et prestataire de service laisse une telle vulnérabilité mais que surtout il ne réponde pas aux appels de ZDI en ne se préoccupant pas de sortir un patch... A l'heure actuelle McAfee n'a pas encore répondu...

Edit: McAfee a publié une déclaration disant qu'il était au courant du problème et qu'il avait "examiné l'effet du cas reporté et trouve que le risque est très faible..."

La société n'a toujours pas résolu le problème à l'heure qu'il est mais dit : "Comme il s'agit d'une solution hébergée, les correctifs seront automatiques et tous les clients concernés seront portés vers une version patchée aussi vite que possible."

McAfee déclare qu'il ne croit pas qu'il existe un risque de vulnérabilité "en raison de l'atténuation en place".

C'est la société Accuvant, spécialiste dans la recherche en matière de sécurité informatique qui a fait une étude comparative des navigateurs Chrome, Firefox et Internet Explorer.

Le but de cette étude qui représente tout de même 140 pages avait pour but de comparer les mécanismes de sécurité des trois navigateurs les plus populaires.

Seulement 13% des liens dangereux sont filtrés par les navigateurs

Cette étude conclut que Chrome offre une meilleure protection que Firefox et Internet Explorer. Cependant les chercheurs n'ont été convaincu par aucun des filtres utilisés par ces navigateurs qui sont censés empêcher les utilisateurs d'accéder à des pages malveillantes (voir graphique ci-dessus).

Pour rentrer un peu plus dans les détails de ce rapport, les experts décrivent et comparent comment chaque navigateur implémente ses mécanismes de protection, incluant l'Address Space Layout Randomization (ASLR) et le Data Execution Prevention (DEP). Ils ont également eu une attention toute particulière par rapport au Sandboxing et l'intégration des compilateurs Just-in-Time (compilation à la volée). En gros tous ces mécanismes sont censés empêcher l'exploitation de failles existantes.

La sandbox de Google Chrome a été particulièrement appréciée par ces chercheurs. Il est conçu pour protéger le système contre les accès potentiellement malveillants comme par exemple du code Javascript malicieux ou bien un Rogue. L'étude montre que Google Chrome propose un concept assez convaincant alors que l'implémentation de l'Integrity Level de Microsoft ne rajoute aucune couche de sécurité supplémentaire particulière. Firefox quant à lui n'a offert pratiquement aucune des fonctionnalités ci-dessus.

Et comme le graphique ci-dessus le montre, les trois navigateurs ont produit des résultats décevants au niveau des filtres de pages malveillantes. Les deux services Microsoft URL Reporting et Google Safe Browsing qui sont utilisés par ces navigateurs ont détecté seulement 13% des 3000 liens malveillants testés.

Une grande partie de la communauté de la sécurité informatique est d'accord avec cette étude même si les résultats doivent être traités avec prudence. La société confirme en effet que cette étude comparative a été en grande partie financée par Google. Enfin quoi qu'il en soit cette étude fournit une très bonne introduction à la sécurité sur les navigateurs bien qu'en général le problème se situe entre la chaise et l'écran

Et vous? Quel est le navigateur sur lequel vous surfez?

dr4ward.com