L'auteur de Sasser - l'avis d'un juge

Guillermito wrote:

Ca me rappelle des gens qui avaient calculé que le démineur de Windows
faisait perdre plusieurs milliards de dollars aux entreprises, pour se
moquer de ce genre de calcul :)

Faut bien le calculer d'une manière ou d'un autre. On sait qu'il y a des
pertes, maintenant faut essayer de trouver la meilleure manière
d'obtenir des chiffres à peu près fiables.

On dit que le spam coûte de l'argent, les virus aussi surtout s'ils se
propagent par email.

On Mon, 24 May 2004 17:15:04 +0200, Ewa (siostra Ani) N. wrote:

Frederic Bonroy wrote:

Roland Garcia wrote:

Pour ses parents, puisqu'il était mineur au moment des faits.

La possibilité qu'il paie lorsqu'il gagnera de l'argent a été évoquée et
elle me paraît tout à fait souhaitable.

Et comment va-t-il faire si tu le mets en prison ? ;-)

Ben en taule il bossera pour gagner son salaire.

(Mais bon faut pas pousser... servirait a rien de le foutre en taule)

Ewcia

--
Noshi

Frederic Bonroy wrote:

Premièrement, il ira en prison 5 ans maximum.

Premièrement ! Et après, quand il bosse, il continue encore a payer toute sa
vie, c'est bien ça ?

Non, je te le dis, la peine de mort c'est bien moin hypocrite.

--
AMcD®

http://arnold.mcdonald.free.fr/

AMcD® wrote:

[...]

Jusqu'ici beaucoup de critique de la part de la plupart des
intervenants, mais point de propositions pour les estimations des
pertes, pour la peine à lui infliger, etc. Rien.

Dommage.

Frederic Bonroy wrote:

Jusqu'ici beaucoup de critique de la part de la plupart des
intervenants, mais point de propositions pour les estimations des
pertes, pour la peine à lui infliger, etc. Rien.

Bon. Puisque tu m'y invites :-).

Tout d'abord, je discerne 2 côtés : l'auteur du virus et les victimes.

a) L'auteur du virus.

Il pourra toujours arguer qu'il avait une quelconque motivation,
justification (scientifique par exemple), je n'y crois pas. Quand on écrit
un virus dans un but d'étude, on prend un maximum de précautions : pas de
payload, réseau local fermé, etc. S'il avait cherché à montrer telle
vulnérabilité, faire prendre en compte telle faille, il y avait tout un
arsenal d'autre façons de procéder. Faut pas prendre les victimes pour des
imbéciles en plus hein.

Bref, l'erreur, n'est pas à porter à son crédit, il l'a fait sciemment,
point ! Qu'il ait ou pas été capable d'en évaluer les risques est autre
chose ; au moins, une condamnation lui permettra de mettre un peu de plomb
dans la cervelle et l'amènera à se pencher sur la signification du terme
responsabilité.

Notre jeune homme est donc coupable. Il convient maintenant de trouver une
peine proportionnée à son crime, je dirai également éducative (mettre au
frigo sans rien expliquer est rarement éducatif et n'est qu'inspirateur de
revanche et de haine) et, si possible, ayant valeur d'exemple pour les
autres, histoire de décourager les vocations.

b) les victimes.

C'est là ce que c'est chaud ! Comment évaluer les préjudices ? N'importe qui
ayant bossé dans "l'administratif", la "bureaucratie", te citera 1.000
exemples de gars qui passent une large partie de leur journée à faire autre
chose que travailler pour l'entreprise qui les rétribue. Comment faire
croire via des calculs fumeux que 2 heures ou 3 de perturbation d'un réseau
coûte des milliards quand tu vois des gusses passer 3 heures par jour à la
salle de pause, jouer à la dame de pique en réseau ou multiplier les
réunions impromptues dans les couloirs (au moins, pendant ce temps, ils ne
sont pas au bureau) ?

Attention, attention, hein ! Je ne dis pas que ce que je décris est
généralisé ! Hola ! Il y a des tas et des tas de gens (plus que la majorité)
qui font leur boulot correctement, du mieux qu'ils peuvent, avec les moyens
dont ils disposent et qui méritent un profond respect.

