samedi 11 août 2007

La sécurité dans Firefox 3

Gregg Keizer discute dans ComputerWorld de la sécurité dans le prochain Firefox 3.0 avec des commentaires de Window Snyder, chef de la sécurité chez Mozilla. Il y est d’abord question d’un filtre anti-malware développé avec Google pour bloquer les sites voulant installer des logiciels ou des extensions malveillants sur le système ou dans le navigateur. Il est ensuite question de l’implémentation des certificats EV, qui dans IE font changer la barre d’adresse en vert feront apparaitre une popup avec un douanier vérifiant un passeport stylisé et baptisé « Larry » dans Firefox 3.

Les autres changements qui impactent la sécurité de l’utilisateur sont sous le capot. Le code lui-mêmme a été rendu plus sûr.

Snyder a dit que la plupart de son temps depuis qu’elle a rejoint Mozilla en septembre dernier a été passé à améliorer la sécurité du code de Firefox, avec un effort majeur de création d’outils de test de pénétration que les développeurs puissent utiliser pour repérer les failles avant que l’application quitte la maison. Mozilla a utilisé divers « fuzzers », des outils qui automatisent quelques processus de détection des vulnérabilités, et a trouvé des douzaines des bogues avec juste un, un fuzzer JavaScript que Mozilla a rendu public la semaine dernière pour la communauté open-source à la conférenceBlack Hat sur la sécurité.