F-Prot pour DOS 3.14b

Olivier Aichelbaum wrote:

Ce n'était pas le cas dont on parlait : Tegam m'a affirmé être
reconnaissant aux personnes qui préviennent de problèmes.

Extraordinaire ! Tegam te dit un truc, c'est parole d'évangile. Il faudra
qu'objectivement tu fasses montre d'explications d'une évidence incroyable
pour me démontrer que tu n'es pas partisan. Je ne vois pas pourquoi tu les
croirai eux et pas Guillermito ou quelqu'un d'autre.

Et je pense que c'est dans l'intérêt de toutes les sociétés.

Leur intérêt est surtout de ne pas avoir une image de marque déplorable, une
bonne réputation et, accessoirement de gagner de l'argent sur ces deux
principes.

Il faut bien la rendre publique, parce
que les pirates eux, ne le feront pas, hein... Regarde l'affiaire
kitetoa, ou même les gars de hackademy (heu de tête hein, je me
rappelle plus) qui se sont retrouvés en GAV. Tous les éditeurs ne
réagissent pas en t'accueillant avec des fleurs !

Nous avons prévenus aussi des banques, les mêmes, et ça c'est bien
passé. La forme compte beaucoup pendant le contact : si tu es là pour
aider sincèrement, ou pour te faire de la pub, ce n'est pas pareil.

La forme, Laisse-moi rire. Quel que soit le ton adopté, la manière utilisée,
le fil rouge de tout cela reste "eh les gars, vous n'avez pas fait
correctement votre boulot, moi, simple amateur, j'ai trouvé une faille".
Cela ne fait jamais plaisir à une société de se faire remettre à sa place.

Et puis j'aimerai (nous sommes d'ailleurs plusieurs) que tu nous fasses voir
les failles que tu découvres ! Je maintiens moi que ça ne doit pas voler
bien haut et être du tonneau que j'ai décrit ailleurs. Si c'était du
sérieux, du qui met l'intégrité de la société en danger, du qui compromet
gravement un produit commercial, c'est avec une référence d'avocat que tu
seras reçu. Je n'en démords pas.

Guillermito qui traite Viguard de "daube" dès le début, ce n'est pas
le meilleur moyen de montrer qu'il est là pour aider soit disant...

Et eux, qui le traitent de terroriste ? Et les interview sur Web TV
machin-chose ? Moi, je pense que s'il avait eu tort, ils auraient publié un
communiqué technique démontant ses allégations point par point. il serait
passé pour un amateur et fin de l'histoire. Là, à coup d'affaire en justice
et de dénigrement en public, ils montrent surtout qu'ils ont tort et
Guillermito avit raison quand à ses remarques. J'ai connu pareil. En venant
m'insuter, les spécialistes ont cru me massacrer ; l'effet a été inverse car
c'était tellement grossier et mal fait que cela a prouvé que j'avais raison.

Mais pas trois mois, ils n'ont qu'à faire leur boulot !

Dans certains cas, ces trois mois sont nécessaires.

S'il faut trois mois pour corriger une faille dans un produit de quelques
centaines de milliers de lignes (je vois large, aucun AV n'est d ecette
taille...), il faut que cette société change de métier !

Regarde l'histoire des failles de IE chère à Fredéric, toujours pas
colmatées. Alors...

Dans ce cas, oui, il faut publier pour faire pression.

Et prendre des procès...

Mais là Guillermito n'a laissé aucun délai, même pas 24 heures.

Qu'est ce que tu en sait ? Je ne vois aucune raison qui m'oblige à ne pas le
croire.

Ne me fait pas rire, je vais passer une mauvaise nuit. Qu'est-ce que
tu révèles comme faille ? Des gags genre IFrame, des "exploits" Web
? Des mauvaises configurations dues à une négligence de
l'administrateur ou webmaster ?

