dimanche 12 octobre
Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Liens connexes

Dépêche modérée par

: Jurisprudence Tati/Kitetoa ?

Posté par PloufPlouf (Jabber id, page perso, ). Modéré le 18 avril 2003.
0
Une analyse assez intéressante des conséquences de la relaxe en appel de Kitetoa.

On y apprend notamment (l'auteur ayant mené une contre-enquête) que l'intrusion n'a "pas été rendus possibles par l'utilisation des fonctionnalités habituelles d'un navigateur, mais par l'utilisation d'un outil spécifique et non documenté intégré à Netscape Navigator qui permettait la détection et l'administration à distance des serveurs de la marque".
C'est à dire que Kitetoa ajoutait "/quelquechose" à la fin de l'url, laissant penser que l'url existait, alors qu'avec n'importe quel autre navigateur on aurait eu une erreur 404.

> Lire la suite (33 commentaires, moyenne: 4,8).   [dépêche : 539 caractères]

Or, ayant assisté à une démonstration de cet exploit par Mr Kitetoa, à l'occasion de la première Zelig, je ne me rappelle pas qu'il ait mentionné cela, il soutenait que l'adresse existait et qu'on pouvait y accéder si on la connaissait.

Au delà de cet aspect technique cet article nous informe sur les risque de cette jurisprudence, et aborde évidemment l'innévitable question (Troll?) : Faut-il diffuser les exploits ?

NdM : plutôt : Comment faut-il diffuser les failles ?
(merci à Sunglasses d'avoir également proposé la news)

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

Re: Jurisprudence Tati/Kitetoa ?

Posté par Pierre Jarillon (page perso, ) le 18/04/2003 à 22:35. (lien). Évalué à 12.

Je pense que le comportement éthique quand on découvre une faille de sécurité est d'en avertir l'administrateur et faire de son mieux pour l'aider à corriger son système.
Toute publication avant que la parade ne soit disponible est hautement répréhensible. De plus, il faut laisser le temps à l'administrateur de faire son travail.
Dans un dernier temps, si rien n'est fait et que le risque d'intrusion fait courir des risque à des tiers (accès à des listes de clients), la médiatisation est le seul moyen de pression. À moins que la justice ne préfère s'en charger ? C'est une option peu crédible vu son extrême lenteur.

Re: Jurisprudence Tati/Kitetoa ?

Posté par Ange Bara () le 18/04/2003 à 22:44. (lien). Évalué à 18.

ne pas donner l'addresse de kitetoa ne me semble pas très equitable vu le contenu des articles donnés en lien !

http://www.kitetoa.com/Pages/Textes/Les_Dossiers/Tati_versus_Kiteto(...)

vous y trouverez la "version" du principal interresse.

Re: Jurisprudence Tati/Kitetoa ?

Posté par Ange Bara () le 18/04/2003 à 22:51. (lien). Évalué à 14.

Les deux articles de secuser.com (et non secureuser.com) sont du foutage de gueule...
l'auteur n'a, à l'evidence, meme pas pris la peine de consulter le site dont il parle...

Re: Jurisprudence Tati/Kitetoa ?

Posté par Gloo () le 19/04/2003 à 03:35. (lien). Évalué à 15.

Le plus fou dans cette histoire c'est qu'il y eu des fichiers nominatifs librement (n'en deplaise à l'autre) accessibles sur le web, qui revèlent des informations privées, cela pendant un an ou deux, et, PERSONNE n'est tombé sous le coup de la loi.

"Ce constat aurait dû faire hurler les défenseurs de la vie privée" comme dirait l'autre.

Contrairement à ce que l'autre pense, les hackers sont à proteger parceque c'est justement la vie privée des individus et la sécurité des systèmes d'informations qui est en jeux. Sinon qui va les defendre ? les editeurs de logiciels qui vendent des softs troués jusqu'au trognon ("si vous etes pas content, vous n'avez qu'à pas utiliser le logiciel, et de toute façon, vous ne pouvez pas engager notre responsabilité") ? les entreprises qui se revendent leurs fichiers clients parfois non déclarés à la CNIL, et qui ne risquent de toute façon rien à laisser trainer leurs fichiers clients sur le web pendant 1 an ou plus ? la justice avec des lois liberticides, sa lenteur ou sont cout ? les SSII, ce qui voudrait dire que la confidentialité n'est que le privilège des fortunés ? les vrais méchants ?

Pour l'histoire du "vrai/faux hackers pirate gentils mais en fait mechant qui est un chercheur de faille mais pas vraiment", et bien il y a un truc dans le droit français: la presomption d'innocence.

Je me demande si TATI, qui N'a _visiblement_ PAS voulu s'"offrir", non pas un expert en sécurité informatique bac+12 15 ans d'experience, mais un admin système (en interne ou via ssii), à quand même fait des économies en se payant ces procès et salissant ainsi son image sur le web et ailleurs. Vu que de toute façon personne ne les a poursuivi ca limite les frais ( et ca les deresponsabilise de surcroit. )

Forcer un login/password, ca c'est s'introduire de façon frauduleuse dans un système.

L'autre aurait du se poser une question du genre: Combien de temps après qu'une faille et son correctif ont été rendus publics (bugtraq ou autre) ou l'admin averti (dev specifique), doit-on considerer qu'une société ne se donne pas les moyens d'assurer la confidentialité de "ses" informations, rendant ainsi la société condamnable, le vrai hacker irreprochable et le mechant condamnable avec des circonstances attenuantes ?

