Guillermito condamne avec sursis

Jean-Marc Desperrier wrote:

J'invite la justice à s'intéresser des prés aux chaînes de revente
commerciale de jeux vidéo d'occasion. La probabilité qu'ils lisent
attentivement la licence de chaque jeu pour vérifier que l'éditeur
autorise la revente est nulle.

Je suis parfaitement d'accord, et ça s'applique à d'autres logiciels, comme
Solaris (et j'aime beaucoup Solaris :-) ou à d'autres produits intellectuels (il
me semble bien avoir vu des DVD dont l'avertissement initial interdisait le prêt
et/ou le don). La différence est que, dans ces cas, les éditeurs ignorent
complètement ces reventes, et les laissent faire.
Je pense qu'ils se rendent bien compte que cela ne leur servirait à rien d'un
point de vue commercial, au contraire! Par contre, la raison pour laquelle ils
laissent ces avertissements me semble hyprocrite. Je suppose que leurs services
juridiques leur disent que c'est mieux de l'avoir, au cas où...

Mais, justement, c'est un point qui n'a pas été jugé ici, ni ailleurs à ma
connaissance: nous ne savons donc pas si ces clauses ont une valeur légale ou pas.

Laurent

Le Sat, 12 Mar 2005 13:28:18 +0000, Laurent Blume a écrit :

Mais auraient-ils gagné?

Ben justement, on n'en sait rien.
Ce procès, qui devait être le procès du full-disclosure (et que
certains continuent à traiter comme tel) ne l'a pas été. Du coup, on
n'a pas avancé d'un pouce sur ce terrain là, voire même régressé au
regard des confusions que cela entraîne.


--
BOFH excuse #162:

bugs in the RAID

On 12 Mar 2005 14:22:21 GMT, Cedric Blancher <blancher@cartel-securite.fr>
wrote:

Le Sat, 12 Mar 2005 13:28:18 +0000, Laurent Blume a écrit :

Mais auraient-ils gagné?

Ben justement, on n'en sait rien.
Ce procès, qui devait être le procès du full-disclosure (et que
certains continuent à traiter comme tel) ne l'a pas été.

Pourquoi cette affaire devrait-elle se transformer en procès du
full-disclosure ?!
Tu vas pas toi aussi t'y mettre à entretenir la confusion je t'en prie.
Tous les jours il y a des publications de failles et ça continuera quelque
soit l'issue de cette affaire. Et c'est tant mieux pour tout le monde.

Cette affaire me semble extrêmement complexe à apprécier et par là-même à
juger.

Du coup, on
n'a pas avancé d'un pouce sur ce terrain là,

Pourquoi devrait-il y avoir évolution ou transformation dans le mode de
publication des failles ?

Cette affaire revêt un caractère délicat et particulier et n'a amha rien à
voir avec le full disclosure.
J'ai l'impression d'assister depuis le début des hostilités à un règlement
de compte entre deux parties : amies hier et ennemies aujourd'hui. Où
l'une des parties cherche coûte que coûte à abattre l'autre par tous les
moyens.

voire même régressé au
regard des confusions que cela entraîne.

Pour ma part certainement pas. Il y aura toujours des publications de
failles quoiqu'il advienne.

Le Sat, 12 Mar 2005 18:20:37 +0000, LaDDL a écrit :

Ce procès, qui devait être le procès du full-disclosure (et que
certains continuent à traiter comme tel) ne l'a pas été.
Pourquoi cette affaire devrait-elle se transformer en procès du

full-disclosure ?!

Dis, fais moi plaisir, avant de me répondre, lis ce que j'écris. En
particulier DEVRAIT <> DEVAIT.

Cette affaire me semble extrêmement complexe à apprécier et par
là-même à juger.

Clairement pas si compliquée que cela. C'est tout ce qu'on raconte comme
conneries autour qui la rend compliquée à comprendre.

Pourquoi devrait-il y avoir évolution ou transformation dans le mode de
publication des failles ?

Est-ce que j'ai parlé de cela ? Et de toute manière, il n'y a pas à
proprement parler de mode de publication des failles qui soit reconnu par
la loi comme valable... La bonne foi reste à l'appréciation du juge.

Cette affaire revêt un caractère délicat et particulier et n'a amha
rien à voir avec le full disclosure.

Aujourd'hui non vu les développements de l'affaire qui est partie sur le
problème de la possession de licence (argument largement discutable
d'ailleurs), mais ça n'a pas toujours été le cas. Il suffit de
reprendre la chronologie de l'histoire, en particulier les motifs de
plainte successifs, ou encore le réquisitoire du ministère public pour
s'en convaincre. Ce dernier nous disait en substance que les p'tits
particuliers n'avaient pas à chercher et divulguer des failles, devant
laisser le marché faire son oeuvre (risible).

