Plusieurs jeux publiés par Atari sur Wii utilisent l'interpréteur de jeu ScummVM, sans respecter sa licence GPL. Le code source n'est pas disponible, et aucune mention n'est faite de ScummVM ou de ses auteurs dans la documentation ou sur les sites web de l'éditeur.

Après enquête, il s'avère que c'est une filiale d'un sous-sous-traitant -- Mistic Software -- qui a utilisé ScummVM sans prévenir, probablement pour réduire les coûts de développement.

Au bout de quelques mois de conflit et de négociations, un accord a été conclu sans recours au système judiciaire : Mistic Software ne reconnaît pas avoir violé le copyright des auteurs de ScummVM, mais Atari arrête la distribution de ces jeux, les frais juridiques sont remboursés, accompagnés d'une donation conséquente à la FSF.

Quelle meilleure occasion que la Journée Mondiale de la Propriété Intellectuelle sur le thème Encourager la créativité pour parler de licences libres ?

En effet, contrairement à ce que voudraient faire croire certains de ses détracteurs, le logiciel libre respecte scrupuleusement la propriété Intellectuelle. Comme je le rappelle sur Apitux.org : un logiciel libre n'est pas un logiciel qui n'a pas de licence mais un logiciel dont la licence vous garantit certaines libertés. Les licences des logiciels libres servent à protéger ces libertés. Ces licences se fondent sur le droit d'auteur.

Le modèle du logiciel libre a inspiré d'autres licences comme les Créative Commons ou encore la licence Art Libre.

Une bonne occasion également pour reparler de l''économie du logiciel libre et pourquoi pas relire le rapport de Maurice LEVY et Jean-Pierre JOUYET sur l’économie de l’immatériel.

Skype utilise de nombreuses méthodes d'obscurcissement du code et du trafic réseau (jusque là rien de nouveau pour du logiciel propriétaire).

Le principal problème c'est qu'il permet de contourner toutes les mesures de sécurité réseau (peu de solution hormis interdire l'installation de Skype voire l'accès à internet). Le protocole a un comportement tellement atypique et si difficilement remarquable que les HIDS, IDS et pare-feux ont du mal à le bloquer. Il passe par des ports standards (80, etc.)
Skype fournit une API (interface de programmation) qui, détournée par une personne mal intentionnée, permettrait d'interfacer n'importe quel autre programme avec le réseau Skype (botnet ou autre attaque à base de cheval de Troie par exemple). Skype a par ailleurs reconnu qu'un greffon collectait des informations sur les machines des utilisateurs (identifiant unique de la carte mère en lisant le BIOS).

NdM : l'utilisation et la participation au développement de solutions de VoIP libres telles que Wengophone, Ekiga ou Asterisk permettent de s'affranchir d'une partie de ces problèmes (voire de bénéficier de la vidéo).

Vous avez probablement entendu parler du fameux rootkit de Sony BMG qui s'installe dans votre dos si vous essayez de lire un CD protégé par le système XCP sous Windows.

Après la mise en évidence d'une utilisation de Lame dans des conditions non conformes à sa licence (LGPL), voici que deux hackers, Sebastian Porst et Matti Nikki, ont identifié avec l'aide de Sabre Security des morceaux de code GPL dans le rootkit de Sony ! Ce code serait extrait de demux/mp4/drms.c, écrit par 'DVD' Jon Lech Johansen et notre Sam Hocevar national, et implémente un protocole de chiffrement propriétaire d'Apple.

Au passage, on ne manquera pas d'aller lire la page d'excuses de Sony BMG qui botte en touche.

NdM : ceux d'entre vous qui n'auraient pas encore entendu parler de ce "fameux rootkit" pourront trouver un résumé détaillé des épisodes précédents sur le blog de Tristan Nitot.

Le CENTINEL organisera la troisième édition du Hackfest. Ce colloque se déroulera entièrement sous le thème de la sécurité informatique. L'évènement aura lieu les 16 et 17 septembre 2005 au pavillon Desjardins de l'Université Laval à Québec.

Cette année, le Hackfest se déroulera sur deux jours. Il y aura des conférences sur le Social Engineering, les lois entourant le piratage, la sécurité du protocole IPv6, un nouveau module de manipulation de trafic réseau pour BSD, le spoofing téléphonique avec la VoIP ainsi que sur différentes méthodes d'exploitation de logiciels.

