Script maquillé en image

En faisant le ménage dans les fichiers de mon dossier appelé « Classement provisoire », j’ai retrouvé plein de vieilleries stockées là temporairement depuis la plus haute antiquité.
Par exemple un fichier appelé Heise.jpg qui était un fichier de démonstration d’un script terminal maquillé en fichier image et daté de février 2006.

Vu le nombre de mises à jour de sécurité qu’a pondu Apple depuis lors, je me suis dit que, de toute façon, il n’y avait plus de risque de ce type depuis longtemps. J’ai double-cliqué sur le fichier et… et ? Le terminal s’est ouvert sans crier gare pour exécuter un ls (heureusement pas un rm *).

À chaque premier lancement par session d’un apple script qui m’ouvre un disque sur une autre machine, le système me demande si je suis sur de vouloir l’exécuter. Pour un script terminal, rien du tout !

Je ne sais pas ce que vous en pensez mais moi ça me laisse perplexe.
Certes, il faut l’avoir sur son disque dur et double-cliquer dessus mais mail donne un avertissement pas limpide pour un utilisateur peu averti et si on ne comprend pas trop ce que ça veut dire, on ne sent pas vraiment qu’il s’agit d’une mise en garde sérieuse.
Certes, les informations du finder indiquent qu’il s’agit d’un fichier terminal mais qui regarde ça avant d’ouvrir une image ?
Certes, il n’y a pas d’aperçu et l’icône n’est pas celle d’un vrai fichier jpg, mais ça n’est pas très alarmant et surtout Spotlight le place dans la rubrique des images, et ça, ce n’est pas bien malin !

hr a écrit:

En faisant le ménage dans les fichiers de mon dossier appelé « Classement provisoire », j’ai retrouvé plein de vieilleries stockées là temporairement depuis la plus haute antiquité.
Par exemple un fichier appelé Heise.jpg qui était un fichier de démonstration d’un script terminal maquillé en fichier image et daté de février 2006.

On en parlait là

Pomme-I a écrit:

On en parlait là

Oui, c’est une vieille histoire, mais c’est précisément ce qui me dérange !
Pas de réponse à ça de la part d’apple depuis tout ce temps alors qu’ils auraient au moins pu, comme pour les apple scripts, afficher un avertissement, ce serait le minimum. Le coup de spotlight qui n’y voit que du feu alors que le finder, lui, se rend compte qu’il s’agit d’un fichier terminal est très agaçant.
Et encore, automator on ne sait pas, il y a peut-être un hic du même genre.

Je suis étonné que W ne se soit pas encore emparé du sujet pour te signaler que le risque le plus important qu'encoure un ordinateur est de devoir subir les actions de son propriétaire.

En l'occurrence, bien qu'il ait bien fallu que quelqu'un introduise le truc sur la machine, le risque est réel. Un JPG, pour tout utilisateur, c'est une image, pas un programme. Si en plus aucune alerte n'est affichée, la casse est assurée. Heureusement que la plateforme Apple n'est pas la cible favorite des créateurs de virus.

C'est d'autant plus con qu'il suffirait à Apple de toujours demander si on souhaite exécuter un script quand on a double-cliqué dessus. Et pour satisfaire ceux qui en feraient un gros usage et que ces alertes fatigueraient, il suffirait de réserver une extension, par exemple .TERM, qui laisserait le script s'exécuter sans préavis et, pour renseigner l'utilisateur sur le contenu réel du fichier, l'affublerait d'une icône ad hoc reconnaissable.

Mais bon, les programmeurs de Cupertino sont occupés à verrouiller l'iPhone.

Soyez un peu sérieux s'il vous plait.

HR lance une commande depuis un fichier qui lui appartient puisque sur sa machine. Le système va l'en empêcher ? Alors il ne peut plus lancer aucun programme.

Quant à tes Apple Script, comme tu le dis, "sur une autre machine".