J'ai l'impression d'assister depuis le début des hostilités à un
règlement de compte entre deux parties : amies hier et ennemies
aujourd'hui. Où l'une des parties cherche coûte que coûte à abattre
l'autre par tous les moyens.

C'est exactement le cas. Le problème est le prétexte qui a été pris
qui a bien failli entrer en collision avec la notion de recherche et de
publication de faille (cf. supra). En gros, une partie a largement
débordé le théâtre des opérations et bien failli (à mon sens) faire
des dommages collatéraux sérieux.

Pour ma part certainement pas. Il y aura toujours des publications de
failles quoiqu'il advienne.

Bien sûr, mais il y a pas de mal de gens qui se poseront des questions,
et qui ne publieront rien pour ne pas prendre le risque de se retrouver
dans la même situation que Guillermito, en toute connaissance de cause ou
parce qu'ils auront été abusé par de mauvaises interprétations de
l'affaire. Je ne pense pas que le monde de la sécurité en sorte indemne
et qu'on reparlera de cette histoire régulièrement.


--
L'argument de poids qui dit que mes potes et moi on est d'accord
n'avance pas à grand chose. On va voter les théoremes, ça ira plus vite
que de les demontrer et elire les annees bisextiles, ça sera rigolo.
-+- BjB in http://neuneu.mine.nu : Le texosaure (s)electif.

On 12 Mar 2005 18:36:12 GMT, Cedric Blancher <blancher@cartel-securite.fr>
wrote:

Le Sat, 12 Mar 2005 18:20:37 +0000, LaDDL a écrit :

Ce procès, qui devait être le procès du full-disclosure (et que
certains continuent à traiter comme tel) ne l'a pas été.
Pourquoi cette affaire devrait-elle se transformer en procès du

full-disclosure ?!

Dis, fais moi plaisir, avant de me répondre, lis ce que j'écris. En
particulier DEVRAIT <> DEVAIT.

Cette affaire me semble extrêmement complexe à apprécier et par
là-même à juger.

Clairement pas si compliquée que cela.

Dorénavant non bien sûr.
Mais ce qui me semble pour le moins compliqué/confus/étrange/obscure c'est
le cheminement de cette affaire de son origine à maintenant.
Corriges-moi si je me trompe mais au moment de la publication des travaux
de Guillermito, Tegam n'a pas réagit. Donc pourquoi avoir attendu ?
Pourquoi la situation s'est dégradée ?
En bref comment en sont-ils arrivés là ?
Enfin quels sont les enjeux, objectifs ?

C'est tout ce qu'on raconte comme
conneries autour qui la rend compliquée à comprendre.

Pour ma part je m'en tiens aux faits.
Le buzz autour est navrant.

Pourquoi devrait-il y avoir évolution ou transformation dans le mode de
publication des failles ?

Est-ce que j'ai parlé de cela ?

Bah tu le sous-entends puisque tu indiques que le procès n'a pas retenu la
publication des failles des logiciels. Je te cite : "Du coup, on n'a pas
avancé d'un pouce sur ce terrain là, voire même régressé au regard des
confusions que cela entraîne".
Donc tu aurais souhaité qu'il y ait eu une prise de position officielle.

Et de toute manière, il n'y a pas à
proprement parler de mode de publication des failles qui soit reconnu par
la loi comme valable...

Parfaitement mais c'est légitimé par les autorités quand ça va dans le
sens de l'assurance de la sécurité des systèmes d'information. La nuance
réside dans l'intention de nuire ou pas.

La bonne foi reste à l'appréciation du juge.

Exactement.

Cette affaire revêt un caractère délicat et particulier et n'a amha
rien à voir avec le full disclosure.

Aujourd'hui non vu les développements de l'affaire qui est partie sur le
problème de la possession de licence (argument largement discutable
d'ailleurs),

Complétement discutable ! Etant donné qu'une des caractéristiques de
l'industrie informatique/logicielle est d'avoir exploité/utilisé l'esprit
communautaire des réseaux pendant des années & malheureusement de moins en
moins aujourd'hui pour diffuser leurs programmes (applications, jeux, etc)
sur des serveurs FTP pirates (qu'ils avaient même souvent créé !).
Pourquoi ? Pour que les users puissent se les échanger, en parler, les
tester, créer une communauté de user, etc... Le résultat : après les
versions béta si le logiciel était bon "tout le monde" l'achetait. Il faut
noter que le concepteur du logiciel ou encore son éditeur était ravi de
bénéficier d'un feedback des users pour corriger les bugs et autres
failles dans son soft !

Alors pour revenir à Tegam vs Guillermito il y a pour moi bien autre chose
que cet argument (ridicule) de la licence. C'est idiot mais je suis
convaincu que Guillermito est l'homme à abattre pour Tegam. Mais pourquoi
? Et à cause de quoi ? Certainement pas suite au téléchargement en warez
d'une version de Viguard et de la publication de ses résultats.

mais ça n'a pas toujours été le cas.