Comme à l'habitude, le samedi soir sera dédié au concours de sécurité.

Jon Johansen, célèbre pour avoir craqué le système de protection des DVD, fait de nouveau parler de lui. Après s'être attiré les foudres du MPAA, il se pourrait qu'il ait maintenant un nouvel ennemi, et non des moindres : Apple. Jon vient en effet de publier un programme permettant d'enregistrer sur son disque dur les titres achetés sur iTunes Store, non sans les débarasser de leur protection DRM.

Hé oui ! Le Québec a maintenant son propre Hackfest ! Pour une deuxième année de suite, il sera organisé dans le cadre du CENTINEL, le congrès étudiant sur les nouvelles technologies de l'information et de l'électronique ! Il se déroulera le 15 novembre prochain à l'Université Laval de Québec.

Lors de ce hackfest il y aura 3 conférences techniques en sécurité informatique et un concours de piratage (à l'intérieur d'un réseau isolé). Il y aura plusieurs prix à gagner dont 500$ en argent et un clié de sony !

Il est aussi à noter que durant tout le congrès il y aura une dizaine de conférences en informatique et en électronique et un Lanparty. Le prix d'entrée est de 5$ pour les étudiants (général : 20$) et donne accès à toutes les conférences et au Hackfest.

Pirate Mag annonce sur le site acbm.com que le numéro de commission paritaire vient de lui être retiré ce qui devrait entraîner la disparition de ce titre.

On pouvait ne pas aimer le ton de ce mensuel mais les motivations de la CPPAP (Commission Paritaire des Publications et Agence de Presse) laissent rêveur :
La Commission, composée notamment de représentants du Ministère des Finances et du Ministère des Postes et de la Télécommunication, estime que les informations présentées pouvaient « faciliter le piratage informatique, qui est pénalement réprimé ».

NdM : rajouté l'article de LinuxFrench

La "bien connue" Business software Alliance organise une "campagne de sensibilisation au respect de l'œuvre logicielle" au cours de la semaine du 13 au 17 octobre.

À cette occasion, 4 actions sont menées :
- campagne radio sur Europe1 et France Inter (spots téléchargeables sur le site de BSA)
- mailing à destination des entreprises (consultable)
- une affiche à destination des employés (une nouvelle affiche à parodier ?)
- une exposition de 3 mois au musée de la contrefaçon (Paris 16)

Comme toujours, les logiciels libres ne sont même pas évoqués.

Voici ce que l'on peut lire sur la mailing-list d'openoffice...

Le BSA utilise des robots de recherche de nom de fichiers pour trouver les serveurs FTP donnant des contenu copyrightés. Bien sûr un nom est loin de refléter le contenu, et cela devient franchement ridicule quand on recherche sur un mot commun comme "office"...

Croyant mettre au pilori une distribution sauvage de MS Office, ils ont épinglé un innocent serveur d'université offrant au téléchargement ... OpenOffice.org dans une distribution Mandrake Linux.

NdM : OpenOffice.org est une suite bureautique Libre, et Mandrake Linux une distribution GNU/Linux contenant cette suite logicielle. Vous pouvez les télécharger en suivant les liens.

Le réseau IRC DALNet a pris la décision de prohiber l'utilisation de ses salons à des fins d'échange de fichiers, visant les #warez et consors.

Selon eux, "Il y a d'autres ressources pour vous sur Internet pour distribuer vos fichiers. DALnet n'en fait pas partie." Sous-entendu : Utilisez les réseaux P2P pour pirater, ils sont fait pour!

Kevin Mitnick, le plus célèbre des "pirates", a écrit un livre, "The Art of Deception", qui a pour sujet la sécurité informatique.
Le premier chapitre de ce livre a été amputé par l'éditeur... il est aujourd'hui disponible dans son état d'origine.

Merci à Michèle, alias Deirdre, qui m'a envoyé ces liens.

On a souvent parlé sur LinuxFr du journal "Hackerz Voice", et pas toujours en termes élogieux. En effet, le ton à la "Jean Kevin" et plusieurs cas de plagiats ont contribué à ternir l'image de ce journal. Ayant personnellement rencontré "Fozzy", l'un des piliers du journal, j'ai été surpris de me trouver face à quelqu'un aux antipodes de l'image qu'il donne dans le journal.