Tu n'es pas obligé d'être "dénigrant" :(

Je ne suis pas dénigrant. Dès qu'on est pas de ton avis on te dénigre, on
t'attaque ? N'importe quoi ! Tu sais très bien de quoi je parle, il y a
plusieurs "niveau" technique de failles. Celles que je cite sont trouvable
par n'importe quel passionné ayant lu 3 revues informatiques et sachant
télécharger 2 logiciels par çi, par là sur le web. En général, que risque
l'attaqué ? Un défaçage ? La possibilité de rendre public tel ou tel fichier
? Risques peu important et significatifs tout de même... C'est autre chose
de s'attaquer à du RE, de se dépatouiller avec du MD ou de triturer des
paquets IP ! C'est autre chose de s'attaquer directement à un produit. Rien
de dénigrant la dedans, juste une vision objective des choses : tu vas pas
comparer un gars qui utilise Winnuke et celui qui l'a écrit je suppose ?
Donc, tu m'as compris.

Une faille qui permet de vider des comptes bancaires par exemple ?
Une faille qui permet de voler tous les passwords d'un gros FAI ?
Etc. etc.
(pas des CSS comme feu Hackerz Voice, mais de "vraies" failles !)

Et elles ont été publiées où que je puisse en juger par moi-même ?

Jamais le moindre problème !

Je t'accorde le droit d'être cru sur parole.

Révèle des failles autrement plus compromettantes (genre kitetoa) ou
dangereuse (heu votre produit là, il est pas bon, il posède un bug
énorme), je veux bien prendre les paris que tu sera accueilli avec
un avocat, pas avec des remerciements. Pour faire cela, faut
désassembler, faire du reverse engineering, debugguer.

La personne qui nous a expliqué comment "contaminer" des fichiers ZIP
(faille Winzip 8) l'a fait SANS désassemblage. On a prevenu Winzip et
ça c'est très bien passé, ils ont juste demandé un peu plus de 3 mois.

Je ne peux pas me prononcer sans voir le détail de la faille. Même problème
que ci-dessus.

C'est pas du mumuse pour prépubères là ! Et les
boîtes vont t'accuser d'espionnage industriel. Alors que par
passion, haute idée que tu te fais de la sécurité, de la
communiaction, du libre échange, tu croyais rendre service, tu te
retrouves en procès et avec de gros problèmes.

Quels sont les précédents en France ?

Guillermito ?

Supposons, il a le droit à la présomption d'innocence et surtout
celui d'être crû, que Guillermito ait effectivement contacté Tegam
avant de sortir son truc.

Oui, il a le droit à la présomption d'innocence, je lui ai demandé
copie des mails s'il veut.

Et pourquoi devrait-il te fournir celà ? Et puis bon, un mail, comme preuve,
laisse moi douter...

Eh bien, ne trouve pas leur réaction exagérée ? Accusation de
terorrisme dans des publicités et affaire porté devant la justice.

Perso je préfère attendre d'en savoir plus avant de m'exprimer.
Si Guillermito a le droit à la présomption d'innocence, Tegam aussi.

Dont acte ! Cesse alors de l'attaquer ou de le dénigrer comme tu aimes si
bien dire. Et attendons les résultats.

Alors, il est beau ton discours, mais il me fait bien rire, c'est du
démagogique ! Fait du sérieux, genre écris à Microsoft et dis leur
"heu la fonction X du noyau là, si je fais un driver comme ci comme
ça, j'obtiens facile un buffer overrun qui va me permettre de
planter IIS et de récupérer çi ou ça en clair", tu vas voir un peu
la reception et le traitement de ta révélation... On prend les paris
?

Zi hack l'a fait, Microsoft les a remercié.

Je peux avoir référence de l'exemple ?

Même pour eux, tout va mieux depuis qu'ils sont plus sérieux et
sincères dans leur démarche...

Pfff, elle a bien baissé en technique leur parution ! Bientôt, il n'y aura
plus que de l'Unix ou du Linux dedans. On risque moins...