De plus, certaines sociétés, certains corps de métiers seront plus ou moins
touchés que d'autres. Tu ne peux pas comparer un DoS sur les serveurs
principaux d'un FAI et un Sasser sur le réseau de l'administration [biiiip],
qui sert principalement à DL du mp3 all day long...

Il faut donc prendre en compte une foule de paramètres. Entre autres,
l'incompétence de certains administrateurs réseau. Moi, le gars qui me
plante le réseau parce qu'il n'a pas déployé le patch d'il y a 1 mois, faut
pas déconner, c'est lui que je charge ! Ensuite, l'esbrouffe des experts qui
vont se lancer dans des calculs brumeux et complexes pour évaluer l'argent
perdu par la boîte. Pendant 3h, vous n'avez pas pu passer de commande ? Coût
moyen de la commande ? 10.000 $ ? Bien, vous avez perdu 10.000 $. Comme si
c'était sûr que le gars aurait passé une commande pendant ce laps de
temps... Au fait, on compte le salaire de ces experts dans les dommages ?

Rajoutons les décideurs qui ont tout fait pour ne pas éviter ce genre de
problème, ceux qui ne donnent pas les moyens aux administrateurs de faire
correctement leur boulot par exemple. Très souvent, le ver activé n'est que
le révélateur d'une longue chaîne d'incompétences successives, à différents
niveaux hiérarchiques.

Alors, bien sûr, les dommages existent, mais les vrais, les réels, ils
peuvent être très complexe a vraiment évaluer. Un prestataire de courrier
électronique va pouvoir évaluer rapidement ses pertes, l'administration qui
emploie 50 gars pour faire le boulot de 30 aura plus de mal à sortir un
chiffre concrètement crédible.

Si un ver paralyse 3 heures le PC d'un commercial, tu crois qu'il n'y a que
l'auteur du ver à blamer ? Quid de l'administratuer du réseau (étant est
qu'il y en ait un), de la formation du personnel de la société, des mesures
élémentaires de sécurité mises en place (étant est que seulement un seul
employé les ait jamais lu), des moyens mis en oeuvre pour se prémunir
(contrôle des droits d'accès, systèmes à jour et patché, réseau contrôlé,
outils (pare-feu, AV, etc.), sauvegardes, etc.) ?

Tu vas me dire qu'encore faut-il avoir les moyens financiers de mettre en
place une sécurité que l'on essayera de faire tendre vers l'optimal. Je suis
désolé ! Quand on ne veux pas se les donner les moyens, c'est sûr, on y
arrive pas ! Cela me fait "marrer" les gars qui pleurent parce qu'un
sinistre leur a détruit la comptabilité ! Bien sûr, pas de sauvegarde, pas
d'informaticien, trop cher ! Par contre, le stage de "com" avec mega-bouffe
et soirée au bar, pas de problème, il y a du budget là ! Oui, j'exagère. À
peine.

Tout ça pour dire qu'excepté quelques cas bien particuliers, chiffrer la
perte de productivité, le manque à gagner me semble un peu ambitieux ! Et,
comme dis dans un autre thread, beaucoup gonflent artificiellement la note.
'tain ! On a été victime de Sasser, on a pommé 2.5 millions de dollars !
Cela fait bien, ça impresionne la concurrence...

La sanction

À part pour quelques cas précis, puisqu'il est très difficile d'évaluer les
dégâts (et de les prouver !), je propose une peine "cérébralement" établie.
Pour sortir un peu le geek de sa virtualité, quelques centaines d'heures à
élaguer le bord des ruisseaux pollués de campagne lui feront le plus grand
bien. Ou tu le fais bosser dans quelques associations caritatives à l'autre
bout du monde pour qu'il comprenne qu'il y a suffisamment de gens dans le
malheur pour que sa connerie soit dispensée d'en ajouter une couche
supplémentaire. Je propose également que quelques-uns de ses premiers
salaires soit intégralement versés à une de ses associations, il se rendra
un peu plus compte que perdre de l'argent c'est marrant 5'. On pourrait
également voir du côté des parents qui se moquent eperdument de ce que font
leurs gosses devant un PC. Petite anecdote, je joue souvent en réseau, quand
je vois des kids de 12 ans appeler leurs personnages (attention âme
sensibles s'abstenir) salepute, stormSS, fucktheJew, le violeur, enculator
et j'en passe et des pires, peut-être faut-il s'interroger sur la
responsabilité de ceux qui... en sont responsable du gosse ! Moi, si ma mère
avait vu dans ma chambre 500 CDs gravés, elle m'aurait posé des questions...