Je lui ai proposé que les mou^H^H^Hlecteurs de LinuxFr lui posent des questions concernant le magazine, la "hackadémie", les projets futurs... ce qu'il a accepté avec plaisir.

Si vous avez une question à poser à Fozzy, c'est le moment. Nous lui enverrons les meilleures questions, et ses réponses feront l'objet d'une news ultérieure.

L'attaque que tout le monde craignait vient d'avoir lieu sur Internet. Le FBI enquête en effet sur une tentative ayant eu lieu Lundi 21/10 de faire "tomber" les 13 "root servers" qui gèrent le DNS pour l'ensemble d'Internet.

NdM: merci aux nombreuses contributions à ce sujet que nous avons reçu.

Après OpenSSH, il y a quelques temps, c'est au tour du serveur FTP de Sendmail d'être compromis. L'intrus a déposé des sources de la version 8.12.6 contenant un cheval de Troie qui s'exécute pendant la compilation, se connecte sur le port 6667 d'une machine fixe et ouvre un shell... Le même qu'OpenSSH quoi ! L'intrusion date du 28/09/2002, et pour le moment sendmail.org a fermé l'accès ftp.
Ceux qui auront pris le soin de vérifier la signature GPG/PGP l'auront remarqué...

Des membres du journal "Hackerz Voice" ont été placés en garde à vue après avoir tenté de faire une démonstration publique de la faiblesse de certains sites bancaires. "Hackerz Voice" est aussi connu pour avoir lancé une université des "hackerz" (soupir) qui continue de sévir. La liste des cours de cette "Hackademie" est assez éloquente sur le niveau de ces wannabie hackers. Je cite:
"La spécificité de nos cours est d'approcher la sécurité du point de vue du hacker"
J'ai hésité entre la rubrique "pirate" ou "humour", le modérateur me corrigera.
NdM: vous êtes tellement nombreux à avoir proposé cette dépêche, que je pense qu'elle mérite d'être approuvée.

Deux pirates spécialisés dans la défiguration de sites "ennemis à la patrie Américaine" (sigh!) ont été arrêtés en mai dernier. Leur procès va se tenir bientôt aux États-Unis. Récemment, l'équipe du journal en ligne vnunet.com a été contactée par un pirate 'reconverti' du nom de Splurge qui faisait parti de la même équipe de pirates (Sm0ked Crew). Splurge a menacé de reprendre ses activités de piratage si les deux accusés étaient condamnés à la prison, arguant que les accusés avaient agit pour 'protéger la nation américaine'.

Cacher des actes de piratages derrière des causes pseudo-idéologiques fait penser au grand public que les Pirates ont leurs propres lois et sont les seuls maîtres dans le Cyberspace.

Comment devons-nous réagir face à ce genre d'attitude ?

D'après un mail sur la liste de freebsd-security, le tarball de la dernier version d'openssh portable (openssh-3.4-p1) contient un shell code dans openbsd-compat/bf-test.c, qui sera lancé via Makefile.in si on fait un make.

Vous pouvez comparez avec un miroir :

ftp.openbsd.org (infecté) :
ftp://ftp.openbsd.org/pub/OpenBSD/OpenSSH/portable/openssh-3.4p1.tar.gz

ftp.lip6.org (non infecté):
ftp://ftp.lip6.fr/pub/OpenBSD/OpenSSH/portable/openssh-3.4p1.tar.gz

En Malaisie, la gouvernement a décidé d'autoriser les écoles et administrations sociales à pirater les logiciels "dans un but éducatif". C'est effectivement un très bonne exemple à donner à la jeunesse, on peut féliciter le gouvernement malaisien pour tant de clairvoyance...
J'en connais qui vont se battre en apparence contre une telle indignité, mais qui se frottent les mains dans le dos...
En tout cas, il faudrait peut-être faire savoir au gouvernement malaisien qu'il existe des solutions alternatives, en lui rappelant par exemple les vues péruviennes à ce sujet...