Là un proof of concept de la chose, variante .mov

Les fichiers n'apparaissent plus sous l'aspect d'icones images mais blanches. Mac OS X.5 alerte sur la provenance du programme et donne l'application qu'il veut lancer.

Chez déjà moins facile, n'est-ce pas ?

Sur Tiger, tu n'as pas l'alerte, mais comme l'icône est blanche, il faut être stupide pour lancer ça alors qu'on vient de le télécharger sans en vérifier la nature.

Après c'est question de sélection naturelle. Pas de pitié pour les idiots qui installent et lancent n'importe quoi téléchargé n'importe où => corbeille.


Si tu doutes, mets donc ton fichier en ligne qu'on rigole (Heise l'a retiré de ses serveurs depuis longtemps).

Doubleyou a écrit:

Pas de pitié pour les idiots qui installent et lancent n'importe quoi téléchargé n'importe où => corbeille.

Entre nous qui fréquentons les forums et nous intéressons à ce que la machine a dans le ventre, d'accord. Mais il y a aussi ce voisin retraité à qui on a conseillé d'acheter un mac et qui peut très bien recevoir un tel fichier dans un mail. Le mot « spam » pour lui n'a aucun sens. Il trouve étrange que des inconnus lui écrivent. Il regarde ça avec circonspection. Mais peut aussi bien faire un double clic qu'il peut ne plus oser ouvrir son mail de peut qu'il explose... Donc, pour ces gens là, il y a un réel danger. Personnellement, je préfère ne pas avoir sans arrêt des alertes (d'autant plus qu'alors, on ne les lis plus) mais je comprend cette inquiétude.

@Bernardo : protéger les naïfs contre eux-même est aussi vain que vider un océan avec une petite cuillère.

Pour en revenir plus précisément à l'objet de ce fil :

De quoi s'agit-il ?

Un fichier malicieux, se présentant sous l'aspect d'une image .jpeg ou .mov ou ce que l'on veut, qui est en fait un programme. HR, qui dispose des droits d'accès normaux à sa machine, demande l'exécution de ce programme par un double-clic. Tout cela est parfaitement normal. Il n'y a pas défaillance de la sécurité d'OS X, seulement d'HR.

La faille dénoncée il y a maintenant deux ans et comblée de suite par Apple ne concernait pas le fait de fabriquer des programmes pour Mac OS X, quelque soit l'aspect qu'ils revêtent, mais Safari et la fonction "Ouvrir automatiquement les fichiers fiables" ainsi que iChat, qui ouvraient ceux-ci sans aucune forme de procès.

Donc, et pour tester la sécurité de votre OS, vous cochez cette case dans les préférences de Safari et vous téléchargez le .mov que j'ai mis en lien. S'il ouvre la calculatrice sans vous demander quoique ce soit, c'est qu'il y a faille. Sinon allez vous coucher.

Double-cliquer sur la fausse image ou la fausse séquence, qui ne revêtent en aucun cas l'aspect d'un jpeg ou d'un mov malgré leurs extensions, installée sur son bureau, ne révèle la présence que d'une faille : celle entre le clavier et la chaise.

Si je remplace ce proof of concept par une application Automator contenant un script shell ou une application AppleScript et que je la lance, ce sera exactement la même chose. Ce qui ne serait pas normal, c'est que ce programme Automator ou AppleScript soit lancé par OS X sans vous demander votre avis. Ce n'est pas le cas.

W.

Doubleyou a écrit:

HR lance une commande depuis un fichier qui lui appartient puisque sur sa machine. Le système va l'en empêcher ? Alors il ne peut plus lancer aucun programme.

Mais tu racontes vraiment n’importe quoi ! Mes apple scripts sont interceptés par le système mais si je veux les lancer ils se lancent. La remarque est que cette précaution est fournie par le système pour un apple script mais pas pour un script terminal.