Voilà, je vois des peines de ce genre. Parce que sinon, c'est la prison à
perpète puisqu'il ne pourra jamais rembourser les dégâts reéls ou estimés.
Les responsabilités sont souvent nombreuses et il faudrait aussi penser à
les faire partager. Il faut qu'il paye, mais intelligement !

Enfin, je ne vois pas pourquoi il faudrait charger des kids bien souvent
insconscient de leurs actes alors que tu vois 10 fois pires autour de toi
24h/24h et en toute impunité. Comme je le dis souvent, il faut quand même
raison garder. Le gars à sciemment envoyé son truc ? OK. 5 ans de placard ?
OK. Et, en face, on peu me spammer et m'envoyer des insanités toute la
journée en toute légalité ? Allons, allons...

Amen.

--
AMcD®

http://arnold.mcdonald.free.fr/

AMcD® wrote:

a) L'auteur du virus.
[...]

Aaaaah. Propos tout à fait raisonnables à mon avis. :-)

b) les victimes.
[...]

Pareil, mais quelques petits commentaires tout de même:

Ensuite, l'esbrouffe des experts qui
vont se lancer dans des calculs brumeux et complexes pour évaluer l'argent
perdu par la boîte. Pendant 3h, vous n'avez pas pu passer de commande ? Coût
moyen de la commande ? 10.000 $ ? Bien, vous avez perdu 10.000 $. Comme si
c'était sûr que le gars aurait passé une commande pendant ce laps de
temps... Au fait, on compte le salaire de ces experts dans les dommages ?

Il y a différentes manières de calculer ces coûts mais il n'y a pas de
système officiel. Ça dépend bien sûr aussi du type de société. Une
companie aérienne ne comptera pas de la même manière que le fabricant de
conserves de petit pois.
Dans les cas où la production a cessé pendant plusieurs heures, on peut
calculer la perte financière à partir de la production que l'on obtient
habituellement pendant ces quelques heures. 300 pièces par heure,
interruption de 3 heures, valeur 10 euros la pièce -> 9000 balles. Peu
importe si en fin de compte on les vend ou pas. Et on contourne le
problème de la productivité irrégulière des employés humains - c'est
inclus dans la valeur du produit que l'on aura calculée auparavant en
temps normal.

Rajoutons les décideurs qui ont tout fait pour ne pas éviter ce genre de
problème, ceux qui ne donnent pas les moyens aux administrateurs de faire
correctement leur boulot par exemple. Très souvent, le ver activé n'est que
le révélateur d'une longue chaîne d'incompétences successives, à différents
niveaux hiérarchiques.

Alors, bien sûr, les dommages existent, mais les vrais, les réels, ils
peuvent être très complexe a vraiment évaluer. Un prestataire de courrier
électronique va pouvoir évaluer rapidement ses pertes, l'administration qui
emploie 50 gars pour faire le boulot de 30 aura plus de mal à sortir un
chiffre concrètement crédible.

Dans une administration, c'est sûr que ça va être difficile. Comment
évaluer la valeur des décisions qui auraient dû être prises, des lettres
qui auraient dû être écrites, et ainsi de suite.

C'est un problème. Seulement il peut être utile de connaître le montant
des pertes, même s'il n'est qu'approximatif. Il faut bien se baser sur
quelque chose.

Si un ver paralyse 3 heures le PC d'un commercial, tu crois qu'il n'y a que
l'auteur du ver à blamer ? Quid de l'administratuer du réseau (étant est
qu'il y en ait un), de la formation du personnel de la société, des mesures
élémentaires de sécurité mises en place (étant est que seulement un seul
employé les ait jamais lu), des moyens mis en oeuvre pour se prémunir
(contrôle des droits d'accès, systèmes à jour et patché, réseau contrôlé,
outils (pare-feu, AV, etc.), sauvegardes, etc.) ?

