faille de securite firefox 3 ?

[associationsosvoyages]

En l'état, moi aussi je partage ta réserve sur le vote électronique, ce qui est inquiétant cela semble être la voie sur laquelle se dirige ceux qui ont pour mission de recueillir les suffrages des électeurs ou mandants.

Si j'ai bien compris les agents de voyages utilisateurs de FF3 n'ont pu voter avec la même facilité que leurs confrères sous IE .

Compte tenu que FF represente pres de 50% du marche obligatoirement cela aura une incidence sur les résultats au cas d'élection serrée

cordialement

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[Zefling]

Je crois savoir quel est le problème avec Firefox 3, c'était un problème avec « précédent / suivant » qui était en mémoire, je crois.

Il faudrait que je retrouve l'actu relative qui en parlait.

Mais ça montre, aussi l'incompétence du webmaster. Ce sont des choses à prendre en compte au développement. Le problème de sécurité semble être un problème connue par eux dont ils sont incapable de corriger (il y a une méconnaissance du net chez certains développeur qui fait peur, ils codent un site comme une application et après s'étonnent que ça merde ⇐ du vécu).

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr-FR; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[associationsosvoyages]

je viens de prendre connaissance du mail suivant que m'a adresse le site election-europe.com


" Effectivement la faille de sécurité de Firefox a été corrigée et testée par
leur équipe de développeurs et vous permettra d'utiliser la version 3.0.7 de Firefox pour voter, la version 3.0.7 étant disponible seulement depuis
quelques jours.
Voir https://bugzilla.mozilla.org/show_bug.cgi?id=441751

Nous levons ce blocage sur le site de vote très prochainement et vous le
ferons savoir, celui-ci était parfaitement justifié car la mise en cache de
page confidentielle n'était pas gérée correctement par Firefox V3 depuis que la V3 était passée en production en juin 2008 en ne respectant pas la norme RFC 2616 du W3C.
Voir http://www.w3.org/Protocols/rfc2616/rfc ... #sec14.9.2

Bien à vous,

Election-Europe "

qu'en pensez vous ?

cordialement



Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[associationsosvoyages]

comme personne n'a posté pour contredire les responsables du site "election-europe.com" dois je comprendre que leurs arguments sont fondés ?

cordialement


Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[Zefling]

Bha, moi je dirait que c'est bien la première vois qu'ils se basent sur les recommandation du W3C... (quand ça les arrange en fait).

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr-FR; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[calimo]

Si leur sécurité repose sur le non-cachage des pages, et qu'ils vérifient ça en utilisant le UserAgent envoyé par le client, je pense que ce n'est pas très sérieux.

Effectivement, c'était un bug de Firefox, mais en quoi ça remets en cause la sécurité de quoi que ce soit, je me demande !

[Zefling]

Je crois que c'était parce qu'il y avait quelqu'un qui passe il était capable de voir ce qu'avait voter la personne précédente.

Bref, problème de confidentialité et donc de sécurité.

Mais bon, si on veut être vraiment sûr, autant passer par des formulaires générer par AJAX ou des scripts d'effacement de formulaire.

Bon c'est sûr, par contre ça impose le Javascript.

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr-FR; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[associationsosvoyages]

Mon sentiment est que election-europe.com m'a fait une reponce diplomatique comptenu que pour les inciter a me donner une explicationj'ai fais etat de ma qualite de porte parole de l'associationsosvoyages.

Ceci etant dit je remarque que dans son mails qui renvoie la patate chaude sur FF il ne m'est pas donne la raison pour la quelle elle preconise FF2 ou meme FF1.

Ces 2 versions n'ont elles pas de problemes de cache ?

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[jpj]

Pour ce qui est de Firefox 3, voir la réponse de calimo. En gros, ils sont seulement incapables de faire un site correct (ou ils ont eu la flemme de le faire). En fait, pour Firefox 3, ce n'est pas une faille mais juste un bug qui présente le gros inconvénient de mettre en lumière les limites du webmestre.

Sinon, proposer Firefox 2 ou, pire, Firefox 1 est une faute. Les deux versions ne sont plus maintenues et comportent des failles de sécurité qui peuvent mettre en danger la machine de l'internaute. En outre, il est problématique de repasser de Firefox 3 à Firefox 2, les marque-pages n'étant pas gérer de la même façon. Donc, pour s'épargner du travail, ils étaient prêt à mettre en danger l'internaute ou à lui créer des problèmes.