L'autre aurait pu eviter les analogies stupides du type vol sans infraction. Dans le reel c'est une personne physique qui commet l'acte, sur la toile... c'est une machine et il va falloir prouver que c'etait bien moi qui était derrières les 6 proxies (Russie, US, Chine, Australie, Corrée du Nord, Angleterre ) et que j'ai bien tapé bien les commandes (et pas la machine toute seule via mail+macro+os_de_merde). Dans un cas, on parle de biens privées, dans l'autre d'information confidentielles.... Dans un cas c'est un lieu privé, dans l'autre c'est un espace libre d'accès. Bref, Ca n'a aucun rapport. En suivant le raisonnement, on interdit les cyber café, on emprisonne ceux qui "aurraient" pu faire une tentative d'infraction, on interdit les softs qui "pourraient" causer des problèmes (compilos), on nous file une IP dès la naissance et on se connecte au net uniquement via un système biometrique, et tout ca avec une justice/police centralisée et mondiale... Tout ca parceque des boites se foutent de tout (sauf de leur porte monnaie) en toute impunité ? Faut arreter...

TATI aurrait du se faire condamner, ca aurrait fait reflechir les boites qui pensent que les informations nominatives et en relation avec la vie privée de leurs clients ne meritent pas "un truc" qui se nomme sécurité, parceque, pour elles, c'est uniquement "un truc" qui coute et ne rapporte rien.

Re: Jurisprudence Tati/Kitetoa ?

Posté par youri_b () le 19/04/2003 à 07:28. (lien). Évalué à 1.

mmmh il me semble que l'on a pas de le DROIT de commenter une decision de justice, un volontaire pour attaquer manu? devant la justice, par ce que la il en fait des commentaires :-). surtout a propos de la decision pour kitetoa, histoire de lui apprendre a vivre.

Photo

Posté par Moby-Dik () le 19/04/2003 à 11:09. (lien). Évalué à 7.

J'ai des envies de meurtre à chaque fois que je vois un article "illustré" par la photo idiote et complaisante de l'auteur souriant comme un gamin trop sage lors de sa première communion... Quel genre de pertinence a la tronche de l'auteur de l'article ? Est-ce que ça le rend plus crédible ? Ou est-ce pour sous-entendre que c'est quelqu'un d'important ?

Le pire c'est que dans le cas présent, le type a une tronche de vendeur dans une société d'assurances (le genre de gars qui veut à tout prix vous refiler trois mutuelles différentes et des garanties complémentaires pour protéger la descendance de votre chien en cas d'attaque nucléaire surprise).

[+] Re: Jurisprudence Tati/Kitetoa ?

Posté par toub () le 19/04/2003 à 19:29. (lien). Évalué à -2.

C'est vrai que cela fait réfléchir : http://www.secuser.com/dossiers/affaire_tati_kitetoa.htm

Note de l'auteur de l'article concerné

Posté par EmJ () le 20/04/2003 à 16:58. (lien). Évalué à 3.

Merci à PloufPlouf d'avoir cité mon article dans sa dépêche et d'avoir provoqué cette discussion, mais il me faut préciser que sa présentation est essentiellement un commentaire personnel et qu'elle comporte quelques inexactitudes de nature à induire le lecteur en erreur quant au contenu réel de mon article sur la jurisprudence Tati/Kitetoa.

Tout d'abord, l'article en question ne porte pas sur la technique utilisée mais bien sur les conséquences de la jurisprudence, qui par définition fera désormais référence dans les situations similaires. La Justice ne pouvait-elle pas relaxer Kitetoa sans instaurer une jurisprudence qui autorise tout internaute à exploiter certaines failles des serveurs ou des applications web et à en télécharger les fichiers confidentiels? A qui profite réellement cette jurisprudence?

Ensuite, il ne s'agissait pas pour moi de m'interroger sur le fait de savoir s'il faut diffuser les exploits. La question est plutôt de savoir si la Justice peut autoriser à la fois la libre publication des exploits et la libre utilisation de ces exploits pour s'introduire dans les parties non publiques des systèmes et en télécharger les fichiers sensibles, ce qui reviendrait le cas échéant à légaliser le vol de données.

Enfin, même si je n'approuve pas toujours ses méthodes, j'ai fait partie de ceux qui ont envoyé un message de soutien à Kitetoa après sa condamnation en première instance. Que ceux qui contestent mon article uniquement parce qu'ils y voient une attaque personnelle veuillent bien mettre leur rancoeur de côté deux minutes et prendre réellement connaissance de mon papier, en respectant mon point du vue autant que je respecte le leur.

Personnellement, je ne demande qu'à confronter mon article à une critique constructive. Je préfère passer sur le rejet en bloc sans probablement l'avoir lu, sur les insinuations calomnieuses destinées à mettre en doute mon intégrité et sur la petite phrase assassine faisant état d'une envie de meurtre à la seule vue de ma trombine, et je vais essayer de répondre aux quelques messages intéressants afin d'engager un vrai débat.

EJ

Revenir en haut de page

Run by Team LinuxFr.org

Cette page a été générée par Templeet en 0.1369s (dont 0.0233 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Faire un don !