Tu vas me dire qu'encore faut-il avoir les moyens financiers de mettre en
place une sécurité que l'on essayera de faire tendre vers l'optimal. Je suis
désolé ! Quand on ne veux pas se les donner les moyens, c'est sûr, on y
arrive pas ! Cela me fait "marrer" les gars qui pleurent parce qu'un
sinistre leur a détruit la comptabilité ! Bien sûr, pas de sauvegarde, pas
d'informaticien, trop cher ! Par contre, le stage de "com" avec mega-bouffe
et soirée au bar, pas de problème, il y a du budget là ! Oui, j'exagère. À
peine.

Attention! Pense aux petites entreprises dont le système informatique
tourne sans problèmes en temps normal. Il ferait quoi de la journée, un
informaticien? Il coûterait de l'argent et c'est tout.

Dans ce cas, c'est un employé qu'il faudrait spécialement former pour
pouvoir intervenir en urgence et pour veiller à l'application de la
ligne de conduite. Seulement ça ne fait toujours pas de lui un
administrateur professionnel et il n'est pas forcément toujours disponible.

La sanction

À part pour quelques cas précis, puisqu'il est très difficile d'évaluer les
dégâts (et de les prouver !), je propose une peine "cérébralement" établie.
Pour sortir un peu le geek de sa virtualité, quelques centaines d'heures à
élaguer le bord des ruisseaux pollués de campagne lui feront le plus grand
bien. Ou tu le fais bosser dans quelques associations caritatives à l'autre
bout du monde pour qu'il comprenne qu'il y a suffisamment de gens dans le
malheur pour que sa connerie soit dispensée d'en ajouter une couche
supplémentaire.

Ce sont deux bonnes idées. Le problème c'est que ça ne rembourse pas les
victimes.

Je propose également que quelques-uns de ses premiers
salaires soit intégralement versés à une de ses associations, il se rendra
un peu plus compte que perdre de l'argent c'est marrant 5'.

Oui...

On pourrait
également voir du côté des parents qui se moquent eperdument de ce que font
leurs gosses devant un PC.

Ou même qui se moquent éperdument de ce que font leurs gosses *en général*.

Petite anecdote, je joue souvent en réseau, quand
je vois des kids de 12 ans appeler leurs personnages (attention âme
sensibles s'abstenir) salepute, stormSS, fucktheJew, le violeur, enculator
et j'en passe et des pires, peut-être faut-il s'interroger sur la
responsabilité de ceux qui... en sont responsable du gosse ! Moi, si ma mère
avait vu dans ma chambre 500 CDs gravés, elle m'aurait posé des questions...

Moi pareil. Hélas ce n'est pas le cas de tout le monde.

Voilà, je vois des peines de ce genre. Parce que sinon, c'est la prison à
perpète puisqu'il ne pourra jamais rembourser les dégâts reéls ou estimés.
Les responsabilités sont souvent nombreuses et il faudrait aussi penser à
les faire partager.

Disons que comme il n'y a pas eu de destruction, il n'y a pas eu de
perte réelle, mais plutôt de, euh, usons d'un mot vachement
intellectuel, "non-obtention". ;-) Donc à la limite on peut argumenter
que le remboursement peut se faire de manière indirecte et symbolique
comme tu l'as proposé ci-dessus (associations).

Enfin, je ne vois pas pourquoi il faudrait charger des kids bien souvent
insconscient de leurs actes alors que tu vois 10 fois pires autour de toi
24h/24h et en toute impunité. Comme je le dis souvent, il faut quand même
raison garder. Le gars à sciemment envoyé son truc ? OK. 5 ans de placard ?
OK. Et, en face, on peu me spammer et m'envoyer des insanités toute la
journée en toute légalité ? Allons, allons...