Malgré un style "spécial" dans son papier, Guillermito n'a rien fait
à mes yeux qui mérite une action en justice. S'il les a
effectivement prévenu d'abord, il n'a fait que révéler des
faiblesses dans un produit. Rien de plus. Je ne vois pas pourquoi tu
lui fais sans cesse des reproches pour ça.

Je ne lui reproche pas son étude, je lui reproche le reste autour,
quand il me fera une réponse sans injure ni diffamation à mon égard
peut être que je prendrai les choses autrement.

Bah, c'est à toi d'apprécier ce qui est injure ou pas, je te l'accorde,
puisque ça t'es adressé (chose que n'a jamais compris djehuti par exemple).
Cela étant, si tu te voulais impartial, tu devrais aussi critiquer la
réaction de Tegam. Faire des publicités dans des revues à gros tirage (genre
PC Expert) en traitant quelqu'un de terroriste, je rêve là ! On est en
France, pas dans une république bananière contrôlée par des industriels.
Pourquoi n'as tu pas réagis à celà ?

--
AMcD

http://arnold.mcdonald.free.fr/

Je note que nous avons tous votre soutien dans notre activité
d'information du public contre les failles de sécurité. Merci !

J'en doute, vous passez votre temps à faire l'inverse.

Roland Garcia

Olivier Aichelbaum wrote:

Nicob wrote:

Dans ce cas, oui, il faut publier pour faire pression.
Mais là Guillermito n'a laissé aucun délai, même pas 24 heures.

Faux, faux et re-faux ...

Pourquoi nous sortir tout le temps les mêmes conneries ?

Eh bien, prouve-nous que Tegam a reçu les infos avant le public !

Toute personne (en
dehors des sociétés voulant éviter la moindre mauvaise remarque) aurait
fait comme Guillermito, exaspéré qu'il était par leur (manque de)
réaction.

Ils lui ont dit qu'il était déontologique des les prévenir en priorité.
L'a-t-il fait ensuite ?

Vous savez très bien qu'il n'a pas de réponse à cette question, c'est la
parole contre parole.
Quoique... Guillermito a dit publiquemment (ici, fcsv) avoir écrit à
Tegam, par contre Tegam semble avoir écrit qu'à vous, me trompe-je ?

Ewcia

Parce que vous croyez peut-être faire croire à vos sornettes de
"terroriste", "diffuseur de virus", "charlatan de la lutte anti-virale",
"lâche anonyme", "agent des pays de l'est" etc..., et j'en passe des
meilleures ?

Je maintiens ce que j'ai écrit dans son contexte.

Vous ne pouvez pas nier ces allégations fantaisistes, de pure
circonstance et calomnieuses.

Et je ne vois
pas le rapport avec l'affaire

Etant donné qu'elles sont fantaisistes elles n'ont de rapport avec rien,
sauf leur caractère gratuit et calomnieux.

Roland Garcia

Nicob wrote:

L'amalgame classique entre auteur de code et utilisateur (à titre
illégal) de ce même code. Argument de base des personnes voulant
limiter la diffusion d'informations techniques précises en sécurité
informatique.

Exactement ! Qui plus est, comment un utilisateur de code malveillant à son
insu pourra prouver que c'est fait effectivement à son insu ? Le fond du
problème est que les failles foont perdre de la crédibilités aux entreprises
et donc, de l'argent. Et là, les loups sortent les dents pour protéger leur
gagne pain.

"La peine maximale visant les piratages ou les virii qui auraient
occasionné la mort d'une personne."

Ben voyons ...
Il existe déjà des lois punissant l'homicide, volontaire ou non.
Pourquoi faire une loi spécifique au cas des virus. Existe-il une loi
punissant l'homicide via fil à couper le beurre ?

