Utilisation des CERT pour faire "bouger" les admins de sites vulnerables

Salut !

J'ai récemment trouvé une faille de sécurité sur un site qui comporte
entre autres mes données personnelles (grosso modo, je suis membre du
club XYZ) et j'ai tenté de faire colmater la faille en m'appuyant sur
les articles de droit français obligeant les sociétés à la protection
des données personnelles.

Après avoir tenté de contacter en direct la société (via les adresses
issues de la RFC 2142) puis avoir épluché leur press-release pour
trouver des emails directs puis avoir trouvé/contacté la société ayant
créé le site puis ben j'ai laissé tomber.

J'ai contacté le CERT-IST (mail crypté et signé) en leur donnant le
site vulnérable et les conséquences possibles. Ils m'ont rapidement
attribué un numéro de ticket et demandé des détails techniques sur la
faille. Après leur avoir donné un PoC, j'ai eu la douce surprise de
recevoir un mail me disant qu'ils avaient contacté les admins, que ces
derniers avaient corrigé la faille et qu'ils n'attendaient plus qu'une
validation de cet état de fait de ma part pour fermer le ticket.

Ce qui fut fait

Voilà, c'était juste pour donner le fin mot de cette histoire, afin
d'éventuellement encourager d'autres personnes à utiliser ces structures
pour augmenter le niveau de sécurité de sites sans avoir à y perdre
trop de temps.

Tout de même, je me demande si les ressources en temps/hommes des CERTS
français seraient suffisantes si tout le monde remontait *toutes* les
failles trouvées sur des sites français Ca leur ferait carrément
beaucoup de travail, et ça rapellerait, AMHA, la saturation de la boite
mail de la CNIL.


Nicob