Hank Leininger indique sur Securityfocus que le package ircii-pana-1.0c19.tar.gz qui était téléchargeable jusqu'au 1 Juillet, sur ftp.bitchx.org, était vérolé par une backdoor. Le script tente une connection à l'extérieur une fois par heure.

Le même package téléchargeable à partir de ftp.irc.org est sain.

Le code ajouté au package ircii-pana-1.0c19.tar.gz initial est indiqué dans le post de Hank Leininger.

Le problème devient très génant lorsque Hank Leininger s'apperçoit qu'il y a plusieurs copies de ce package sur ftp.bitchx.org (au moins deux), et que certains téléchargement fournissent une version vérolée et pas d'autre. Les utilisateurs qui se connectent avec des modem-cables ou DSL semblent recevoir les versions vérolés, alors que les utilisateurs ayant des connections moins rapide reçoivent la version saine.
De plus, rapatrier le package un par client ftp peut livrer une copie saine alors que Lynx récupère une copie vérolée.

Hank Leininger en arrive à la conclusion que ftp.bitchx.org a surement été rootkité, et qu'il faut donc se méfier de tout package en provenance de ce serveur ou de ses mirroirs.

Les développeurs du site seraient en train de chercher le trou de sécurité dans leur système.

Au moment ou je poste cette news, le site bitchx.org semble fermé.

Cette news est passée sur unixtech.be mais avec le titre bizarre "Apres la backdoor d'irssi, voici celle de BitchX", et juste le lien sur securityfocus.

C'est vrai que GNU/Linux représente un vrai véritable défi pour les pirates, c'est un système complexe, toujours en évolution, plutôt bien sécurisé (la réactivité de la communauté est telle que les failles de sécurité ne restent jamais longtemps ouvertes...)
Et puis, il est tellement plus facile de créer une paranoïa planétaire avec de simples scripts envoyés par courriel !

Mais bon, les faits sont là, le libre est vraisemblablement le nouveau terrain de jeu des pirates, comme le souligne un article de vnunet.com.
Il semblerait que quelques pays seulement soient victimes de defaçage (Allemagne, Suisse) mais, sait-on jamais ce qui peut nous arriver...

Alors, à vos correctifs noyaux et autres pare-feux !

Note du modérateur : globalement rien de nouveau, les « pirates » s'attaquent aux machines mal configurées. On notera que Vnunet.com prétend parler d'« open source » (sans majuscules) alors que l'article parle de GNU/Linux, et utilise le terme hacker pour désigner un pirate

Canal+ vient de déposer plainte en Californie contre NDS, une société israëlienne appartenant à Ruppert Murdoch (magnat des médias, concurrent de C+). C+ les accuse de leur avoir fait perdre 1 milliard de $ en sabotant leur système de cartes à puces.

En effet, NDS, qui fabrique aussi des systèmes de TV cryptées, aurait utilisé ses compétences et leur matos pour hacker le système de C+, et envoyer le tout sur des sites de pirates US, génerant ainsi un trafic de décodeurs pirates dans le monde entier. Entre autre, d'après C+, des 100 de milliers de décodeurs pirates seraient utilisés en Italie

Le pirate connu Adrian Lamo, a réussis à pénétrer les systèmes du New-York Times. Banal vous me direz mais il avait sous la main la liste de tous les contributeurs du New-York Times incluant les anciens présidents, etc. Il a même pris le soin de se rajouter à la liste en tant que "Hacker" professionel ;)

Un gros bravo à ce monsieur puisqu'il n'a pas propagé la nouvelle, il a préféré se rendre au New-York Times afin de démontrer sa découverte. Ceux-ci ont apprécié le geste et l'auraient même engagé afin de colmater la faille.

Lu sur Wired:
"Les pirates de logiciels, ignorés longtemps par tout le monde, sauf l'industrie du logiciel et ceux qui cherchent des logiciels pas chers, deviennent de plus en plus surveillés par le gouvernement et les officiels de l'application des lois.
Les pirates de logiciels sont maintenant arrêtés en masse. Les pirates sont accusés d'utiliser la vente de logiciels pour financer des organisations terroristes et le crime organisé, et d'empêcher leur pays de participer au commerce étranger et aux marchés d'investissement."

Une raison de plus pour passer aux logiciels libres et à Linux.