Lobbying ça s'appelle. On n'a pas le courage ou le moyen d'appliquer des
lois existante ou pas suffisamment précises pour protéger des intérêt
particuliers, alors, on en fait d'autres.

--
AMcD

http://arnold.mcdonald.free.fr/

Olivier Aichelbaum wrote:

Tu avais comparé le magazine à "Prépubère mag", et ce n'est qu'un
exemple dans le lot (or certains modérateurs travaillant pour
la concurrence...). Ce genre de propos pourrissent les discussions
et les relations, alors ne vient pas te plaindre si on n'est pas
"intime" aujourd'hui concernant l'avancée d'enquête.

Tu ne peux quand même pas nier que tes revues s'adressent tout de même à un
public d'adolescent en manque de starisation ! Personellement, je les achète
(comme toutes les autres du marché d'ailleurs) et mon avis, que tu dois bien
tolérer, est que ça ne vole pas très haut du point de vue technique. Je ne
critique absolument pas l'intérêt du contenu (sinon, je garderai mon argent
pour des choses plus utiles), je dit qu'il faut comparer ce qui est
comparable.

Nous avons le droit d'avoir un avis aussi non ? Il est que "techniquement"
parlant, tu es dépassé par MISC, Hackademyzmachin (ils en ont 3.000) et cie.
Que ce ne soit pas le public que tu vises (me répondras-tu), n'enlève rien à
cet état de fait. Alors, accepte la critique.

Et il n'y a aucun dénigrement de ma part.

--
AMcD

http://arnold.mcdonald.free.fr/

On Thu, 09 Oct 2003 12:01:06 +0200, AMcD wrote:

Zi hack l'a fait, Microsoft les a remercié.

Je peux avoir référence de l'exemple ?

Avec Microsoft :

http://www.securityfocus.com/archive/1/313362/2003-02-24/2003-03-02/0

Avec KDE :

http://cert.uni-stuttgart.de/archive/bugtraq/2002/12/msg00228.html


Mais bon, sur certaines autres failles non publiques, le comportement de
la Hack Academy a été *très* peu exemplaire. Et dans le cas de
"l'affaire des banques", c'était quand même grossier, leur ficelle ...


Nicob

On Thu, 09 Oct 2003 12:00:27 +0200, Olivier Aichelbaum wrote:

Tu avais comparé le magazine à "Prépubère mag", et ce n'est qu'un
exemple dans le lot (or certains modérateurs travaillant pour la
concurrence...).

Putain, t'es encore sur cette histoire ?

Oui, Cédric Blancher écrit dans MISC.
Non, il n'a pas censuré ton message.

C'est Stéphane Catteau qui l'a refusé et il t'a d'ailleurs dit que cela
pouvait se traiter via des mails privés. Mais non, Monsieur OA est allé
se plaindre sur fuad ...


Nicob
NB : Copie a été envoyé à Mr Blancher. Autant qu'il sache que l'on
parle encore de lui et de cette histoire ...

Merci.

Il n'en reste pas moins que ça va pas chercher midi à quatorze heures comme
on dit, et que ce n'est pas ce genre de "gag" qui va ruiner Microsoft. Je
persiste à clamer que s'attaquer à un produit particulier à coup de RE est
plus risqué. Voir la triste affaire Guillermito.

--
AMcD

http://arnold.mcdonald.free.fr/

Je note que nous avons tous votre soutien dans notre activité
d'information du public contre les failles de sécurité. Merci !

J'en doute, vous passez votre temps à faire l'inverse.

Quand avez vous dénoncé les pubs mensongères sur les boîtes françaises
de KAV/AVP (société pour laquelle selon vous je travaillerais) alors que
je le faisais ?
http://www.google.fr/groups?selm=53FEEA.3050100%40wanadoo.fr&oe=UTF-8&output=gplain

Réponse: jamais, alors qu'il n'y a pas pire qu'un faux sentiment de
sécurité en matière de sécurité !!!!

Roland Garcia