C'est vrai. Mais que cette affaire est tortueuse.

Il suffit de
reprendre la chronologie de l'histoire,

Quelle histoire ? Les faits pris en compte dans les différentes procédures
et le procès ou bien tout ce qui se dit autour ?

en particulier les motifs de
plainte successifs, ou encore le réquisitoire du ministère public pour
s'en convaincre. Ce dernier nous disait en substance que les p'tits
particuliers n'avaient pas à chercher et divulguer des failles, devant
laisser le marché faire son oeuvre (risible).

Cet argument est selon moi dénué de bon sens (et surtout est
particulièrement hypocrite) car l'histoire de la publication des failles
dans les logiciels repose sur des actions individuelles ou de groupes. Où
une bonne partie de cette population hétérogène exerçe un métier dans
l'informatique, les réseaux, les télécoms ou dans la recherche
scientifique.
Il faudrait leur rappeler ce qu'est le hacking !

J'ai l'impression d'assister depuis le début des hostilités à un
règlement de compte entre deux parties : amies hier et ennemies
aujourd'hui. Où l'une des parties cherche coûte que coûte à abattre
l'autre par tous les moyens.

C'est exactement le cas.

Mais pourquoi ? Car c'est amha la clef de ce procès.

Le problème est le prétexte qui a été pris
qui a bien failli entrer en collision avec la notion de recherche et de
publication de faille (cf. supra).

Ouaip.

En gros, une partie a largement
débordé le théâtre des opérations et bien failli (à mon sens) faire
des dommages collatéraux sérieux.

Complétement.

Pour ma part certainement pas. Il y aura toujours des publications de
failles quoiqu'il advienne.

Bien sûr, mais il y a pas de mal de gens qui se poseront des questions,

C'est déjà le cas dans tout le métier en France !

et qui ne publieront rien pour ne pas prendre le risque de se retrouver
dans la même situation que Guillermito,

Cette affaire ne peut pas selon moi faire jurisprudence car elle contient
trop de zones d'ombres.
Oui elle concerne la communauté des chercheurs de failles parce que l'un
d'eux est mis au pilory mais pour de mauvaises raisons (à la lumière des
éléments du procès).

en toute connaissance de cause ou
parce qu'ils auront été abusé par de mauvaises interprétations de
l'affaire.

C'est vraisemblable.
N'est-ce pas là aussi l'un des objectifs de ce procès ?

Je ne pense pas que le monde de la sécurité en sorte indemne
et qu'on reparlera de cette histoire régulièrement.

Malheureusement. J'espère simplement que l'issue de cette affaire fera la
lumière sur tout.

On 12 Mar 2005 13:28:19 GMT, Laurent Blume
<laurent_news200412@elanor.org>:

Je suppose que leurs services
juridiques leur disent que c'est mieux de l'avoir, au cas où...

Yep, au cas où on ait besoin d'un prétexte pour attaquer quelqu'un,
comme c'était le cas dans l'affaire qui nous occupe...


--
;-)

Fabien LE LEZ wrote:

Yep, au cas où on ait besoin d'un prétexte pour attaquer quelqu'un,
comme c'était le cas dans l'affaire qui nous occupe...

Comme nous parlons bien des clauses de non-transférabilité, si j'ai bien
compris, cela n'a pas servi du tout ici, et cela ne semble pas avoir été évoqué
(ce qui est dommage, comme pour le reste).
C'est le fait qu'au moment de l'analyse, il n'y avait pas de licence qui a été
pris en compte, toujours si j'ai bien compris.

Donc, nous ne savons toujours pas si ces services juridiques ont «raison» ou
pas: le contenu de la licence n'a pas eu d'importance.

Laurent

C'est idiot mais je
suis convaincu que Guillermito est l'homme à abattre pour Tegam. Mais
pourquoi ? Et à cause de quoi ?

les gens allechés par la pub: melissa,100% ,pas de maj ;, ayant acheté
ce produit ne l'ont pas apprecié( contraignant); puis le bouche à
oreille ont provoqué la chute des ventes.
l'editeur plutot que de faire son mea culpa , d'ameliorer son produit
(ou il n'a pas pu),de comprendre que Guillermito travaillait pour eux
gratos, a
preferé faire sa parano et reporté la faute sur Guillermito.
Et puis perdu pour perdu autant essayer de se venger sur un bouc emissaire.
--
antonio

Le Sun, 13 Mar 2005 20:09:44 +0000, ant a écrit :

les gens allechés par la pub: melissa,100% ,pas de maj ;, ayant acheté
ce produit ne l'ont pas apprecié( contraignant); puis le bouche à
oreille ont provoqué la chute des ventes.