Hélas on ne peut pas courir après tout le monde. C'est pourquoi qu'il
faut en profiter lorsqu'on en attrappe un. ;-)

Il y a différentes manières de calculer ces coûts mais il n'y a pas de
système officiel. Ça dépend bien sûr aussi du type de société. Une
companie aérienne ne comptera pas de la même manière que le fabricant de
conserves de petit pois.
Dans les cas où la production a cessé pendant plusieurs heures, on peut
calculer la perte financière à partir de la production que l'on obtient
habituellement pendant ces quelques heures. 300 pièces par heure,
interruption de 3 heures, valeur 10 euros la pièce -> 9000 balles. Peu
importe si en fin de compte on les vend ou pas. Et on contourne le
problème de la productivité irrégulière des employés humains - c'est
inclus dans la valeur du produit que l'on aura calculée auparavant en
temps normal.

[snip]

Bon, maintenant il faut multiplier ça par le nombre d'infection
(évaluation quelconque) infectes dans le monde. T'auras quelques
dizaines (ou centaines) de millions ou milliards d'euro.

Hélas on ne peut pas courir après tout le monde. C'est pourquoi qu'il
faut en profiter lorsqu'on en attrappe un. ;-)

[Bon, c'est le principe de responsabilité collective ça :-(]

Ensuite lui colles (et à ses parents, éventuellement) l'amende
correspondante à l'hauteur des dégâts. Même s'il bosse tout sa vie que
pour ça, ta PMU touchera peut-être 0,69 centimes, ou peut-être même
pas. Avoue que c'est absurde. Tu penses que c'est *la* méthode pour
améliorer la sécurité informatique ?


Ewcia



--
Niesz !

Ewa (siostra Ani) N. wrote:

Ensuite lui colles (et à ses parents, éventuellement) l'amende
correspondante à l'hauteur des dégâts. Même s'il bosse tout sa vie que
pour ça, ta PMU touchera peut-être 0,69 centimes, ou peut-être même
pas. Avoue que c'est absurde. Tu penses que c'est *la* méthode pour
améliorer la sécurité informatique ?

La méthode pour améliorer la sécurité informatique ne consiste
certainement pas à faire des calculs dont on ne sais pas s'ils sont
fiables. Mais *en principe* il devrait rembourser même si évidemment ce
n'est pas faisable en pratique pour un tas de raisons. Pour d'autres
raisons, il peut cependant être utile d'avoir des chiffres.

Mais là n'est pas le problème. Ce qu'il faut, c'est une peine qui
dissuade. Je considère que la répression est une forme de prévention.
Encore une fois, je ne milite pas pour telle ou telle peine. Ce que je
souhaite, c'est une peine qui fasse réfléchir tous ceux qui ont déjà
envisagé de lâcher un virus. Car comme je disais, croire que les virus
sont uniquement un problème technique serait une preuve de pure naïveté.

Ewa (siostra Ani) N. wrote:

[Bon, c'est le principe de responsabilité collective ça :-(]

Non. Il va de soi qu'on ne va pas le punir pour les autres cent mille
virus avec lesquels il n'a rien à voir. Je ne suis pas borné à ce point
là. Quand je dis qu'il faut en profiter, je dis qu'il faut en profiter
pour, comme aiment le dire nos amis © les hommes politiques, "lancer un
signal fort".

Ewa (siostra Ani) N. wrote:

[Bon, c'est le principe de responsabilité collective ça :-(]

Non. Il va de soi qu'on ne va pas le punir pour les autres cent mille
virus avec lesquels il n'a rien à voir. Je ne suis pas borné à ce point
là. Quand je dis qu'il faut en profiter, je dis qu'il faut en profiter
pour, comme aiment le dire nos amis © les hommes politiques, "lancer un
signal fort".

Ouais, j'ai bien compris que tu pensais à une "peine dissuasive" comme
dit la presse.

Sauf que ça aussi peut se retourner contre les intentions affichées,
par exemple un séjour en prison (la solution que tu envisageais à un
moment) peut donner des idées (à cause des rencontres qu'on y fait).
C'est une de raisons pour lesquelles on n'y mets pas tous les
délinquants...

Bon, j'arrête là, sinon il faudrait un Fu2 vers un groupe en fr.soc.*
et je m'y refuse :-)


Ewcia

--
Niesz !