Moins de failles dans Vista que dans XP

David Maume

01net.

le 25/06/2007 à 18h11

12 réactions

envoyer
par mail

imprimer
l'article

Presque sept mois après le lancement de Windows Vista (fin novembre 2006), Microsoft fait le point sur la fiabilité de son nouveau système d’exploitation.

Jeffrey Jones, un de ses experts en sécurité, vient de publier un rapport dans lequel il comptabilise les failles découvertes dans Vista dans les six mois qui ont suivi son lancement (jusqu’à la fin mai). Il compare les résultats avec ceux obtenus par d’autres systèmes d’exploitation et notamment par Windows XP durant les six premiers mois de sa commercialisation.

Failles critiques : Vista 11 - XP 24

Comme Microsoft le laissait déjà entendre en janvier dernier, le rapport montre que Vista n’est pas exempt de failles et notamment de failles critiques qui vont jusqu'à permettre à un pirate de prendre le contrôle d’un PC à distance.

Ainsi, sur les 27 failles découvertes dans Vista depuis janvier, 11 sont critiques. C’est beaucoup mais c’est déjà mieux que pour Windows XP en son temps. Durant les six mois qui avaient suivi son lancement en 2001, 39 failles avaient été découvertes dont 24 critiques. “ Sachant que le nombre de lignes de codes est passé de 35 millions pour XP à 65 millions pour Vista, cette réduction par deux du nombre de failles critiques est un point positif. Elle est directement imputable à notre nouvelle méthodologie de développement centrée sur la sécurité (SDL pour Security Development Lifecycle). Elle a été mise en œuvre pour la première fois avec Windows Vista ”, commente Bernard Ourghanlian, directeur technique et sécurité de Microsoft France.

Pour Didier Godart, PDG de DgOzone et auteur de Sécurité informatique : risques, stratégies et solutions, cette diminution du nombre de failles découvertes est peut-être le résultat d’une meilleure méthode de développement mais rien ne le prouve. “ Un paramètre important est le niveau d’adoption du nouveau système par les entreprises. Il est difficile d’avoir des données précises mais, selon moi, XP a été testé beaucoup plus intensivement par l’industrie dans ses six premiers mois que Vista. Ceci peut expliquer qu’un nombre plus important de failles aient été découvertes ”, avance-t-il.

Vista, plus difficile à patcher que XP ?

Tandis que le nombre de failles découvertes en six mois a diminué, le pourcentage de failles corrigées dans le même temps a, lui, nettement reculé par rapport à XP. Toujours selon le rapport de Jeffrey Jones, avec XP, 36 des 39 failles découvertes avaient été corrigées dans les six mois. Avec Vista, seulement 12 des 27 failles ont été corrigées. Quinze d’entre elles dont une critique sont encore en attente de correctifs.

Vista serait-il plus difficile à patcher que XP ? “Pas du tout, se défend Bernard Ourghanlian. Cette différence s’explique par un changement radical de méthodologie de conception des patchs. Il nous faut aujourd’hui plus de temps, car le travail d’analyse d’une faille et de test d’un correctif est beaucoup plus poussé qu’auparavant ”, assure-t-il. Selon lui, Microsoft réalise désormais des tests conséquents pour être certain qu’un correctif ne crée pas de problèmes en plus d'en corriger. “ Avec XP, les tests se limitaient à la fonction touchée par la faille. Désormais, les tests sont réalisés sur un périmètre beaucoup plus large. Il faut au moins six semaines pour concevoir et tester un correctif contre seulement quatre semaines auparavant ”, ajoute Bernard Ourghanlian.

A chaque nouvelle faille, Microsoft essaye également de comprendre pourquoi sa méthode de développement (SDL) n’a pas permis d’éviter cette dernière, ce qui prend aussi du temps. “ Nous essayons de trouver l’erreur de méthodologie avant de concevoir le correctif pour éviter qu’une nouvelle faille puisse exploiter cette erreur, explique Bernard Ourghanlian. La nouvelle méthodologie de conception et de publication de correctifs de Microsoft est pertinente. Il vaut mieux tester intensivement les correctifs et regrouper leurs publications afin de ne pas perturber inutilement l’activité des entreprises ”, analyse Didier Godart.

Au final, Vista est-il plus sûr que XP ? Selon Didier Godart, “ Microsoft a fait de gros effort pour améliorer la sécurité de son système et les premiers résultats sont encourageants mais il faudra encore du temps avant de pouvoir répondre de manière définitive à cette question ”.

Nombre de failles découvertes dans les six premiers mois
			Failles découvertes		Failles corrigées		Failles non corrigées		Failles critiques		Failles critiques non corrigées
	Vista		27		12		15		11		1
	XP		39		36		3		24		1
Source : Jeffrey Jones, expert sécurité chez Microsoft

C'est par erreur que nous avons titré cet article hier, au moment de sa publication : “ Moins de failles dans XP que dans Vista ”.