[associationsosvoyages]

voici le mail que je viens d' adresser a election-europe.com ,je vous tiendrais au courant de leurs arguments :

Bonjour,

Je vous remercie de votre réponse mais comme je ne dispose pas de la culture informatique pour pouvoir apprécier vos arguments à leur juste valeur, je me suis de nouveau retourné vers les utilisateurs du forum. http://www.geckozone.org/

Voici des extraits des réponses qu'ils m'ont faits :

1-Il suffit de changer son UA avec User Agent Switcher pour que ça passe où est la sécurité ?

2-Si leur sécurité repose sur le non-cachage des pages, et qu'ils vérifient ça en utilisant le UserAgent envoyé par le client, je pense que ce n'est pas très sérieux.Effectivement, c'était un bug de Firefox, mais en quoi ça remets en cause la sécurité de quoi que ce soit, je me demande !

3-Je crois que c'était parce qu'il y avait quelqu'un qui passe il était capable de voir ce qu'avait voter la personne précédente.Bref, problème de confidentialité et donc de sécurité.Mais bon, si on veut être vraiment sûr, autant passer par des formulaires générer par AJAX ou des scripts d'effacement de formulaire.Bon c'est sûr, par contre ça impose le Javascript.

4-Pour ce qui est de Firefox 3, voir la réponse de calimo. En gros, ils sont seulement incapables de faire un site correct (ou ils ont eu la flemme de le faire). En fait, pour Firefox 3, ce n'est pas une faille mais juste un bug qui présente le gros inconvénient de mettre en lumière les limites du webmestre.

Sinon, proposer Firefox 2 ou, pire, Firefox 1 est une faute.

Les deux versions ne sont plus maintenues et comportent des failles de sécurité qui peuvent mettre en danger la machine de l'internaute. En outre, il est problématique de repasser de Firefox 3 à Firefox 2, les marque-pages n'étant pas gérer de la même façon. Donc, pour s'épargner du travail, ils étaient prêt à mettre en danger l'internaute ou à lui créer des problèmes."

Je ne vous cache pas que je suis troublé par leurs dires. Que dois-je penser de tout cela ?

Par ailleurs si les utilisateurs de firefox 3 ne peuvent participer spontanément aux élections sans changer de browser n'est-il pas à craindre que cela se traduise par des abstentions compte tenu que sur le site ne figure pas de lien pour charger d'autres navigateurs.

Il me serait agréable de vous lire sur le sujet. Pour information il a déjà fait 255 visites sur le forum et intéresse donc aussi bien une association comme la nôtre, que les professionnels du voyage et les internautes utilisateurs de Firefox 3


cordialement

alexis selinger
porte parole association sos voyages
http://www.xxxxxxx.com

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[associationsosvoyages]

J'ai reçu le 12 Mars 2009 à 17:03:44 un mail du service support election-Europe où il ne répond à aucune des questions que je lui posais le 10 mars. Il m'est uniquement dit :

"Le blocage a été levé, vous pouvez maintenant utiliser la V3 de firefox pour voter."

Un de nos adhérents nous a signalé que lors de l'élection prud'homales fin novembre 2008 le même problème avait été identifié selon le journal Libération :

"....Cette expérimentation, mise en place pour la première fois par le ministère du Travail, est censée faciliter les démarches et donc encourager le vote des salariés. Mais, en pratique, l’électeur moderne se heurte à quelques déconvenues.

En particulier, l’utilisateur du navigateur Firefox 3.0. Au premier clic, ce
message : « La version de Firefox (3.0) que vous utilisez ne vous permet
pas de voter par internet. En effet, celle-ci ne garantit pas, pour les élections prud’homales, la confidentialité des informations qui doit être assurée sur un site internet sécurisé. »

Mauvaise surprise donc pour les utilisateurs du logiciel libre, obligés pour
accomplir leur devoir civique de se tourner vers des navigateurs concurrents (Internet explorer, Safari…) ou de ressortir une ancienne version de Firefox (2.0 par exemple).