C'est un peu gratuit comme affirmation ça, non ? Ou alors tu es mieux
informé que la plupart d'entre nous pour connaître d'une part le volume
de vente du produit et son évolution, et d'autre part les raisons de
cette évolution...

l'editeur plutot que de faire son mea culpa , d'ameliorer son produit
(ou il n'a pas pu),de comprendre que Guillermito travaillait pour eux
gratos

De ce que j'en ai vu, les remarques de Guillermito ont en plus été
prises en compte dans l'évolution du produit (selon ce qu'on peut lire
chez l'éditeur) puisque l'expert a confirmé la véracité de ses dires
à l'époque... Ça fait partie des choses extrêmement navrantes dans cette
histoire...


--
panic("Oh boy, that early out of memory?");
2.2.16 /usr/src/linux/arch/mips/mm/init.c

Le Sun, 13 Mar 2005 00:40:21 +0000, LaDDL a écrit :

Mais ce qui me semble pour le moins compliqué/confus/étrange/obscure c'est
le cheminement de cette affaire de son origine à maintenant.

Oui.

Corriges-moi si je me trompe mais au moment de la publication des travaux
de Guillermito, Tegam n'a pas réagit. Donc pourquoi avoir attendu ?
Pourquoi la situation s'est dégradée ? En bref comment en sont-ils
arrivés là ? Enfin quels sont les enjeux, objectifs ?

Je ne suis pas dans le secret des dieux, mais je dirais un manque total
d'écoute, une sacré dose de mauvaise foi, et quelques histoires
périphériques. On secoue, et obtient une situation merdique au possible.

Bah tu le sous-entends puisque tu indiques que le procès n'a pas retenu
la publication des failles des logiciels. Je te cite : "Du coup, on n'a
pas avancé d'un pouce sur ce terrain là, voire même régressé au
regard des confusions que cela entraîne". Donc tu aurais souhaité
qu'il y ait eu une prise de position officielle.

J'aurais souhaité, oui, que le jugement dise clairement que la démarche
de Guillermito était légitime et que sa condamnation ne portait pas
là-dessus. En ne statuant pas sur ce point, on laisse les gens vaquer à
leurs élucubrations les plus diverses, comme tu le constates aussi bien
que moi, entretenant le buzz ambiant, en France comme à l'étranger (cf.
la liste full-disclosure récemment).

Parfaitement mais c'est légitimé par les autorités quand ça va dans
le sens de l'assurance de la sécurité des systèmes d'information. La
nuance réside dans l'intention de nuire ou pas.

Je trouve cette "légitimation" trop tacite (si je puis m'exprimer
ainsi) pour le moment, dans la mesure où je n'ai pas pour le moment
entendu de prise de position claire et nette sur le sujet.

Alors pour revenir à Tegam vs Guillermito il y a pour moi bien autre
chose que cet argument (ridicule) de la licence. C'est idiot mais je
suis convaincu que Guillermito est l'homme à abattre pour Tegam. Mais
pourquoi ? Et à cause de quoi ? Certainement pas suite au
téléchargement en warez d'une version de Viguard et de la publication
de ses résultats.

On ne sait pas tout, on ne peut pas comprendre, parait-il... Donc bon.

Quelle histoire ? Les faits pris en compte dans les différentes
procédures et le procès ou bien tout ce qui se dit autour ?

Les faits, tout simplement.

Il faudrait leur rappeler ce qu'est le hacking !

Pas le rappeler, mais l'expliquer. Le procureur, pour sortir une diatribe
de cet acabit, n'a visiblement aucune expérience de comment l'industrie
du logiciel a pu avancer.

Mais pourquoi ? Car c'est amha la clef de ce procès.

La vérité est ailleurs (c).

et qui ne publieront rien pour ne pas prendre le risque de se retrouver
dans la même situation que Guillermito,
Cette affaire ne peut pas selon moi faire jurisprudence car elle

contient trop de zones d'ombres.

Je ne parle pas de jurisprudence. Quel individu ira risquer de se lancer
dans une publication après cette affaire... Je sens que ça va fleurer
bon les publications anonymes, donc peu constructives dans la mesure où
l'éditeur sera mis devant le fait accompli (full disclo sauvage).

Oui elle concerne la communauté des chercheurs de failles parce que
l'un d'eux est mis au pilory mais pour de mauvaises raisons (à la
lumière des éléments du procès).

Agree.

N'est-ce pas là aussi l'un des objectifs de ce procès ?

Parait que non... J'en doute.

Malheureusement. J'espère simplement que l'issue de cette affaire fera
la lumière sur tout.

Mouais...


--

Et puis qu'est-ce-que tu viens faire sur fufe ?
Tenter de discuter avec des gens un peu iontelligents. Mais ils sont

rares sur fufe.
-+- Dr B in GNU : Ion fait s'qu'ion peut avec s'qu'ion a. -+-