Comme d’habitude tu lis en diagonale (et encore) et tu bondis sur ton clavier pour écrire frénétiquement que le monde entier est composé d’idiots répartis tout autour de toi.

Bernardo a écrit:

Mais il y a aussi ce voisin retraité à qui on a conseillé d'acheter un mac et qui peut très bien recevoir un tel fichier dans un mail.

Ben oui, et il n’est ni stupide ni naïf, il a acheté un mac et essaye de s’en servir comme il peut. Il n’y a aucune raison de le regarder de haut comme le fait w, sabre de bois !
Comme tu le dis, il se retrouve dans une situation dangereuse pour sa machine mais il n’a aucun moyen de deviner en quoi. Un message d’avertissement, même s’il ne le comprend pas, peut au moins l’alerter et éventuellement l’inciter à se renseigner.

Et toi tu lis toujours ce qui t'arrange pour essayer de rebondir à coté.

Tu mets en cause le fait que le système exécute un programme à ta volonté. C'est idiot.

En plus, tu compares deux situations différentes, un programme en local et des AppleScript (dont on ne connais pas la nature) sur des volumes externes, avec tout ce que cela implique de droits.

Le titre de ton post c'est "Script maquillé en image" et non pas "Shell et AppleScript : comportement différent du système".

Citation :

Ben oui, et il n’est ni stupide ni naïf, il a acheté un mac et essaye de s’en servir comme il peut. Il n’y a aucune raison de le regarder de haut comme le fait w, sabre de bois !
Comme tu le dis, il se retrouve dans une situation dangereuse pour sa machine mais il n’a aucun moyen de deviner en quoi. Un message d’avertissement, même s’il ne le comprend pas, peut au moins l’alerter et éventuellement l’inciter à se renseigner.

Mais quel danger ????!!!!! Bougre d'Alsacien !

Celui de lancer un programme qu'on a volontairement installé ? Y'a rien qui protège contre ça. C'est la faille entre le clavier et la chaise.

Pour s'en prémunir, il faut s'informer. C'est à la porté de chacun. Alors je ne le regarde pas de haut, je lui fout mon pied au cul.

Cliquez sur le lien que j'ai donné après avoir coché "Ouvrir automatiquement les fichiers fiables". Et là on en reparlera.

Quand ça atteint ce stade d’incohérence je ne discute plus. On pourra en reparler si tu redescends par terre un de ces jours.

hr a écrit:

Quand ça atteint ce stade d’incohérence je ne discute plus. On pourra en reparler si tu redescends par terre un de ces jours.

Oui t'as raison "laisse 'béton' !!! "

Ben moi je ne laisse pas "béton" Mr Makomac.
L'incohérence est tienne, mon cher HR.

J'ai trituré ce proof of concept dans tous les sens, sur Leopard et sur Tiger, il faut le vouloir pour le lancer.

Par le navigateur, j'obtiens un fichier blanc et pas un fichier QuickTime.

Si je me l'envoie pas Mail, il prend la forme d'une icône QuickTime. Et si je double-clique c'est justement QuickTime qui se lance pour signaler que ce n'est pas une séquence et qu'il ne peut pas le lire.

Donc quand tu dis :

Citation :

Pas de réponse à ça de la part d’apple depuis tout ce temps

tu dis n'importe quoi. Cette faille est comblée, maintenant tu es libre de jouer à "chérie fait moi peur" avec les résidus de tes disques durs.

Autant d'incompréhension oui, mais il faudrait que tu retires le pâté d"oie qui te sert de cerveau d'entre tes oreilles.

Ce n’est pas parce que tu es caractériel qu’il faut absolument te sentir obligé d’être grossier.

Grossier ? Bof!

Tes bien chatouilleux avec les spécialités culinaires de ta région.

hr a écrit:

Ce n’est pas parce que tu es caractériel qu’il faut absolument te sentir obligé d’être grossier.

Moi, j'aime bien quand W. s'engueule avec quelqu'un d'autre .