Au téléphone, le service d’assistance en ligne explique : « Avec Firefox 3.0, il est possible de revenir sur la page d’avant. Donc, si vous votez du bureau, votre collègue peut connaître votre choix en quelques clics. » Et si le ministère ne savait pas y faire ?

Ce bug aurait pu être anecdotique s'il ne donnait pas l’impression que
Firefox n’était pas un navigateur sécurisé et fiable.

« C’est notre réputation qui est mise à mal dans cette histoire. Et ça c’est très déplaisant. Nous sommes une association, notre existence dépend essentiellement de notre réputation. Et pas des budgets marketing de nos concurrents (Microsoft et Apple) », explique, un peu amer, Tristan Nitot, le président de Mozilla Europe, en contact avec ces collègues américains, déjà au courant de l’affaire.

Alors coup monté contre Firefox ? Non, pour Tristan Nitot « ça tient plus à
une différence de culture. Mozilla est une fondation très ouverte et
transparente. On est très facile d’accès, nos utilisateurs le savent… Le
ministère et le prestataire du projet (Thalès), c’est différent… »

« Mais, cela ne les dispensait pas de nous alerter en amont », ajoute il.
Comme il le raconte sur son blog, Tristan Nitot n’a été alerté que mercredi
(jour du lancement du vote électronique) par les internautes euxmêmes
et non par le ministère. « Entre nous, moi aussi j’ai bondi ! écritil.
Si nous avions eu connaissance du bug, il aurait été résolu avant qu’il ne se pose… »

Baladé de serveurs vocaux en secrétariats depuis deux jours, il ne dispose
toujours pas assez d’éléments pour identifier le problème.

« Qu’on m’explique au moins ! Et vite... Le vote par internet s’achève mercredi prochain ». Et d’ajouter : « Surtout que, par définition les salariés adeptes du vote électronique portent de l’intérêt à la Toile. Et sont donc susceptibles de connaître les logiciels libres et d’utiliser Firefox ! »

Au ministère du travail, on évacue bien vite le problème : « 15% environ des électeurs utilisent Firefox 3.0, ce n’est pas beaucoup… Inutile d’en faire toute une histoire. »

Leçon à tirer, la prétendue faille fut signalée dès le 21 novembre 2008 et imperturbable election-europe.com jusqu'à ce que j'intervienne au nom de l'associationsosvoyages, 9 mars 2009, n'a pas corrigé le problème quitte à réécrire une autre routine de connexion.

Je remercie les utilisateurs du forum qui m'ont permis de soulever le problème d'une manière documentée et d'aboutir ainsi à permettre aux utilisateurs de FF3 d'exprimer leurs opinions.


cordialement






Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[associationsosvoyages]

La réponse lapidaire d'election-europe m'incite à écrire un article sur le site de l'association, pour se faire j'ai adressé à Tristan Nitot un mail où je lui demande son opinion sur ce remake des élections prud'homales de novembre 2009.

Dès réception je vous tiendrais au courant .

Cordialement

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)

[associationsosvoyages]

Tristan Nitot viens de me repondre:


Je crois que vous avez tous les éléments en main. Firefox 3 a introduit une regression.Autrement dit, qque chose qui marchait bien dans Firefox 2 ne fonctionnait plus correctement dans Firefox 3.

Ce quelque chose, c'était le fait que quand on fait "back" (retour sur la page précedente) et que la page en question contenait des infos confidentielle saisies par l'utilisateur, elles étaient visible alors qu'elles ne
devraient pas.

C'est un problème dans le cas où vous utiliser votre ordinateur pour voter (et le vote est secret) et que cet ordinateur est partagé, ce qui signifie que des collègues peuvent faire "Back" et voir qui pour qui vous avez voté.

Lors des éléctions prud'hommales en Ile de France via Internet, le logiciel d'Election Europe était utilisé, mais il refusait l'utilisation de Firefox 3 à cause de ce bogue, mais sans que nous ayons été prevenus.

Dès que nous avons pris conscience de l'ampleur du problème (par les utilisateurs), nous avons corrigé aussi rapidement que possible, et la
version 3.0.6 est sortie.

Depuis, l'application Election Europe est devenue compatible avec Firefox 3.0.7 pour le vote, si j'ai bien compris.


--Tristan Nitot

Message envoyé avec : Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.0.7) Gecko/2009021910 Firefox/3.0.7 (.NET CLR 3.5.30729)